Повреждена основная таблица файлов

[shantinv@vk]

Принесли ноутбук с WDC WD2500BEVT в таком состоянии. Т.е. все дисковые утилиты говорят об ошибке во 2-ом томе, первый вообще отсутствует, вместо него неразмеченное пространство (~11gb). CheckDisk говорит о повреждённой файловой таблице 2-го тома, метка вроде "ACER". Есть шанс и смысл восстановить всё на месте? Сейчас идёт полное сканирование в DMDE.

[SanCho]

Практически любая программа восстановления данных может искать файлы просто сканируя поверхность, без разделов и таблицы. Если эта ошибка касается лишь записи таблицы разделов, то восстановить можно. Если там нет ничего важного для хозяина ноута, тогда просто забить нулями с мегабайт 50 от начала и создать новые разделы. Я так делал когда-то, может есть и другие варианты.

[shantinv@vk]

Разделы на месте, таблица разделов цела. Повреждена основная таблица файлов MFT второй партиции, требуется восстановить её, т.е. файловую структуру этой партиции (если это возможно).

[Tau_0]

shantinv@vk, действительно, красный индикатор F на разделе ACER говорит, что целостность файловой сістемы нарушена...
Пришлите дамп одного сектора LBA = 24782848. Просто скопируйте в DMDE этот сектор в файл. Сервис ===> Копировать секторы...
Это надо для того, чтобы к MFT подобраться и посмотреть файловые записи...


ЗЫ А какая задача перед Вами стоит...???... Дело в том, что судя по индикаторам цел раздел PQSERVICE на 12, который можно восстановіть...

[shantinv@vk]

Tau_0, 24782848 сектор во вложении
Лог полного скана:
http://rghost.ru/57319893
http://файлообменник.рф/8jqftt4guxuk.html
Задача: восстановить системный раздел ACER.
Целый PQSERVICE в принципе не нужен. Но если будет можно восстановить системный то и PQSERVICE до кучи было бы неплохо.

[Tau_0]

то и PQSERVICE до кучи было бы неплохо. »
С восстановлением PQSERVICE прблем быть не должно, но пока повременим...

Пришлите 100 (сто) секторов, начиная с LBA = 6291456. Это начало $MFT.
и 8 (восемь) секторов, начиная с LBA = 16. Это зеркало --- $MFTMirr.
Итого два файла/дампа...

[shantinv@vk]

Tau_0, Вот:

[Tau_0]

Вот: »
Виноват я :sorry: , --- LBA начала раздела (базу) LBA = 24782848 впопыхах не добавил...:blush2:

Правильно будет
--- 24782848 + 6291456 = 31074304 --- начало $MFT.
--- 24782848 + 16 = 24782864

Поэтому надо:
--- 100 (сто) секторов, начиная с LBA = 31074304
и
--- 8 (восемь) секторов, начиная с LBA = 24782864

Пришлите ещё раз, плз.

[shantinv@vk]

Tau_0, Мне не трудно, тем более вы мне помогаете, спасибо, вот:

[Shimmer]

Правильно будет
--- 24782848 + 6291456 = 31074304 --- начало $MFT.
--- 24782848 + 16 = 24782864 »

Я извиняюсь, что не в тему, но проведите ликбез, пожалуйста. Почему именно такие величины взяли? 6291456 и 16?

[shantinv@vk]

Почему именно такие величины взяли? »
Если бы мы знали, то скорее всего за помощью на такие форумы не обращались, так ведь? Вот я и думаю, товарищ Tau_0 мог бы подкинуть литературу (или просто список тем для изучения) по данной тематике?

[Tau_0]

Почему именно такие величины взяли? 6291456 и 16? »
Это совсем просто.
Я просмотрел BPB (BIOS Parameter Block). Он хранится в самом первом секторе тома LBA = 24782848. Этот сектор shantinv@vk мне прислал…

Формат BPB везде расписан, но тут и напрягаться особо не нужно --- дисковые редакторы DMDE и WinHex позволяют просмотреть этот сектор в форматном просмотре…
В WinHex применяем шаблон Boot Sector NTFS Boot sector of an NTFS partition. Видим след картинку (http://rghost.ru/57330304/image.png).

Start C# $MFT = 786432 --- эта адресация в кластерах LCN идёт от начала тома
Start C# $MFTMirr = 2
А Sectors per cluster = 8
Тогда адресация в секторах будет
Start Sector# $MFT = Start C# $MFT * Sectors per cluster = 786432 * 8 = 6291456
Том начинается в LBA = 24782848
Тогда начало $MFT лежит в секторе LBA = 24782848 + 6291456 = 31074304.

Ну и для зеркала аналогично…
По поводу литературы --- её хватает, но без надлежащей практики, она в одно ухо входит, а в другое выходит… --- Завтра кой-какие ссылки подкину…

shantinv@vk, посмотрел я и напрямую, и в форматном просмотре присланные File Record и ничего плохого в них не узрел... :dont-know Обычно ошибки в глаза лезут, а тут глухо, --- может плохо смотрел... Если только беда не в начале, а гораздо дальше, но этих файловых записей немеряно...

Подумать мне надо…

[Tau_0]

shantinv@vk, где мои глаза были…

Fixup не долетело… --- 6203 должно быть в байтах 511, 512…, а оно по смещению 495, 496…
См. Картинку (http://rghost.ru/57357121/image.png)

Про массив корректировки См. статью Фроловых
Восстановление данных в разделах NTFS (http://frolov-lib.ru/datarecovery/articles/ntfs_recovery/index.html)
И на аглицком прекрасно расписано…
NTFS Master File Table Fixup (http://www.dtidata.com/resourcecenter/ntfs-master-file-table-fixup/)

Просто откорректируйте в Hex редакторе.

Зы И в зеркале (дубле первых четырёх записей) такая же ***ня и даже хуже творится…

ЗЗЫ Видать 9285 давно это заметил. Но его шибко умные модеры по привычке тупо не понятно за что трут (а самим слабо…). --- Доколе это вредительство будет продолжаться, --- достало..!!!...

[shantinv@vk]

Tau_0, мне сейчас рыдать охота((( Спасибо вам огромное за труды, но назойливые владельцы ноутбука не посчитали нужным подождать немножко, чтобы получить в полном объёме восстановленную информацию.
Теперь буду изучать статьи. Ещё раз большое спасибо!