после CHKDSK не видно фалов(win10)

stenn · 20.02.2019, 22:28

добрый день
у меня произошла следующая проблема с винчестером.
поробую описать:
раз или два в год делаю бэкап всякой музыки итд на отдельные винчестеры(которые лежат отдельно). вот и решил на этот раз(раньше делал в win7 но перешел на win10 так что в этот раз делал на десятке)

1й HDD(основной, на котором и случился сбой стоит непосредственно в корпусе( это Western Digital WD80PUZX). с присвоенным именем m-ziq3(blabla) .он в GPT,NTFS. винчестер не разделен на разделы,просто создал папку в которую копировал музыку.
2й HDD на который делал бекап воткнут в док станцию в корпусе.док напрямую подключёт к мат.плате сата кабелем.(это Western Digital WD30EURS) с присвоенным именем backup m-zq1(blabla)

бэкап делал в программе TOTAL COMMANDER Image 22.22
сравнивал два диска при помощи програмы,которая в сборке тотал коммандера- beyond compare 3.09.(в ней использовал функцию исключить для тех файлов,которые на на другом винчестере для бэкапа).
еще в это время была включена программа Soulseek(p2p клиент),в которой так же расшаренны файлы с первого диска(не знаю важно это или нет,но решил упамянуть). и возможно что-то слушал с 1го HDD в плеере foobar(но точно не помню)
делал бэкап вечером.на ночь комп выключал. утром когда влючил комп,началась проверка CHKDSK(какой именно диск проверялся,я не смотрел). потом обнаружил что на 1м винчестере (WD80PUZX) пропали файлы. а название с m-ziq3(blabla) поменялось на backup m-zq1(blabla). т.е. 1й диск почему то стал называться как 2й. после чего я вытащил из док станции диск 2(WD30EURS) и перезагрузил комп. но всё осталось по прежнему(винчестер без файлов с названием от 2го винчестера).

после чего проверил этот винч на ошибки(без исправления) програмой PartitionWizard MiniTool. а потом проверил программой testdisk-7.1,но ничего не исправлял и не востанавливал а просто посмотрел содежимое диска(комманда list вроде)

надеюсь CHKDSK не мог затереть около 4Tb ормации зп 3 минуты. скорее всего фалы на винчестере просто спрятаны. хотелось бы восстановить(т.к. информация довольно ценная)
дополнительно:
windows 10 enterprise(x64) с последними обнвлениями
Gigabyte z87x-ud5h-cf
intel core i5 4690k 3,5Ghz

надеюсь ничего не забыл.
извеняюсь за много букв и надеюсь на помощь.
скрины SMART и DMDE с проблемного винчестера прилагаю. GPT+MBR не отключал
готов следовать инструкциям

9285 · 20.02.2019, 22:41

Исходя из написанного, первое что напрашивается -т после включения винда сдампила (как минимум) заголовок MFT на другой диск.
Подробности напишу чуть позже, сейчас главное в такой ситуации - исключить запись на диск чтобы не произошли дальнейшие повреждения.
Ну а далее надо бы провести анализ того что сейчас на дисках.
То есть что сейчас в MFT, сколько переписано, что сделал чекдиск.

Добавлено через 31 минуту

Всё что будет написано ниже предполагает то, что ты хочешь разобраться в ситуации, если же нет желания этим заниматься, то можно "тупо" запустить рековерилку и восстановить что выжило.

СПОЙЛЕР »

Я не знаю как устроено в деталях, а по простому:
- начиная с 8-ки в винде по умолчанию включён режим быстрого запуска
- если он включён, при завершении работы завершается только сеанс пользователя а сама винда вводится в гибернацию
- после запуска винда восстанавливает бывшее до этого состояние "окружения"
Вот здесь вопрос в том, что она делает делает в части файловой системы томов дисков. Если предположить что "привязка" идёт с идентификатору диска, то как бы проблем не должно быть. Другое дело если "привязка" идёт к "номеру" диска, который виден в том же диспетчере дисков винды.
В таком случае, если по какой то причине этот номер изменился, то и может произойти что состояние MFT запишется на другой том (диск) и т.п.

Другой причины я не вижу, потому как метка тома хранится в 3-ей записи и поменяться сама по себе не может.
Ну и, если такое произошло то, конечно же, будут какие то несоответствия, которые и начнёт исправлять чекдиск. Причём кроме "фишки" быстрого запуска в новоделах и чекдиск тоже другой - он даже без запуска может исправлять некоторые типы "ошибок".

stenn · 21.02.2019, 00:57

Цитата (9285) »

Исходя из написанного, первое что напрашивается -т после включения винда сдампила (как минимум) заголовок MFT на другой диск.
Подробности напишу чуть позже, сейчас главное в такой ситуации - исключить запись на диск чтобы не произошли дальнейшие повреждения.
Ну а далее надо бы провести анализ того что сейчас на дисках.
То есть что сейчас в MFT, сколько переписано, что сделал чекдиск.

Добавлено через 31 минуту

Всё что будет написано ниже предполагает то, что ты хочешь разобраться в ситуации, если же нет желания этим заниматься, то можно "тупо" запустить рековерилку и восстановить что выжило.

СПОЙЛЕР »

Я не знаю как устроено в деталях, а по простому:
- начиная с 8-ки в винде по умолчанию включён режим быстрого запуска
- если он включён, при завершении работы завершается только сеанс пользователя а сама винда вводится в гибернацию
- после запуска винда восстанавливает бывшее до этого состояние "окружения"
Вот здесь вопрос в том, что она делает делает в части файловой системы томов дисков. Если предположить что "привязка" идёт с идентификатору диска, то как бы проблем не должно быть. Другое дело если "привязка" идёт к "номеру" диска, который виден в том же диспетчере дисков винды.
В таком случае, если по какой то причине этот номер изменился, то и может произойти что состояние MFT запишется на другой том (диск) и т.п.

Другой причины я не вижу, потому как метка тома хранится в 3-ей записи и поменяться сама по себе не может.
Ну и, если такое произошло то, конечно же, будут какие то несоответствия, которые и начнёт исправлять чекдиск. Причём кроме "фишки" быстрого запуска в новоделах и чекдиск тоже другой - он даже без запуска может исправлять некоторые типы "ошибок".

спасибо.
да,конечно хочу разобраться что случилось. т.к. с таким еще не сталкивался. на вин7 бэкап делал не раз по той же схеме,но видимо с десяткой что-то пошло не так. ну и хотелось бы вернуться к состоянию до чекдиск(если это возможно), т.е. чтобы опять появились файлы.
к тому же планирую бэкап других винчестеров(не хотелось бы повтора).
а по поводу "запустить рековерилку" то р-студио вроде и так умею пользоваться))

а как посоветуете сделать "исключить запись на диск чтобы не произошли дальнейшие повреждения"?. читал что можно при помощи dmde сделать Mbr off,я планировал так сделать,но у меня GPT+MBR off и после нажатия применить, дмде предупреждает о стирании или перезаписи файлов(я испугался и отменил).
ну и так же чем лучше"Ну а далее надо бы провести анализ того что сейчас на дисках" сделать?

Smirnoff · 21.02.2019, 09:17

Цитата (stenn) »

на вин7 бэкап делал не раз по той же схеме

В семёрке просто не было "быстрого запуска".

9285 · 21.02.2019, 11:59

stenn
Применительно к твоей ситуации, вполне возможно (*), что хватит и удаления буквы у тома.
Но MBR(GPT) off более надёжен. При выполнении его надо не забыть что надо применить изменения и сделать так, чтобы винда узнала об этом (одно из ниже перечисленного):
- обновить данные в штатной оснастке управления дисками (актуальных версий Win)
- можно перезагрузить систему
- в случае внешнего носителя, переподключить его
При этом надо понимать что после этого в диспетчере дисков диск будет выглядеть как неинициализированный и винда преlложит его проинициализировать - ни в коем разе нельзя этого делать (особенно инициализацию как GPT).
В последующем, когда нужно будет начать работу с диском, достаточно будет сделать обратную процедуру - MBR/GPT on.

(*) Не знаю как в случае иных ОСей, но если используется Windows нельзя что то гарантировать на 100%.
Чекдиск может работать с томами у которых нет буквы, и где гарантия что ему не примерещится какая то "ошибка"?
Как то подключил обнулённую флэшку к винде а потом на ней увидел какие то байты. На тот момент особо не разбирался, но судя по всему наследила ReadyBoost - видимо делала какой то тест на возможность использования. Поэтому надо перестраховываться и самой верной перестраховкой является посекторка диска.

Добавлено через 17 минут

Что касается "анализов".
1. Для начала открыть том в DMDE и посмотреть в нижнее правое окно.
В атрибуте STANDARD_INFORMATION будет видна дата и время.
Вот сравнить её на одном диске и другом. Если идентичны, то это уже признак того что записи другого тома записались на место родных.
2. Далее надо определить размер MFT. Его можно увидеть в верхнем правом окне в папке Metadata - смотреть $MFT.
3. Сделать полное сканирование (оставив чекбокс только на той ФС которая использовалась, можно оставить и RAW) участка тома, проанализировать результат на предмет того какие записи относятся к родному тому, попали ли они в "новую" MFT или нет.

stenn · 21.02.2019, 14:51

Цитата (9285) »

stenn
Применительно к твоей ситуации, вполне возможно (*), что хватит и удаления буквы у тома.
Но MBR(GPT) off более надёжен. При выполнении его надо не забыть что надо применить изменения и сделать так, чтобы винда узнала об этом (одно из ниже перечисленного):
- обновить данные в штатной оснастке управления дисками (актуальных версий Win)
- можно перезагрузить систему
- в случае внешнего носителя, переподключить его
При этом надо понимать что после этого в диспетчере дисков диск будет выглядеть как неинициализированный и винда преlложит его проинициализировать - ни в коем разе нельзя этого делать (особенно инициализацию как GPT).
В последующем, когда нужно будет начать работу с диском, достаточно будет сделать обратную процедуру - MBR/GPT on.

(*) Не знаю как в случае иных ОСей, но если используется Windows нельзя что то гарантировать на 100%.
Чекдиск может работать с томами у которых нет буквы, и где гарантия что ему не примерещится какая то "ошибка"?
Как то подключил обнулённую флэшку к винде а потом на ней увидел какие то байты. На тот момент особо не разбирался, но судя по всему наследила ReadyBoost - видимо делала какой то тест на возможность использования. Поэтому надо перестраховываться и самой верной перестраховкой является посекторка диска.

Добавлено через 17 минут

Что касается "анализов".
1. Для начала открыть том в DMDE и посмотреть в нижнее правое окно.
В атрибуте STANDARD_INFORMATION будет видна дата и время.
Вот сравнить её на одном диске и другом. Если идентичны, то это уже признак того что записи другого тома записались на место родных.
2. Далее надо определить размер MFT. Его можно увидеть в верхнем правом окне в папке Metadata - смотреть $MFT.
3. Сделать полное сканирование (оставив чекбокс только на той ФС которая использовалась, можно оставить и RAW) участка тома, проанализировать результат на предмет того какие записи относятся к родному тому, попали ли они в "новую" MFT или нет.

спасибо.надеюсь что всё проще чем я думаю.
правильно я понял-первым делом в DMDE сделать MBR(GPT) off и перезагрузить комп(и не разрешать проинициализировать).?
и после этого идти смотреть в атрибуте STANDARD_INFORMATION дата и время?
мне надо обратно воткнуть в док 2й винчестер? и с ним проделать тоже(MBR(GPT) off и смотреть STANDARD_INFORMATION?
полное сканирование делать в DMDE обоих HDD?

и еще как избежать случайного Чекдиск(его можно где-то отключить?

9285 · 21.02.2019, 15:08

stenn
1. Предложение инициализации появляется когда заходишь в штатную оснастку управления дисками винды. Так что, если ты не будешь заходить туда, то предложения о таковом не должно быть.
2. Да, тебе надо будет подключить и второй диск - ведь как то же надо убедиться в том какие там значения в указанном атрибуте.
3. MBR off и полное сканирование делается только на проблемном диске.
4. В нормальных

версиях винды запуск чедиска можно было отключить используя команду chkntfs с соответствующими ключами. Наверное и в новоделах такое возможно, но я не проверял.
Да и речь идёт не столько о случайном запуске, от которого ещё можно успеть отказаться (кроме случая запуска в безопасном режиме) а о том что чекдиск может работать без явной видимости. Можно ли это как то отключить - не знаю. Как вариант - попробовать на время удалить или переименовать исполняемый файл. Но нельзя исключать что он восстановится защитой системы.
PS. Просьба не делать такие огромные цитирования (или хотя бы прячь под спойлер).

stenn · 21.02.2019, 15:26

СПОЙЛЕР »

Цитата (9285) »

stenn
1. Предложение инициализации появляется когда заходишь в штатную оснастку управления дисками винды. Так что, если ты не будешь заходить туда, то предложения о таковом не должно быть.
2. Да, тебе надо будет подключить и второй диск - ведь как то же надо убедиться в том какие там значения в указанном атрибуте.
3. MBR off и полное сканирование делается только на проблемном диске.
4. В нормальных

версиях винды запуск чедиска можно было отключить используя команду chkntfs с соответствующими ключами. Наверное и в новоделах такое возможно, но я не проверял.
Да и речь идёт не столько о случайном запуске, от которого ещё можно успеть отказаться (кроме случая запуска в безопасном режиме) а о том что чекдиск может работать без явной видимости. Можно ли это как то отключить - не знаю. Как вариант - попробовать на время удалить или переименовать исполняемый файл. Но нельзя исключать что он восстановится защитой системы.
PS. Просьба не делать такие огромные цитирования (или хотя бы прячь под спойлер).

соррию извиняюсь за большие цитаты. теперь буду прятать))
штатная оснастка управления дисками винды это как я понял DISCMGMT или в Computer Management?
мне лучше сначала сделать MBR off и полное сканирование 1го диска а потом подклучить 2й и смотреть дату и время обоих?
надо делать скрин?
ох уж этот чекдиск
кстати у меня установленна win7 как 2я ОС на всякий случай(правда работоспособность не проверял давно)
на время удалить или переименовать исполняемый файл-про это не понял.

9285 · 21.02.2019, 15:48

1. Про штатную правильно понял.
2. Как хочешь, но я бы для начала сравнил данные атрибута чтобы понять реальность версии замены записей. А потом уже и сканирование.
Кстати, по ходу сканирования делай промежуточные сохранения (в лог файл). Полезно на случай если вдруг будет какой то срыв, то можно будет продолжить с места последнего сохранения.
3. Можешь делать скрины, можешь делать дампы секторов - любая уточняющая информация лишней не бывает.
4. Запускаемый файл чекдиска chkdsk.exe - по логике, если его удалить, то он не сможет запуститься. Это просто мысль а не руководство к действию.

5. Кстати, если стоит 7-ка и тебе надо будет ею пользоваться то там тоже есть нюансы (возможные проблемы) связанные с тем же быстрым запуском. С ним же связаны и другие проблемы типа когда выключают комп, отключают внешний диск, идут с ним куда, записывают файлы, потом подключают опять к компу, запускают и ....записанных данных нет.
По хорошему (ну или ИМХО) его надо вообще отключить.

stenn · 21.02.2019, 16:45

СПОЙЛЕР »

Цитата (9285) »

1. Про штатную правильно понял.
2. Как хочешь, но я бы для начала сравнил данные атрибута чтобы понять реальность версии замены записей. А потом уже и сканирование.
Кстати, по ходу сканирования делай промежуточные сохранения (в лог файл). Полезно на случай если вдруг будет какой то срыв, то можно будет продолжить с места последнего сохранения.
3. Можешь делать скрины, можешь делать дампы секторов - любая уточняющая информация лишней не бывает.
4. Запускаемый файл чекдиска chkdsk.exe - по логике, если его удалить, то он не сможет запуститься. Это просто мысль а не руководство к действию.

5. Кстати, если стоит 7-ка и тебе надо будет ею пользоваться то там тоже есть нюансы (возможные проблемы) связанные с тем же быстрым запуском. С ним же связаны и другие проблемы типа когда выключают комп, отключают внешний диск, идут с ним куда, записывают файлы, потом подключают опять к компу, запускают и ....записанных данных нет.
По хорошему (ну или ИМХО) его надо вообще отключить.

а данные атрибута делать до выключения MBR off?
и их делать на обоих дисках?
или лучше всё сделать на 1м а потом втыкать 2й винчестер,т.к. 2й сейчас отключён и просто лежит на полке(не хочется лишних глюков)
ок скрины и дампы постараюсь делать регулярно
про chkdsk понял.лучше не буду его трогать.
а про вин7 это я на всякий случай упамянул(вдруг она лучше подходит для моей задачи)

Smirnoff · 21.02.2019, 17:10

Цитата (9285) »

По хорошему (ну или ИМХО) его надо вообще отключить.

Как минимум, "быстрый запуск" стОит отключить на время разборок (а то он и ещё чего может "подправить").
Но в целом... опасная такая фигня у M$ получилась. Если не отключать "быстрый запуск", то мне видится лишь один вариант хоть как-то подстраховаться: все/любые внешние накопители подключать только на запущенной системе. И отключать - тоже на запущенной системе (т.н. "безопасным выключением", Ага

). Причем между подключением и отключением категорически нельзя систему выключать (и лучше даже не перезагружать)...

stenn · 21.02.2019, 17:21

Цитата (Smirnoff) »

Как минимум, "быстрый запуск" стОит отключить на время разборок (а то он и ещё чего может "подправить").
Но в целом... опасная такая фигня у M$ получилась. Если не отключать "быстрый запуск", то мне видится лишь один вариант хоть как-то подстраховаться: все/любые внешние накопители подключать только на запущенной системе. И отключать - тоже на запущенной системе (т.н. "безопасным выключением", Ага

). Причем между подключением и отключением категорически нельзя систему выключать (и лучше даже не перезагружать)...

если честго не совсем понял что нужно отключить.вы про chkdsk?
и как отключать "быстрый запуск"?(если это надо вообще) или вы про MBR off?
спасибо. значит 2й хард втыкать только на время проверки при запущенной вин10 и вытыкать перед выключением или перезагрузкой,я правильно понял?

9285 · 21.02.2019, 18:00

Данные атрибута можно смотреть в любой момент.
Конечно же на двух - а как по другому можно сравнить?
Если же есть боязнь ещё какой то напасти, то тогда в первую очередь сделать MBRoff на проблемном диске, а потом всё остальное.
Кстати, судя по практике, указанный атрибут не меняется тем же чекдиском при каких либо исправлениях, в том числе и в случае если даже там какое то 00-вое значение. И это иногда помогает в понимании тех или иных моментов при расследовании ситуации. Например, понятно когда была сформирована MFT. В том числе поэтому, когда делаю патчи для MFT в "импланты" записей стараюсь вносить оригинальный временной штамп из выживших записей.

Цитата

а про вин7 это я на всякий случай упамянул(вдруг она лучше подходит для моей задачи)

Это хорошо, потому как к этому вопросу мы вернёмся чуть позже.
А в плане восстановления у 7-ки - точнее её чекдиска есть главный плюс - он не делает исправлений сам по себе.

Добавлено через 2 минуты

Smirnoff
А вот перезагружать систему как раз таки можно, потому как при ней происходит полноценное завершение работы системы (и последующий запуск).
Что касается опасности быстрого запуска, то я бы сказал что его вредное действие усиливается ранее упомянутым онлайновым чекдиском.

stenn · 21.02.2019, 18:47

СПОЙЛЕР »

Цитата (9285) »

Данные атрибута можно смотреть в любой момент.
Конечно же на двух - а как по другому можно сравнить?
Если же есть боязнь ещё какой то напасти, то тогда в первую очередь сделать MBRoff на проблемном диске, а потом всё остальное.
Кстати, судя по практике, указанный атрибут не меняется тем же чекдиском при каких либо исправлениях, в том числе и в случае если даже там какое то 00-вое значение. И это иногда помогает в понимании тех или иных моментов при расследовании ситуации. Например, понятно когда была сформирована MFT. В том числе поэтому, когда делаю патчи для MFT в "импланты" записей стараюсь вносить оригинальный временной штамп из выживших записей.

Это хорошо, потому как к этому вопросу мы вернёмся чуть позже.
А в плане восстановления у 7-ки - точнее её чекдиска есть главный плюс - он не делает исправлений сам по себе.

Добавлено через 2 минуты

Smirnoff
А вот перезагружать систему как раз таки можно, потому как при ней происходит полноценное завершение работы системы (и последующий запуск).
Что касается опасности быстрого запуска, то я бы сказал что его вредное действие усиливается ранее упомянутым онлайновым чекдиском.

MBRoff сделал.дамп сохранил
подскажите как правильно сделать данные атрибута?

9285 · 21.02.2019, 19:04

stenn
Как написано выше - открываешь том, который на твоём скриншоте виден с индикаторами BCF и смотри в нижнее правое окно - на значение выделенное зелёной рамкой на моём скриншоте.
Можешь сделать скриншот и прикрепить к сообщению (в расширенном режиме редактирования - скрепка).

9285 · 21.02.2019, 19:05

PS. После MBRoff том на экране Разделы будет уже не синий а жёлтый.

stenn · 21.02.2019, 19:32

СПОЙЛЕР »

Цитата (9285) »

stenn
Как написано выше - открываешь том, который на твоём скриншоте виден с индикаторами BCF и смотри в нижнее правое окно - на значение выделенное зелёной рамкой на моём скриншоте.
Можешь сделать скриншот и прикрепить к сообщению (в расширенном режиме редактирования - скрепка).

сделал обоих хардав. надеюсь правильно
жду дальнейший указаний

9285 · 21.02.2019, 19:50

stenn
Явно видно что всё идентично - то есть причина выявлена.
Сейчас не могу сразу сообразить что делать в этой ситуации, потому как не знаю в каком обьёме могла произойти перезапись MFT, которую (судя по всему) потом подрихтовал чекдиск.
Первое что приходит на ум - сравнивать MFT на предмет до какой записи они идентичны. Если идти по этому пути, то можно сделать это двумя способами.
1. На 3тб диске тоже исключить возможность записи и в ручном режиме сравнивать соответствующие записи.
2. Сдампить MFT обоих дисков и сравнить дампы в той же WinHex.
PS.В любом случае - надо сделать полный скан проблемного раздела и сравнить его данные с данными ранлиста в 0-вой записи.

stenn · 21.02.2019, 20:07

СПОЙЛЕР »

Цитата (9285) »

stenn
Явно видно что всё идентично - то есть причина выявлена.
Сейчас не могу сразу сообразить что делать в этой ситуации, потому как не знаю в каком обьёме могла произойти перезапись MFT, которую (судя по всему) потом подрихтовал чекдиск.
Первое что приходит на ум - сравнивать MFT на предмет до какой записи они идентичны. Если идти по этому пути, то можно сделать это двумя способами.
1. На 3тб диске тоже исключить возможность записи и в ручном режиме сравнивать соответствующие записи.
2. Сдампить MFT обоих дисков и сравнить дампы в той же WinHex.
PS.В любом случае - надо сделать полный скан проблемного раздела и сравнить его данные с данными ранлиста в 0-вой записи.

понял вас. спасибо
сделаю на 2м диске MBR off тоже
Сдампить MFT обоих дисков и сравнить дампы в той же WinHex-я не знаю как(ни разу не делал)
но WinHex есть в наличии(в сборках тотал командер)

9285 · 21.02.2019, 20:19

Про то как сдампить и сравнить напишу позже.
А пока можешь попробовать открыть том на проблемном диске. Затем в верхнем правом окне "зайди" во "Все найденные / виртуальная реконструкция" - на появившемся экране опций виртуальной реконструкции можешь пару раз нажать чекбокс "включая удалённые" (чтобы он был пустым - это уменьшит обьём выводимых файлов) и далее Ок. Виртуальная реконструкция ничего не изменяет а просто считывает данные MFT.
После реконструкции заходи в папку Root и смотри что там и сколько - там только данные другого диска или есть что то из твоего? Попутно обращай внимание на ID файлов (папок) - интересно какое будет максимальное значение для файлов которые относятся к другому диску.

Хинт. После виртуально реконструкции можно в меню Сервис выбрать "Поиск в найденном". По окончании поиска сделать сортировку по ID и посмотреть какое максимальное значение ID.

Добавлено через 1 час 9 минут

1. В DMDE открываешь том, заходишь в папку Metadata, выбираешь $MFT и в контекстном меню Восстановить.
Указываешь куда - если на том с NTFS то не в корневой каталог.
После восстановления можешь переименовать файл и снять с него атрибут скрытого и системного.
То же самое делаешь для другого тома.
2. В WinHex:
- открываешь оба этих файла
- для удобства для обоих файлов выбрать в меню Specialist - Interpret Image File As Disk
- затем выбрать расположение окон как горизонтальное
- в меню View - Synchronize & Compare

А далее смотришь где разница. Смотри номера секторов и учитывай что типичная запись занимает 2 сектора. То есть, чтобы определить номер записи достаточно поделить номер сектора на 2.

Конечно же, будет много мелких отличий - интересуют глобальные.

stenn · 22.02.2019, 00:56

СПОЙЛЕР »

Цитата (9285) »

Про то как сдампить и сравнить напишу позже.
А пока можешь попробовать открыть том на проблемном диске. Затем в верхнем правом окне "зайди" во "Все найденные / виртуальная реконструкция" - на появившемся экране опций виртуальной реконструкции можешь пару раз нажать чекбокс "включая удалённые" (чтобы он был пустым - это уменьшит обьём выводимых файлов) и далее Ок. Виртуальная реконструкция ничего не изменяет а просто считывает данные MFT.
После реконструкции заходи в папку Root и смотри что там и сколько - там только данные другого диска или есть что то из твоего? Попутно обращай внимание на ID файлов (папок) - интересно какое будет максимальное значение для файлов которые относятся к другому диску.

Хинт. После виртуально реконструкции можно в меню Сервис выбрать "Поиск в найденном". По окончании поиска сделать сортировку по ID и посмотреть какое максимальное значение ID.

Добавлено через 1 час 9 минут

1. В DMDE открываешь том, заходишь в папку Metadata, выбираешь $MFT и в контекстном меню Восстановить.
Указываешь куда - если на том с NTFS то не в корневой каталог.
После восстановления можешь переименовать файл и снять с него атрибут скрытого и системного.
То же самое делаешь для другого тома.
2. В WinHex:
- открываешь оба этих файла
- для удобства для обоих файлов выбрать в меню Specialist - Interpret Image File As Disk
- затем выбрать расположение окон как горизонтальное
- в меню View - Synchronize & Compare

А далее смотришь где разница. Смотри номера секторов и учитывай что типичная запись занимает 2 сектора. То есть, чтобы определить номер записи достаточно поделить номер сектора на 2.

Конечно же, будет много мелких отличий - интересуют глобальные.

сделал Виртуальную реконструкцию - прикладываю пару скринов
Сделал MFT для обоих дисков,потом в WinHex все как вы сказали - прикладываю скрин.
уточните плиз про глобальные отличия- не очень понял куда именно смотреть
и может еще какие скрины сделать?

9285 · 22.02.2019, 01:16

По этим скриншотам сложно что то определить.
Единственное что можно увидеть - то, что есть запись 89334.
И тут вопрос в том к чему она относится - то есть есть ли такая на 3ТБ диске или она ещё от 8ТБ - при некоторых обстоятельств нельзя исключить что старые записи "соединились с новыми".

Не знаю как бы попроще обьяснить слишком хитро вывернутую вещь, но тут есть очень много вариантов развития событий, которые зависят от того где лежала "старая" MFT - если точнее то была ли фрагментированна и какие были фрагменты - то же самое относится и к новой. То есть, есть вариант как частичной, так и полной перезаписи MFT.
Я бы мог предложить тебе сбросить мне обе MFT (через приват), чтобы я нашёл границу перезаписи, но даже если бы ты на это согласился - я то не в курсе всей структуры папок чтобы понять где чьё.

Что касается глобальных отличий, то подразумеваются не отличия в байтах, которые ты показал а в том что полностью отличается запись - то есть можно понять что запись от прежней MFT.

В любом случае, запускай Полное сканирование и потом выложи архив с логом скана (в нём нет ничего конфиденциального) - попробую определить что выжило. Да и сам открой том и посмотри какие данные виды из старых.
Причём учти то, что они не будут лежать "на поверхности" - часть может быть в папках типа $Fxxxx, а часть может даже затесаться среди новых папок (случай редкий, но встречается).
И еще нужно будет взлянуть на скриншот или дамп, про который напишу позже.

9285 · 22.02.2019, 01:37

Не знаю, получится ли описать как делать дамп, поэтому пока обойдёмся скриншотом.
Открываешь проблемный том, переходишь в правое нижнее окно и меняешь Режим отображения на Запись MFT - можно просто нажать Alt+F5. Запись будет выглядеть чуть по другому чем была до этого. Выделяешь атрибут $Data и нажимаешь пробел - должен появиться список типа как на скриншоте. Если он длинный (после него будет следующий атрибут $Bitmap), растяни окно чтобы по возможности влезло всё и заскриншоть.

stenn · 22.02.2019, 01:41

СПОЙЛЕР »

Цитата (9285) »

По этим скриншотам сложно что то определить.
Единственное что можно увидеть - то, что есть запись 89334.
И тут вопрос в том к чему она относится - то есть есть ли такая на 3ТБ диске или она ещё от 8ТБ - при некоторых обстоятельств нельзя исключить что старые записи "соединились с новыми".

Не знаю как бы попроще обьяснить слишком хитро вывернутую вещь, но тут есть очень много вариантов развития событий, которые зависят от того где лежала "старая" MFT - если точнее то была ли фрагментированна и какие были фрагменты - то же самое относится и к новой. То есть, есть вариант как частичной, так и полной перезаписи MFT.
Я бы мог предложить тебе сбросить мне обе MFT (через приват), чтобы я нашёл границу перезаписи, но даже если бы ты на это согласился - я то не в курсе всей структуры папок чтобы понять где чьё.

Что касается глобальных отличий, то подразумеваются не отличия в байтах, которые ты показал а в том что полностью отличается запись - то есть можно понять что запись от прежней MFT.

В любом случае, запускай Полное сканирование и потом выложи архив с логом скана (в нём нет ничего конфиденциального) - попробую определить что выжило. Да и сам открой том и посмотри какие данные виды из старых.
Причём учти то, что они не будут лежать "на поверхности" - часть может быть в папках типа $Fxxxx, а часть может даже затесаться среди новых папок (случай редкий, но встречается).
И еще нужно будет взлянуть на скриншот или дамп, про который напишу позже.

ок.спасибо. я то вообще в MFT ничего не понимаю.
по поводу старых и новых файлов,так я регулярно скидываю на 2й диск(есть еще один для первого диска,т.к. первый 8тб.но из-за случившегося до него пока не добрался). так что на втором почти всё что есть на 1м(точнее половина).ну и на первом то что не успел скопировать на 2й.(надеюсь не запутанно объяснил))
Сбросить обе MFT (через приват)- это отправить сообщение по электронной почте?
Полное сканирование только 1го диска?
том открыть и посмотреть данные-после полного скана?

stenn · 22.02.2019, 01:47

Цитата (9285) »

Не знаю, получится ли описать как делать дамп, поэтому пока обойдёмся скриншотом.
Открываешь проблемный том, переходишь в правое нижнее окно и меняешь Режим отображения на Запись MFT - можно просто нажать Alt+F5. Запись будет выглядеть чуть по другому чем была до этого. Выделяешь атрибут $Data и нажимаешь пробел - должен появиться список типа как на скриншоте. Если он длинный (после него будет следующий атрибут $Bitmap), растяни окно чтобы по возможности влезло всё и заскриншоть.

сделалюнадесь правильно

9285 · 22.02.2019, 01:58

Всё нормально. Видно что MFT одним фрагментом - теперь осталось дождаться результата полного сканирования. Так что запускай полное сканирование - конечно же только проблемного диска. Так как диск большой, скан может длиться долго - так что делай промежуточные сохранения лога.

СПОЙЛЕР »

MFT содержит имена файлов, которые могут содержать какой то конфидишен. Но главное - в MFT есть такое понятие как резидентный файл. Это очень небольшие файлы - нередко в таких хранят пароли и т.п.
Поэтому выкладывать такое в публичный доступ не стоит. Как и отсылать мне, если есть хоть какой то элемент сомнения в моей честности

.
Если же доверие есть или нет ничего критичного - обычно дамп-файл запковывается в архив WinRAR с нормальным паролем, выкладывается на какой то обменник с возможностью приватной выкладки и паролированием скачки,а также наличием возможности удаления скачки при вводе пароля (к числу таких относится rgho.st) - потом мне в ЛС отсылается ссылка и пароли, я скачиваю и после удаляю файлы с обменника и работаю с ними. Как то так.

PS. Можешь где то через полчаса после начала сканирования сделать сохранение лога, запаковать и прикрепить (если получится) к сообщению или выложи на обменник) а здесь дай ссылку. Может можно будет сделать какие то предварительные выводы.

stenn · 22.02.2019, 02:04

Цитата (9285) »

Всё нормально. Видно что MFT одним фрагментом - теперь осталось дождаться результата полного сканирования. Так что запускай полное сканирование - конечно же только проблемного диска. Так как диск большой, скан может длиться долго - так что делай промежуточные сохранения лога.

СПОЙЛЕР »

MFT содержит имена файлов, которые могут содержать какой то конфидишен. Но главное - в MFT есть такое понятие как резидентный файл. Это очень небольшие файлы - нередко в таких хранят пароли и т.п.
Поэтому выкладывать такое в публичный доступ не стоит. Как и отсылать мне, если есть хоть какой то элемент сомнения в моей честности

.
Если же доверие есть или нет ничего критичного - обычно дамп-файл запковывается в архив WinRAR с нормальным паролем, выкладывается на какой то обменник с возможностью приватной выкладки и паролированием скачки,а также наличием возможности удаления скачки при вводе пароля (к числу таких относится rgho.st) - потом мне в ЛС отсылается ссылка и пароли, я скачиваю и после удаляю файлы с обменника и работаю с ними. Как то так.

PS. Можешь где то через полчаса после начала сканирования сделать сохранение лога, запаковать и прикрепить (если получится) к сообщению или выложи на обменник) а здесь дай ссылку. Может можно будет сделать какие то предварительные выводы.

одним фрагментом-это ведь хорошо?
ок.завтра начну полный скан
а как делать промежуточное сохранения лога?
и вы писали,Сбросить обе MFT (через приват)- это отправить сообщение по электронной почте?

9285 · 22.02.2019, 02:18

Как сбросить дампы MFT описано под спойлером.
Файлы то большие и даже в запакованном виде будут немаленькие.
Как сохранять - нажимать кнопку Сохранить в окне поиска.
Хотя и читать справку программы тоже полезно (она там неплохая).

Что касается хорошо что один фрагмент или нет - тут зависит от того что было раньше и от того сколько дампится (я ещё не интересовался этим моментом).
Поэтому тут есть несколько вариантов.
1. Старая MFT была одним фрагментом или первый фрагмент был соизмерим с тем что сейчас в ранлисте.
1.1. Если сдампилось небольшое количество новых записей, то расположенные далее старые выжили и (возможно) подхватились новой записью - вопрос того что натворил в таком случае чекдиск остаётся в воздухе.
1.2. Если сдампилась вся MFT, то соответственно более 120 тысяч старых записей канули в нирвану.
2. Старая запись была более одного фрагмента.
2.1. Для первого фрагмента актуальны варианты 1.1. и 1.2.
Остальные фрагменты могли и выжить а могли и перезаписаться чем то ещё из сдампившегося и даже тем же логом чекдиска.

stenn · 22.02.2019, 02:34

СПОЙЛЕР »

Цитата (9285) »

Как сбросить дампы MFT описано под спойлером.
Файлы то большие и даже в запакованном виде будут немаленькие.
Как сохранять - нажимать кнопку Сохранить в окне поиска.
Хотя и читать справку программы тоже полезно (она там неплохая).

Что касается хорошо что один фрагмент или нет - тут зависит от того что было раньше и от того сколько дампится (я ещё не интересовался этим моментом).
Поэтому тут есть несколько вариантов.
1. Старая MFT была одним фрагментом или первый фрагмент был соизмерим с тем что сейчас в ранлисте.
1.1. Если сдампилось небольшое количество новых записей, то расположенные далее старые выжили и (возможно) подхватились новой записью - вопрос того что натворил в таком случае чекдиск остаётся в воздухе.
1.2. Если сдампилась вся MFT, то соответственно более 120 тысяч старых записей канули в нирвану.
2. Старая запись была более одного фрагмента.
2.1. Для первого фрагмента актуальны варианты 1.1. и 1.2.
Остальные фрагменты могли и выжить а могли и перезаписаться чем то ещё из сдампившегося и даже тем же логом чекдиска.

извиняюсь,не заметил спойлер
ок.спасибо. пришлю вам MFT

9285 · 22.02.2019, 02:44

Ещё пару моментов.
1. Хотелось бы определиться с содержимым папки Found.000
Там "файлы" с 3ТБ диск или как? "Файлы" заключил в кавычки потому как вряд ли там сами файлы - скорей их имена, но содержимое какое то другое.
И сколько их там?
Это можно определить следующим путём.
Открыть том в DMDE, выделить папку, в контекстном меню выбрать "Восстановить файлы" и в открывшемся окне нажать пимпу Обьём.
Если там только "файлы" с 3ТБ диска, то это позволит хотя бы примерно понять сколько записей перезаписалось.

2. У меня нет под рукой 10-ок, поэтому сам погугли "отключить быстрый запуск в Windows 10". Насколько помню, где то в параметрах энергосбережения.
Это если не хочешь повторения подобного и конфликтных ситуаций в случае если 7 как использует свой загрузчик.
PS. На сегодня хватит.

9285 · 22.02.2019, 13:03

Провёл небольшой эксперимент с 10-кой в виртуалке.
Выключил систему а потом поменял местами два диска с данными.
После запуска не произошло таких серьёзных накладок как у тебя (наверняка это завист иот конкретной ситуации), но всё равно случилась "накладка" - на один из винтов записался идентификатор другого, что привело к конфлкту подписей и один из дисков был переведён ф оффлайн.
вот такая вот "быстрота" в исполнении мелкомягких.

stenn · 22.02.2019, 16:13

СПОЙЛЕР »

Цитата (9285) »

Ещё пару моментов.
1. Хотелось бы определиться с содержимым папки Found.000
Там "файлы" с 3ТБ диск или как? "Файлы" заключил в кавычки потому как вряд ли там сами файлы - скорей их имена, но содержимое какое то другое.
И сколько их там?
Это можно определить следующим путём.
Открыть том в DMDE, выделить папку, в контекстном меню выбрать "Восстановить файлы" и в открывшемся окне нажать пимпу Обьём.
Если там только "файлы" с 3ТБ диска, то это позволит хотя бы примерно понять сколько записей перезаписалось.

2. У меня нет под рукой 10-ок, поэтому сам погугли "отключить быстрый запуск в Windows 10". Насколько помню, где то в параметрах энергосбережения.
Это если не хочешь повторения подобного и конфликтных ситуаций в случае если 7 как использует свой загрузчик.
PS. На сегодня хватит.

в папке Found.000 есть и музыка и картинки итд но они в помещены в папки тиа dir.0000002.chk. но это я мог видеть и раньше через тотал коммандер(до выключения МБР)
о папке Found.000 написать в моей теме?

stenn · 22.02.2019, 16:16

Цитата (9285) »

Провёл небольшой эксперимент с 10-кой в виртуалке.
Выключил систему а потом поменял местами два диска с данными.
После запуска не произошло таких серьёзных накладок как у тебя (наверняка это завист иот конкретной ситуации), но всё равно случилась "накладка" - на один из винтов записался идентификатор другого, что привело к конфлкту подписей и один из дисков был переведён ф оффлайн.
вот такая вот "быстрота" в исполнении мелкомягких.

ага.спасибо
ну может не только вин10 виновата,а еще тотал коммандер,bcompare,soulseek или еще что.

9285 · 22.02.2019, 16:43

Цитата

в папке Found.000 есть и музыка и картинки итд но они в помещены в папки тиа dir.0000002.chk. но это я мог видеть и раньше через тотал коммандер(до выключения МБР)

MBR выключалось не для того чтобы ты увидел что то новое а чтобы не дать затереться тому, что ещё может живое.
Ну а то, что ты видишь - это результат работы чекдиска. Обьяснить все превращения и нюансы слишком сложно, но постараюсь хотя бы вкратце все таки написать (только потом). Сейчас же просто прийми это как есть.
Тут главное было в том с 8-ми ТБ диска там файлы и папки или с 3Тб.
Ну и ещё нужно ждать результат полного сканирования.
Судя по дампу MFT 8ТБ диска там должны быть ещё записи от прежней MFT - вот если таковые есть, то появятся сейчас отсутствующие файлы.

Добавлено через 1 минуту

Цитата

ну может не только вин10 виновата,а еще тотал коммандер,bcompare,soulseek или еще что.

Ну уж точно что не тотал. А в остальном - напоминает анекдот про печеньку.

stenn · 22.02.2019, 22:18

СПОЙЛЕР »

Цитата (9285) »

MBR выключалось не для того чтобы ты увидел что то новое а чтобы не дать затереться тому, что ещё может живое.
Ну а то, что ты видишь - это результат работы чекдиска. Обьяснить все превращения и нюансы слишком сложно, но постараюсь хотя бы вкратце все таки написать (только потом). Сейчас же просто прийми это как есть.
Тут главное было в том с 8-ми ТБ диска там файлы и папки или с 3Тб.
Ну и ещё нужно ждать результат полного сканирования.
Судя по дампу MFT 8ТБ диска там должны быть ещё записи от прежней MFT - вот если таковые есть, то появятся сейчас отсутствующие файлы.

Добавлено через 1 минуту

Ну уж точно что не тотал. А в остальном - напоминает анекдот про печеньку.

да,про MBR я так и понял. просто сказал,что то же видел и раньше(решил,что информация может быть полезной).
про чекдиск почитал.понял что он прячет файлы в папку Found.000
Объяснить нюансы думаю не стоит.да и не факт что всё пойму))
ок.значит ждём результатов полного сканирования.
про тотал итд это мои предположения))

9285 · 22.02.2019, 22:36

Сбрось пока промежуточный лог.
Я понимаю что ты видел, но видел лишь часть - тем более что в другом месте ты писал что видел файлы другого диска, поэтому то и решил уточнить.

PS. К вопросу о "виновнике" - ещё раз попробовал поменять диски после выключения. В результате, опять конфликт подписей, но после устранения выяснилось что на втором диске в корне видна структура папок другого.
Причина в кривых индексах корневого каталога и легко исправилась.
В экспериментальной системе не было ничего из перечисленного тобой.

stenn · 22.02.2019, 23:08

СПОЙЛЕР »

Цитата (9285) »

Сбрось пока промежуточный лог.
Я понимаю что ты видел, но видел лишь часть - тем более что в другом месте ты писал что видел файлы другого диска, поэтому то и решил уточнить.

PS. К вопросу о "виновнике" - ещё раз попробовал поменять диски после выключения. В результате, опять конфликт подписей, но после устранения выяснилось что на втором диске в корне видна структура папок другого.
Причина в кривых индексах корневого каталога и легко исправилась.
В экспериментальной системе не было ничего из перечисленного тобой.

понял.спасибо
послал промежуточный лог в привате

9285 · 23.02.2019, 00:35

В логах сканирования нет ничего приватного, поэтому можно не прятать ссылки в привате.
На данном этапе найден один большой фрагмент из 187 тысяч записей.
Учитывая что в "наложенной" записи число записей примерно 110 тысяч, а расположение MFT в типичном месте, то наверняка 77 тысяч это от прежней MFT. Да и эти 110 тоже похоже от неё же, но за счёт "кастрациии" и исправлений чекдиска она просто перетасовалась.
Кстати, можно попробовать поискать лог чекдиска и посмотреть что он там "начинил".

stenn · 23.02.2019, 01:13

Цитата (9285) »

В логах сканирования нет ничего приватного, поэтому можно не прятать ссылки в привате.
На данном этапе найден один большой фрагмент из 187 тысяч записей.
Учитывая что в "наложенной" записи число записей примерно 110 тысяч, а расположение MFT в типичном месте, то наверняка 77 тысяч это от прежней MFT. Да и эти 110 тоже похоже от неё же, но за счёт "кастрациии" и исправлений чекдиска она просто перетасовалась.
Кстати, можно попробовать поискать лог чекдиска и посмотреть что он там "начинил".

ок.спасибо. думал логи лучше в приват.
так а все эти файлы можно будет восстановить как раньше(со структурой файлов и папок)?
лог чекдиска могу поискать.вы скажите где.сам я не знаю

9285 · 23.02.2019, 01:20

Приват существует для чего то конфиденциального.
И тема предполагает что и другие участники могут что то подсказать (помочь) - а как же они это сделают если не знают что у тебя?

Всё таки прийдётся тебе понять как устроена иерархия папок.

Потому что только тогда будет понятно что ожидать и что сейчас в фаунд.000
Лог чекдиска можно искать в журналах винды, а ещё может быть внутри скрытой папки System Volume Information.

stenn · 23.02.2019, 01:32

Цитата (9285) »

Приват существует для чего то конфиденциального.
И тема предполагает что и другие участники могут что то подсказать (помочь) - а как же они это сделают если не знают что у тебя?

Всё таки прийдётся тебе понять как устроена иерархия папок.

Потому что только тогда будет понятно что ожидать и что сейчас в фаунд.000
Лог чекдиска можно искать в журналах винды, а ещё может быть внутри скрытой папки System Volume Information.

про приват понял.извиняюсь
лог чекдиска попробую поискать
про иерархию папок я не понял что вы имеете ввиду. точнее я не знаю как устроена иерархия папок и чего ожидать я представляю смутно

9285 · 23.02.2019, 01:56

Ну вот смотри - очень упрощенная схема.
MFT состояла из 70-ти записей (в твоём случае скорей всего из тех самых 187 тысяч). И это число записей было прописано в 0-вой записи.
Наложившаяся запись другого диска имела сведения о том, что число записей 45 (в твоём случае - 110 тысяч).

Даже учитывая что за границей 45-ти записей есть ещё - никто об этом не знает и оперирование данными идёт в пределах известного числа записей.
При этом в у каждого из обьектов есть свой номер соответствующей записи, а у папок нижнего уровня и у файлов есть так называемый "родитель".
На схемке Корневой каталог (Root) в котором есть две папки MP3 и Films.
В папке MP3 есть подпапка Rock и файл popsa.mp3
А в папке Rock есть файл Pink Floyd.mp3
Номера фалов и папок указаны на схемке.

Вот теперь представь что должен сделать в этом случае чекдиск при том что он оперирует с 45-ю записями?
Папка Films останется на месте в корневом каталоге, т.к. о ней и о её родителе есть данные.
Об mp3 данные есть, но нет данных об их родителях - такие обьекты называются "сиротами".
Вот Как раз сироты и помешаются в папки без их названий. ТО есть в одну папку собираются все обьекты у которых родитель один и тот же.
Соответственно, если в твоём случае данные о родителя были за пределами 110 тысяч записей, то их сироты и поместились во все эти папки. И "провернуть" это фарш назад уже нельзя.
Понятно?

Дополнение.
И ещё что полезно для понимания.
В такой ситуации чекдиску требуется, как минимум, создать папку Found.00. В которой потом, при необходимости будут записываться папки с малозначащими именами.
И для каждой из этих папок нужна запись в MFT. Если в ней есть незанятые записи - будут использованы они (*) А если все заняты? Тогда MFT немного расширится - например за пределы 48-ой записи и если там лежат записи "старой" MFT то они будут перезаписаны - то есть будут дополнительные потери. В твоём случае это не актуально, хотя может быть актуально другое, но сейчас об этом писать не буду.

9285 · 23.02.2019, 02:08

PS. Если по каким то причинам надо прервать сканирование, то нужно сохранить лог-файл. Когда появится возможность сканировать запуск:
- открываешь тот же диск (том и т.п.)
- запускаешь Полное сканирование и далее выбираешь Загрузить и указываешь ранее сохранённый лог
- сканирование продолжится с места сохранения
PPS. А вот теперь представь что не было бы MBR off или удаления буквы.
Ты сканируешь а система что то меняет на диске. Понятно что скан неактуален. В том числе поэтому то и надо делать указанные отключения.

stenn · 23.02.2019, 02:15

СПОЙЛЕР »

Цитата (9285) »

Ну вот смотри - очень упрощенная схема.
MFT состояла из 70-ти записей (в твоём случае скорей всего из тех самых 187 тысяч). И это число записей было прописано в 0-вой записи.
Наложившаяся запись другого диска имела сведения о том, что число записей 45 (в твоём случае - 110 тысяч).

Даже учитывая что за границей 45-ти записей есть ещё - никто об этом не знает и оперирование данными идёт в пределах известного числа записей.
При этом в у каждого из обьектов есть свой номер соответствующей записи, а у папок нижнего уровня и у файлов есть так называемый "родитель".
На схемке Корневой каталог (Root) в котором есть две папки MP3 и Films.
В папке MP3 есть подпапка Rock и файл popsa.mp3
А в папке Rock есть файл Pink Floyd.mp3
Номера фалов и папок указаны на схемке.

Вот теперь представь что должен сделать в этом случае чекдиск при том что он оперирует с 45-ю записями?
Папка Films останется на месте в корневом каталоге, т.к. о ней и о её родителе есть данные.
Об mp3 данные есть, но нет данных об их родителях - такие обьекты называются "сиротами".
Вот Как раз сироты и помешаются в папки без их названий. ТО есть в одну папку собираются все обьекты у которых родитель один и тот же.
Соответственно, если в твоём случае данные о родителя были за пределами 110 тысяч записей, то их сироты и поместились во все эти папки. И "провернуть" это фарш назад уже нельзя.
Понятно?

ну примерно понял. если окажется фарш то это значит придется вытаскивать файлы в р-студио,где все файлы свалены в папки по расширению итд? и мне надеяться на то,чтобы данные о родителя НЕбыли за пределами 110 тысяч записей
надеюсь примерно правильно понял

Добавлено через 13 минут

Цитата (9285) »

PS. Если по каким то причинам надо прервать сканирование, то нужно сохранить лог-файл. Когда появится возможность сканировать запуск:
- открываешь тот же диск (том и т.п.)
- запускаешь Полное сканирование и далее выбираешь Загрузить и указываешь ранее сохранённый лог
- сканирование продолжится с места сохранения
PPS. А вот теперь представь что не было бы MBR off или удаления буквы.
Ты сканируешь а система что то меняет на диске. Понятно что скан неактуален. В том числе поэтому то и надо делать указанные отключения.

понял спасибо. так и сделаю
да,без MBR off сканировать до конца или всё с начала))

9285 · 23.02.2019, 02:38

Цитата

и мне надеяться на то,чтобы данные о родителя НЕбыли за пределами 110 тысяч записей

А вот на это не стоит надеятся. Если бы родители были в пределах 110 тысяч, то у тебя бы не было бы такой кучи папок в фаунд.00

Кстати, предугадывая твой возможный вопрос.
В NTFS запись ведётся в первую свободную запись с наименьщим числом. Поэтому и бывает что файл записанный позже по времени может иметь меньший номер записи (если он записался на место чуть раньше удалённой записи.

Цитата

то это значит придется вытаскивать файлы в р-студио

В принципе, почти всё это у тебя уже есть в DMDE.
Хотя, если она не найдёт чего то пропавшего то конечно же, надо пробовать и другое ПО. Как и просто пробовать другое.

СПОЙЛЕР »

Р-студио (в другом месте) тебе посоветовал "специализд" у которого несколько шаблонных ответов - в числе коих и "открывание" в DMDE простой записи в таблице разделов. Ну что поделать если он такой тупой и не хочет обучаться. Зато у него куча "лучших" ответов (по большой части ниочёмных) + огромный рейтинг а с недавнего времени ещё и стал модератором. И он не гнушается удалять неудобные сообщения, в которых я пишу о его бестолковых, опасных а то и уничтожающих советах. Потому то и пишу таким как ты чтобы убегали побыстрей с таких "форумов".

Меня бывает обвиняют в любви (или пиаре) DMDE - на самом деле просто эта программа позволяет получать много данных, которые и позволяют проводить анализ ситуации, а не тупо восстанавливать что там тебе выдадут.

Причём позволяет делать это в Free-версии.

stenn · 23.02.2019, 19:21

СПОЙЛЕР »

Цитата (9285) »

А вот на это не стоит надеятся. Если бы родители были в пределах 110 тысяч, то у тебя бы не было бы такой кучи папок в фаунд.00

Кстати, предугадывая твой возможный вопрос.
В NTFS запись ведётся в первую свободную запись с наименьщим числом. Поэтому и бывает что файл записанный позже по времени может иметь меньший номер записи (если он записался на место чуть раньше удалённой записи.

В принципе, почти всё это у тебя уже есть в DMDE.
Хотя, если она не найдёт чего то пропавшего то конечно же, надо пробовать и другое ПО. Как и просто пробовать другое.

СПОЙЛЕР »

Р-студио (в другом месте) тебе посоветовал "специализд" у которого несколько шаблонных ответов - в числе коих и "открывание" в DMDE простой записи в таблице разделов. Ну что поделать если он такой тупой и не хочет обучаться. Зато у него куча "лучших" ответов (по большой части ниочёмных) + огромный рейтинг а с недавнего времени ещё и стал модератором. И он не гнушается удалять неудобные сообщения, в которых я пишу о его бестолковых, опасных а то и уничтожающих советах. Потому то и пишу таким как ты чтобы убегали побыстрей с таких "форумов".

Меня бывает обвиняют в любви (или пиаре) DMDE - на самом деле просто эта программа позволяет получать много данных, которые и позволяют проводить анализ ситуации, а не тупо восстанавливать что там тебе выдадут.

Причём позволяет делать это в Free-версии.

понял вас.спасибо.
да,дмде хорошая))

вот выкладываю лог фуллскана и скопировал лог чекдиск в текст(не получилось сохранить.event viewer зависал и закрывался) + сделал скрин фулскана на 99%(на всякий)

http://rgho.st/72HqRQy5Z

9285 · 23.02.2019, 19:48

Ничего нового в результатах скана нет.
Что касается лога чекдиска, то в присланном нет ошибок.
Зато ты можешь найти в ранее указанной папке, в подпапке Chkdsk - там лог от 18 февраля и размер его очень приличный.

И да, не заметил твоего отчёта что видишь в найденном томе? Появилось что то ещё?

stenn · 23.02.2019, 20:14

Цитата (9285) »

Ничего нового в результатах скана нет.
Что касается лога чекдиска, то в присланном нет ошибок.
Зато ты можешь найти в ранее указанной папке, в подпапке Chkdsk - там лог от 18 февраля и размер его очень приличный.

И да, не заметил твоего отчёта что видишь в найденном томе? Появилось что то ещё?

а какой вывод в итоге?
зашёл в том после скана.вроде больше файлов и папок прибавилось. и в папке фаунд000 вроде тоже(по субъективному мнению).
могу сделать скан тома(все найденные)
про найти в ранее указанной папке, в подпапке Chkdsk-я не понял о чём речь

9285 · 23.02.2019, 20:35

Из того, что я видел - вероятней всего, поверх записались только начальные записи.
И это привело к тому, что MFT как бы "кастрировалась" - хотя конечно же надо убедиться что записи далее 110 тысяч принадлежат родной MFT. Если бы не отработал чекдиск то хватило бы корректировки данных о размере MFT и всё бы осталось на месте.
Сейчас я не могу что то сказать точно, но скорей всего вариант корректировки в силе - вопрос только в том, что будет после него. По логике - добавятся новые папки и файлы, в том числе в Found.00
В принципе, учитывая MBRoff, можно сохранить текущую 0-вую запись а потом скорректировать и посмотреть что будет. В случае чего не так - вернуть назад. Хотя, даже если визуально всё так, не факт что чекдиск "отшлифует" нормально.

Так что тут уж сам определяйся. Если это бэкап, то должны же быть оригиналы. Если не всё есть в оригиналах, то восстанавливай чего нет.

Я думаю что здесь самое главное что определена причина проблемы, и это позволяет избежать подобного в дальнейшем.

Речь о папке System Volume Information\Chkdsk
Если это бэкап и есть оригиналы, то почему бы не попробоват

stenn · 23.02.2019, 22:28

СПОЙЛЕР »

Цитата (9285) »

Из того, что я видел - вероятней всего, поверх записались только начальные записи.
И это привело к тому, что MFT как бы "кастрировалась" - хотя конечно же надо убедиться что записи далее 110 тысяч принадлежат родной MFT. Если бы не отработал чекдиск то хватило бы корректировки данных о размере MFT и всё бы осталось на месте.
Сейчас я не могу что то сказать точно, но скорей всего вариант корректировки в силе - вопрос только в том, что будет после него. По логике - добавятся новые папки и файлы, в том числе в Found.00
В принципе, учитывая MBRoff, можно сохранить текущую 0-вую запись а потом скорректировать и посмотреть что будет. В случае чего не так - вернуть назад. Хотя, даже если визуально всё так, не факт что чекдиск "отшлифует" нормально.

Так что тут уж сам определяйся. Если это бэкап, то должны же быть оригиналы. Если не всё есть в оригиналах, то восстанавливай чего нет.

Я думаю что здесь самое главное что определена причина проблемы, и это позволяет избежать подобного в дальнейшем.

Речь о папке System Volume Information\Chkdsk
Если это бэкап и есть оригиналы, то почему бы не попробоват

выкладываю лог чекдиска про который вы говорили
http://rgho.st/6tzpxVWM7

дело в том что проблемный диск(Wd80puzx) это не бэк ап,это оригинал с которого я делал бекап на 2й(Wd30eurs). и на нём много новых файлов за год примерно. хотелось бы их восстановить,если это возможно

а как убедиться что записи далее 110 тысяч принадлежат родной MFT?- каке мои дальнейшие действия?

если честно то причину проблемы я до конца не понял. и соответственно как предотвратить тоже для меня заагадка. разве можно отключить чекдиск или вы про другое?

9285 · 23.02.2019, 23:08

В результатах сканирования открывай том а далее можно воспользоваться Поиском в найденном и сортировкой найденного по ID. И там уже смотришь что в номерах ID c номерами 18х 000 - если есть что из нужного - значит твоё. При просмотре руководствоваться значением тех или иных обозначений - https://dmde.ru/manual/filepanel.html

Причина в быстром запуске 10-ке

stenn · 23.02.2019, 23:33

Цитата (9285) »

В результатах сканирования открывай том а далее можно воспользоваться Поиском в найденном и сортировкой найденного по ID. И там уже смотришь что в номерах ID c номерами 18х 000 - если есть что из нужного - значит твоё. При просмотре руководствоваться значением тех или иных обозначений - https://dmde.ru/manual/filepanel.html

Причина в быстром запуске 10-ке

ок. если 18х 000 это в 1й графе 18 а во 2й 000, то смотрю это сейчас. там много всего и всё в папке фаунд000.
это можно восстановить? и как лучше всего?

ясно. значит проблема быстром запуске 10ки. я думал вина в чекдиск
а быстрый запуск можно замедлить или отключить итд?

9285 · 23.02.2019, 23:39

Нет, 18х 000 означает номер сто восемьдесят (сколько то) тысяч. Когда писал ответ не помнил точную цифру после 8-ки.
Надо смотреть значение до скобки - номер в скобке означает сколько раз перезаписывалась запись.
Быстрый запуск можно отключить. Если нет, то хотя бы извлекать подключаемые носители до Завершения работы.

Добавлено через 23 минуты

Если хочется прикинуть какая будет структура диска при "добавления" старых записей, можно воспользоваться возможностями виртуальных машин - только я что то не припомню такие, которые поддерживают такие обьёмы дисков. Возможно можно собрать массив на динамических дисках, но я ещё такого не пробовал.
Как вариант - могу обьяснить как сделать дамп этих записей, вышлешь его мне и я попробую собрать JBOD в DMDE.

stenn · 24.02.2019, 00:48

Цитата (9285) »

Нет, 18х 000 означает номер сто восемьдесят (сколько то) тысяч. Когда писал ответ не помнил точную цифру после 8-ки.
Надо смотреть значение до скобки - номер в скобке означает сколько раз перезаписывалась запись.
Быстрый запуск можно отключить. Если нет, то хотя бы извлекать подключаемые носители до Завершения работы.

Добавлено через 23 минуты

Если хочется прикинуть какая будет структура диска при "добавления" старых записей, можно воспользоваться возможностями виртуальных машин - только я что то не припомню такие, которые поддерживают такие обьёмы дисков. Возможно можно собрать массив на динамических дисках, но я ещё такого не пробовал.
Как вариант - могу обьяснить как сделать дамп этих записей, вышлешь его мне и я попробую собрать JBOD в DMDE.

не совсем понял про какие скобки вы говорите. возможно я не тем или не там ищу(скрин прилагаю)
из виртуалок я пробовал только виртуал бокс когда-то
да,дамп вышлю. жду ваших инструкций.
и этот дамп здесь выложить?

9285 · 24.02.2019, 01:44

Я подразумевал немного другое, но ты сам нашёл более оптимальное решение - выводить только диапазон интересующих записей.

Но в таком случае вводи уже конкретные значения ID
110080 -- 181446
А скобки подразумевались те, которые видны на скриншоте про лог чекдиска, в столбце ID.

stenn · 24.02.2019, 01:50

Цитата (9285) »

Я подразумевал немного другое, но ты сам нашёл более оптимальное решение - выводить только диапазон интересующих записей.

Но в таком случае вводи уже конкретные значения ID
110080 -- 181446
А скобки подразумевались те, которые видны на скриншоте про лог чекдиска, в столбце ID.

спасибо. значит еще сгожусь))
ааа. вот вы про какие скобки

ввел ваши значения. пусто (скрин прилагаю)

9285 · 24.02.2019, 02:24

Это при просто открытом томе или по результату полного сканирования?
На скриншоте ниже показано как сделать дамп записей оставшихся за границей "кастрации".
В Источнике выбираешь проблемный диск (в окошке должна быть его модель и размер)
Стартовый сектор, тот который в синей рамке - это сектор в котором
и начинаются эти записи.
В оранжевой - сектор где заканчиваются (исходя из данных полного сканирования) Что выделено в фиолетовой рассчитается само.
Хотя можно наоборот (это просто к пониманию вводимого) - не вводит конечный сектор а ввести число секторов - которое равно числу записей умноженное на 2 (так как запись занимает 2 сектора).

В месте для записи указываешь место куда сохранить файл. Имя файла не меня - если уж хочется, то добавь просто описание не трогая то что сформировала программа.
Так как это записи MFT и для них актуально написанное раньше - отправляй через приват.

stenn · 24.02.2019, 02:38

Цитата (9285) »

Это при просто открытом томе или по результату полного сканирования?
На скриншоте ниже показано как сделать дамп записей оставшихся за границей "кастрации".
В Источнике выбираешь проблемный диск (в окошке должна быть его модель и размер)
Стартовый сектор, тот который в синей рамке - это сектор в котором
и начинаются эти записи.
В оранжевой - сектор где заканчиваются (исходя из данных полного сканирования) Что выделено в фиолетовой рассчитается само.
Хотя можно наоборот (это просто к пониманию вводимого) - не вводит конечный сектор а ввести число секторов - которое равно числу записей умноженное на 2 (так как запись занимает 2 сектора).

В месте для записи указываешь место куда сохранить файл. Имя файла не меня - если уж хочется, то добавь просто описание не трогая то что сформировала программа.
Так как это записи MFT и для них актуально написанное раньше - отправляй через приват.

делал по результату полного сканирования(загрузил финальный лог фулскана).

а копирование секторов делать по результату полного сканирования?

9285 · 24.02.2019, 08:13

Копирование секторов можно делать в любой момент.
что касается результатов открытия - тут я не знаю в чём причина.
Как вариант - сделать как предлагал я. То есть:
- открыть том в результатах полного скана
- сделать поиск без фильтра по ID
- отсортировать очередность результата по ID
- смотреть что в записях ID далее записей 110080

stenn · 24.02.2019, 14:28

Цитата (9285) »

Копирование секторов можно делать в любой момент.
что касается результатов открытия - тут я не знаю в чём причина.
Как вариант - сделать как предлагал я. То есть:
- открыть том в результатах полного скана
- сделать поиск без фильтра по ID
- отсортировать очередность результата по ID
- смотреть что в записях ID далее записей 110080

сделал поис по ID,сортировку по ID.-заканчивается на числе 110079(скрин прилагаю)

в копировании секторов вводить данные как на картинке? -(начальный и конечный сектор и число секторов)

9285 · 24.02.2019, 21:18

stenn
Ну, не знаю - вот взял и на одном диске провёл полное сканирование, открыл том в результате сканирования, потом поиск по дефолтной маске *.* , отсортировал по ID и увидел и те записи, которых нет в MFT.
Если бы мне нужно было сделать картинку-руководство как копировать сектора, то было бы проще набрать в номерах секторов что то типа start sector.
И когда мне нужен дамп каких то секторов, то в сообщении пишу номера. Т.к. здесь ещё нет таковой, то я привёл конкретные значения и описал что и как вводится (достаточно двух значений - третье само рассчитывается).
В таком случае, ес

9285 · 24.02.2019, 23:17

Получил дамп запрошенных секторов, собрал массив и вот что увиделось после полного сканирования - жёлтым выделил появившееся.
Было такое? И обрати внимание на номера ID.

Если хочешь сам посмотреть что внутри папок - сделай дамп сектора 264192.

stenn · 24.02.2019, 23:29

Цитата (9285) »

Получил дамп запрошенных секторов, собрал массив и вот что увиделось после полного сканирования - жёлтым выделил появившееся.
Было такое? И обрати внимание на номера ID.

Если хочешь сам посмотреть что внутри папок - сделай дамп сектора 264192.

да,похоже на мои папки.)) это хорошо?
но я посмотрел у меня этой папки нет-загрузил финальный лог фуллскана.(скрин прилагаю). может я не так делаю.

как сделать дамп сектора 264192 ?

9285 · 25.02.2019, 00:10

Это означает что, как и предполагалось, записи от прежней MFT.

У тебя картинка как будто бы ты просто открываешь том.
После загрузки лога ты открываешь том в результатах сканирования?
А потом соглашаешься с теми параметрами реконструкции, которые предлагаются?
Дамп делается как и раньше - стартовый сектор 264192, число секторов - 1.

stenn · 25.02.2019, 00:47

Цитата (9285) »

Это означает что, как и предполагалось, записи от прежней MFT.

У тебя картинка как будто бы ты просто открываешь том.
После загрузки лога ты открываешь том в результатах сканирования?
А потом соглашаешься с теми параметрами реконструкции, которые предлагаются?
Дамп делается как и раньше - стартовый сектор 264192, число секторов - 1.

да,теперь всё вижу(скрин)
видимо раньше не правильно открывал

9285 · 25.02.2019, 01:21

Ответ предполагаю, но всё таки.

Видно всё? И оно твоё?
Собственно добрались до финишной черты и подтвердилось всё, что написано ранее. Вполне понятно что ожидается ответ на вопрос о том, что делать дальше.
И на него был ответ - корректировать ранлист и надеяться на то, что дополнительные записи, сделанные чекдиском не сделали серьёзных повреждений. Но дать 100% гарантию, того что всё пройдёт нормально, не дам.

stenn · 25.02.2019, 01:34

Цитата (9285) »

Ответ предполагаю, но всё таки.

Видно всё? И оно твоё?
Собственно добрались до финишной черты и подтвердилось всё, что написано ранее. Вполне понятно что ожидается ответ на вопрос о том, что делать дальше.
И на него был ответ - корректировать ранлист и надеяться на то, что дополнительные записи, сделанные чекдиском не сделали серьёзных повреждений. Но дать 100% гарантию, того что всё пройдёт нормально, не дам.

да,это моё. но там есть чтото из того что добавлял недавно,но некоторых файлов и папок из последнего нет.
да тот самый вопрос))
а что может пойти не так? какие могут быть последствия у нетак?

9285 · 25.02.2019, 01:48

Известно чего нет? Если да - ищи по имени - возможно что файлы затесались в каких то папках, которые ты не заметил.
Опять же, не имея данных о 74 тысячах записей, чекдиск считал что место занимаемое ими свободно и мог туда записать новые данные. Например, могли быть записи далее 181446. По карте кластеров можно посмотреть что сейчас в той зоне, но не факт что там не записывались временные файлы. А может был ещё фрагмент - но т.к. данных о нём нет, то неизвестно где он располагался.
В принципе, если данные слишком ценные, то можно попробовать поискать по именам в (возможно) выживших индексах и узнать номера записей.
Пойти не так может чекдиск - его алгоритмы не всегда предсказуемы.

stenn · 25.02.2019, 02:05

Цитата (9285) »

Известно чего нет? Если да - ищи по имени - возможно что файлы затесались в каких то папках, которые ты не заметил.
Опять же, не имея данных о 74 тысячах записей, чекдиск считал что место занимаемое ими свободно и мог туда записать новые данные. Например, могли быть записи далее 181446. По карте кластеров можно посмотреть что сейчас в той зоне, но не факт что там не записывались временные файлы. А может был ещё фрагмент - но т.к. данных о нём нет, то неизвестно где он располагался.
В принципе, если данные слишком ценные, то можно попробовать поискать по именам в (возможно) выживших индексах и узнать номера записей.
Пойти не так может чекдиск - его алгоритмы не всегда предсказуемы.

я имел ввиду-я прошёлся по основной папке(EBM),то там не всё есть из того,что должно быть. поискал то,что пришло на ум(поиск по имени не дал результатов)

поискать по имени индексы,то там много всего было(я не всё помню).

вы какой вариант видите наиболее подходящим?

9285 · 25.02.2019, 02:23

stenn
По мне, самый подходящий - восстановить из бэкапа.
Опять же, ценное в моём понятии - фото, видео (личное и т.п.), или документы типа дипломного проекта и т.п. Фильмы, музыку, сот можно перезакачать.
Опять же - остаётся вариант восстановления по результатам RAW-поиска.
Или ты умаешь что я чудотворец, который может восстановить бывшее состояние ФС (во всём обьёме)? До отработки чекдиска можно было бы сделать имплант 4-х записей и наверяка бы всё восстановилось в полном обьёме - сейчас такой возможности не вижу. Опять же - я не знаю всего и не считаю себя суперспецом - вопрос в том, найдёшь ли ты такого. Что тебе предложили на кибере? Тупо запустить р-студио и восстановить данные - ну так это можно всегда сделать. И нужно сделать - если уж не всего то самого ценного.

stenn · 25.02.2019, 02:35

СПОЙЛЕР »

Цитата (9285) »

stenn
По мне, самый подходящий - восстановить из бэкапа.
Опять же, ценное в моём понятии - фото, видео (личное и т.п.), или документы типа дипломного проекта и т.п. Фильмы, музыку, сот можно перезакачать.
Опять же - остаётся вариант восстановления по результатам RAW-поиска.
Или ты умаешь что я чудотворец, который может восстановить бывшее состояние ФС (во всём обьёме)? До отработки чекдиска можно было бы сделать имплант 4-х записей и наверяка бы всё восстановилось в полном обьёме - сейчас такой возможности не вижу. Опять же - я не знаю всего и не считаю себя суперспецом - вопрос в том, найдёшь ли ты такого. Что тебе предложили на кибере? Тупо запустить р-студио и восстановить данные - ну так это можно всегда сделать. И нужно сделать - если уж не всего то самого ценного.

восстановить из бэкапа вы про винчестеры которые отдельно или ..?
восстановления по результатам RAW-поиска - это восстановится то,что видно сейчас в ДМДЕ(после скана)?

р-студио тоже рассматриваю(но скорее как дополнительно).

не знаю чудотворец вы или нет, но явно больше смыслите. я поэтому и создал тему,чтобы разобраться что можно восстановить а что нет. (и да надежда была на восстановление бывшего состояния ФС (во всём обьёме) ))).

9285 · 25.02.2019, 11:43

Про бэкап это ответ на вопрос о самом подходящем. Но у тебя такового нет, поэтому надо исходить из этого.
Поэтому надо определяться с тем что важно, что нет - первое восстанавливать на другой носитель. Если чего то из такого нет - искать в RAW- результатах и (или) другим ПО.
Ещё раз, типично советуемый вариант восстановления - восстановление всего на другой носитель (представляю если диск был забит весь), формат этого и запись восстановленного назад. То есть делается перезапись диска. В случае если пойти по пути корректировки начальной записи, переформатирование не нужно - и в случае если всё пройдёт успешно всё что выжило останется на месте. Но если что то не выжило (из за того что не остались записи о файлах, после этого может быть перезаписано новыми записями винды (чуть позже опишу пример, который это наглядно покажет) и тогда уже не получится восстановить никакими программами.
Опять же - я не могу дать никаких гарантий на действия чекдиска. И если есть хотя бы один вариант (*) того что возможна потеря - я просто обязан тебя об этом предупредить; чтобы ты подстраховался тем самым восстановлением на другой носитель - самого ценного или всего.
(*) Я то понимаю что должно пройти нормально, но таком деле никогда нельзя исключать шанс обратного.
PS. могу предложить тебе собрать массив по месту - в котором будет использована скорректированная 0-вая запись. Это не повредит никоим образом то, что есть сейчас на диске, но позволит примерно оценить как будет выглядеть содержимое тома.

В результатах полного сканирования есть раздел RAW - вот в нём и искать по типу данных (файлов). Там нет привычных имён и т.п.

Цитата (Silphidae) »

утилитам восстанавливающим из raw

Тебе известны таковые? Просто созданный виндой раздел без форматирования является равом - что с него восстановит такая утилита?

Добавлено через 40 минут

stenn
Примеры того что бывает:
1. Из реальной практики в нескольких случаях (в том числе форумных).

СПОЙЛЕР »

Из того что было, обычно 0-вая запись имеет расширенный атрибут + работа с NTFS ведётся из чего то линуксового (например диск подключен к роутеру). Вполне возможны и проблемы с самим диском - те же пендингию
Возможно, в следствии того, что NTFS исследована не полностью, нет драйвера который работает с таким атрибутом по понятиям microsoft, а может и сам чекдиск сходит с ума от подобны но факт остаётся фактом.
Выглядит это примерно так. Есть MFT на миллионы записей, у которой начальный блок тоже содержит немало записей.
Чекдиск находит какую то ошибку в 0-вой записи и решает по простому (*) - сокращает MFT до минимума (256 записей). Обычно, виндовый драйвер резервирует какую то зону для расширения MFT, но это видимо уже после, или чекдиску на него всё равно, но вот он берёт и начинает писать свой лог прям сразу за последней записью. То есть начинает перезаписывать ещё живые записи, и число таких зависит от обьёма лога. Даже если после этого скорректировать 0-вую запись под реальный размер прописать нормальный ранлист - эти записи уже не вернуть.

2. Результат простого теста, в котором попробовал смоделировать твою ситуацию.

СПОЙЛЕР »

Создал небольшой том и записал на него структуру данных с числом файлов более тысячи. Параллельно создал том, на который записал 50 файлов - в принципе мог просто скорректировать 0-вую запись первого, но сделал именно как в твоём случае жизни (запись чужого раздела)
Подменил на первом разделе 4-ре начальные записи.
Чуть "теории" - для записи MFT ей выделяется начальный блок записей, в случае заполнения этих записей выделяется новый. Начальный блок обычно 256 записей, что касается приращения, судя по всему, тоже 256 записей. Хотя тут нельзя сказать точно, потому как блок скорей всего выделяется кластерами и если они большие, то и записей может быть поболее.
Так вот, в 0-вой записи второго тома обьём MFT соответствовал 256-и записям. И чекдиск отработал именно в таких рамках - то есть на диске появились все обьекты, номера записей которых были в этом пределе.
Если бы после этого не была бы начата работа с диском - причём даже не работа а просто его просмотр, то можно было бы расширить границы MFT и после отработки чекдиска всё бы восстановилось.
Но жизнь сурова и винда решила что на этом диске нет корзины и папки System Volumre Information и создала их....

А так как все 256 записей были заняты (не было ничего удалённого), то она выделила под эти несколько новых блок из 256 записей. А так как в новом блоке могут быть какие то данные, которые могут быть трактованы неправильно - они обнуляются.
Вот так вот и были уничтожены записи о 256 обьектах, которые потом уже нельзя восстановить по файловой системе.

Вот как то так.

9285 · 25.02.2019, 14:13

Silphidae

СПОЙЛЕР »

Не хотел предвосхищать события, но ничего нового не случилось.
Тут очень подходит известное "Птицу видно по помёту".
Много тех самых пузырей - только преимущественно в лужу, особенно те, что про переформат и последующее восстановление. Известный метод "лечения" - сродни лечению головной боли гильотиной.
И да - первая ссылка тоже показательно. Там чуть что - чекдиск, причём с ключём r , в том числе дискам на которых куча бэдов, да ещё и звуки скрежета при работе.
Зато школота довольна - и не только она, но и те, кто потом зарабатывает на таком вот шабаше тупизны.

Smirnoff · 25.02.2019, 14:37

Цитата (Silphidae) »

Почему то в сети пишут что есть такие утилиты. Врут конечно. Но я посчитал своим долгом сообщить о вранье.

Врут. Ой, врут... Ибо никто из тех, кто "в сети пишет" никогда не берётся сопровождать конкретные случаи. И то сказать - ну они же уже написали? А если в конкретном случае что-то не получилось... кого мучает чужое горе?

9285 · 25.02.2019, 14:56

Smirnoff
Кстати, не так давно на хоботе был очень показательный случай того, к чему приводит чтение подобных "инструкций".

СПОЙЛЕР »

Не знаю, можно ли здесь давать ссылки на другой форум, хотя даже если можно - не всё могу показать потому как частично решалось в привате, который теперь убит, вместе с одним из ников.
Но если вкратце. Возникла какая то проблема с томом, владелец оного решил переразбить диск и отформатировать.
Ладно бы только отформатировать - потерял бы 256 начальных записей (*).
И аже если бы переразбил диск в том же стиле разметки - ситуация была бы такой же. Но ... он сделал его GPT-шным, за счёт чего начало раздела сдвинулось на 100 мегов (а с ним и MFT); и вот в эту сдвинутую область (где лежало начало старой MFT) записался журнал файловой системы и битовая карта тома. Не помню точно - но что то около 100 тысяч записей было уничтожено за счёт этого.
(*) Мало того, после того как после формата том стал доступен винде, на него начались писаться файлы яндекс диска, которые были прописаны на этом томе.
В результате почти вся MFT была переписано всем вот этим. А ведь можно было восстановить почти в полном обьёме.

stenn · 25.02.2019, 18:05

СПОЙЛЕР »

Цитата (9285) »

Про бэкап это ответ на вопрос о самом подходящем. Но у тебя такового нет, поэтому надо исходить из этого.
Поэтому надо определяться с тем что важно, что нет - первое восстанавливать на другой носитель. Если чего то из такого нет - искать в RAW- результатах и (или) другим ПО.
Ещё раз, типично советуемый вариант восстановления - восстановление всего на другой носитель (представляю если диск был забит весь), формат этого и запись восстановленного назад. То есть делается перезапись диска. В случае если пойти по пути корректировки начальной записи, переформатирование не нужно - и в случае если всё пройдёт успешно всё что выжило останется на месте. Но если что то не выжило (из за того что не остались записи о файлах, после этого может быть перезаписано новыми записями винды (чуть позже опишу пример, который это наглядно покажет) и тогда уже не получится восстановить никакими программами.
Опять же - я не могу дать никаких гарантий на действия чекдиска. И если есть хотя бы один вариант (*) того что возможна потеря - я просто обязан тебя об этом предупредить; чтобы ты подстраховался тем самым восстановлением на другой носитель - самого ценного или всего.
(*) Я то понимаю что должно пройти нормально, но таком деле никогда нельзя исключать шанс обратного.
PS. могу предложить тебе собрать массив по месту - в котором будет использована скорректированная 0-вая запись. Это не повредит никоим образом то, что есть сейчас на диске, но позволит примерно оценить как будет выглядеть содержимое тома.

В результатах полного сканирования есть раздел RAW - вот в нём и искать по типу данных (файлов). Там нет привычных имён и т.п.

Тебе известны таковые? Просто созданный виндой раздел без форматирования является равом - что с него восстановит такая утилита?

Добавлено через 40 минут

stenn
Примеры того что бывает:
1. Из реальной практики в нескольких случаях (в том числе форумных).

СПОЙЛЕР »

Из того что было, обычно 0-вая запись имеет расширенный атрибут + работа с NTFS ведётся из чего то линуксового (например диск подключен к роутеру). Вполне возможны и проблемы с самим диском - те же пендингию
Возможно, в следствии того, что NTFS исследована не полностью, нет драйвера который работает с таким атрибутом по понятиям microsoft, а может и сам чекдиск сходит с ума от подобны но факт остаётся фактом.
Выглядит это примерно так. Есть MFT на миллионы записей, у которой начальный блок тоже содержит немало записей.
Чекдиск находит какую то ошибку в 0-вой записи и решает по простому (*) - сокращает MFT до минимума (256 записей). Обычно, виндовый драйвер резервирует какую то зону для расширения MFT, но это видимо уже после, или чекдиску на него всё равно, но вот он берёт и начинает писать свой лог прям сразу за последней записью. То есть начинает перезаписывать ещё живые записи, и число таких зависит от обьёма лога. Даже если после этого скорректировать 0-вую запись под реальный размер прописать нормальный ранлист - эти записи уже не вернуть.

2. Результат простого теста, в котором попробовал смоделировать твою ситуацию.

СПОЙЛЕР »

Создал небольшой том и записал на него структуру данных с числом файлов более тысячи. Параллельно создал том, на который записал 50 файлов - в принципе мог просто скорректировать 0-вую запись первого, но сделал именно как в твоём случае жизни (запись чужого раздела)
Подменил на первом разделе 4-ре начальные записи.
Чуть "теории" - для записи MFT ей выделяется начальный блок записей, в случае заполнения этих записей выделяется новый. Начальный блок обычно 256 записей, что касается приращения, судя по всему, тоже 256 записей. Хотя тут нельзя сказать точно, потому как блок скорей всего выделяется кластерами и если они большие, то и записей может быть поболее.
Так вот, в 0-вой записи второго тома обьём MFT соответствовал 256-и записям. И чекдиск отработал именно в таких рамках - то есть на диске появились все обьекты, номера записей которых были в этом пределе.
Если бы после этого не была бы начата работа с диском - причём даже не работа а просто его просмотр, то можно было бы расширить границы MFT и после отработки чекдиска всё бы восстановилось.
Но жизнь сурова и винда решила что на этом диске нет корзины и папки System Volumre Information и создала их....

А так как все 256 записей были заняты (не было ничего удалённого), то она выделила под эти несколько новых блок из 256 записей. А так как в новом блоке могут быть какие то данные, которые могут быть трактованы неправильно - они обнуляются.
Вот так вот и были уничтожены записи о 256 обьектах, которые потом уже нельзя восстановить по файловой системе.

Вот как то так.

сколько информации. если честноБсложновато для меня(я путаюсь в технических терминах).
да,бэкапа нет.это и был оригинал с которого я делал(начал делать

бэкап на 2й диск).
если я правильно понял то: шаг1-восстанавливать на другой носитель(как я понял при помощи р-студио или другой)ю шаг2- корректировка начальной записи и получиться то,что сейчас видно в ДМДЕ.
правильно?
про "0-вая запись...., но позволит примерно оценить как будет выглядеть содержимое тома." это интересно

Lexx77 · 25.02.2019, 18:14

Цитата (Silphidae) »

форум лишится 4 страниц сценария бразильского сериала

9285 · 25.02.2019, 18:41

stenn
Да про то, что это оригинал я понял.
И ты практически правильно понял насчёт восстановления - по большому счёту надо восстанавливать всё, в том числе (если чего то нет в части восстановления по файловой системе) и результаты RAW-поиска - вот только там обьёмы могут быть существенно больше занимаемого.
Кстати, сколько было занято на диске? И сколько есть места куда сбросить?
Это просто для тех, кто тут кидает умняки.

Хотелось бы взглянуть что бы они делали в случае если бы заняты были все 8 тер, а места свободного - 1 тер.

PS. Инфы может быть и много, но даже если ты что то не понял, всё равно что то в голове останется.

И хорошо если из всего этого будет сделаны какие то выводы. Не только в части использования 10-ки (быстрого запуска) а и в отношении некоторых других моментов:
- наличие контрольных сумм файлов, при наличии которых очень легко проверяется целы ли файлы и есть ли они на месте. Это требует их расчёта но зато потом не гадаешь битый файл или нет.
- задуматься о том нужно ли разбить диск на несколько томов. Для защиты от т.н. "заворота данных" и, применительно к твоему случаю, от больших потерь. Вполне возможно что если бы диск был поделён на пару тройку разделов, то мог бы пострадать один из - в таком случае уже меньше надо восстанавливать.

Добавлено через 16 минут

Silphidae

СПОЙЛЕР »

Сериалов тут и так хватает - в один из недавно заглядывал. Ниочёмные фразы, и гундосенье в отношении тех, кто не хочет быть тупым ламером а пытается разобраться в проблеме и решить её. Увы, сейчас это стало считаться чем то плохим, и этому есть обьяснение - производителям и разработчикам не нужно чтобы пользователи были умнее чуть больше баранов. В противном случае не получится им втюхивать очередное дерьмо и получать деньги за устранение своих же ошибок.

И ещё я знаю что, если убрать ту часть твоих сообщений которую успел посмотреть, то точно, в части технического наполнения форума, точно ничего не изменится.

Что касается моих - не буду давать оценку сам, просто расскажу одну свежую историю. На одном "форуме" тоже гундосили в таком же стиле. А когда сообщения "пропали", то сразу начали гундосить что так нельзя и тема теряет смысл и т.д. и т.п.

И да, я уже давно привык к таким вот тявканьям, так что можешь не утруждать себя попытками задеть меня. Тем более что я не безвинная овечка и могу ответить.

stenn · 25.02.2019, 19:24

СПОЙЛЕР »

[QUOTE=9285;2667452]stenn
Да про то, что это оригинал я понял.
И ты практически правильно понял насчёт восстановления - по большому счёту надо восстанавливать всё, в том числе (если чего то нет в части восстановления по файловой системе) и результаты RAW-поиска - вот только там обьёмы могут быть существенно больше занимаемого.
Кстати, сколько было занято на диске? И сколько есть места куда сбросить?
Это просто для тех, кто тут кидает умняки.

Хотелось бы взглянуть что бы они делали в случае если бы заняты были все 8 тер, а места свободного - 1 тер.

PS. Инфы может быть и много, но даже если ты что то не понял, всё равно что то в голове останется.

И хорошо если из всего этого будет сделаны какие то выводы. Не только в части использования 10-ки (быстрого запуска) а и в отношении некоторых других моментов:
- наличие контрольных сумм файлов, при наличии которых очень легко проверяется целы ли файлы и есть ли они на месте. Это требует их расчёта но зато потом не гадаешь битый файл или нет.
- задуматься о том нужно ли разбить диск на несколько томов. Для защиты от т.н. "заворота данных" и, применительно к твоему случаю, от больших потерь. Вполне возможно что если бы диск был поделён на пару тройку разделов, то мог бы пострадать один из - в таком случае уже меньше надо восстанавливать.

до проблемы было примерно 5тб
а восстанавливать на этот же диск или можно на 2й(воткнуть в док на корпусе например). и можно ли при восстановлении делать перерыв как при фуллскане(сохранить лог итд)? и восстановление это как я понял шаг1 после которого шаг2- корректировка начальной записи.
раньше и было несколько разделов,но с годами разрослось и я решил всё в одну папку. думаю в будущем подумаю о нескольких разделах
да,инфы много. что-нибудь запомню
на левые комменты не по теме мне фиолетово.-я пропускаю
как отключить быстрый запуск в 10ке я не понял
а можно поподробнее про наличие контрольных сумм.не очень понял о чём речь

9285 · 25.02.2019, 19:38

1. Восстанавливать конечно же на другой диск (носитель, облако и т.п.) Вот если бы на этом диске было бы несколько разделов и пострадал бы один из них, то можно было бы на другой раздел этого диска.
2. Называемый тобой второй шаг - попытка восстановить том по месту.
Даже если не делать восстановление по месту, корректировка записи имеет один большой плюс - в результате этого ты не будешь видеть всевозможный мусор,, который присутствует в результатах полного сканирования.
3. Контрольные суммы делаются в процессе работы - это делается различными программами. Есть и такие, которые мониторят их постоянно - то есть, если вдруг случится какое то повреждение файла, то программа сообщит об этом. Примером такой является Adinf.
4. Сейчас под рукой есть только английская версия 10-ки, поэтому скриншот с неё.

**garniv** · 25.02.2019, 20:43

Silphidae
Иногда, из-за одно очень ценного файла, можно и сотни страниц написать/прочитать

9285 · 25.02.2019, 20:59

garniv
Мне кажется, что если кому то умному не интересно читать этот "сериал", то он просто не будет заходить в тему.

И ещё актуально сказанное кем то из известных.
Дураки говорят, что они учатся на собственном опыте, я предпочитаю учиться на опыте других.

stenn · 25.02.2019, 22:22

СПОЙЛЕР »

Цитата (9285) »

1. Восстанавливать конечно же на другой диск (носитель, облако и т.п.) Вот если бы на этом диске было бы несколько разделов и пострадал бы один из них, то можно было бы на другой раздел этого диска.
2. Называемый тобой второй шаг - попытка восстановить том по месту.
Даже если не делать восстановление по месту, корректировка записи имеет один большой плюс - в результате этого ты не будешь видеть всевозможный мусор,, который присутствует в результатах полного сканирования.
3. Контрольные суммы делаются в процессе работы - это делается различными программами. Есть и такие, которые мониторят их постоянно - то есть, если вдруг случится какое то повреждение файла, то программа сообщит об этом. Примером такой является Adinf.
4. Сейчас под рукой есть только английская версия 10-ки, поэтому скриншот с неё.

ок. понял. буду искать место. каким софтом лучше восстанавливать?
и возможно ли восстановление разделить на 2 винчестера или нужно одно место?
с софтом который делает Контрольные суммы не знаком если честно.

9285 · 25.02.2019, 23:24

Да каким считаешь нужным, таким и восстанавливай.
Что касается DMDE

СПОЙЛЕР »

Free версия не позволяет восстанавливать папками.
Это может делать любая другая редакция.
На сайте можно узнать, как стоимость лицензий, так и про возможность получить месячную версию за благотворительную помощь.
Даже если отбросить моральные принципы, не советую пользоваться ломанными версиями - особенно 2.4х. Они могут восстанавливать "битые" файлы при том что фришка восстанавливает нормальные.

Из бесплатных - неплохие отзывы про R.Saver - но только старая версия.
Есть куча других, но здесь я не могу дать по таковым рекомендации потому как использую их изредка и для ознакомления их возможностей.
На форумах встречал разные отзывы о плохом результате каких то программ, но где гарантия что ими правильно пользовались?
Кстати, о пользовании - есть программы, которые не могут работать с дисками без разделов. Это свидетельство некомпетенстности разработчиков - ведь если том будет примонтирован то на него может уже то то и записаться и затереть то, что можно
Так что у тебя есть возможность проверить и сравнить.

Восстанавливать можно на разные диски - на один актуально в случае когда делается посекторка диска.

stenn · 25.02.2019, 23:46

СПОЙЛЕР »

Цитата (9285) »

Да каким считаешь нужным, таким и восстанавливай.
Что касается DMDE

СПОЙЛЕР »

Free версия не позволяет восстанавливать папками.
Это может делать любая другая редакция.
На сайте можно узнать, как стоимость лицензий, так и про возможность получить месячную версию за благотворительную помощь.
Даже если отбросить моральные принципы, не советую пользоваться ломанными версиями - особенно 2.4х. Они могут восстанавливать "битые" файлы при том что фришка восстанавливает нормальные.

Из бесплатных - неплохие отзывы про R.Saver - но только старая версия.
Есть куча других, но здесь я не могу дать по таковым рекомендации потому как использую их изредка и для ознакомления их возможностей.
На форумах встречал разные отзывы о плохом результате каких то программ, но где гарантия что ими правильно пользовались?
Кстати, о пользовании - есть программы, которые не могут работать с дисками без разделов. Это свидетельство некомпетенстности разработчиков - ведь если том будет примонтирован то на него может уже то то и записаться и затереть то, что можно
Так что у тебя есть возможность проверить и сравнить.

Восстанавливать можно на разные диски - на один актуально в случае когда делается посекторка диска.

понял вас. спасибо. подумаю
про R.Saver мало слышал. в основном р-студио советуют
как закончу с этим попробуем восстановление тома по месту

9285 · 26.02.2019, 02:03

Тот, кто советовал тебе R-studio вряд ли даже знает сколько стоит её лицензия.

Я вот тут набросал тебе небольшую инструкцию как можно попробовать предварительно "оценить" как будет выглядеть структура тома.
Обычно предполагается патчить сектора по месту - а если что не так, вернуть назад содержимое секторов. Способ предполагает что патч будет записываться в нужный сектор. а если что не так?

В данном случае никаких записей на диск не делается а просто из частей собирается массив. И делается это с использованием возможностей сборки RAID.
Собственно этот пункт и выбирается в меню выбора а далее и производится сборка.
1. Выбираешь в окошке, выделенном оранжевым JBOD
2. Используя кнопку добавления (+ в зелёной рамке) поэтапно добавляешь три участка физического диска + дважды файл патча, который находится в приложенном архиве.
При этом, в случае выбора участков диска надо указывать начальный и конечный сектор - их номера для каждого из участков видны в фиолетовых рамках.
Если вдруг не указал номера секторов сразу при выборе диска, то всегда можешь изменить их значения используя кнопку изменения размеров (стрелочки в зелёной рамке).
3. Обязательно проверь чтобы были такие же цифры и очередность + смещения (выделены синей рамкой).
В процессе сборки можешь сохранять результат в любой момент- это чтоб не набирать по новой в случае какого то сбоя.
После сборки просто нажимаешь Ок и на экране Разделы выбираешь свой том. После открытия тома выбираешь виртуальную реконструкцию после которой ты должен увидеть структуру папок.

Smirnoff · 26.02.2019, 12:27

Цитата (Silphidae) »

Или форум лишится 4 страниц сценария бразильского сериала?

Дело-то не в количестве страниц, а в конечном результате...

stenn · 26.02.2019, 12:52

СПОЙЛЕР »

Цитата (9285) »

Тот, кто советовал тебе R-studio вряд ли даже знает сколько стоит её лицензия.

Я вот тут набросал тебе небольшую инструкцию как можно попробовать предварительно "оценить" как будет выглядеть структура тома.
Обычно предполагается патчить сектора по месту - а если что не так, вернуть назад содержимое секторов. Способ предполагает что патч будет записываться в нужный сектор. а если что не так?

В данном случае никаких записей на диск не делается а просто из частей собирается массив. И делается это с использованием возможностей сборки RAID.
Собственно этот пункт и выбирается в меню выбора а далее и производится сборка.
1. Выбираешь в окошке, выделенном оранжевым JBOD
2. Используя кнопку добавления (+ в зелёной рамке) поэтапно добавляешь три участка физического диска + дважды файл патча, который находится в приложенном архиве.
При этом, в случае выбора участков диска надо указывать начальный и конечный сектор - их номера для каждого из участков видны в фиолетовых рамках.
Если вдруг не указал номера секторов сразу при выборе диска, то всегда можешь изменить их значения используя кнопку изменения размеров (стрелочки в зелёной рамке).
3. Обязательно проверь чтобы были такие же цифры и очередность + смещения (выделены синей рамкой).
В процессе сборки можешь сохранять результат в любой момент- это чтоб не набирать по новой в случае какого то сбоя.
После сборки просто нажимаешь Ок и на экране Разделы выбираешь свой том. После открытия тома выбираешь виртуальную реконструкцию после которой ты должен увидеть структуру папок.

спасибо за инструкцию. попробую
а это лучше делать после восстановления на другой диск или всё равно?

9285 · 26.02.2019, 15:53

PSМожешь делать в любой момент.
Если всё правильно соберёшь и сделаешь виртуальную реконструкцию, то можно прямо из этой сборки всё восстанавливать.
В твоём случае практически отсутствуют мусорные записи, поэтому нет необходимости отбирать реальные файлы от фантомов. А вот когда таких записей очень много или, наоборот, какие то фрагменты не считаются актуальными для текущего тома то ты видишь не то, что есть в реальности. Патч как раз и делает возможность получить реальное состояние данных. А сборка массива позволяет это сделать не меняя содержимое секторов на диске. Это делается за счёт того что в фрагментах диска не задействованы "неправильные" записи а вместо них подставлены уже скорректированные.
PS. Именно этот функционал позволил мне из присланных тобой дампов MFT собрать массив и увидеть структуру фалов и папок. И для этого не понадобилось скачивать 8ТБ.

Smirnoff · 26.02.2019, 16:43

Цитата (Silphidae) »

Полотенца читать не буду. Утомительно и неинформативно.

Так ты ещё и не пиши заодно уж! А то от твоих бессмысленных постов "полотенца" только прирастают, Ага...

Цитата (Silphidae) »

Жду'с.

А вот и жди'с. Только - молча.

9285 · 26.02.2019, 17:00

Silphidae
Напомнил мне одного троллика с руборды - у того тоже всё зашибись а по делу написать нечего.

stenn · 26.02.2019, 17:43

СПОЙЛЕР »

Цитата (9285) »

PSМожешь делать в любой момент.
Если всё правильно соберёшь и сделаешь виртуальную реконструкцию, то можно прямо из этой сборки всё восстанавливать.
В твоём случае практически отсутствуют мусорные записи, поэтому нет необходимости отбирать реальные файлы от фантомов. А вот когда таких записей очень много или, наоборот, какие то фрагменты не считаются актуальными для текущего тома то ты видишь не то, что есть в реальности. Патч как раз и делает возможность получить реальное состояние данных. А сборка массива позволяет это сделать не меняя содержимое секторов на диске. Это делается за счёт того что в фрагментах диска не задействованы "неправильные" записи а вместо них подставлены уже скорректированные.
PS. Именно этот функционал позволил мне из присланных тобой дампов MFT собрать массив и увидеть структуру фалов и папок. И для этого не понадобилось скачивать 8ТБ.

спасибо. попробую.
может тогда этот вариант восстановления лучше чем через R.saver(раз уж здесь и так всё будет да еще структура папок)?
и нужна ли лицензия для DMDE чтобы "прямо из этой сборки всё восстанавливать"?

9285 · 26.02.2019, 18:01

stenn
Сложно что то говорить если неизвестно что будет в R.saver - может он выдаст всё и во всём обьёме.

Если пропатчить сам диск, то тогда вероятность этого больше.

Лицензия DMDE нужна для возможности восстановления папками - из сборки ли, с диска ли или ещё с чего не критично.

stenn · 26.02.2019, 22:22

Цитата (9285) »

stenn
Сложно что то говорить если неизвестно что будет в R.saver - может он выдаст всё и во всём обьёме.

Если пропатчить сам диск, то тогда вероятность этого больше.

Лицензия DMDE нужна для возможности восстановления папками - из сборки ли, с диска ли или ещё с чего не критично.

спасибо. тогда сначала попробовую предварительно "оценить" как будет выглядеть структура тома по вашей инструкции и подумаю о месячной лицнзии ДМДЕ(на сайте сказано что версия экстра,надеюсь ее хватит для моей задачи.). а потом возможно R.saver(если нужно будет).

9285 · 27.02.2019, 20:17

Silphidae
Я понимаю что ты не читатель, но всё таки: здесь RAW нет и не было, соответственно те ниочёмные советы, которые ты "дал" (и о которых я уже писал) здесь вообще ни о чём.
А результат есть - только тебе его не понять.

9285 · 28.02.2019, 17:06

Кстати, учитывая что бОльшая часть уже в Found.00 и всё равно тебе её надо разгр!!!!! по своим папкам, можно пойти другим путём.
Восстановить на другой носитель только те данные, записи которых не входят в текущую MFT (*) + если что нужно из RAW а потом просто записать на текущий раздел и не патчить MFT и т.п.
(*) По моим подсчётам у тебя там где то на 1,5 терабайта. Хотя нельзя исключать и больше, потому как есть записи с расширенным атрибутом.

stenn · 28.02.2019, 23:07

Цитата (9285) »

Кстати, учитывая что бОльшая часть уже в Found.00 и всё равно тебе её надо разгр!!!!! по своим папкам, можно пойти другим путём.
Восстановить на другой носитель только те данные, записи которых не входят в текущую MFT (*) + если что нужно из RAW а потом просто записать на текущий раздел и не патчить MFT и т.п.
(*) По моим подсчётам у тебя там где то на 1,5 терабайта. Хотя нельзя исключать и больше, потому как есть записи с расширенным атрибутом.

спасибо. но немного запутанно. лучше наверно восстанавливать как в предедущем варианте

пытаюсь собрать рейд по вышей инструкции-пишет недопустимый ввод
что я делаю не так?
скрин прилагаю

**garniv** · 01.03.2019, 00:10

Цитата (stenn) »

что я делаю не так?

Почему последний сектор меньше первого сектора?

stenn · 01.03.2019, 01:03

Цитата (garniv) »

Почему последний сектор меньше первого сектора?

не могу сказать точно. пытался выставлять по изображению в инструкции.
скрин прилагаю
видимо не правильно. но как правильно не знаю

9285 · 01.03.2019, 06:59

Размер - число секторов фрагмента.

**garniv** · 01.03.2019, 07:23

9285
264192 - 264208
264210 - 6555648
6555650 - 15628053168
так?

9285 · 01.03.2019, 12:14

garniv
похоже что да. (*)
И это применительно к блокам с диска. А между ними вставка из файла патча, подменяющая 2 сектора - на диске на их месте 0-вая запись с уменьшенным значением размера, а в патче с увеличенным - соответственно отрабатываются все имеющиеся записи.
(*) Первые два точно.

Хотя зачем считать конечный если можно указывать начальный сектор и число секторов?

stenn · 01.03.2019, 13:42

Цитата (9285) »

Размер - число секторов фрагмента.

спасибо.теперь получилось
я вводил Размер как последний сектор.

а после того как ввел данные и нажал ОК начать полное сканирование?

9285 · 01.03.2019, 13:57

Цитата (stenn) »

я вводил Размер как последний сектор.

Как какой последний?
На мое картинке есть значение в столбце размер, это значение надо вводить в поле Число секторов (видимое на твоём скриншоте).
В случае правильной сборки все значения в цифрах должны быть такими же, как на моём.
И да, я вроде бы писал что после открытия тома сделать виртуальную реконструкцию. Смысла делать полное сканирование в этой сборке нет.

stenn · 01.03.2019, 14:05

Цитата (9285) »

Как какой последний?
На мое картинке есть значение в столбце размер, это значение надо вводить в поле Число секторов (видимое на твоём скриншоте).
В случае правильной сборки все значения в цифрах должны быть такими же, как на моём.
И да, я вроде бы писал что после открытия тома сделать виртуальную реконструкцию. Смысла делать полное сканирование в этой сборке нет.

я имел ввиду когда добавляешь диск и вводишь значения то там первый сектор,,последний сектор,число секторов итд.(как на моей картинке выше). вот я и не совсем понял сначала куда вводить смещение а куда размер из вашей инструкции.
да,теперь все цифры совпали)) спасибо
про виртуальную реконструкцию понял.

9285 · 01.03.2019, 14:37

То, что ты сразу не всё понял - это я понял.

Я просто не понял именно процитированной формулировки.
А так, всё вполне обьяснимо. Тебе не очень понятно всё то, что написано, тем более оно было написано кратко (дело было ночером) и думалось что в справке программы более подробно описано значение полей.

Кстати, раз уж научился пользоваться сборкой массива

то можно использовать таковой и для второго варианта - подробности если такой вариант всё таки заинтересует, а если тезисно, то

СПОЙЛЕР »

в массиве оставляются только начальные записи + записи 110080 и далее (по сути исключаются те, в которых была нынешняя структура) - после виртуальной реконструкции будут отображены только данные этих записей. Хотя, применительно к твоей ситуации это не сильно актуально потому что всё "пропавшее" по сути всего в одной папке.

.

stenn · 01.03.2019, 16:12

Цитата (9285) »

То, что ты сразу не всё понял - это я понял.

Я просто не понял именно процитированной формулировки.
А так, всё вполне обьяснимо. Тебе не очень понятно всё то, что написано, тем более оно было написано кратко (дело было ночером) и думалось что в справке программы более подробно описано значение полей.

Кстати, раз уж научился пользоваться сборкой массива

то можно использовать таковой и для второго варианта - подробности если такой вариант всё таки заинтересует, а если тезисно, то

СПОЙЛЕР »

в массиве оставляются только начальные записи + записи 110080 и далее (по сути исключаются те, в которых была нынешняя структура) - после виртуальной реконструкции будут отображены только данные этих записей. Хотя, применительно к твоей ситуации это не сильно актуально потому что всё "пропавшее" по сути всего в одной папке.

.

)).
сорри за формулировки,написал как понимаю свими словами.
да, таим как я новичкам наверное кратко писать не стоит(лучше попроще и поподробнее)).

ну"научился пользоваться сборкой массива" это громко сказано.
по поводу 2го варианта,то сначала мне бы 1й завершить))

9285 · 01.03.2019, 16:36

stenn

СПОЙЛЕР »

Не воспринимай на свой счёт, но лично в моём понимании форум предполагает помощь, но не разжёвывание.
Описание хоть и краткое, но имеет практически всё что необходимо - если что то непонятно, задаётся вопрос.
Если расписывать очень подробно (*) то это очень много и долго и не уверен что лично я смог бы быстро это сделать - как результат, ты бы не увидел и этого. Хотя есть категория "комментаторов" которая считает что вообще надо давать ещё короче. Если исходить из их понимаий, то нужно писать "Собери массив, и в нём найди свои данные" - то есть, своеобразный пендаль в нужном направлении, а дальше разбирайся сам.

Так что, мой ответ (конечно же ИМХО) среднее между этими вариантами.
(*) Посмотрим как будет дальше, но если тематика пойдёт, то тогда будут сделаны подробные инструкции по тем или иным манипуляциям. А пока так.

PS. Просто второй вариант уменьшает риски и обьём резервируемых данных - по крайней мере в пределах найденного по данным ФС,
ЗЫ. В отличии от пары отметившихся злопыхателей, я не тороплюсь - так что можешь тренироваться.

stenn · 01.03.2019, 17:14

СПОЙЛЕР »

Цитата (9285) »

stenn

СПОЙЛЕР »

Не воспринимай на свой счёт, но лично в моём понимании форум предполагает помощь, но не разжёвывание.
Описание хоть и краткое, но имеет практически всё что необходимо - если что то непонятно, задаётся вопрос.
Если расписывать очень подробно (*) то это очень много и долго и не уверен что лично я смог бы быстро это сделать - как результат, ты бы не увидел и этого. Хотя есть категория "комментаторов" которая считает что вообще надо давать ещё короче. Если исходить из их понимаий, то нужно писать "Собери массив, и в нём найди свои данные" - то есть, своеобразный пендаль в нужном направлении, а дальше разбирайся сам.

Так что, мой ответ (конечно же ИМХО) среднее между этими вариантами.
(*) Посмотрим как будет дальше, но если тематика пойдёт, то тогда будут сделаны подробные инструкции по тем или иным манипуляциям. А пока так.

PS. Просто второй вариант уменьшает риски и обьём резервируемых данных - по крайней мере в пределах найденного по данным ФС,
ЗЫ. В отличии от пары отметившихся злопыхателей, я не тороплюсь - так что можешь тренироваться.

понял вас. я имел ввиду немного поподробнее про такие инструкции которые вы написали(чтобы не спрашивать лишний раз).
про пендаль понял.постараюсь не надоедать

собрал рейд по вашей инструкции,посмотрел- очень похоже что всё тоже самое что и после фуллскана(по субъективному мнению).
но пока не восстанавливал(нужна лецензия как я понял)

готов попробовать 2й вариант(раз он надёжнее и меньше мусора))

спасибо,буду тренироваться. про злопыхателей я не парюсь.как я говорил мне фиолетово. у них своя санта-барбара))

9285 · 01.03.2019, 22:08

Цитата (stenn) »

очень похоже что всё тоже самое что и после фуллскана

Всё верно и я чуть раньше писал про это (*) - в том числе что сборка по сути является черновой проверкой того, что будет если пропатчить MFT.
(*) В результатах сканирования есть всего лишь один мусорный блок записей MFT, и тот из категории служебных записей.
Поэтому у тебя в результатах полного скана отсутствует куча мусора, который нередко исчисляется тысячами файлов и т.п. В тех случаях пользователю приходиться отсеивать всё это и определять что его, что нет.
В сборке же мусора нет, да и для доступа к файлам достаточно виртуальной реконструкции а не полный скан - если считать что лог не сохранён и надо потратить несколько часов на новый.

Кстати

СПОЙЛЕР »

общались в другом месте с "коллегой" и он предложил мне проверить в виртуалке ранее упомянутой мной старой версией R.saver (2.51). Сделал это и после сканирования она тоже выдала эту твою папку. Я сильно не ковырялся в ней и не знаю сколько там файлов-папок она нашла - так что можешь сам попробовать восстановить ею эту папку и сравнить по числу файлов и папок с результатом DMDE (по предварительному результату).

Про то, как сделать второй вариант сборки напишу позднее.

stenn · 01.03.2019, 22:35

Цитата (9285) »

Всё верно и я чуть раньше писал про это (*) - в том числе что сборка по сути является черновой проверкой того, что будет если пропатчить MFT.
(*) В результатах сканирования есть всего лишь один мусорный блок записей MFT, и тот из категории служебных записей.
Поэтому у тебя в результатах полного скана отсутствует куча мусора, который нередко исчисляется тысячами файлов и т.п. В тех случаях пользователю приходиться отсеивать всё это и определять что его, что нет.
В сборке же мусора нет, да и для доступа к файлам достаточно виртуальной реконструкции а не полный скан - если считать что лог не сохранён и надо потратить несколько часов на новый.

Кстати

СПОЙЛЕР »

общались в другом месте с "коллегой" и он предложил мне проверить в виртуалке ранее упомянутой мной старой версией R.saver (2.51). Сделал это и после сканирования она тоже выдала эту твою папку. Я сильно не ковырялся в ней и не знаю сколько там файлов-папок она нашла - так что можешь сам попробовать восстановить ею эту папку и сравнить по числу файлов и папок с результатом DMDE (по предварительному результату).

Про то, как сделать второй вариант сборки напишу позднее.

понял.спасибо. попробую сравнить

stenn · 04.03.2019, 13:14

Цитата (stenn) »

понял.спасибо. попробую сравнить

просканировал р-сканом. похоже там на то что и после фулскана ДМДЕ

9285 · 04.03.2019, 23:02

Кстати, только сейчас заметил - в прошлый раз не прикрепился скриншот, на котором видно какие записи нашлись.
Так вот, при таком идеальном результате скана - разве только что дурная программа не сможет отработать нормально.

stenn · 05.03.2019, 00:36

Цитата (9285) »

Кстати, только сейчас заметил - в прошлый раз не прикрепился скриншот, на котором видно какие записи нашлись.
Так вот, при таком идеальном результате скана - разве только что дурная программа не сможет отработать нормально.

если честно я не совсем понял что вы имеете ввиду.
вы про количество файлов?
а скан мой или ваш?
про идеальный результат скана,то я здесь я не берусь судить т.к. вряд ли отличу идеальный от неочень.

9285 · 05.03.2019, 09:23

Это результат твоего скана.
Я имею в виду то, что ситуация очень простая и нет особо сложного понять что к чему относится. (*)
И это вполне обьяснимо - это просто диск на который записывались файлы.

Другое дело если бы диск кромсался, или это был бы системный, да ещё и забиваемый под завязку. вот тогда то и появляется куча "левых" записей и прежних блоков MFT, которые приводят к тому что после сканирования кандидатов даже в основных результатах поиска бывают сотни, и открыв любой из них видишь несколько одинаковых файлов и надо определять какой относится к чему и какой из актуальный. У тебя нечто подобное есть - две папки корзины. А представь таких сотни (тысячи). Вот тогда то волосы становятся дыбом.

(*) Даже при такой идеальной картине нашлось ещё несколько "томов".

stenn · 05.03.2019, 12:59

Цитата (9285) »

Это результат твоего скана.
Я имею в виду то, что ситуация очень простая и нет особо сложного понять что к чему относится. (*)
И это вполне обьяснимо - это просто диск на который записывались файлы.

Другое дело если бы диск кромсался, или это был бы системный, да ещё и забиваемый под завязку. вот тогда то и появляется куча "левых" записей и прежних блоков MFT, которые приводят к тому что после сканирования кандидатов даже в основных результатах поиска бывают сотни, и открыв любой из них видишь несколько одинаковых файлов и надо определять какой относится к чему и какой из актуальный. У тебя нечто подобное есть - две папки корзины. А представь таких сотни (тысячи). Вот тогда то волосы становятся дыбом.

(*) Даже при такой идеальной картине нашлось ещё несколько "томов".

ааа. вот в чём идеально.)) здесь мне повезло)

выше писал про сканирование р.сейвером,так похоже что там тот же результет,что и после фулскана и после сборки рейд(я точно не сравнивал,но по общему взгляду очень похоже).

какие мои дальнейшие шаги? что посоветуете?

9285 · 05.03.2019, 14:57

stenn
Я уже написал тебе возможные варианты.
Если не хочется заморачиваться с патченьем - восстанови на другой носитель "отсутствовавшие" в проводнике папки (насколько понимаю - такая одна), сделай MBRon и запиши эту папку назад. А далее разгребай папки из Found.00
Если хочется попробовать "экстриму" - восстанавливай всё ценное на другой диск, я тебе напишу как патчить MFT и после того, и отработки чекдиска прийдёшь к тому что будет Found.00 и та одна.

И конечно же, есть вариант - восстановить всё на другой носитель, форматнуть раздел (а может и поделить его заодно и вернуть всё на место.
Или

stenn · 05.03.2019, 18:10

Цитата (9285) »

stenn
Я уже написал тебе возможные варианты.
Если не хочется заморачиваться с патченьем - восстанови на другой носитель "отсутствовавшие" в проводнике папки (насколько понимаю - такая одна), сделай MBRon и запиши эту папку назад. А далее разгребай папки из Found.00
Если хочется попробовать "экстриму" - восстанавливай всё ценное на другой диск, я тебе напишу как патчить MFT и после того, и отработки чекдиска прийдёшь к тому что будет Found.00 и та одна.

И конечно же, есть вариант - восстановить всё на другой носитель, форматнуть раздел (а может и поделить его заодно и вернуть всё на место.
Или

я больше склоняюсь к 1му варианту. правда не знаю как делать MBRon
экстрим вариант побаиваюсь, насолько я понял в результате будут те же файлы что и в 1м варианте.
я думал что можно поправить MFT и появяться папки и файлы как после сборки рейд.
по поводу 3го варинта(форматирование и создание разделов) то же подумаю еще.

9285 · 05.03.2019, 18:19

Цитата

правда не знаю как делать MBRon

Как и MBR off.

Цитата

я думал что можно поправить MFT и появяться папки и файлы как после сборки рейд

Так патчевание это и предполагает, только (как писал раньше) риск того что чекдиск может что то начудить. имеется.
Если пойдёшь по первому пути, то ты тоже получишь такую структуру, только более проще.
Вообще, патчевание было очень актуально ДО уже произошедших изменений чекдиска, когда все записи ещё имели номера своих родителей и тогда бы всё восстановилось в виде как было.

stenn · 05.03.2019, 22:26

Цитата (9285) »

Как и MBR off.

Так патчевание это и предполагает, только (как писал раньше) риск того что чекдиск может что то начудить. имеется.
Если пойдёшь по первому пути, то ты тоже получишь такую структуру, только более проще.
Вообще, патчевание было очень актуально ДО уже произошедших изменений чекдиска, когда все записи ещё имели номера своих родителей и тогда бы всё восстановилось в виде как было.

понял,спасибо.))
ну тогда 1 вариант восстановления по моему подходящий.)(чтобы избежать возможных проблем с чекдиском

и если там только одна папка,то для ДМДЕ всё равно лицензию покупать нужно или хватит и фри версии?

и как можно обезопасить в будущем от подобных проблем с чекдиском или еще чем(т.к. предстоят еще бэкапы,да и с этим еще не завершил).
быстрый запуск по вашему совету уже отключил

9285 · 05.03.2019, 23:18

Ели быть точным, то не одна, но вряд ли это что то меняет (усложняет).
Есть старая корзина, есть пустая папка и есть какие то "потеряшки" (папки вне Root) - все их обозначил красным.
Если воссстанавливать из DMDE папками то нужна лицензия, если R.Saver-ом - она бесплатная.
PS. Самое главное ты уже сделал. По поводу разделения диска - уже писал.
Если напишу что не пользоваться 10-кой - послушаешься?

А ведь уже немало было проблем с данными посл больших обнов 10-ки.

stenn · 06.03.2019, 00:39

Цитата (9285) »

Ели быть точным, то не одна, но вряд ли это что то меняет (усложняет).
Есть старая корзина, есть пустая папка и есть какие то "потеряшки" (папки вне Root) - все их обозначил красным.
Если воссстанавливать из DMDE папками то нужна лицензия, если R.Saver-ом - она бесплатная.
PS. Самое главное ты уже сделал. По поводу разделения диска - уже писал.
Если напишу что не пользоваться 10-кой - послушаешься?

А ведь уже немало было проблем с данными посл больших обнов 10-ки.

понял.спасибо.
буду значит восстанавливать по 1му варианту.(а потом может скопирую папку фаунд.00 после MBRon,форматну и сделаю разделы. но пока в раздумьях).

ну я на десятке всего лишь около года,она мне в принципе нравиться.и особенно проблем не было,кроме этой.
у меня 2я ОС стоит сёмерка,думаю бэкап буду в ней делать а не в 10ке.

спасибо вам за помощи и советы

9285 · 06.03.2019, 01:10

Да чтож такое - опять скриншот не прикрепил(ся).
а потом может скопирую папку фаунд.00 после MBRon
Если по первому варианту, то никуда копировать её не надо - просто пересортировать её (если там есть что то нужное) по соотвествующим папкам.
форматну и сделаю разделы.
Если решишь что нужно более одного раздела - можешь просто сжать существующий на нужный размер и, на освободившемся месте, создать новый раздел (или несколько).
Что касается формата - учти один основной момент. В современных ОС, при полном формате, участок раздела сначала обнуляется а потом создаётся структура нового тома. Это дольше чем быстрый формат,но зато удаляет все данные, которые были ранее (без возможности восстановления) - полезно в случае если потом (не дай бог) случится что то с данными; при восстановлении не будет лишнего мусора.

stenn · 06.03.2019, 01:59

Цитата (9285) »

Да чтож такое - опять скриншот не прикрепил(ся).
а потом может скопирую папку фаунд.00 после MBRon
Если по первому варианту, то никуда копировать её не надо - просто пересортировать её (если там есть что то нужное) по соотвествующим папкам.
форматну и сделаю разделы.
Если решишь что нужно более одного раздела - можешь просто сжать существующий на нужный размер и, на освободившемся месте, создать новый раздел (или несколько).
Что касается формата - учти один основной момент. В современных ОС, при полном формате, участок раздела сначала обнуляется а потом создаётся структура нового тома. Это дольше чем быстрый формат,но зато удаляет все данные, которые были ранее (без возможности восстановления) - полезно в случае если потом (не дай бог) случится что то с данными; при восстановлении не будет лишнего мусора.

да,спасибо.это я понял
полный формат для этого и хотел делать. чтобы на чистом диске разделы делать))

9285 · 06.03.2019, 09:59

stenn
Немного не правильные причинно-следственные действия.

СПОЙЛЕР »

Полный формат затрагивает участок форматируемого тома - то есть уже созданного.
При таком подходе на диске всё таки останутся мизерные незачищенные области.
Для того чтобы диск был чистым до разметки - можно использовать diskpart и в нём clean с дополнительным ключём (*) или какие либо программы позволяющие обнулить содержимое секторов. Тут главное - не ошибиться с диском.

(*) Ключ не пишу в открытую потому как уж очень оно деструктивный - если применить не к тому диску. Но его можно узнать используя help clean

Smirnoff · 06.03.2019, 12:16

Цитата (9285) »

Ключ не пишу в открытую потому как уж очень оно деструктивный - если применить не к тому диску

Так и отформатировать "не тот" раздел - как нефиг делать...

И ещё один способ полностью зачистить накопитель (именно - накопитель, ибо годится как для SSD, так и для HDD) - это Secure Erase.
Одно из описаний: https://overclockers.ru/blog/IN/show...overclockersru

P.S. В статье I.N. идёт речь про SSD, но любой современный HDD отреагирует на Secure Erase точно так-же; разве что очистка будет происходить не 2..3 минуты, а 2..3 часа - но это, в любом случае, самый быстрый вариант полной очистки накопителя - ибо делается контроллером самого накопителя на максимальной для накопителя скорости, интерфейс обмена накопителя с компьютером в этом процессе не используется: на контроллер накопителя с компьютера подаётся всего несколько команд, остальную работу контроллер накопителя делает сам...

stenn · 06.03.2019, 13:05

Цитата (9285) »

stenn
Немного не правильные причинно-следственные действия.

СПОЙЛЕР »

Полный формат затрагивает участок форматируемого тома - то есть уже созданного.
При таком подходе на диске всё таки останутся мизерные незачищенные области.
Для того чтобы диск был чистым до разметки - можно использовать diskpart и в нём clean с дополнительным ключём (*) или какие либо программы позволяющие обнулить содержимое секторов. Тут главное - не ошибиться с диском.

(*) Ключ не пишу в открытую потому как уж очень оно деструктивный - если применить не к тому диску. Но его можно узнать используя help clean

diskpart это из командной строки?
вы про это и писали раньше или про форматирование из диксменеджера?

СПОЙЛЕР »

Что касается формата - учти один основной момент. В современных ОС, при полном формате, участок раздела сначала обнуляется а потом создаётся структура нового тома. Это дольше чем быстрый формат,но зато удаляет все данные, которые были ранее (без возможности восстановления) - полезно в случае если потом (не дай бог) случится что то с данными; при восстановлении не будет лишнего мусора.

9285 · 06.03.2019, 15:38

Smirnoff
Кстати, да - насчёт формата. Если его делать и diskpart-а, то без дополнительного ключа QUICK (то есть по дефолту) он форматит полным.
Тем не менее, ну я так решил что лучше не светить в явном виде, тем более что есть "читающие фрагментами" и т.д.
Что касается SE Где то в закоулках памяти есть воспоминания о случаях проблем после SE - например залочился диск. Возможно что это было стечение обстоятельств, а может что не так делалось, но если нет подтверждения невинности SE, тем более что я этим практически не пользовался, то я действую по принципу "Лучше промолчу, чтобы не было плохо".

stenn

Цитата

diskpart это из командной строки?

Ага.

Цитата

вы про это и писали раньше или про форматирование из диксменеджера?

Я писал про то какие форматы бывают. В дисменеджере по умолчанию делается быстрый, а вот в дискпарте - написано выше.

stenn · 06.03.2019, 17:57

СПОЙЛЕР »

Цитата (9285) »

Smirnoff
Кстати, да - насчёт формата. Если его делать и diskpart-а, то без дополнительного ключа QUICK (то есть по дефолту) он форматит полным.
Тем не менее, ну я так решил что лучше не светить в явном виде, тем более что есть "читающие фрагментами" и т.д.
Что касается SE Где то в закоулках памяти есть воспоминания о случаях проблем после SE - например залочился диск. Возможно что это было стечение обстоятельств, а может что не так делалось, но если нет подтверждения невинности SE, тем более что я этим практически не пользовался, то я действую по принципу "Лучше промолчу, чтобы не было плохо".

stenn
Ага.
Я писал про то какие форматы бывают. В дисменеджере по умолчанию делается быстрый, а вот в дискпарте - написано выше.

спасибо

stenn · 10.03.2019, 01:35

Цитата (9285) »

stenn
Я уже написал тебе возможные варианты.
Если не хочется заморачиваться с патченьем - восстанови на другой носитель "отсутствовавшие" в проводнике папки (насколько понимаю - такая одна), сделай MBRon и запиши эту папку назад. А далее разгребай папки из Found.00
Если хочется попробовать "экстриму" - восстанавливай всё ценное на другой диск, я тебе напишу как патчить MFT и после того, и отработки чекдиска прийдёшь к тому что будет Found.00 и та одна.

И конечно же, есть вариант - восстановить всё на другой носитель, форматнуть раздел (а может и поделить его заодно и вернуть всё на место.
Или

восстановил "отсутствовавшие" в проводнике папки в ДМДЕ. сделал MBRon(в моём случае GPT on).
в диск менеджере диск был как не размеченный,
сделал Primary Partition и присвоил разделу ту букву которая была раньше. папка фаунд.00 и другие не появились и винда просит его форматнуть.
думаю не стоит этого делать.
или я не прав?
что я не так сделал?

9285 · 10.03.2019, 09:38

stenn
Блин......
Сделал Primary Partititon или ещё и форматнул?
Срочно забери букву у тома, потом делай MBRoff и обязательно сделай то, что ты не сделал после MBRon (или что то из пропустил):
- применить изменение разметки в DMDE
- перезагрузить систему или зайти в диспетчер дисков винды и там обновить состояние.
Только после этих действий срабатывает как отключение, так и включение.

stenn · 10.03.2019, 13:54

Цитата (9285) »

stenn
Блин......
Сделал Primary Partititon или ещё и форматнул?
Срочно забери букву у тома, потом делай MBRoff и обязательно сделай то, что ты не сделал после MBRon (или что то из пропустил):
- применить изменение разметки в DMDE
- перезагрузить систему или зайти в диспетчер дисков винды и там обновить состояние.
Только после этих действий срабатывает как отключение, так и включение.

не. я не форматировал. решил сначала спросить

спасибо. не знал об этих шагах
букву убрал,MBRoff сделал
я правильно понял- сначала MBRoff, потом MBR on, потом применить изменение разметки в DMDE,потом перезагрузка и обновить состояние?

9285 · 10.03.2019, 14:41

Нет, неправильно.
Смысл выключать и тут же включать?
Сейчас надо "выключить" - потом разобраться что там сделалось, если что то повредилось исправить и лишь тогда делать "включение".
Для начала покажи скриншоты:
- экрана Разделы
- экран после открытия тома.

stenn · 10.03.2019, 14:58

Цитата (9285) »

Нет, неправильно.
Смысл выключать и тут же включать?
Сейчас надо "выключить" - потом разобраться что там сделалось, если что то повредилось исправить и лишь тогда делать "включение".
Для начала покажи скриншоты:
- экрана Разделы
- экран после открытия тома.

вроде всё так же(как до фул скана).

9285 · 10.03.2019, 15:02

Это в DMDE выглядит так же, но ты же сам писал -

Цитата

папка фаунд.00 и другие не появились и винда просит его форматнуть

А это значит что что то не так.

Сделай следующее - нажми GPT on и сделай скриншот в таком состоянии.
При этом расширь столбец с номером последнего сектора так, чтобы было полностью видно значения. Применять изменения не надо.

stenn · 10.03.2019, 15:07

Цитата (9285) »

Это в DMDE выглядит так же, но ты же сам писал -

А это значит что что то не так.

это потому что я наверное не правильно делал. а именно не сделал как вы писали-
- применить изменение разметки в DMDE
- перезагрузить систему или зайти в диспетчер дисков винды и там обновить состояние.
просто не знал про эти шаги после мбр он и полез в диск менеджер.

скриншоты вам что-то говорят или надо что-то еще сделать?

9285 · 10.03.2019, 15:26

Я там добавил какой скриншот нужен.

stenn · 10.03.2019, 15:30

Цитата (9285) »

Я там добавил какой скриншот нужен.

правильно?

9285 · 10.03.2019, 15:43

Ага. Интересно чем ты создавал том?
Винда обычно делает допраздел, и в этом случае она должна была бы затереть бутсектор старого раздела - а он цел. И это спасло тебя.
Закрой программу, на сообщение о записи ответь отменить.
Запусти, открой диск, и на экране Разделы вставь том с началом в секторе 264192 (с индикаторами BCF) - как GUId. Примени разметку - при этом должно будет сделаться и GPT.
Ну а далее, как теперь стало понятно - или обновить в диспетчере или перезагрузить. Если (вдруг) будет предложено проверить диск на ошибки - откажись.

stenn · 10.03.2019, 16:31

Цитата (9285) »

Ага. Интересно чем ты создавал том?
Винда обычно делает допраздел, и в этом случае она должна была бы затереть бутсектор старого раздела - а он цел. И это спасло тебя.
Закрой программу, на сообщение о записи ответь отменить.
Запусти, открой диск, и на экране Разделы вставь том с началом в секторе 264192 (с индикаторами BCF) - как GUId. Примени разметку - при этом должно будет сделаться и GPT.
Ну а далее, как теперь стало понятно - или обновить в диспетчере или перезагрузить. Если (вдруг) будет предложено проверить диск на ошибки - откажись.

спасибо.получилось

9285 · 10.03.2019, 16:42

На всякий случай, если вдруг исчезнешь.

Файлы дампов MFT желательно обнулить а потом удалить. Если их просто удалить, и (не дай бог) что то случится с томом на котором записаны эти дампы, то в процессе восстановления записи этих дампов могут сбивать с толку.

stenn · 10.03.2019, 17:01

Цитата (9285) »

На всякий случай, если вдруг исчезнешь.

Файлы дампов MFT желательно обнулить а потом удалить. Если их просто удалить, и (не дай бог) что то случится с томом на котором записаны эти дампы, то в процессе восстановления записи этих дампов могут сбивать с толку.

ну наверное исчезну. по крайней мере надоедать больше не буду(до новой проблемы)

"Файлы дампов MFT обнулить а потом удалить."-есть ссылка где можно почитать инструкцию?

9285 · 10.03.2019, 18:26

Для того чтобы обнулить какой то файл (в DMDE) надо в начальном меню выбрать "Образы дисков" и загрузить файл.
Далее, в меню Сервис - Заполнить секторы
Правее поля Конечный сектор нажимаешь max - программа подставит последний сектор файла.
Нажимаешь Ок.
После зануления можешь удалять чем угодно.
ЗЫ:Если мне кто то и надоедает - то я просто перестану отвечать.

stenn · 10.03.2019, 18:52

Цитата (9285) »

Для того чтобы обнулить какой то файл (в DMDE) надо в начальном меню выбрать "Образы дисков" и загрузить файл.
Далее, в меню Сервис - Заполнить секторы
Правее поля Конечный сектор нажимаешь max - программа подставит последний сектор файла.
Нажимаешь Ок.
После зануления можешь удалять чем угодно

не делал этого раньше. надеюсь не накосячу и опять все файлы исчезнут
а прежде чем загрузить нужно заранее что-то сохранить?
или это просто название функции?

Цитата (9285) »

ЗЫ:Если мне кто то и надоедает - то я просто перестану отвечать.

понял. мой косяк. плохо надоедал)

9285 · 10.03.2019, 20:00

В данном случае, если ты открываешь файл, то обнулится только он.
Как вариант - использовать альтернативное удаление в файловом менеджере FAR или может что то ещё, что при удалении зачищает сектора занимаемые файлом.
В принципе, можешь и не делать это, но вспомни про то, что я писал тебе в самом начале по поводу "чистоты" в твоей ситуации. Был бы какой то другой мусор и не факт что было бы так просто.

stenn · 10.03.2019, 20:26

Цитата (9285) »

В данном случае, если ты открываешь файл, то обнулится только он.
Как вариант - использовать альтернативное удаление в файловом менеджере FAR или может что то ещё, что при удалении зачищает сектора занимаемые файлом.
В принципе, можешь и не делать это, но вспомни про то, что я писал тебе в самом начале по поводу "чистоты" в твоей ситуации. Был бы какой то другой мусор и не факт что было бы так просто.

понял.спасибо. попробую когда завершу восстанавливать.
да,с чистотой мне видимо повезло)

kickman · 22.03.2020, 06:03

Цитата (9285) »

Как вариант - использовать альтернативное удаление в файловом менеджере FAR или может что то ещё, что при удалении зачищает сектора занимаемые файлом.

На удаляемый файл навести указатель, нажать ALT+DELETE - появится запрос Уничтожить/Wipe - нажав F1 можно прочитать про это.

9285 · 27.07.2022, 21:57

Цитата (Smirnoff) »

Как минимум, "быстрый запуск" стОит отключить на время разборок

Новая вводная.
На одном из форумов прочитал
Странная ситуация, может кто-то сталкивался? Суть вот в чем:
Windows 8.1 на SSD, C:\WINDOWS
Машина работает неделями без перезагрузки, suspend/hibernate, никаких проблем.
CHKDSK C: - никаких ошибок.
Гружусь с флэшки Strelec LiveCD чтобы забэкапить некоторые файлы (реестр из WINDOWS\system32\config).
После этого гружусь в систему как обычно, CHKDSK C: - полезли ошибки (file linkage, volume bitmap errors).
Пару раз доходило до BSOD, хорошо что свежая копия реестра осталась.
Т.е. Стрелец как-то криво монтирует NTFS C: раздел и портит там MFT ?
Сам я под Стрельцом _на_ C: ничего не записывал, только _с_ него.
Может надо сборку Стрельца поновее или наоборот, более старую, но с этой какая-то беда.

Чуйка подсказывает что проблема в быстром запуске.
Тема староватая, было бы интересно что лежит в основе Стрельца (7-ка или новее).
Так что, лучше сразу отключать, что собственно я и делаю на всех доступных компах и буках.

20.02.2019, 22:28	Вверх #1
stenn Интересующийся Автор темы Регистрация: 20.02.2019	после CHKDSK не видно фалов(win10) добрый день у меня произошла следующая проблема с винчестером. поробую описать: раз или два в год делаю бэкап всякой музыки итд на отдельные винчестеры(которые лежат отдельно). вот и решил на этот раз(раньше делал в win7 но перешел на win10 так что в этот раз делал на десятке) 1й HDD(основной, на котором и случился сбой стоит непосредственно в корпусе( это Western Digital WD80PUZX). с присвоенным именем m-ziq3(blabla) .он в GPT,NTFS. винчестер не разделен на разделы,просто создал папку в которую копировал музыку. 2й HDD на который делал бекап воткнут в док станцию в корпусе.док напрямую подключёт к мат.плате сата кабелем.(это Western Digital WD30EURS) с присвоенным именем backup m-zq1(blabla) бэкап делал в программе TOTAL COMMANDER Image 22.22 сравнивал два диска при помощи програмы,которая в сборке тотал коммандера- beyond compare 3.09.(в ней использовал функцию исключить для тех файлов,которые на на другом винчестере для бэкапа). еще в это время была включена программа Soulseek(p2p клиент),в которой так же расшаренны файлы с первого диска(не знаю важно это или нет,но решил упамянуть). и возможно что-то слушал с 1го HDD в плеере foobar(но точно не помню) делал бэкап вечером.на ночь комп выключал. утром когда влючил комп,началась проверка CHKDSK(какой именно диск проверялся,я не смотрел). потом обнаружил что на 1м винчестере (WD80PUZX) пропали файлы. а название с m-ziq3(blabla) поменялось на backup m-zq1(blabla). т.е. 1й диск почему то стал называться как 2й. после чего я вытащил из док станции диск 2(WD30EURS) и перезагрузил комп. но всё осталось по прежнему(винчестер без файлов с названием от 2го винчестера). после чего проверил этот винч на ошибки(без исправления) програмой PartitionWizard MiniTool. а потом проверил программой testdisk-7.1,но ничего не исправлял и не востанавливал а просто посмотрел содежимое диска(комманда list вроде) надеюсь CHKDSK не мог затереть около 4Tb ормации зп 3 минуты. скорее всего фалы на винчестере просто спрятаны. хотелось бы восстановить(т.к. информация довольно ценная) дополнительно: windows 10 enterprise(x64) с последними обнвлениями Gigabyte z87x-ud5h-cf intel core i5 4690k 3,5Ghz надеюсь ничего не забыл. извеняюсь за много букв и надеюсь на помощь. скрины SMART и DMDE с проблемного винчестера прилагаю. GPT+MBR не отключал готов следовать инструкциям Миниатюры

20.02.2019, 22:41	Вверх #2
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Исходя из написанного, первое что напрашивается -т после включения винда сдампила (как минимум) заголовок MFT на другой диск. Подробности напишу чуть позже, сейчас главное в такой ситуации - исключить запись на диск чтобы не произошли дальнейшие повреждения. Ну а далее надо бы провести анализ того что сейчас на дисках. То есть что сейчас в MFT, сколько переписано, что сделал чекдиск. Добавлено через 31 минуту Всё что будет написано ниже предполагает то, что ты хочешь разобраться в ситуации, если же нет желания этим заниматься, то можно "тупо" запустить рековерилку и восстановить что выжило. СПОЙЛЕР » Я не знаю как устроено в деталях, а по простому: - начиная с 8-ки в винде по умолчанию включён режим быстрого запуска - если он включён, при завершении работы завершается только сеанс пользователя а сама винда вводится в гибернацию - после запуска винда восстанавливает бывшее до этого состояние "окружения" Вот здесь вопрос в том, что она делает делает в части файловой системы томов дисков. Если предположить что "привязка" идёт с идентификатору диска, то как бы проблем не должно быть. Другое дело если "привязка" идёт к "номеру" диска, который виден в том же диспетчере дисков винды. В таком случае, если по какой то причине этот номер изменился, то и может произойти что состояние MFT запишется на другой том (диск) и т.п. Другой причины я не вижу, потому как метка тома хранится в 3-ей записи и поменяться сама по себе не может. Ну и, если такое произошло то, конечно же, будут какие то несоответствия, которые и начнёт исправлять чекдиск. Причём кроме "фишки" быстрого запуска в новоделах и чекдиск тоже другой - он даже без запуска может исправлять некоторые типы "ошибок". Последний раз редактировалось 9285; 20.02.2019 в 22:46.

21.02.2019, 00:57	Вверх #3
stenn Интересующийся Автор темы Регистрация: 20.02.2019	Цитата (9285) » Исходя из написанного, первое что напрашивается -т после включения винда сдампила (как минимум) заголовок MFT на другой диск. Подробности напишу чуть позже, сейчас главное в такой ситуации - исключить запись на диск чтобы не произошли дальнейшие повреждения. Ну а далее надо бы провести анализ того что сейчас на дисках. То есть что сейчас в MFT, сколько переписано, что сделал чекдиск. Добавлено через 31 минуту Всё что будет написано ниже предполагает то, что ты хочешь разобраться в ситуации, если же нет желания этим заниматься, то можно "тупо" запустить рековерилку и восстановить что выжило. СПОЙЛЕР » Я не знаю как устроено в деталях, а по простому: - начиная с 8-ки в винде по умолчанию включён режим быстрого запуска - если он включён, при завершении работы завершается только сеанс пользователя а сама винда вводится в гибернацию - после запуска винда восстанавливает бывшее до этого состояние "окружения" Вот здесь вопрос в том, что она делает делает в части файловой системы томов дисков. Если предположить что "привязка" идёт с идентификатору диска, то как бы проблем не должно быть. Другое дело если "привязка" идёт к "номеру" диска, который виден в том же диспетчере дисков винды. В таком случае, если по какой то причине этот номер изменился, то и может произойти что состояние MFT запишется на другой том (диск) и т.п. Другой причины я не вижу, потому как метка тома хранится в 3-ей записи и поменяться сама по себе не может. Ну и, если такое произошло то, конечно же, будут какие то несоответствия, которые и начнёт исправлять чекдиск. Причём кроме "фишки" быстрого запуска в новоделах и чекдиск тоже другой - он даже без запуска может исправлять некоторые типы "ошибок". спасибо. да,конечно хочу разобраться что случилось. т.к. с таким еще не сталкивался. на вин7 бэкап делал не раз по той же схеме,но видимо с десяткой что-то пошло не так. ну и хотелось бы вернуться к состоянию до чекдиск(если это возможно), т.е. чтобы опять появились файлы. к тому же планирую бэкап других винчестеров(не хотелось бы повтора). а по поводу "запустить рековерилку" то р-студио вроде и так умею пользоваться)) а как посоветуете сделать "исключить запись на диск чтобы не произошли дальнейшие повреждения"?. читал что можно при помощи dmde сделать Mbr off,я планировал так сделать,но у меня GPT+MBR off и после нажатия применить, дмде предупреждает о стирании или перезаписи файлов(я испугался и отменил). ну и так же чем лучше"Ну а далее надо бы провести анализ того что сейчас на дисках" сделать? Последний раз редактировалось stenn; 21.02.2019 в 02:12.

21.02.2019, 09:17	Вверх #4
Smirnoff 12.12.1959 - 5.11.2025 Регистрация: 30.12.2004 Адрес: Новосибирск	Цитата (stenn) » на вин7 бэкап делал не раз по той же схеме В семёрке просто не было "быстрого запуска". __________________ С уважением, Олег Р. Смирнов

21.02.2019, 17:10	Вверх #11
Smirnoff 12.12.1959 - 5.11.2025 Регистрация: 30.12.2004 Адрес: Новосибирск	Цитата (9285) » По хорошему (ну или ИМХО) его надо вообще отключить. Как минимум, "быстрый запуск" стОит отключить на время разборок (а то он и ещё чего может "подправить"). Но в целом... опасная такая фигня у M$ получилась. Если не отключать "быстрый запуск", то мне видится лишь один вариант хоть как-то подстраховаться: все/любые внешние накопители подключать только на запущенной системе. И отключать - тоже на запущенной системе (т.н. "безопасным выключением", Ага ). Причем между подключением и отключением категорически нельзя систему выключать (и лучше даже не перезагружать)... __________________ С уважением, Олег Р. Смирнов

21.02.2019, 11:59	Вверх #5
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	stenn Применительно к твоей ситуации, вполне возможно (), что хватит и удаления буквы у тома. Но MBR(GPT) off более надёжен. При выполнении его надо не забыть что надо применить изменения и сделать так, чтобы винда узнала об этом (одно из ниже перечисленного): - обновить данные в штатной оснастке управления дисками (актуальных версий Win) - можно перезагрузить систему - в случае внешнего носителя, переподключить его При этом надо понимать что после этого в диспетчере дисков диск будет выглядеть как неинициализированный и винда преlложит его проинициализировать - ни в коем разе нельзя этого делать* (особенно инициализацию как GPT). В последующем, когда нужно будет начать работу с диском, достаточно будет сделать обратную процедуру - MBR/GPT on. () Не знаю как в случае иных ОСей, но если используется Windows нельзя что то гарантировать на 100%. Чекдиск может работать с томами у которых нет буквы, и где гарантия что ему не примерещится какая то "ошибка"? Как то подключил обнулённую флэшку к винде а потом на ней увидел какие то байты. На тот момент особо не разбирался, но судя по всему наследила ReadyBoost - видимо делала какой то тест на возможность использования. Поэтому надо перестраховываться и самой верной перестраховкой является посекторка диска. Добавлено через 17 минут* Что касается "анализов". 1. Для начала открыть том в DMDE и посмотреть в нижнее правое окно. В атрибуте STANDARD_INFORMATION будет видна дата и время. Вот сравнить её на одном диске и другом. Если идентичны, то это уже признак того что записи другого тома записались на место родных. 2. Далее надо определить размер MFT. Его можно увидеть в верхнем правом окне в папке Metadata - смотреть $MFT. 3. Сделать полное сканирование (оставив чекбокс только на той ФС которая использовалась, можно оставить и RAW) участка тома, проанализировать результат на предмет того какие записи относятся к родному тому, попали ли они в "новую" MFT или нет.

21.02.2019, 14:51	Вверх #6
stenn Интересующийся Автор темы Регистрация: 20.02.2019	Цитата (9285) » stenn Применительно к твоей ситуации, вполне возможно (), что хватит и удаления буквы у тома. Но MBR(GPT) off более надёжен. При выполнении его надо не забыть что надо применить изменения и сделать так, чтобы винда узнала об этом (одно из ниже перечисленного): - обновить данные в штатной оснастке управления дисками (актуальных версий Win) - можно перезагрузить систему - в случае внешнего носителя, переподключить его При этом надо понимать что после этого в диспетчере дисков диск будет выглядеть как неинициализированный и винда преlложит его проинициализировать - ни в коем разе нельзя этого делать* (особенно инициализацию как GPT). В последующем, когда нужно будет начать работу с диском, достаточно будет сделать обратную процедуру - MBR/GPT on. () Не знаю как в случае иных ОСей, но если используется Windows нельзя что то гарантировать на 100%. Чекдиск может работать с томами у которых нет буквы, и где гарантия что ему не примерещится какая то "ошибка"? Как то подключил обнулённую флэшку к винде а потом на ней увидел какие то байты. На тот момент особо не разбирался, но судя по всему наследила ReadyBoost - видимо делала какой то тест на возможность использования. Поэтому надо перестраховываться и самой верной перестраховкой является посекторка диска. Добавлено через 17 минут* Что касается "анализов". 1. Для начала открыть том в DMDE и посмотреть в нижнее правое окно. В атрибуте STANDARD_INFORMATION будет видна дата и время. Вот сравнить её на одном диске и другом. Если идентичны, то это уже признак того что записи другого тома записались на место родных. 2. Далее надо определить размер MFT. Его можно увидеть в верхнем правом окне в папке Metadata - смотреть $MFT. 3. Сделать полное сканирование (оставив чекбокс только на той ФС которая использовалась, можно оставить и RAW) участка тома, проанализировать результат на предмет того какие записи относятся к родному тому, попали ли они в "новую" MFT или нет. спасибо.надеюсь что всё проще чем я думаю. правильно я понял-первым делом в DMDE сделать MBR(GPT) off и перезагрузить комп(и не разрешать проинициализировать).? и после этого идти смотреть в атрибуте STANDARD_INFORMATION дата и время? мне надо обратно воткнуть в док 2й винчестер? и с ним проделать тоже(MBR(GPT) off и смотреть STANDARD_INFORMATION? полное сканирование делать в DMDE обоих HDD? и еще как избежать случайного Чекдиск(его можно где-то отключить?

21.02.2019, 15:08	Вверх #7
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	stenn 1. Предложение инициализации появляется когда заходишь в штатную оснастку управления дисками винды. Так что, если ты не будешь заходить туда, то предложения о таковом не должно быть. 2. Да, тебе надо будет подключить и второй диск - ведь как то же надо убедиться в том какие там значения в указанном атрибуте. 3. MBR off и полное сканирование делается только на проблемном диске. 4. В нормальных версиях винды запуск чедиска можно было отключить используя команду chkntfs с соответствующими ключами. Наверное и в новоделах такое возможно, но я не проверял. Да и речь идёт не столько о случайном запуске, от которого ещё можно успеть отказаться (кроме случая запуска в безопасном режиме) а о том что чекдиск может работать без явной видимости. Можно ли это как то отключить - не знаю. Как вариант - попробовать на время удалить или переименовать исполняемый файл. Но нельзя исключать что он восстановится защитой системы. PS. Просьба не делать такие огромные цитирования (или хотя бы прячь под спойлер).

21.02.2019, 15:26	Вверх #8
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » stenn 1. Предложение инициализации появляется когда заходишь в штатную оснастку управления дисками винды. Так что, если ты не будешь заходить туда, то предложения о таковом не должно быть. 2. Да, тебе надо будет подключить и второй диск - ведь как то же надо убедиться в том какие там значения в указанном атрибуте. 3. MBR off и полное сканирование делается только на проблемном диске. 4. В нормальных версиях винды запуск чедиска можно было отключить используя команду chkntfs с соответствующими ключами. Наверное и в новоделах такое возможно, но я не проверял. Да и речь идёт не столько о случайном запуске, от которого ещё можно успеть отказаться (кроме случая запуска в безопасном режиме) а о том что чекдиск может работать без явной видимости. Можно ли это как то отключить - не знаю. Как вариант - попробовать на время удалить или переименовать исполняемый файл. Но нельзя исключать что он восстановится защитой системы. PS. Просьба не делать такие огромные цитирования (или хотя бы прячь под спойлер). соррию извиняюсь за большие цитаты. теперь буду прятать)) штатная оснастка управления дисками винды это как я понял DISCMGMT или в Computer Management? мне лучше сначала сделать MBR off и полное сканирование 1го диска а потом подклучить 2й и смотреть дату и время обоих? надо делать скрин? ох уж этот чекдиск кстати у меня установленна win7 как 2я ОС на всякий случай(правда работоспособность не проверял давно) на время удалить или переименовать исполняемый файл-про это не понял.

21.02.2019, 15:48	Вверх #9
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	1. Про штатную правильно понял. 2. Как хочешь, но я бы для начала сравнил данные атрибута чтобы понять реальность версии замены записей. А потом уже и сканирование. Кстати, по ходу сканирования делай промежуточные сохранения (в лог файл). Полезно на случай если вдруг будет какой то срыв, то можно будет продолжить с места последнего сохранения. 3. Можешь делать скрины, можешь делать дампы секторов - любая уточняющая информация лишней не бывает. 4. Запускаемый файл чекдиска chkdsk.exe - по логике, если его удалить, то он не сможет запуститься. Это просто мысль а не руководство к действию. 5. Кстати, если стоит 7-ка и тебе надо будет ею пользоваться то там тоже есть нюансы (возможные проблемы) связанные с тем же быстрым запуском. С ним же связаны и другие проблемы типа когда выключают комп, отключают внешний диск, идут с ним куда, записывают файлы, потом подключают опять к компу, запускают и ....записанных данных нет. По хорошему (ну или ИМХО) его надо вообще отключить.

21.02.2019, 16:45	Вверх #10
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » 1. Про штатную правильно понял. 2. Как хочешь, но я бы для начала сравнил данные атрибута чтобы понять реальность версии замены записей. А потом уже и сканирование. Кстати, по ходу сканирования делай промежуточные сохранения (в лог файл). Полезно на случай если вдруг будет какой то срыв, то можно будет продолжить с места последнего сохранения. 3. Можешь делать скрины, можешь делать дампы секторов - любая уточняющая информация лишней не бывает. 4. Запускаемый файл чекдиска chkdsk.exe - по логике, если его удалить, то он не сможет запуститься. Это просто мысль а не руководство к действию. 5. Кстати, если стоит 7-ка и тебе надо будет ею пользоваться то там тоже есть нюансы (возможные проблемы) связанные с тем же быстрым запуском. С ним же связаны и другие проблемы типа когда выключают комп, отключают внешний диск, идут с ним куда, записывают файлы, потом подключают опять к компу, запускают и ....записанных данных нет. По хорошему (ну или ИМХО) его надо вообще отключить. а данные атрибута делать до выключения MBR off? и их делать на обоих дисках? или лучше всё сделать на 1м а потом втыкать 2й винчестер,т.к. 2й сейчас отключён и просто лежит на полке(не хочется лишних глюков) ок скрины и дампы постараюсь делать регулярно про chkdsk понял.лучше не буду его трогать. а про вин7 это я на всякий случай упамянул(вдруг она лучше подходит для моей задачи)

21.02.2019, 17:21	Вверх #12
stenn Интересующийся Автор темы Регистрация: 20.02.2019	Цитата (Smirnoff) » Как минимум, "быстрый запуск" стОит отключить на время разборок (а то он и ещё чего может "подправить"). Но в целом... опасная такая фигня у M$ получилась. Если не отключать "быстрый запуск", то мне видится лишь один вариант хоть как-то подстраховаться: все/любые внешние накопители подключать только на запущенной системе. И отключать - тоже на запущенной системе (т.н. "безопасным выключением", Ага ). Причем между подключением и отключением категорически нельзя систему выключать (и лучше даже не перезагружать)... если честго не совсем понял что нужно отключить.вы про chkdsk? и как отключать "быстрый запуск"?(если это надо вообще) или вы про MBR off? спасибо. значит 2й хард втыкать только на время проверки при запущенной вин10 и вытыкать перед выключением или перезагрузкой,я правильно понял?

21.02.2019, 18:00	Вверх #13
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Данные атрибута можно смотреть в любой момент. Конечно же на двух - а как по другому можно сравнить? Если же есть боязнь ещё какой то напасти, то тогда в первую очередь сделать MBRoff на проблемном диске, а потом всё остальное. Кстати, судя по практике, указанный атрибут не меняется тем же чекдиском при каких либо исправлениях, в том числе и в случае если даже там какое то 00-вое значение. И это иногда помогает в понимании тех или иных моментов при расследовании ситуации. Например, понятно когда была сформирована MFT. В том числе поэтому, когда делаю патчи для MFT в "импланты" записей стараюсь вносить оригинальный временной штамп из выживших записей. Цитата а про вин7 это я на всякий случай упамянул(вдруг она лучше подходит для моей задачи) Это хорошо, потому как к этому вопросу мы вернёмся чуть позже. А в плане восстановления у 7-ки - точнее её чекдиска есть главный плюс - он не делает исправлений сам по себе. Добавлено через 2 минуты Smirnoff А вот перезагружать систему как раз таки можно, потому как при ней происходит полноценное завершение работы системы (и последующий запуск). Что касается опасности быстрого запуска, то я бы сказал что его вредное действие усиливается ранее упомянутым онлайновым чекдиском.

21.02.2019, 18:47	Вверх #14
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » Данные атрибута можно смотреть в любой момент. Конечно же на двух - а как по другому можно сравнить? Если же есть боязнь ещё какой то напасти, то тогда в первую очередь сделать MBRoff на проблемном диске, а потом всё остальное. Кстати, судя по практике, указанный атрибут не меняется тем же чекдиском при каких либо исправлениях, в том числе и в случае если даже там какое то 00-вое значение. И это иногда помогает в понимании тех или иных моментов при расследовании ситуации. Например, понятно когда была сформирована MFT. В том числе поэтому, когда делаю патчи для MFT в "импланты" записей стараюсь вносить оригинальный временной штамп из выживших записей. Это хорошо, потому как к этому вопросу мы вернёмся чуть позже. А в плане восстановления у 7-ки - точнее её чекдиска есть главный плюс - он не делает исправлений сам по себе. Добавлено через 2 минуты Smirnoff А вот перезагружать систему как раз таки можно, потому как при ней происходит полноценное завершение работы системы (и последующий запуск). Что касается опасности быстрого запуска, то я бы сказал что его вредное действие усиливается ранее упомянутым онлайновым чекдиском. MBRoff сделал.дамп сохранил подскажите как правильно сделать данные атрибута?

21.02.2019, 19:04	Вверх #15
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	stenn Как написано выше - открываешь том, который на твоём скриншоте виден с индикаторами BCF и смотри в нижнее правое окно - на значение выделенное зелёной рамкой на моём скриншоте. Можешь сделать скриншот и прикрепить к сообщению (в расширенном режиме редактирования - скрепка). Миниатюры

21.02.2019, 19:05	Вверх #16
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	PS. После MBRoff том на экране Разделы будет уже не синий а жёлтый.

21.02.2019, 19:32	Вверх #17
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » stenn Как написано выше - открываешь том, который на твоём скриншоте виден с индикаторами BCF и смотри в нижнее правое окно - на значение выделенное зелёной рамкой на моём скриншоте. Можешь сделать скриншот и прикрепить к сообщению (в расширенном режиме редактирования - скрепка). сделал обоих хардав. надеюсь правильно жду дальнейший указаний Миниатюры

21.02.2019, 19:50	Вверх #18
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	stenn Явно видно что всё идентично - то есть причина выявлена. Сейчас не могу сразу сообразить что делать в этой ситуации, потому как не знаю в каком обьёме могла произойти перезапись MFT, которую (судя по всему) потом подрихтовал чекдиск. Первое что приходит на ум - сравнивать MFT на предмет до какой записи они идентичны. Если идти по этому пути, то можно сделать это двумя способами. 1. На 3тб диске тоже исключить возможность записи и в ручном режиме сравнивать соответствующие записи. 2. Сдампить MFT обоих дисков и сравнить дампы в той же WinHex. PS.В любом случае - надо сделать полный скан проблемного раздела и сравнить его данные с данными ранлиста в 0-вой записи. Последний раз редактировалось 9285; 21.02.2019 в 19:53.

21.02.2019, 20:07	Вверх #19
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » stenn Явно видно что всё идентично - то есть причина выявлена. Сейчас не могу сразу сообразить что делать в этой ситуации, потому как не знаю в каком обьёме могла произойти перезапись MFT, которую (судя по всему) потом подрихтовал чекдиск. Первое что приходит на ум - сравнивать MFT на предмет до какой записи они идентичны. Если идти по этому пути, то можно сделать это двумя способами. 1. На 3тб диске тоже исключить возможность записи и в ручном режиме сравнивать соответствующие записи. 2. Сдампить MFT обоих дисков и сравнить дампы в той же WinHex. PS.В любом случае - надо сделать полный скан проблемного раздела и сравнить его данные с данными ранлиста в 0-вой записи. понял вас. спасибо сделаю на 2м диске MBR off тоже Сдампить MFT обоих дисков и сравнить дампы в той же WinHex-я не знаю как(ни разу не делал) но WinHex есть в наличии(в сборках тотал командер)

21.02.2019, 20:19	Вверх #20
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Про то как сдампить и сравнить напишу позже. А пока можешь попробовать открыть том на проблемном диске. Затем в верхнем правом окне "зайди" во "Все найденные / виртуальная реконструкция" - на появившемся экране опций виртуальной реконструкции можешь пару раз нажать чекбокс "включая удалённые" (чтобы он был пустым - это уменьшит обьём выводимых файлов) и далее Ок. Виртуальная реконструкция ничего не изменяет а просто считывает данные MFT. После реконструкции заходи в папку Root и смотри что там и сколько - там только данные другого диска или есть что то из твоего? Попутно обращай внимание на ID файлов (папок) - интересно какое будет максимальное значение для файлов которые относятся к другому диску. Хинт. После виртуально реконструкции можно в меню Сервис выбрать "Поиск в найденном". По окончании поиска сделать сортировку по ID и посмотреть какое максимальное значение ID. Добавлено через 1 час 9 минут 1. В DMDE открываешь том, заходишь в папку Metadata, выбираешь $MFT и в контекстном меню Восстановить. Указываешь куда - если на том с NTFS то не в корневой каталог. После восстановления можешь переименовать файл и снять с него атрибут скрытого и системного. То же самое делаешь для другого тома. 2. В WinHex: - открываешь оба этих файла - для удобства для обоих файлов выбрать в меню Specialist - Interpret Image File As Disk - затем выбрать расположение окон как горизонтальное - в меню View - Synchronize & Compare А далее смотришь где разница. Смотри номера секторов и учитывай что типичная запись занимает 2 сектора. То есть, чтобы определить номер записи достаточно поделить номер сектора на 2. Конечно же, будет много мелких отличий - интересуют глобальные. Последний раз редактировалось 9285; 21.02.2019 в 20:22. Причина: Добавил хинт

22.02.2019, 00:56	Вверх #21
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » Про то как сдампить и сравнить напишу позже. А пока можешь попробовать открыть том на проблемном диске. Затем в верхнем правом окне "зайди" во "Все найденные / виртуальная реконструкция" - на появившемся экране опций виртуальной реконструкции можешь пару раз нажать чекбокс "включая удалённые" (чтобы он был пустым - это уменьшит обьём выводимых файлов) и далее Ок. Виртуальная реконструкция ничего не изменяет а просто считывает данные MFT. После реконструкции заходи в папку Root и смотри что там и сколько - там только данные другого диска или есть что то из твоего? Попутно обращай внимание на ID файлов (папок) - интересно какое будет максимальное значение для файлов которые относятся к другому диску. Хинт. После виртуально реконструкции можно в меню Сервис выбрать "Поиск в найденном". По окончании поиска сделать сортировку по ID и посмотреть какое максимальное значение ID. Добавлено через 1 час 9 минут 1. В DMDE открываешь том, заходишь в папку Metadata, выбираешь $MFT и в контекстном меню Восстановить. Указываешь куда - если на том с NTFS то не в корневой каталог. После восстановления можешь переименовать файл и снять с него атрибут скрытого и системного. То же самое делаешь для другого тома. 2. В WinHex: - открываешь оба этих файла - для удобства для обоих файлов выбрать в меню Specialist - Interpret Image File As Disk - затем выбрать расположение окон как горизонтальное - в меню View - Synchronize & Compare А далее смотришь где разница. Смотри номера секторов и учитывай что типичная запись занимает 2 сектора. То есть, чтобы определить номер записи достаточно поделить номер сектора на 2. Конечно же, будет много мелких отличий - интересуют глобальные. сделал Виртуальную реконструкцию - прикладываю пару скринов Сделал MFT для обоих дисков,потом в WinHex все как вы сказали - прикладываю скрин. уточните плиз про глобальные отличия- не очень понял куда именно смотреть и может еще какие скрины сделать? Миниатюры

22.02.2019, 01:16	Вверх #22
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	По этим скриншотам сложно что то определить. Единственное что можно увидеть - то, что есть запись 89334. И тут вопрос в том к чему она относится - то есть есть ли такая на 3ТБ диске или она ещё от 8ТБ - при некоторых обстоятельств нельзя исключить что старые записи "соединились с новыми". Не знаю как бы попроще обьяснить слишком хитро вывернутую вещь, но тут есть очень много вариантов развития событий, которые зависят от того где лежала "старая" MFT - если точнее то была ли фрагментированна и какие были фрагменты - то же самое относится и к новой. То есть, есть вариант как частичной, так и полной перезаписи MFT. Я бы мог предложить тебе сбросить мне обе MFT (через приват), чтобы я нашёл границу перезаписи, но даже если бы ты на это согласился - я то не в курсе всей структуры папок чтобы понять где чьё. Что касается глобальных отличий, то подразумеваются не отличия в байтах, которые ты показал а в том что полностью отличается запись - то есть можно понять что запись от прежней MFT. В любом случае, запускай Полное сканирование и потом выложи архив с логом скана (в нём нет ничего конфиденциального) - попробую определить что выжило. Да и сам открой том и посмотри какие данные виды из старых. Причём учти то, что они не будут лежать "на поверхности" - часть может быть в папках типа $Fxxxx, а часть может даже затесаться среди новых папок (случай редкий, но встречается). И еще нужно будет взлянуть на скриншот или дамп, про который напишу позже.

22.02.2019, 01:37	Вверх #23
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Не знаю, получится ли описать как делать дамп, поэтому пока обойдёмся скриншотом. Открываешь проблемный том, переходишь в правое нижнее окно и меняешь Режим отображения на Запись MFT - можно просто нажать Alt+F5. Запись будет выглядеть чуть по другому чем была до этого. Выделяешь атрибут $Data и нажимаешь пробел - должен появиться список типа как на скриншоте. Если он длинный (после него будет следующий атрибут $Bitmap), растяни окно чтобы по возможности влезло всё и заскриншоть. Миниатюры

22.02.2019, 01:41	Вверх #24
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » По этим скриншотам сложно что то определить. Единственное что можно увидеть - то, что есть запись 89334. И тут вопрос в том к чему она относится - то есть есть ли такая на 3ТБ диске или она ещё от 8ТБ - при некоторых обстоятельств нельзя исключить что старые записи "соединились с новыми". Не знаю как бы попроще обьяснить слишком хитро вывернутую вещь, но тут есть очень много вариантов развития событий, которые зависят от того где лежала "старая" MFT - если точнее то была ли фрагментированна и какие были фрагменты - то же самое относится и к новой. То есть, есть вариант как частичной, так и полной перезаписи MFT. Я бы мог предложить тебе сбросить мне обе MFT (через приват), чтобы я нашёл границу перезаписи, но даже если бы ты на это согласился - я то не в курсе всей структуры папок чтобы понять где чьё. Что касается глобальных отличий, то подразумеваются не отличия в байтах, которые ты показал а в том что полностью отличается запись - то есть можно понять что запись от прежней MFT. В любом случае, запускай Полное сканирование и потом выложи архив с логом скана (в нём нет ничего конфиденциального) - попробую определить что выжило. Да и сам открой том и посмотри какие данные виды из старых. Причём учти то, что они не будут лежать "на поверхности" - часть может быть в папках типа $Fxxxx, а часть может даже затесаться среди новых папок (случай редкий, но встречается). И еще нужно будет взлянуть на скриншот или дамп, про который напишу позже. ок.спасибо. я то вообще в MFT ничего не понимаю. по поводу старых и новых файлов,так я регулярно скидываю на 2й диск(есть еще один для первого диска,т.к. первый 8тб.но из-за случившегося до него пока не добрался). так что на втором почти всё что есть на 1м(точнее половина).ну и на первом то что не успел скопировать на 2й.(надеюсь не запутанно объяснил)) Сбросить обе MFT (через приват)- это отправить сообщение по электронной почте? Полное сканирование только 1го диска? том открыть и посмотреть данные-после полного скана?

22.02.2019, 01:47	Вверх #25
stenn Интересующийся Автор темы Регистрация: 20.02.2019	Цитата (9285) » Не знаю, получится ли описать как делать дамп, поэтому пока обойдёмся скриншотом. Открываешь проблемный том, переходишь в правое нижнее окно и меняешь Режим отображения на Запись MFT - можно просто нажать Alt+F5. Запись будет выглядеть чуть по другому чем была до этого. Выделяешь атрибут $Data и нажимаешь пробел - должен появиться список типа как на скриншоте. Если он длинный (после него будет следующий атрибут $Bitmap), растяни окно чтобы по возможности влезло всё и заскриншоть. сделалюнадесь правильно Миниатюры

22.02.2019, 01:58	Вверх #26
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Всё нормально. Видно что MFT одним фрагментом - теперь осталось дождаться результата полного сканирования. Так что запускай полное сканирование - конечно же только проблемного диска. Так как диск большой, скан может длиться долго - так что делай промежуточные сохранения лога. СПОЙЛЕР » MFT содержит имена файлов, которые могут содержать какой то конфидишен. Но главное - в MFT есть такое понятие как резидентный файл. Это очень небольшие файлы - нередко в таких хранят пароли и т.п. Поэтому выкладывать такое в публичный доступ не стоит. Как и отсылать мне, если есть хоть какой то элемент сомнения в моей честности . Если же доверие есть или нет ничего критичного - обычно дамп-файл запковывается в архив WinRAR с нормальным паролем, выкладывается на какой то обменник с возможностью приватной выкладки и паролированием скачки,а также наличием возможности удаления скачки при вводе пароля (к числу таких относится rgho.st) - потом мне в ЛС отсылается ссылка и пароли, я скачиваю и после удаляю файлы с обменника и работаю с ними. Как то так. PS. Можешь где то через полчаса после начала сканирования сделать сохранение лога, запаковать и прикрепить (если получится) к сообщению или выложи на обменник) а здесь дай ссылку. Может можно будет сделать какие то предварительные выводы. Последний раз редактировалось 9285; 22.02.2019 в 02:00.

22.02.2019, 02:04	Вверх #27
stenn Интересующийся Автор темы Регистрация: 20.02.2019	Цитата (9285) » Всё нормально. Видно что MFT одним фрагментом - теперь осталось дождаться результата полного сканирования. Так что запускай полное сканирование - конечно же только проблемного диска. Так как диск большой, скан может длиться долго - так что делай промежуточные сохранения лога. СПОЙЛЕР » MFT содержит имена файлов, которые могут содержать какой то конфидишен. Но главное - в MFT есть такое понятие как резидентный файл. Это очень небольшие файлы - нередко в таких хранят пароли и т.п. Поэтому выкладывать такое в публичный доступ не стоит. Как и отсылать мне, если есть хоть какой то элемент сомнения в моей честности . Если же доверие есть или нет ничего критичного - обычно дамп-файл запковывается в архив WinRAR с нормальным паролем, выкладывается на какой то обменник с возможностью приватной выкладки и паролированием скачки,а также наличием возможности удаления скачки при вводе пароля (к числу таких относится rgho.st) - потом мне в ЛС отсылается ссылка и пароли, я скачиваю и после удаляю файлы с обменника и работаю с ними. Как то так. PS. Можешь где то через полчаса после начала сканирования сделать сохранение лога, запаковать и прикрепить (если получится) к сообщению или выложи на обменник) а здесь дай ссылку. Может можно будет сделать какие то предварительные выводы. одним фрагментом-это ведь хорошо? ок.завтра начну полный скан а как делать промежуточное сохранения лога? и вы писали,Сбросить обе MFT (через приват)- это отправить сообщение по электронной почте?

22.02.2019, 02:18	Вверх #28
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Как сбросить дампы MFT описано под спойлером. Файлы то большие и даже в запакованном виде будут немаленькие. Как сохранять - нажимать кнопку Сохранить в окне поиска. Хотя и читать справку программы тоже полезно (она там неплохая). Что касается хорошо что один фрагмент или нет - тут зависит от того что было раньше и от того сколько дампится (я ещё не интересовался этим моментом). Поэтому тут есть несколько вариантов. 1. Старая MFT была одним фрагментом или первый фрагмент был соизмерим с тем что сейчас в ранлисте. 1.1. Если сдампилось небольшое количество новых записей, то расположенные далее старые выжили и (возможно) подхватились новой записью - вопрос того что натворил в таком случае чекдиск остаётся в воздухе. 1.2. Если сдампилась вся MFT, то соответственно более 120 тысяч старых записей канули в нирвану. 2. Старая запись была более одного фрагмента. 2.1. Для первого фрагмента актуальны варианты 1.1. и 1.2. Остальные фрагменты могли и выжить а могли и перезаписаться чем то ещё из сдампившегося и даже тем же логом чекдиска.

22.02.2019, 02:34	Вверх #29
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » Как сбросить дампы MFT описано под спойлером. Файлы то большие и даже в запакованном виде будут немаленькие. Как сохранять - нажимать кнопку Сохранить в окне поиска. Хотя и читать справку программы тоже полезно (она там неплохая). Что касается хорошо что один фрагмент или нет - тут зависит от того что было раньше и от того сколько дампится (я ещё не интересовался этим моментом). Поэтому тут есть несколько вариантов. 1. Старая MFT была одним фрагментом или первый фрагмент был соизмерим с тем что сейчас в ранлисте. 1.1. Если сдампилось небольшое количество новых записей, то расположенные далее старые выжили и (возможно) подхватились новой записью - вопрос того что натворил в таком случае чекдиск остаётся в воздухе. 1.2. Если сдампилась вся MFT, то соответственно более 120 тысяч старых записей канули в нирвану. 2. Старая запись была более одного фрагмента. 2.1. Для первого фрагмента актуальны варианты 1.1. и 1.2. Остальные фрагменты могли и выжить а могли и перезаписаться чем то ещё из сдампившегося и даже тем же логом чекдиска. извиняюсь,не заметил спойлер ок.спасибо. пришлю вам MFT

22.02.2019, 02:44	Вверх #30
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Ещё пару моментов. 1. Хотелось бы определиться с содержимым папки Found.000 Там "файлы" с 3ТБ диск или как? "Файлы" заключил в кавычки потому как вряд ли там сами файлы - скорей их имена, но содержимое какое то другое. И сколько их там? Это можно определить следующим путём. Открыть том в DMDE, выделить папку, в контекстном меню выбрать "Восстановить файлы" и в открывшемся окне нажать пимпу Обьём. Если там только "файлы" с 3ТБ диска, то это позволит хотя бы примерно понять сколько записей перезаписалось. 2. У меня нет под рукой 10-ок, поэтому сам погугли "отключить быстрый запуск в Windows 10". Насколько помню, где то в параметрах энергосбережения. Это если не хочешь повторения подобного и конфликтных ситуаций в случае если 7 как использует свой загрузчик. PS. На сегодня хватит.

22.02.2019, 13:03	Вверх #31
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Провёл небольшой эксперимент с 10-кой в виртуалке. Выключил систему а потом поменял местами два диска с данными. После запуска не произошло таких серьёзных накладок как у тебя (наверняка это завист иот конкретной ситуации), но всё равно случилась "накладка" - на один из винтов записался идентификатор другого, что привело к конфлкту подписей и один из дисков был переведён ф оффлайн. вот такая вот "быстрота" в исполнении мелкомягких.

22.02.2019, 16:13	Вверх #32
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » Ещё пару моментов. 1. Хотелось бы определиться с содержимым папки Found.000 Там "файлы" с 3ТБ диск или как? "Файлы" заключил в кавычки потому как вряд ли там сами файлы - скорей их имена, но содержимое какое то другое. И сколько их там? Это можно определить следующим путём. Открыть том в DMDE, выделить папку, в контекстном меню выбрать "Восстановить файлы" и в открывшемся окне нажать пимпу Обьём. Если там только "файлы" с 3ТБ диска, то это позволит хотя бы примерно понять сколько записей перезаписалось. 2. У меня нет под рукой 10-ок, поэтому сам погугли "отключить быстрый запуск в Windows 10". Насколько помню, где то в параметрах энергосбережения. Это если не хочешь повторения подобного и конфликтных ситуаций в случае если 7 как использует свой загрузчик. PS. На сегодня хватит. в папке Found.000 есть и музыка и картинки итд но они в помещены в папки тиа dir.0000002.chk. но это я мог видеть и раньше через тотал коммандер(до выключения МБР) о папке Found.000 написать в моей теме? Миниатюры

22.02.2019, 16:16	Вверх #33
stenn Интересующийся Автор темы Регистрация: 20.02.2019	Цитата (9285) » Провёл небольшой эксперимент с 10-кой в виртуалке. Выключил систему а потом поменял местами два диска с данными. После запуска не произошло таких серьёзных накладок как у тебя (наверняка это завист иот конкретной ситуации), но всё равно случилась "накладка" - на один из винтов записался идентификатор другого, что привело к конфлкту подписей и один из дисков был переведён ф оффлайн. вот такая вот "быстрота" в исполнении мелкомягких. ага.спасибо ну может не только вин10 виновата,а еще тотал коммандер,bcompare,soulseek или еще что.

22.02.2019, 16:43	Вверх #34
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Цитата в папке Found.000 есть и музыка и картинки итд но они в помещены в папки тиа dir.0000002.chk. но это я мог видеть и раньше через тотал коммандер(до выключения МБР) MBR выключалось не для того чтобы ты увидел что то новое а чтобы не дать затереться тому, что ещё может живое. Ну а то, что ты видишь - это результат работы чекдиска. Обьяснить все превращения и нюансы слишком сложно, но постараюсь хотя бы вкратце все таки написать (только потом). Сейчас же просто прийми это как есть. Тут главное было в том с 8-ми ТБ диска там файлы и папки или с 3Тб. Ну и ещё нужно ждать результат полного сканирования. Судя по дампу MFT 8ТБ диска там должны быть ещё записи от прежней MFT - вот если таковые есть, то появятся сейчас отсутствующие файлы. Добавлено через 1 минуту Цитата ну может не только вин10 виновата,а еще тотал коммандер,bcompare,soulseek или еще что. Ну уж точно что не тотал. А в остальном - напоминает анекдот про печеньку.

22.02.2019, 22:18	Вверх #35
stenn Интересующийся Автор темы Регистрация: 20.02.2019	СПОЙЛЕР » Цитата (9285) » MBR выключалось не для того чтобы ты увидел что то новое а чтобы не дать затереться тому, что ещё может живое. Ну а то, что ты видишь - это результат работы чекдиска. Обьяснить все превращения и нюансы слишком сложно, но постараюсь хотя бы вкратце все таки написать (только потом). Сейчас же просто прийми это как есть. Тут главное было в том с 8-ми ТБ диска там файлы и папки или с 3Тб. Ну и ещё нужно ждать результат полного сканирования. Судя по дампу MFT 8ТБ диска там должны быть ещё записи от прежней MFT - вот если таковые есть, то появятся сейчас отсутствующие файлы. Добавлено через 1 минуту Ну уж точно что не тотал. А в остальном - напоминает анекдот про печеньку. да,про MBR я так и понял. просто сказал,что то же видел и раньше(решил,что информация может быть полезной). про чекдиск почитал.понял что он прячет файлы в папку Found.000 Объяснить нюансы думаю не стоит.да и не факт что всё пойму)) ок.значит ждём результатов полного сканирования. про тотал итд это мои предположения))