HDD - Слетела файловая система на переносном жёстком диске

Tau_0 · Отправлено: **19:54, 17-04-2014** | #21

Цитата alex2301ua:

Переделал. »

Теперь правильно.
Бегло просмотрел первые 25 файловых записей (это как раз 50 секторов --- по два сектора на файл). Число внешне вроде как записи вполне приличные и явных косяков в них я не увидел...
Но поскольку

Цитата alex2301ua:

Chkdsk пишет исправление ошибки в индексе $0 файла 25 и на этом стоит часами (сегодня попробую на ночь оставить надеюсь не сожрет инфо). »

То возможно имеет смысл побаловаться и затереть Hex нулями эту 25 ую записиь (можно предварительно сохратить её) --- Бох с ним с этим файлом, а вдруг чекдиск колдобину проедет и дальне оно нормально поедет...???...
Кто, что по этому поводу думает...???...
А то лихой кавалерийской атакой не получается...

alex2301ua · Отправлено: **20:32, 17-04-2014** | #22

Цитата poisonkit:

Кто, что по этому поводу думает...???... »

Сейчас довытягиваю важные файлы из диска т.к очень долго это всё происходит. Затем попробую затереть нулями запись. По поводу hex и где она там вообще, появились вопросы

alex2301ua · Отправлено: **13:35, 19-04-2014** | #23

Цитата Tau_0:

затереть Hex нулями эту 25 ую записиь (можно предварительно сохратить её) »

Подскажите - как эту запись затереть? Я с диска уже все необходимое вытянул. 2 дня понадобилось, чтоб 1.5 TB с помощью R-Studio восстановить. Пытаюсь в DMDE найти её, но не получается.

Tau_0 · Отправлено: **14:38, 19-04-2014** | #24

Цитата alex2301ua:

Пытаюсь в DMDE найти её, но не получается. »

Там достаточно просто, хотя…
В первом загрузочном секторе тома в Вашем случае по адресу LBA=2048 хранится вот такая таблица.
Если глянуть в форматном просмотре, то увидим картинку.

Нас интересуют файловые записи или записи $MFT
Их начало показано как 786432 кластер (LCN) относительно начала тома. Тогда в секторах это будет 786432*8 = 6291456 сектор (учитываем, что в кластере восемь секторов).

А относительно начала харда файловые записи начнутся в секторе 2048 + 6291456 = 6293504

Вот с сектора 6293504 и начинаются записи MFT. Эти записи в Вашем случае по 1024 байтов каждая и описывают все файлы и каталоги на томе. Записи можно просто посмотреть, но я не увидел чего-то нехорошего, что-бы оно бросилось в глаза…

Выходим на файловые записи и их читаем/смотрим….
На мой взгляд удобнее всего просматривать записи MFT в дисковом редакторе WinHex.

А вот теперь пока ВСЁ. Чтобы баловаться с этим делом дальше Вам придётся кое-что почитать… Если у Вас есть на это время, то я готов буду продолжить дальше. А просто читать мои писули, как лёгкое чтиво и разбирать это дело не получится… --- Тут разобраться малость надо, --- вопрос не простой…

Поэтому решайте… Но можете на досуге необходимо посмотреть
Книга: Криминалистический анализ файловых систем
Автор: Брайан Кэрриэ
Год издания: 2007 г.
Страниц: 480 стр.
Формат: DjVu
Размер: 7.28 MB
http://www.kodges.ru/komp/8313-krimi...kh-sistem.html

alex2301ua · Отправлено: **17:16, 19-04-2014** | #25

Цитата Tau_0:

Криминалистический анализ файловых систем »

Спасибо, книжку скачал, почитаю на досуге. Благодарю за помощь в этом вопросе. Сам такой же, кадетов отправляю читать матчасть, когда устаю отвечать на глупые вопросы, поэтому прекрасно вас понимаю)

Tau_0 · Отправлено: **20:09, 19-04-2014** | #26

Цитата alex2301ua:

книжку скачал, почитаю на досуге. »

Поехали дальше....
Для того, чтобы подступиться к NTFS мы начачали с метафайла $Boot. Это единственный файл с жёстко заданный местоположением, --- остальные файлы могут быть где угодно…

На записи MFT мы тоже вышли ---- они начинаются с LBA = 6293504. И первые 25 записей (50 секторов) Вы мне прислали.

Я просматриваю эти записи в дисковом редакторе WiinHeх. И вижу примерно такое
http://rghost.ru/54407062/image.png

В шестнадцатеричном виде смотреть не всегда удовно, поэтому применяем шаблон
VIEW ===> Template menager ===> NTFS File Record
http://rghost.ru/54407129/image.png

Порой такой просмотр в определённом смысле более информативен

Навскидку я ничего плохого в записях не усмотрел, это совсем не означает, что ничего плохого нет.

У Вас хард под рукой и смотреть Вам записи не пересмотреть, а записей в MFT немеряно…

alex2301ua · Отправлено: **00:15, 20-04-2014** | #27

Открыл $Boot, как вы описали

Я так понял можно по номеру кластера понять, что это за файл (WinHex показывает это в правом нижнем углу) - если найти где этот "индекс $0 файла 25"
хотя я уже всё нужное с диска вытянул и это не имеет значения. Может просто заменить нулями весь этот файл 25 - только как его найти я так и не разобрался, зато нашел как забивать нулями )

Tau_0 · Отправлено: **12:47, 20-04-2014** | #28

alex2301ua, я Вам советовал поковыряться/посмотреть подозрительные записи MFT… При этом я написал, что в первых 25 записях я визуально ничего плохого не обнаружил…

Но тут есть одна незадача ---- если Вы внимательно прочитали что пишет Брайан Кэрриэ про файловые записи, то должны были заметить, что нумерация записей идёт с нуля, поэтому последняя запись в дампе была с номером 24. Маловато будет, однако даже до 25 я не дотянулся...

Из той картинки, что Вы прислали Выглядит тоже ВСЁ красиво, но только том не монтируется и чекдиск заклинивает…

Поэтому пришлите ещё 50 секторов (надеемся, что разрыва в записях MFT не будет…) начиная с LBA = 6293504 + 50 = 6293554

Начиная с 6293554 сектора пришлите ещё 50 секторовов (это 25 записей будет), учитываем, что первые 25 записей у меня уже есть. На харде этих файловых записей может быть миллионы, но обычно неприятности начинаются, когда, плохо с системными метафайлами (это где-то первые 16 записей), а тут и пользовательские файлы заклинило…???...

alex2301ua · Отправлено: **13:19, 20-04-2014** | #29

Вот 50 с 6293554

alex2301ua · Отправлено: **13:27, 20-04-2014** | #30

И 50 с 6293504