DMDE - использование программы для восстановления данных

[9285]

В процессе решения тех или иных случаев восстановления данных возникают разные вопросы по использованию программы DMDE.
В связи с тем, что практическое большинство из них решались именно с помощью указанной программы, то имеется какой то опыт работы с ней.
В дальнейшем постараюсь описать наглядно как использовать программу.
Ну а пока, если есть какие то вопросы - задавайте. Если не смогу ответить сам, надеюсь что в таком случае выручит уважаемый автор программы.

PS. Всё что будет написано далее предполагает что вы изучили написанное в Предупреждение. Восстановление данных. и осознаете все риски, связанные с работой в программе.

[Smirnoff]

Цитата (9285) »

надеюсь что в таком случае выручит уважаемый автор программы.

Лицензию-то на неё восстановил?..

[9285]

Smirnoff
Да! Как никак "именная".
Хотя в практике я ей практически не пользуюсь - хотя бы для того чтобы "быть на равных" с теми, чьи кейсы решаются на форуме.
Кстати, по лицензии я могу использовать разовые лицензии на других компах.
Надо спросить у Дмитрия, можно ли это использовать например, предоставив такой ключ кому то из пользователей форума (если кто захочет попробовать полнофункциональные возможности).

[spanjokus]

Цитата (9285) »

В процессе решения тех или иных случаев восстановления данных возникают разные вопросы по использованию программы DMDE.
В связи с тем, что практическое большинство из них решались именно с помощью указанной программы, то имеется какой то опыт работы с ней.
В дальнейшем постараюсь описать наглядно как использовать программу.
Ну а пока, если есть какие то вопросы - задавайте. Если не смогу ответить сам, надеюсь что в таком случае выручит уважаемый автор программы.

Месяца два назад, я сталкивался с тем, что не мог удалить раздел на диске, просто поле было не активно и вот DMDE с этим справился, По очень функциональное и крутое, лучше, чем R-Studio, на просторах интернета так же ищется и ключик

[9285]

spanjokus
Free-шная версия позволяет сделать почти всё, что и проф.
Что касается ключиков, то разве что в части того, о чем написал выше.
Кстати, всем желающим попользовать ломанку, не рекомендую это делать потому как вылазят разные вещи, которые не сразу можно определить. Наиболее показателен пример с какой то версией (типа 2.4). Данные восстанавливались, но были битыми - при этом фришка восстанавливала все нормально. То есть "хакеры" взломали лишь защиту а проверить функционал были не в состоянии.

[spanjokus]

Цитата (9285) »

spanjokus
Free-шная версия позволяет сделать почти всё, что и проф.
Что касается ключиков, то разве что в части того, о чем написал выше.
Кстати, всем желающим попользовать ломанку, не рекомендую это делать потому как вылазят разные вещи, которые не сразу можно определить. Наиболее показателен пример с какой то версией (типа 2.4). Данные восстанавливались, но были битыми - при этом фришка восстанавливала все нормально. То есть "хакеры" взломали лишь защиту а проверить функционал были не в состоянии.

Спасибо, буду знать про фришную, что она имеет весь функционал

[9285]

spanjokus
Основное ограничение фришки для обычных пользователей - нельзя восстанавливать папками.
Впрочем, это элементарно исправляется простой лицензией. 348 рублей за год - не страшная цена. К тому же есть возможность получить лицензию на месяц за благотворительную помошь - https://dmde.ru/buy.html
PS. Ну что, восстановил доступ к данным?

[spanjokus]

То же подумываю ее прикупить

[9285]

!!! Disclaimer !!!

Я не являюсь специалистом по восстановлению данных и физическому ремонту дисков.
Всё что написано мной, является результатом практических (в том числе на форумах) случаев восстановления данных.
И если в части логического восстановления (особенно NTFS) мои знания достаточно обьёмны, то не могу сказать этого в части иных ФС и особенно в части физических проблем с дисками (HDD).
В части физических проблем мои знания исходят из разных случаев, чтения информации специалистов которым я доверяю и обобщения этих данных.
Если я в чём то не прав или неверно выразился - приветствуется аргументированная критика.

!!! Важно !!!
У программы имеется очень хорошая контекстная Справка. Так что, когда что то не ясно не забывайте почитать что в ней написано.

Итак, скачиваем программу соответствующую используемой операционной системе (соответствующей битности) из которой будет производится работа. https://dmde.ru/download.html
Программа не требует установки, достаточно распаковать архив и запустить её.
При выборе места куда её установить надо исходить из того, для чего вы собираетесь её использовать.
Например, вы удалили какие то данные на системном диске и надо их восстановить. В этом случае все работы надо производить из другой операционной системы и распаковывать программу, на другой том.
То есть, в общем случае, нельзя распаковывать программу на том(раздел) с которым нужно производить работу.
Если же данные удалены с несистемного тома, то распаковать можно и на системный. При этом не стоит забывать что в таком случае надо предпринять кое какие меры для исключения записи на проблемный том.
Как пример - дефолтные установки файла подкачки в Windows,при которых файл подкачки может записываться на любой доступный том. В случае если на системном диске будет недостаточно места, то он может записаться на другой том, в том числе и на проблемный, особенно если на нём свободного места будет больше чем на других.
Возможны и другие примеры записей Windows на другие тома. Не буду говорить за все современные системы, и возможно что проблема была в какой то версии 10-ки, но неоднократно сталкивался с тем, что при создании образа системы штатным средством Windows, на ином от целевого тома, создавался файл образа, который был виден как удалённый в разных программах.
Именно поэтому важно обеспечить невозможность записи на то пространство с которым надо будет работать.
Под пространством подразумевается не только один том а возможно и другие области, на которых могут быть нужные вам данные. Классическим примером такового является ситуация изменения размеров раздела при которой часть одного раздела присоединяется к другому.
В этом случае, какая та часть данных может оказаться в старом месте расположения, которое уже присоединено к другому разделу.

[9285]

Программа распаковано и её запустили.
После принятия лицензионного соглашения появится экран выбора, на котором можно задать что именно хотим открывать:
- физический диск
- логический диск
- образ диска или лог-файл
- и т.п.
На этом экране есть несколько опций на которые хотелось бы обратить внимание.
1. Чекбокс "Показывать разделы".
По умолчанию этот чекбокс включен. В этом случае, при открытии диска (образа) производится экспресс-сканирование выбранного диска на предмет наличия разделов.
И здесь есть два момента.
1.1. Эта опция нужна в случаях если удалены разделы, к диску применено отключение MBR/GPT, проблема с разделами произошла при каких то манипуляций с разделами.
В случае если происходит попытка восстановления удалённых данных, в этой опции нет особой необходимости, тем более если открывается логический диск.
1.2. !!! Важно !!!
В случае работы с диском имеющим физические проблемы, особенно если открытие делается для той же записи посекторки, крайне нежелательно задействовать эту функцию, потому как при экспресс-сканировании происходит вычитывание определённых областей открываемого устройство, которые могут содержать те же сбойные сектора, вычитывание которых нежелательно на этом этапе.
Поэтому при первоначальном запуске можно убрать эту галочку и, в случае необходимости поиска разделов, активизировать этот функционал самому.
Если предстоит неоднократный запуск программы при работе с проблемным диском, то чтобы не снимать галку постоянно, или исключить забывание снять её, можно отредактировать конфигурационный файл DMDE.ini чтобы по умолчанию чекбокс не стоял.
Для этого достаточно в строке showpartitions=1 изменить 1 на 0.
2. Кнопка "Параметры"
При выборе параметров появляется несколько вкладок.
Назначение тех или иных параметров будет рассмотрено позже, а на данном этапе вам достаточно знать об одной из них - просмотре данных SMART выбираемого физического диска.
Эта функция находится во вкладке Дополнительно. Просмотр возможен в случае если присутствует надпись Enabled.
При открытии этих данных рекомендую включить чекбокс "Пороги", которые пригодятся для определения состояния диска.
У дисков разных производителей имеются различные атрибуты, но есть и общие для всех.
На скриншоте я отметил красным наиболее критичные атрибуты (ИМХО), на которые следует обращать внимание.
Оранжевым - менее критичные.
При просмотре данных (представленных в шестнадцатиричном виде) следует учитывать что чтобы их восприятие было более удобным, надо некоторые значения переводить в десятичную систему исчисления.
Например, это относится к атрибутам 05, BB, C4, C5, C6, C7, C8
Также рекомендуется обращать внимание на значения столбцов Curr и Thresh.
Эти значения (иногда их называют "попугаями") служат для того чтобы сравнить текущее состояние атрибута (Current) с тем, при достижении которого (Threshold) то статус SMART диска переходит в BAD - то есть плохой и диск рекомендуется заменить.
И здесь надо понимать что эти значения надо воспринимать в общем контексте ситуации.
Для примера рассмотрим некоторые "показательные" атрибуты.
05 - Reallocated Sector Count - число переназначенных секторов. То есть число секторов, которые признаны проблемными и переназначены (их бывший логический адрес назначается другому сектору из числа зарезервированных).
На некоторых недофорумах "специалисты", видя значение RAW равным даже единице, начинают утверждать что диск можно выкинуть в ведро.
На самом деле здесь очень многое зависит от конкретного диска и причины появления значения отличимого от нуля.
Для старых дисков вполне возможны физические изменения в доменах, в результате которых сектор становится нечитабельным. И это может быть разово, один или несколько секторов, и после их переназначения диск может беспроблемно работать ещё очень долго.
Совсем другое дело если проблема с поверхностью произошла из за каких то физических повреждений, особенно после ударов по диску. В этом случае на поверхности диска (а особенно печально если на самой головке) возникает повреждение, которое может привести к дальнейшему росту числа проблемных секторов; самый печальный случай - когда диск "запиливается".
Поэтому, при работе с диском имеющим проблемы физического плана очень важно мониторить состояние SMART* и, в случае роста значений этого атрибут надо прекращать работу с диском и принимать меры для устранения причин - как минимум подумать об обращении в специализированные DR-фирмы.
Есть ещё один момент, который следует учитывать. У некоторых производителей современных дисков (в частности WD) какое то число заменённых секторов (пишут о 200-ах) не отображается в значении RAW. И реальное число таких секторов можно узнать лишь используя специальное ПО.
То есть, по факту может оказаться так, что состояние такого диска с нулевым значением атрибута может быть хуже чем у диска который сообщает о всех заменённых секторах.
Есть ещё один интересный атрибут - C5 Current pending sector count - число проблемных секторов, называемые пендингами. Это сектора которые имеют какие то проблемы с вычитыванием, но которые ещё не определены диском как проблемные. Написанное выше про недофорумы актуально и здесь.
На самом деле в некоторых случаях пендинги могут появится и в результате некорректной записи на диск, при каких то сбоях железа или ПО. И банальная их перезапись лишает их статуса пендингов.
В общем, внимательно изучайте информацию об атрибутах, дисках и их возможных "болячках", спрашивайте у разбирающихся и только тогда делайте выводы как о диске, так и о методах работ по восстановлению данных (тот же выбор ПО).

* Для этого можно использовать программу Crystal Disk Info, которая позволяет задавать пороги тревоги для части из указанных атрибутов (05, C5, C6). Для этого нужно нажать пимпу "Тревога" и для нужного диска изменить пороговое значение после которого будет выдаваться сообщение о тревоге. На скриншоте показано как это делается для диска уже имеющего один нестабильный сектор.

[9285]

Следующий этап - работа с дисками и томами.
Скриншоты и примеры будут про тома NTFS, но по другим ФС ситуация примерно аналогичная.
При выборе на начальном экране какого то физического диска открывается окно "Разделы". На нём следует обратить внимание на чекбокс "Расшир."
При включении этого режима появляется дополнительная панель дискового редактора и дополнительные пимпы (выделено голубым). если нужно работать с дисковым редактором, то можно расширить его, нажав пимпу выделенную коричневым цветом. Среди дополнительных пимп можно заметить блеклую "Вставить". Она активизируется при выборе какого то из обьектов.
И здесь обращу внимание на то, что нередко необходимо использовать для защиты от записи на диск. Это функция MBR/GPT off, которая активизируется при выделении строки физического диска.
Ещё, на этом экране надо обращать внимание на столбец "Индикаторы", так как обозначения в нём дают некоторое понимание того, что за проблема с томами - это актуально в случае потерь разделов, проблем после ресайзов и когда тома в Windows определяются как RAW.

[9285]

А теперь рассмотрим более внимательно вышеупомянутые индикаторы.
Повторюсь, в справке описано и значение индикаторов и тех или иных функций. Я всего лишь приведу конкретные ситуации которые нередко встречаются.
На скриншоте который был выложен ранее видны разные индикаторы и они имеют разный цвет. В идеале все индикаторы должны быть и должны быть зелёные. Но на скриншоте видны и чёрные и красные.
Черный цвет индикатора в двух местах означает что запись в таблице разделов (E) не соответствует данным из бутсектора (B). В случае первого раздела несоответствие типов файловой системы, у второго несоответствие размеров раздела. Это ошибка малокритичная, особенно вторая, поэтому индикатор не красный, и всё это исправляется элементарно. Хотя в случае с самим первым разделом ситуация (смоделированная) немного проблематичная, но она такая, что нельзя определить по индикаторам и проявляется при открытии тома.
И там мы видим что том "пустой".
Причина этого - поврежденная (в моём примере обнулённая) 5-я запись. Это запись отвечает за индекс корневого каталога.
Вот здесь немного отвлечёмся на то, что нередко воспринимается как "всё пропало". Драйвер файловой системы NTFS изначально считывает структуру данных именно из индексов, и лишь при обращении к какому то файлу - к данным записи этого файла. DMDE при простом открытии тома работает аналогично.
Но если запустить виртуальную реконструкцию ФС, то считываются данные всей MFT (в течении которой, в моём примере, выскочит ошибка той самой 5-ой записи) и, если нет других ошибок то все данные появятся в дереве каталогов. И обьём этих данных будет зависеть от того, будет ли в параметрах виртуальной реконструкции выставлен чекбокс "Включая удалённые" - если хотите видеть только то, что видит Windows, то уберите этот чекбокс; если надо восстановить удалённые файлы оставьте или переключите на "только удалённые".
В моём примере я убрал этот чекбокс и после окончания реконструкции появилась структура данных.
Подобная ошибка достаточно распространена и исправляется элементарно чекдиском, который создаст новые диски НО есть одна неприятность. В случае использования современных ос (новее ХР) они используют права доступа ФС и после такого исправления доступ к данным тома будет невозможен. В случае с простыми томами с данными это решается корректировкой доступа во вкладке Безопасность (в свойствах тома); а вот в случае с системным томом придётся поковыряться побольше.

[9285]

Забыл сразу написать - в случае всех трёх разделов из примера в диспетчере дисков Windows указывается что они RAW (если у первого предварительно поменять тип раздела на соответствующий).

Что касается второго раздела, имеющего красный индикатор F.
Красный индикатор сообщает о наличии ошибок в начальных записях MFT.
Тут вопрос только в том, в каких именно. Насколько понимаю, автор программы по своему оценил критичность тех или иных записей. В том же первом раздел повреждена одна из начальных записей, но индикатор не красный. А в случае этого раздела обнулена уже 6-я запись, так называемая битовая карта тома - $Bitmap. И это подтверждается сообщением об ошибке 6-ой записи при виртуальной реконструкции ФС.
Ошибка по сути ниочёмная и исправляется элементарно чекдиском, после чего том становится доступным в полном обьёме.. Так что, не надо сразу падать в обморок и биться в истерике если увидели красный индикатор.

[9285]

Ну вот, добрались таки до третьего раздела, того, у которого красные хх.
Вот это пример того что бывает когда повреждаются четыре начальные записи MFT.
Здесь уже чекдиском не поправить и том не прийдёт в чувства.
Тут или банальное восстановление данных на другой носитель или, если надо всё таки восстановить файловую систему (особо актуально для системных разделов), то требуется делать так называемый имплант (0-вой записи).
Том с такими повреждениями предлагает два варианта:
- Определить параметры FS автоматически. Делается это при помощи полного сканирования поляны тома. По результатам сканирования можно восстановить те или иные данные, о которых остались сведения и (или) восстановленные по сигнатурам.
- Продолжить с выбранными параметрами. В этом случае обычно открывается том с пустым Root.

[Keper]

Так неловко себя чувствую, когда вижу графический интерфейс у DMDE

[9285]

Keper
В чём заключена неловкость?

[Keper]

9285
раньше была только консоль. Понятно, что много лет не работал с DMDE. Но не мог сдержать эмоций)
Впрочем, лучше не продолжать это обсуждение. Тут тема больше FAQ-овая.

[9285]

Keper
Вот кстати, я что то не припомню тру-консольной версии - типа такой как у photorec-а (testdisk). И раз уж упомянули FAQ-вость темы, то может быть подскажете в чём фишка консольной версии?

[Keper]

9285
ой, я уже не помню ничего, много лет прошло.
Остались лишь впечатления. На одной работе магическим образом восстанавливал и файлы и разделы. Предоставляя таким образом альтернативу подходу "Ой, ошибка диска, ну давайте отформатируем и установим заново винду".
При этом никого не учил данным навыкам)

[9285]

Keper
Как по мне, так консольная версия должна давать какие то преимущества чтобы компенсировать отсутствие "красявостей".
Взять для примера тот же diskpart - вот в нём можно отформатировать раздел менее 32 гиг в exFAT, или создать четвёртый раздел основным. У того же дефрагментатора винды есть куча ключей.
Что касается DMDE, то бывали случаи когда выкладывали скриншоты сделанные из консоли - очень неудобно анализировать их.