Восстановление утерянных данных

[9285]

Пока нет запрошенного, озвучу версию того, что могло произойти.
Когда то был создан раздел, начинающийся в секторе 2048.
Потом он был сдвинут на 304 сектора, но как большинство ресайзеров, не была произведена корректировка поля смещения раздела относительно начала диска.
Во время работы с диском произошёл какой то сбой, после которого драйвер работы с ФС сориентировался по данным этого значения и записал бутсектор в 2048 сектор и сдампил закэшированную MFT на диск исходя из этого начала тома.
После чего как бы создалась новая основа NTFS тома и чекдиск скорректировал "ошибки" в метаданных. НО сами данные остались на прежних местах.
И если в секторе про который писал выше окажется заголовок джипега, и такое будет и в отношении других данных, то версия подтвердится.
В этом случае надо будет создать виртуальный массив и из него восстановить все данные. После этого можно будет сделать это же и не виртуально, и дать всё "отшлифовать" чекдиску. Но не факт что после этого всё выживет (*) - именно поэтому надо восстанавливать данные на другой носитель.
(*) Часть данных уже может и поввреждены, как минимум за счёт того что MFT сьехала вбок, причём не факт что сдампилась вся MFT.

[Алексей По]

Лог чекдиска что-то не нашел.
Первый сектор этой картинки почему-то не отображается. Может снова не так делаю.

[9285]

Не, это бутсектор тома.
Да сделай проще.
В DMDE открой том, найди это файл и открой - в правом нижнем окн будет виден номер сектора. Отними 304 и сделай переход в полученный сектор (Alt+P).

Добавлено через 13 минут

Кстати, все данные видны?
Речь не о том какие они а о том все ли есть?
Если нет, то тогда надо делать полное сканирование и по логу искать "пропавшие" записи MFT.

[Алексей По]

Отнимать 304 от первой цифры или второй?

Все ли данные видны тоже затрудняюсь сказать, так как те папки, которые были до сбоя, все пустые.

А в появившихся папках found появилось много папок. Только в found.000 их 958 а в конце еще файлы с расширением chk.

В папках found есть еще папки с их оригинальным именами и они тоже пусты, а данные из них в других папках.

Для примера.
В папке dir0062.chk по пути D:\found.000\D:\found.000\dir0062.chk есть две папки Jericho 1 - LostFilm.TV и Jericho 2 - LostFilm.TV. Обе пустые.

Файлы из папки Jericho 1 - LostFilm.TV находятся в папке dir0063.chk по пути D:\found.000\dir0063.chk

Файлы из папки Jericho 2 - LostFilm.TV находятся в папке dir0065.chk по пути D:\found.000\dir0065.chk

Нигде файлы не читаются.

D:\found.000\dir0065.chk

[Алексей По]

Еще скрин.

[9285]

Все скриншоты не несут какой то полезной информации.
Где скрин содержимого сектора 988133984-304?

[Алексей По]

Надеюсь правильно сделал.

[9285]

Это правильно сделал. Но здесь пустота.
Запусти полное сканирование с галками NFTS и RAW.
По окончании скана, сохрани лог и выложи на обменник.
И пробуй открывать файлы в результатах RAW-поиска.
Затем поищи среди картинок файл с именем fxxxxxx.jpg у которого вместо цифр число близкое к 988133984.
Есть какие то файлы которые можно однозначно идентифицировать по имени и содержимому?

Добавлено через 1 минуту

И ещё, попробуй сделать аналогичные сдвижки на 304 сектора ещё для пары джипегов, какой нибудь авишки и зип-архиву.

[Алексей По]

Так как какой-то важной информации, к счастью, на диске не было, то было принято решение отформатировать его, да и все дела. Теперь можно снова пользоваться.

В любом случае спасибо за помощь и приглашение. Теперь буду знать, куда обращаться если что.

С праздниками!

[9285]

Алексей По
Если сюда и приходить, то лучше чтобы узнать что то полезное и решить вопрос.
Если бы ты пришёл сразу, когда потребовалось преобразование, то решили бы эту задачку элементарно и без таких последствий!

Добавлено через 57 секунд

Хотя мне было бы очень интересно разобраться, потому что если я прав в своей версии случившегося, то это впервые такое вижу.