Восстановление файловой системы после клонирования неисправного диска

[fromkeila]

Здравствуйте. Вот и меня накрыло. Есть диск sata 2 гб, разбит на 2 : 100 гб для виндовс 10 и остальное для данных. Слетела таблица файлов с той части где данные. Диск посыпался.
Сделал посекторку с помощью hddsuperclone в линуксе на новый винчестер 3 гб. Натравил mdme, с помощью поиска ntfs нашел том который монтируется и показывает мои файлы. Вопрос как востановить таблицу файлов диска, а то просто нет другого диска чтоб просто скопировать данные.

первые 1000 секторов снятые с помощью dmde
https://yadi.sk/d/l44Ux1uEnHFm4Q
дамп секторов начала MFT - 6291519 + 9 последующих.
https://yadi.sk/d/7WEu6TEhjDJrFg
Какую информацию еще загрузить?
Спасибо за ваше время.

P.S. Обновил MDME к утру выложу обновленный лог скана.

[9285]

Не стоит столь опрометчиво выкладывать такие огромные дампы - мало ли какие в них могут оказаться данные. Для начала достаточно начальных секторов диска и тома.
Картинки я видел в другом месте, но надеюсь что ты их прикрепишь здесь (это можно сделать в расширенном режиме) или дашь рабочие ссылки.

На данный момент, если судить по логу скана, проблема в отсутствии 3-х начальных записей MFT, хотя критична начальная, в которой собственно хранятся данные о размещении MFT. Вопрос в том, что там сейчас и с чем это связано - подозреваю что это связано с невычитанными секторами (*)
Поэтому было бы полезно увидеть дамп секторов начала MFT - 6291519 + 9 последующих.
(*) Если в логе копировщика, есть номера невычитанных секторов, можно посмотреть в нём какие не вычитались.

попутно хотелось бы отметить следующее.
1. Клон делался как есть, но так как диск наверняка AF, то желательно бы выровнять начала томов.
2. Т.к. диск более 2 ТБ, то надо попределяться как поступить с ним далее.
В случае MBR можно задействовать и обьём после 2ТБ, но это будет нетрадиционная разметка. если же задействовать GPT, то надо определяться с загрузкой винды (поддерживает ли плата загрузку с таковых).

0. Хотя число фрагментов MFT немалое, тем не менее сделать имплант 0-вой записи вполне возможно. Но даже если бы не было невычитанных секторов, нет 100% ной гарантии что восстановление по месту пройдёт нормально. Следовательно, если есть что ценное - нужно подстраховываться. Обычн предлагается на другой диск, но если нет такового и самой возможности найти таковой. то (применительно к твоей ситуации) можно задействовать для этой цели 930 гигов, которые имеются в силу того, что новый диск больше старого. Если же ценных данных больше, то еадо искать место для них.

[fromkeila]

Лог убрал, дамп секторов начала MFT - 6291519 + 9 последующих добавил в основной пост, фотохостинг оказался однодневкой,подвел зараза, а копий не осталось ибо были на диске с линуксом, который стал донором для windows с умершего диска. Вобщем все у меня через пень колоду.
Насчет нового диска вы правы. Я с дуру отформатировал его в GPT, так как 3гига, а потом задним умом, когда уже накатил на него клон с убитого диска, узнал что биос не поддерживает GPT, все время забываю, что мое железо пора в музее показывать, а не работать на нем.
Скорее всего, если не выйдет сделать имплант, то самым простым методом будет купить лицензию mdme и восстановить данные на другие носители. Скажите как лучше в mdme восстанавливать: по папке(малыми порциями) или можно сразу с десяток папок скопом?

[9285]

fromkeila
Имплант сделать получится, но дело то в другом.
Чекдиск в сложных ситуациях не всегда предсказуем.
Опять же, неизвестно что не вычиталось и что лежит в этих секторах.
Я так понимаю что ты переименовал имя файла дампа, так как номер сектора в его имени соотвествует бутсектору и число секторов как бы 1. На самом деле там 9 секторов и судя по "содержимому" это то, что надо.
По сути три начальные записи заполнены FF, третья запись цела (в логке поиска она есть), а вот дальше не очень понятно - по логу 4-я запись есть, но в дампе её нет. Возможно что это проблема старой версии программы, к тому же ещё и "криволоманной".
Так что, бери актуальную версию и сканируй в ней.
Для восстановления по месту Free-шки вполне хватает. Если же нужно восстановление папками, то нужна лицензия. Я понимаю что бывают разные жизненные проблемы, но самая простая стоит не так уж много, к тому же есть вариант месячной лицензии за благотворительную помощь.
ЗЫ: в теме на руборде ссылки работают.

[fromkeila]

Пересканировал
https://yadi.sk/d/9JBi9Ohh3in1vQ

Закончился поиск по ntfs наконец-то, вот результат смонтированного тома и он меня поставил в тупик
https://ibb.co/jrr7fyt
Что необходимо выделить для восстановления? Когда имеется несколько дублей с одним именем.
Например папки Games, Какую спасать, нижнюю без красной точки, или обе выделять и они друг друга дополнят? Я в замешательстве.

[9285]

Пересканировал относится к скану.
А вот его лога то и нет.
Кстати, хоть у тебя и нет начальных записей MFT, винда всё равно может что то пытаться делать с томом, поэтому правильнее сделать MBR OFf, тем более в свете предстоящего имплантирования.
Что касается восстановления, то в сравке программы, в разделе Панель файлов описано что означают те или иные значки. И восстанавливать в первую очередь нужно важное (ценное).
Но тут смотри какое дело. Сейчас ты открыл том по результатам сканирования. И хотя там не так много левых записей, но они могут вносить "мусор". А после имплантации этого не будет.

Добавлено через 19 минут

СТОП!
Винда работает с этого нового диска?
Если да, то MBR OFF не надо делать,потому как она тогда не загрузится.
В таком случае, как минимум, надо забрать букву у тома, ещё лучше сменить тип раздела (хотя там и стоит 17, но это не помеха винде).

[fromkeila]

Сейчас сижу на winpe10 от Стрелец. Удобный диск, лучше чем на Убунту.Нааамного удобней.
mbr отключил от греха. Сейчас загружу лог, первой 1000 хватит? Cами же пужали полный лог не выкладывать.
https://yadi.sk/d/QHTxAeTpyxkfGQ

СПОЙЛЕР »

P>S.Насчет инструкции к dmde, 4 раза перечитал, понятнее не стало. Вывод спасайте все и побольше, там разберемся.

[9285]

Это не лог а дамп секторов, и написанное ранее про дамп актуально.

[9285]

fromkeila
Всё таки, нужен лог сканирования актуальной версии DMDE.
И нужен не столько для определения отсутсвия тех или иных записей, а для определения возможности "изготовления" импланта.
Дело в том, что число фрагментов MFT достаточное большое и такой большой ранлист может не вместится в стандартную запись. А вот с расширенной мне хоть и доводилось разбираться, но сделать имплант таковой - нет (посыпаю голову пеплом).
В принципе, есть выход и из этой ситуации, но это потребует не очень ординарные действия. Я то могу описать как это сделть - вопрос в том, хватит ли тебе терпения это сделть (в форумной практике был подобный случай и человек справился).

[fromkeila]

виноват,исправляюсь
https://yadi.sk/d/MkuABXPeotQeiw

[9285]

Черновик импланта готов. надеюсь ты уже почитал как его использовать.
Но сначала вернёмся к вопросу о бэкапе, 3тб диске и выравнивании разделов.
Если ты работаешь с ливки, то как вариант - сделать диск GPT, в конце его создать терабайтовый раздел, восстановить на него самое нужное.
После чего уже можно будет вернуть его назад в MBR и занятся шлифованием ФС после имплантации. Если что не так - резервные данные будут доступны в указанном разделе. Или ищи другой диск для подстраховки или рискуй.
Если исходить что не вычиталось всего 104 сектора, то это не так уж и много, хотя неизвестно что не вычиталось (если судить по новому логу, то 16 секторов скорей всего есть в ещё отсуствующих записях.

[fromkeila]

У Стрелец хороший диск, только звука нет, форматнул низкоуровневым виновника торжества. Накатил винду.Самый первый сектор мертвый, винда не грузится. Разбил его на два, поставил винду во второй том. Полет нормальный. На пару дней хватит, потом придет самсунговский ssd туда систему переброшу.
Выравниванием заниматься не буду, это вечность. Вчера выравнивал винт 500гб заняло кучу времени. Рискну, тем более главные 100 гигов я уже вытянул.
Что касается импланта. Как я понимаю: это операция обратная снятию дампа, мы считывали, а теперь запишем в определенную зону по определенному адресу определенную информацию, как-то так?

[garniv]

Цитата (fromkeila) »

форматнул низкоуровневым виновника торжества

Не, просто заполнил нулями

[fromkeila]

Цитата (garniv) »

Не, просто заполнил нулями

Может быть, но время это заняло немерянно.
P.S. Я ж электрик 4-го разряда, а не хардварщик, мну и так пойдет.

И да, пользовался этой софтиной: HDD Low Level Format Tool 4.40

[9285]

Цитата (fromkeila) »

Выравниванием заниматься не буду, это вечность.

Не замерял особо, потому как не было такой необходимости, но думаю что нелее суток. Как по мне лучше потерять сутки, чем потом всю оставшуюся жизнь при такой разметке получать тормоза. Опять же, можно сразу сделать смещение в соотвествии с GPT-канонами, чтобы потом не переделывать.
Впрочем, хозяин - барин.

Цитата (fromkeila) »

Вчера выравнивал винт 500гб заняло кучу времени.

Какой и чем?

Цитата (fromkeila) »

Как я понимаю: это операция обратная снятию дампа, мы считывали, а теперь запишем в определенную зону по определенному адресу определенную информацию, как-то так?

Именно так.
Ты точно сделал MBR off и диск теперь видится как неинициализированный?
Почему это важно - винда может что то начать делать с томом, тем более если она 8ка или 10-ка, у которой чекдиск может без указания пользователя исправить "мелкие" ошибки - вот только не факт что они реально мелкие, и что правильно исправит.

[9285]

А вот и имплант в архиве.
Записываешь его в, указанный в имени файла, сектор физического диска (в нижней части экрана копирования секторов).
После этого переоткрываешь диск в DMDE - если всё правильно записал = у тома с началом в секторе 63 должен появится индикатор F.
Если да, то открываешь том и смотрешь что в Root.
После этого запускаешь виртуальную реконструкцию и запоминаешь про отсуствие каких записей будут сообщения. Точно на 4-ю. но там ещё где то есть 7 отсутствующих записей. И тут важно к чему относились эти записи.

[9285]

Насчёт 7-ми записей не актуально т.к. писал по памяти; открыл результат скана - это относится к тому с виндой.

[fromkeila]

Как говорится ," а вот торопиться не надо."
Итак. Что я сделал.
1. Открыл физический диск 3 гб.
2. mbr отключен
3. открываю заполнить секторы диска, находим скачаный патч, выставляем адреса, картинка прилагается
https://ibb.co/8M3CtVh
Можно жмакать?

[9285]

НЕТ!
Это заполнить сектора а не копировать.

[fromkeila]

Я чуть не оглох!
https://ibb.co/2jfd2p8
А теперь?