Не отображаются файлы и папки в одном из разделов диска

[9285]

1-ый тип сообщения.
Read failure with status 0xc000009c at offset 0xc0007800 for 0x400 bytes.
File record segment 30 is unreadable.
Ошибка чтения со статусом (какой то номер) по смещению 3221256192 байт для 1024-х байт. Файловая запись 30 нечитабельна.
Размер файловой записи как раз 1024 байта. А если смещение перевести в сектора то получается 6291516, что как раз соответствует типичному расположению этой записи в MFT раздела отформатированного виндой.
И таких сообщений чуть более тысячи. То есть, о тысяче обьектов нет данных. В случае если это папка, то вложенные в неё выжившие файлы теряют "родителя" и как раз таки восстанавливаются в одну папку с именем тиав dirxxxот.
Если же это относится к файлу, то в случае фрагментированности файла невозможно собрать его по частям (более-менее простыми способами).
Если не дай бог в одной из таких записей будут данные 0-вой записи MFT (в случае наличия расширенного атрибута), MFT будет кастрирована до какого то минимума.

Добавлено через 47 секунд

Цитата (AndreaNad) »

Не отображается даже если выставить отображение скрытых

А если включить отображение системных?

Добавлено через 11 минут

2-ой тип
Read failure with status 0xc000009c at offset 0xc064c400 for 0x400 bytes.
Скорей всего аналог 1-го типа, но возможно что для неиспользуемых записей.

3-й тип.
Index entry DSC08097.JPG of index $I30 in file 0x984 points to unused file 0x201c.
Deleting index entry DSC08097.JPG in index $I30 of file 2436.
Насколько понимаю.
Индексная запись DSC08097.JPG в потоке $I30 в файле 2436 принадлежит отсутствующему файлу 8202.
Удалена индексная запись DSC08097.JPG в потоке $I30 файла 2436.

В данном случае файл 2436 - это папка, в которой хранился указанный файл. То есть даже если сама папка жива, то в ней не будет виден указанный файл.

Добавлено через 16 минут

Это основные типы сообщений. Есть там и другие, которых мало и значения которых я не могу сейчас точно сформулировать. Чтобы понять что "видят" индусы(*) надо видеть ошибку ещё до исправления.
(*) Даже то, что в пределах одного сообщения используется то хекс-значения,Ю то десятичные лично мне показывают их "уровень".

[AndreaNad]

С файлом file00000000.chk ,разобрался.
Если надо,могу выложить
file00000000.chk
file00000001.chk
file00000002.chk
С file00000003.chk проблема.Весит 2,98гб.

Цитата (9285) »

восстанавливаются в одну папку с именем тиав dirxxxот.

Где она находится?

Добавлено через 4 минуты

Учитывая выше сказанное,какой твой вывод?

Цитата (AndreaNad) »

Что теперь?
1.Есть надежда как-то их восстановить?Если да,то подскажи и помоги разобраться как именно их можно восстановить.
или
2.Всё что можно было восстановить я уже восстановил и можно смело форматировать жд и смотреть на его здоровье.

[9285]

Цитата

Если надо,могу выложить

В этих файлах может быть как (почти полноценный файл), так и куча цифрового мусора (в том числе куча кусков фрагментированных данных). (*)

Цитата

Где она находится?

В Foundxxxx - они же видны на твоих скриншотах.

Цитата

Учитывая выше сказанное,какой твой вывод?

На самом деле не всё сказано. Есть очень много разных моментов, которые если описывать, то займёт огромнейшее количество времени. Да и не всё из того что есть в логах чекдиска я описал, потому как тоже самое.
Например, в каком то из логов написано про то, что у одной фиксированной файловой записи не то имя. Это может свидетельствовать о смещении. Не исключаю вариант что и ранее описанные "нечитаемые" записи может из этой же серии. И всё это, привносит лополнительные сложности в ситуации.
То есть, где то (возможно) и есть фрагменты 1000чи файлов, но неизвестно ни их расположение, ни число фрагментов и т.п. Сделать карвинг в такой ситуации, на очень большой поляне, используя ПО - занятие ещё то. И я именно так сформулировал потому как может и получится за год собрать, а может и 100 лет не хватит. То есть, шанс есть, но определить, тем более точно, его величину нереально.
Опять же, я уже где то писал про способности софта. Если он может работать с исключающими зонами, то шанс увеличивается потому как число кандидатов уменьшается. Насколько знаю, в винхексе можно собрать неиспользуемое простанство в кучу. А потом его чем то (???) карвить. Только всё это непросто (мягко говоря).
И я тут неподалёку писал об использовании разного ПО. Та же DMDE (да простит меня уважаемый автор) в части сигнатурного поиска не на первом месте.
И в качестве примера, в том числе для пояснения ранее отмеченной *-ки и написанного про кучу кандидатов - пример из личной практики.
В одном из случаев DMDE, в результатах RAW-поиска был восстановлен jpg-файл размером 447 мегов. Из него, методом ручного просмотра я "высек" фотку размером почти три мегабайта. Вот всё остальное может быть частями других файлов. А теперь представь что если бы делалось восстановление с исключением зон найденного, и эти 445 мегов байтов было бы исключено из зоны поиска.
Ради интереса, прогнал этот 447 меговый файл в photorec и он нашёл в нём почти 3х меговый файл, но размер чуть меньше чем результат моей ручной работы. Это к тому, что надо использовать разное ПО, в том числе с разными настройками.
Позже, в другой теме я напишу по поводу сравнительного теста и может это чем то тебе поможет.
И да, я не буду давать тебе диагноз - это уж тебе решать насколько это важно или нет.

[9285]

PS. Почитай в Восстановление ФС на внешнем HDD отчёт.

[AndreaNad]

Цитата (9285) »

over8.bin - те же файлы, только второй уже не вставлен а записан поверх. Это имитирует перезапись, формат - это уже ситуация как у автора другой темы, который поставил винду поверх прежних данных.

Если это о моём случае,то это не так!!!
Я винду сверху не ставил.

Цитата (9285) »

при включении BrutForce

Что то я не могу найти этот пункт в photorec

И не пойму какой раздел там выбирать!?
И после сканирования нету предпросмотр

[9285]

Цитата

Если это о моём случае,то это не так!!!

Не обязательно винду ставить.
Во первых. после отработки чекдиска, том становится доступным и на него винда может уже что то записать (удалить).
А в нулевых - сам чекдиск делает перезапись, причём в некоторых случаях и поверх бывших записей MFT. После удаления данных о тех или иных обьектах битовая карта тома корректируется - при этом то, что раньше было занято, считается свободным. В том числе в эту область уже начинается запись новых данных, к которым относятся те же папки Found_ххх, Dir_ххх, логи чекдиска.
Одна папка с числом файлов больше нескольких занимает минимум кластер, а тот же крайний лог имеет размер 736526, что при дефолтном 4к кластере составляет 180 кластеров. И, если данные на диске дефрагментированы, то это могут быть перезаписи не одного бывшего файла. И нельзя исключать что попадание может быть на самое начало файла, что приводит к удалению начальной сигнатуры - считай что даже если остальное цело - файл не найдётся.
Кстати, насчёт сигнатур. Всё написанное про них актуально для простых файлов. Если же они банально сжаты (не помню в чьём недавно на скриншоте были видны синие папки - вот это оно) - сигнатур уже не будет. Мало того, сжатие даже одного файла приводит к сильнейшему разрежению, что приводит к фрагментации даже несжатых вновь записываемых файлов.
И это не страшилки, которые могут подтолкнуть тебя к отказу от попыток восстановления - просто описываю как бывает.

[9285]

Цитата

Что то я не могу найти этот пункт в photorec

Этот пункт есть в консольной версии.

Цитата

И не пойму какой раздел там выбирать!?

Тот, в котором нужные тебе данные (логический диск в расширенном) - он вроде бы как у тебя выделен (5).

попутно, хотелось бы отметить что в твоём случае надо выбирать режим сканирования всей поляны раздела. Только свободное как раз актуально для случаев типа переустановки винды или нечто подобного - когда заранее известна область занятого данными. В твоём случае подобное есть, но не гарантированно - в случае выбора только свободного пространства из зоны сканирования будет исключён огромный chk-файл, в котором могут быть фрагменты других данных.

Цитата

И после сканирования нету предпросмотр

А вот это самый неприятный минус сабжевой программы.
Она просто восстанавливает всё, что находит в указанную папку.
И в силу специфики сигнатурки, обьёмы восстановленного нередко больше обьёма разделов. Поэтому рекомендую убрать все ненужные форматы файлов, лучше даже делать по одному из в один заход.
И я уже писал - нужно использовать разное ПО, в том числе то, которое имеет предпросмотр.

[AndreaNad]

Цитата

И я уже писал - нужно использовать разное ПО, в том числе то, которое имеет предпросмотр.

Хорошо,я понял.

Цитата

И в силу специфики сигнатурки, обьёмы восстановленного нередко больше обьёма разделов.

Странно. Я выделил последний,выставил формат png и jpg. Фоторек нашёл и восстановил всего лишь 171 файл. Маловато как то.
Или надо было ещё какой-то формат выделить?

Добавлено через 4 минуты

Сравнивая с dmde или recuva.

Добавлено через 18 минут

[QUOTE]Тот, в котором нужные тебе данные/QUOTE]

Не,ну это понятное дело.
Только там как-то непонятно с буквами.
И этот extended LBA,что это за раздел? И он тоже на 446гб.

[9285]

AndreaNad
Подозреваю что ты забыл выставить поиск на всем участке раздела (Whole).
И актуально "лучше один раз увидеть, чем десять раз прочитать"
Так что, скриншоты приветствуются.

И ещё один момент. Я позже опишу один очень прикольный случай из практики.

[AndreaNad]

Whole?
Нет,наверное не выставил.
А где он?
Сейчас скрины не могу выставить,пишу с тел.

[9285]

На твоём скриншоте внизу - Весь.
А в консольной, в процессе выбора будет Whole или Free (по дефолту).

[9285]

Обещанный случай.
у одного пользователя возникли проблемы с носителем данных, на котором хранились фото. В части секторов данные были повреждены, что привело и к повреждению самих данных.
При этом, в процессе сигнатурного восстановления заметил что восстановленные в процессе такового файлы имели размерменьше чем по файловой системе.
При более детальном разборе было выяснено что после основной фотографии идёт небольшая пустота а потом ещё одно изображение, но в меньшем размере. И начало его смещено относительно начала сектора, поэтому некоторые программы не находили это изображение.
Да, размер этого изображения меньше, а при увеличении и качество тоже, но когда нет никакой фотки, то и такое очень даже подлечит "раны", особено если это из категории детских фото и т.п.
Такое специфичное фото делается на фотоаппарате сони (в данных фото можно увидеть модель), но ведь может что то подобное есть и у других?
Для понимания сути, выкладываю оригинал одной фотки (сама фотка мутная).
https://ibb.co/r60Cgqm
Если открыть фото в той же DMDE и перейти в сектор 7232 можно увидеть заголовок второго изображения (FF D8). Вот если вырезать блок начиная от него и до конца (точнее до байтов FF F9) и сохранить в отдельный файл то получим фото уменьшенного размера.

[AndreaNad]

Прошу прощения что не отписался сразу,не очень хорошо себя чувствовал и поэтому как-то не до компа было.
И так, выставил весь и файлы jpg и png.Восстановила 18,9 гб.
Также сделал восстан. с другого раздела.Восстановилось 55,5 гб.
Много премьюшек, тех же самых что и с DMDE,Recuva и Recoverit. Может даже и немного больше по сравнению с другими.

Цитата (9285) »

особено если это из категории детских фото и т.п.

Да,случай именно этот.

Цитата (9285) »

Вот если вырезать блок начиная от него и до конца (точнее до байтов FF F9) и сохранить в отдельный файл то получим фото уменьшенного размера.

То есть снова премьюшка будет?
Спасибо за информацию, но если так,то на данный момент думаю что программы восстановили всё что можно было.Как думаешь,я прав?
И так как диск у меня уже давно,хотелось бы вернуть его уже по скорее
Может быть потом,ради личного интереса, попробую на своём ssd.

[AndreaNad]

Подскажите,пожалуйста,как мне теперь привести жд в нормальное состояние.
Достаточно нормальное форматирование? Или нужно как то по другому?

[9285]

AndreaNad

Цитата

То есть снова премьюшка будет?

То есть, в данном случае будет фото разрешением 1616х1080 - конечно же не то, что в оригинале, но всё равно лучше чем ничего или типичные превьюшки.
И это не означает что у тебя будет так же; просто пример того что могут быть разные ситуации.

Цитата

но если так,то на данный момент думаю что программы восстановили всё что можно было.Как думаешь,я прав?

Вполне возможно, но дать обьективную оценку при не очень большом обьёме информации невозможно.

Цитата

Может быть потом,ради личного интереса, попробую на своём ssd.

вот только не на SSD и не на SMR-HDD.

Цитата

Подскажите,пожалуйста,как мне теперь привести жд в нормальное состояние.

Что есть нормальное состояние? Если решено что с иска восстановлено всё нужное и больше не будет попыток восстановления, то диск надо гонять "в хвост и в гриву", чтобы определиться уровень проблем с "физикой". И если всё нормально, обнулить, разбить как надо и работать - естественно имея бэкап всего ценного.

Добавлено через 12 минут

Если самостоятельно не получилось сделать написанное выше, то для понимания - та самая "превьюшка" - https://ibb.co/xYRk4tZ

[AndreaNad]

Цитата (9285) »

будет фото разрешением 1616х1080

Так это другое дело.
конечно лучше моей первьюшке 121х162
Тогда стоит попробовать.
Не понял только на чём делать. Что ли на поврежденном жд?

[AndreaNad]

Цитата (9285) »

Вполне возможно, но дать обьективную оценку при не очень большом обьёме информации невозможно.

Какой информации не хватает?

[9285]

AndreaNad
Нет, ты не понял - приведённый пример относится к фотику Sony DSLR-A380, возможно только к нему или к какой то части фотиков сони. Хотя моджет у других есть что то другое (а может и нет).
А пример был для того, чтобы было понятно что в ситуации, когда вроде бы кажется что ничего не восстановить. оказывается что что то можно.

Цитата

Не понял только на чём делать. Что ли на поврежденном жд?

Я не могу тебе что то сказать однозначно. Как писал раньше, я не уверен в том, что посекторка на SSD является 100% не таковой. А если в таком случае неиспользованное файлами место обнуляется? Поэтому, можно исключить такую вероятность сделав посекторку на нормальный диск (для начала достаточно только одного раздела) и сравнить результаты восстановления. Если они идентичны - значит посекторка делается нормально и на SSD.

Цитата

Какой информации не хватает

Много и разной.
Например. Были ли на диске до проблемы куча нехватающих сейчас файлов. Вся хронология событий и что происходило. Ведь может быть банальная ситуация - файловая система была почекана, а после неё запустился штатный дефрагментатор и упорядочил ранее фрагментированные файлы. а дефрагментация делается так, что файл может перенестись в новое место, причём перекрыв старые данные. Как следствие, старый файл если и восстановится. то повреждённый. И таких нюансов очень много. Именно поэтому, в случае рассколбасов в первую очередь исключается запись на диск, после чего делается посекторка, а потом уже пробуются различные варианты.
Всё вышенаписанное, не для того чтобы дать шанс или лишить его - просто обьективность, про которую ты должен знать и принимать решение.
Той же обьективностью является и то, что я знаю немало людей, потерявших как бы ценные фотки и уже забывшие об этом.

[AndreaNad]

9285

Цитата (9285) »

Нет, ты не понял

Ну кто тебе это сказал?
Давай попробую.
Поправь меня если я в чём-то ошибусь.
И так:
1.Открываю DMDE
2.Выбираю диск
3.Выбираю том
4.Открыть том ОК
5.Дерево папок
Ты говорил что фоторек по названию фото говорит нам в каком секторе она находится
Пример f21039080
Как дальше?

[9285]

Цитата (AndreaNad) »

Ну кто тебе это сказал?

Мне, никто - я сам тебе сказал.
Ещё раз - я тебе привел пример конкретного случая восстановления, в котором фигурировали фото с указанного фотика. Я такое встретил впервые, и больше подобное не встречалось. Но как знать - может в твоём случае может быть что то другое.

Цитата

Ты говорил что фоторек по названию фото говорит нам в каком секторе она находится
Пример f21039080
Как дальше?

Не по названию фото а в названии файла.
А дальше, если исходить из того что файл цельный (хотя такой найдётся и программами), считываем энной число секторов. которое соответствует примерному размеру файла (можно больше) и смотрим что там.
Но, ведь файл может быть фрагментированный или частично перезаписанный.
Гипотетически, можно посмотреть какова фрагментация имеющихся файлов и предположить что и остальные файлы подвержены такой же. И если число фрагментов 100500, то ловить нечего. Разве что сделать посекторку и вернуться к ней лет так через дцать, когда и программы будут получше и ресурсы компов позволят сделать карвинг таких фрагментированных файлов. Возможно что наступит коммунизм и комплексы типа PC3000 будут бесплатны и можно будет попробовать восстановить на них.