Предупреждение. Восстановление данных.

[Lesnik75]

1. Самый лучший способ восстановить информацию это её не терять.
Главный метод для минимизации рисков - многократное дублирование данных на разных носителях и в разных местах.
Информация, хранящаяся в единственном экземпляре в одном месте не нужна в первую очередь вам. КССЗБ.
Подробнее - в поиск " backup / бекап / резервное копирование ".
2. При действиях по восстановлению данных крайне желательно (необходимо, если важность этих данных имеет значение) сперва сделать копию накопителя, и проводить работы уже с этой копией.
Так вы несколько минимизируете риски по безвозвратному удалению информации.
3. Никогда не рассматривайте любой единственный накопитель как заведомо исправный. Всегда предполагайте что всё, что может сломаться рано или поздно сломается и это может произойти в любой, в том числе самый неподходящий для вас момент.
4. Спасение утопающих дело рук самих утопающих.
А люди делятся на три категории - первые еще не делают бекапы, вторые уже делают бекапы, третьи проверяют бекапы на актуальность и развертываемость.

Moderator on

СПОЙЛЕР »

PS. Тема не предназначена для вопросов, споров и разговоров.
Если есть желание поделится своим мнением и опытом, то пожалуйста пишите тезисно в вышеизложенном стиле (1. ... 2. .... 3. ....) без обращений и дискуссий с другими участниками.
По спорным вопросам общайтесь в ЛС или в других темах.

Moderator off

[9285]

1. Если проблемный (физически) диск издаёт какие то посторонние звуки, не предпринимайте никаких действий до выработки плана действий.
Лишние включения и попытки запустить "чудо-программы", или та же запись посекторной копии могут привести к тому, что диск сломается окончательно и, в лучшем случае, стоимость восстановления в специализированных фирмах станет оооочень высокой.
Вообще, в случае серьёзных физических проблем, особенно если их появление связано с каким то физическим воздействием на диск, например падение диска в работающем состоянии, удар по диску (и такое бывает с психу у некоторых пользователей), лучше сразу обратится в специализированную фирму (а не сервис, в котором "восстанавливают" простыми программами), тем более что в нормальных предварительная диагностика бывает бесплатной, а оплата за восстановление берётся по факту восстановления.

2. Если же решено предпринимать восстановление самостоятельно, вы должны осознавать все риски и возможные потери. Если всё это воспринято, то всё равно надо иметь план действий.
Во первых, исключить возможность записи на диск (том) на котором находятся потерянные данные. Делается это, различными способами:
- самый простой, но не самый надёжный (потому как винда может делать записи и вносить изменения и на томах без буквы) - забрать у тома букву.
- работы крайне желательно производить с загрузочного диска. При этом надо понимать что он тоже должен обеспечить невозможность записи на проблемный диск.
- сделать, так называемый MBRoff, который удалит спецсигнатуру и диск будет выглядеть как не инициализированным. Если работы ведутся на исправном диске и какой то из его томов необходим (предположим что диск один, на нём система, а данные удалены на несистемном томе), то можно или изменить тип ФС тома на неподдерживаемый виндой или удалить его в управлении дисками.
Здесь надо уточнить и предупредить. Если проблемный диск SSD или современный HDD с поддержкой TRIM, удаления и отключения возможно и нельзя делать, потому как если сработает TRIM, то тогда восстанавливать будет нечего. Но и тут есть оговорочка - не при всех операциях "удаления-очищения" подаётся команда TRIM. И это не столько моё мнение, как мнение известного специалиста по SSD (ник vlo). По крайней мере на тех SSD которые были у меня, ни MBR off, ни удаление разделов не приводило к уничтожению данных. Учитывая специфику этих устройств, и принятии решения о посекторке, надо делать это сразу а не делать разные тесты и т.п.
Во вторых, надо определиться с тем, где удалены данные и какой их обьём. Например, вам надо восстановить десяток файлов. В этом случае возможно проще восстановить их сразу, а не делать посекторку, потому как при ней делается вычитывание всех секторов, в том числе тех, которые могут добить диск (головку) и может получится ситуацию, что не успеете вычитать ту же MFT, или вычитаете файл подкачки или гибернейта но не вычитаете свои данные.

3. Посекторную копию, особенно дисков имеющих физические проблемы надо делать специальными утилитами, которые позволяют делать повторные чтения проблемных секторов (можно указать сколько раз пытаться или вообще их пропускать), умеют вычитывать сектора в обратном направлении (что в некоторых случаях приводит к лучшему результату, и могут продолжать запись в случае если произойдёт какой то сбой.. Нежелательно использовать без крайней необходимости программы, которые файл-образ посекторки или сжимают или добавляют какие то заголовки. Это плохо в плане того, что с такими образами могут работать только эти программы и не факт что они могут хорошо восстанавливать данные. В отличии от таких посекторок, с нормальной можно работать почти всеми программами для восстановления.
И тут ещё надо определиться с типом посекторки. Выше написано про файл, но есть ещё и посекторка непосредственно в сектора диска. В этом случае надо понимать что (на диске куда ведётся посекторка) необходимо наличие нераспределённого места на нём размером не меньше того, что занимает область, которая будет записана.
Если посекторка делается с проблемного диска и предполагаются какие то изменения в ней, то надо делать ещё одну (уже со сделанной) для таких экспериментов, потому как неизвестно, сможет ли вычитаться ещё раз проблемный диск.
Программы которые можно использовать для посектрки:
- HDD Superclone. Работает из под Linux. Удобна тем, что вычитывание (проблемного) диска происходит в несколько проходов. Сначала вычитываются нормально читаемые сектора, потом вычитываются немного проблематичные, потом проблематичные и т.д. Плюс этого метода заключен в том, что сначала не будут длительных попыток вычитывание какого то проблемного сектора или блока секторов, что может привести к окончательной смерти диска.
- DMDE. Имеет различные настройки для вычитывания, в числе коих число попыток повторного вычитывания, есть возможность обратного дочитывания проблемных участков, и вообще обратное вычитывание диска. В посекторке проблемные сектора заполняются заданным шаблоном. Есть возможность дочитывания прерванного копирования.
- WinHex. Есть возможность пропуска сбойных секторов.

4. В процессе вычитывания, как и в дальнейшем, при восстановлении, необходимо следить за состоянием диска (показателями SMART). Если наблюдается рост критических ошибок, или диск начинает издавать нерабочие звуки - прекращать работу с ним.
Для владельцев HDD производства Western Digital отдельное предупреждения. Эти диски подвержены проблеме Slow Responding, которая проявляется в очень длительном вычитывании. Если есть такой эффект, прекращайте работу с диском и решайте каким способом избавится от неё.
И ещё одно предупреждение. Работы по вычитыванию дисков необходимо производить при подключении диска к SATA разьёму материнской платы. Если диск с таким разьёмом вставлен в бокс, вытащите его из бокса и считывайте напрямую И, опять, отдельные предупреждение, особенно к владельца вышеупомянутых WD, часть которых шифруется средствами контроллера коробки. В таком случае нельзя вытаскивать диск из коробки.

5. Когда выполнена посекторка, или не выполнена и пытающийся восстановить полагается на удачу что диск не умрёт, надо определиться с программами для анализа и восстановления.
Не стоит думать что есть одна суперпупер программа, которая восстановит всё и целым. Не исключено что самая крутая (по отзывам) программа восстановит лучше всех. На самом деле бывает и обратное. Тт многое зависит от алгоритмов работы и базой сигнатур.
Вот здесь небольшое пояснение. Есть два типа восстановления данных:
- восстановление по файловой системе. Считываются служебные данные файловой системы и на основе их восстанавливаются данные. Несомненный плюс такого восстановления - сохранение имён и структуры каталогов. Надо понимать что даже восстановленный таким образом файл может быть битым (*) из за того что в месте, где он был записан, могут быть нечитаемые сектора.
(*) Есть как минимум пара версий ломанной программы DMDE, которая восстанавливает как бы "битые" файлы, хотя нормальная версия восстанавливает файлы целыми.
- восстановление по сигнатурам, оно же RAW-восстановление, оно же черновое восстановление.
Используется тогда, когда восстановление по файловой системе невозможно или при его восстановлении не восстановились нужные данные. Принцип действия простой - ищется специфичная для того или иного типа файлов сигнатура и производится восстановление. Восстановленный файл не имеет оригинального названия, чаще всего какое то цифровое (например, в имени файла присутствуют цифры, которые являются номером сектора в котором начинается файл. Наилучший результат такого метода восстановления достигается если файлы не были фрагментированы. если же были, то восстановится только первый фрагмент.
При таком восстановлении, если есть какие то специфичные файлы с известными пользователю сигнатурами, надо использовать программы, которые имеют возможность добавлять свои сигнатуры.

PS. Продолжение будет позже.

[9285]

Один знакомый интернет-коллега подсказал. При выполнении посекторки, в случае если файловая система NTFS, в первую очередь вычитать MFT. Это позволит провести анализ того, где расположены важные данные и попробовать вычитать только их если диску сильно поплохеет.
Я же могу добавить к этому, что ещё вычитать бутсектор, хотя последний несложно и самому "сделать" зная данные начала MFT. В этом случае можно виртуализировать проблемный том или в виртуальной машине или в vhd-контейнере и средствами той же DMDE изучать расположение данных на диске.
Сейчас точно не скажу, но в дальнейшем попробую и напишу - в DMDE вроде бы есть возможность создать список секторов в которых расположены нужные данные и на основе его создать конфигурационный файл для вычитки с помощью HDD SuperClone только их (то есть не вычитывать пустоты и тот же файл подкачки и прочий хлам).

[9285]

Небольшое лирическое отступление.
Если вы решили не обращаться к спецам и заняться восстановлением данных самостоятельно, и начинаете искать информацию об этом - будьте внимательны и осторожны. На просторах интернетов имеется очень много различной информации. И, к сожалению, очень много бескомпетентной а то и очень опасной. И тут нет каких то исключений. Написать это отступление сподвигли статьи на сайте достаточно известной компании в части написания ПО для данных целей. Бескомпетентность пишущего их поражает - а ведь ему то верят.
Вот одна из них, наиболее подходящая под нередкие случаи - https://hetmanrecovery.com/ru/recove...emory-card.htm
Речь идёт о восстановлении данных после форматирования.
И если в самом начале речь идёт о том, что есть несколько важных моментов, в том числе какая использовалась файловая система, то далее идёт голословное утверждение что это не важно.
На самом деле, всё критично, в том числе и какая ФС и чем делалось форматирование - как ранее, так и после.
В части FAT я не очень сильно разбираюсь, но что касается формата, то здесь знания есть.
Итак, если раздел форматируется с тем же размером кластера (тем более если тем же форматером), то мы гарантированно получаем перезаписанные файловые таблицы - в полном обьёме. А в них хранится информация о размещении файлов. Не уверен что в ней хранится вся информация о структуре каталогов и именах файлах (вроде бы эти данные записаны в диррентах), тем не менее толку от этих имен если неизвестно где располагался файл; ну разве что для того чтобы понимать что было до форматирования. В таком случае восстановление идёт по сигнатурам, о минусах которой написано ранее.
Что касается NTFS, то здесь ситуация имеет некоторую долю везения.
В первую очередь от того, чем делалось форматирование. Для понимания возьмём штатный форматер Windows и что используется дефолтовый размер кластера (4096 байт). Начало MFT в этом случае находится на стандартном смещении от начала тома (при размере тома более размера где то 10 гигабайт). Так называемое зеркало - оно же MFT Mirror располагается тоже на стандартном смещении, но оно разное для форматера ХР и форматеров более современных ОС. И если используется более современный форматер, то это может помочь тем, что сохранится самая критичная информация - размещение самой MFT до форматирования, и это очень критично если MFT не однофрагментно.
В части остальных метаданных, записываемых при форматировании, то здесь я не нашёл какой либо закономерности (разве только что битовая карта MFT пишется перед ней) - все остальные могут записаться в любое место, обычно ближе к началу диска.
И здесь ещё один момент. Форматер ХР создаёт 32 начальные записи - то есть, перезаписывается это количества записей в старой MFT. У более современных ОС потери более существенны - 256 записей.
В результате теряется какая то часть данных о файлах, в том числе некоторые достаточно критичные. Если прекратить работу с диском, то любая вменяемая программа по восстановлению может найти остатки старой MFT и восстановить структуру данных и какую то часть данных. Здесь уже зависит как раз таки от того, где была записана старая MFT, которая может быть разбросана и по всему тому и от того, куда записались другие метаданные новой ФС. Для примера, журнал файловой системы формируется размером 64 мегабайта. И если он попадёт на какой то большой фрагмент MFT, то это потеря уже примерно 64 тысяч записей.
Это кратно. И по этому поводу в статье всё более менее описано, НО только пишется что в этом случае можно восстановить даже средствами самой операционки. Я ещё не ставил 11-ю винду, но не думаю что там появилось что то новое в этом плане. Ах да, автор статьи может сказать (и где то в другой статье такое встречал) что можно восстановить из резервных копий. Это да, НО если это было включено и это нельзя назвать восстановлением, потому как это банальная работа с бэкапами.
Ну а сейчас самый перл и самая ВРЕДНЕЙШАЯ информация из указанной статьи. Речь идёт о ПОЛНОМ форматировании. В статье пишется

«Полное форматирование» позволяет не только скрыть файлы, но и проводит анализ состояния диска, исправляет выявленные ошибки и повреждения. После этого формируется новая файловая таблица. Восстановить форматированный диск возможно лишь посредством специальной программы. Однако в этом случае нет гарантии, что после таких действий произойдет восстановление всех данных.
Выбираем Полное форматирование / ОК. Как видим диск отформатирован, что же делать в таком случае.

Запускаем программу Hetman Partition Recovery. Нас встречает мастер восстановления файлов, указываем наш диск, а затеем выбираем Полный анализ, указываем нашу файловую систему. Как видите, программа поддерживает восстановление данных с практически любой файловой системы. Поэтому я и говорил, что файловая система форматируемого диска значения не имеет.

Я бы мог сказать что автор частично прав, особенно если бы он написал это до появления висты. Да, в случае с форматером ХР, при полном форматировании формируется новая структура ФС, при этом, точно так же как и при быстром формате формируется лишь 32 записи (автор написал в быстром о перезаписывании файловой таблицы а при описании полного о формировании новой, что как бы не одно и то же, по крайней мере в написании слов) и делается проверка поверхности диска. Начиная с висты, при полном форматировании, в первую очередь производится пропись "поляны" тома нулями. То есть, если не было каких то изменений размеров или смещений разделов, с данными можете попрощаться окончательно и нет смысла запускать что либо.
И очень цинично выглядят утверждения автора если видеть что форматирование он делает в современной ОС.
Вот такие "пироги с котятами".
Далее я ещё напишу про некоторые "форумы" и "советчиков" с них.


И ещё небольшие перлы из статьи.
Данные на разных файловых системах восстанавливаются одинаковым способом.
Если говорить глобально, то да, делается анализ наличия структур файловой системы и на основе их выводится список файлов. Но про частности написал выше и они зачастую очень критичны. И многое ещё зависит от алгоритмов работы программы, которые напрямую связаны со знаниями разработчика. В той же DMDE есть один очень интересный алгоритм в части восстановления данных с FAT-томов. До некоторого момента он был уникальным, но потом (судя по появлению этого же в одной широко популярной программе) он появился и у ещё одной из числа протестированных мной. И когда читаешь подобные статьи возникает вопрос насколько грамотные алгоритмы у программ данного разработчика.
Чтобы узнать файловую систему вашего диска, кликните правой кнопкой мыши по нужному диску в программе (или в проводнике Windows), и выберите Свойства. Она будет указана в поле «Файловая система» и кликаем Далее.
В принципе то можно выделить все поддерживаемые, только это увеличит число мусора и время сканирования. Но суть в другом - не важно какая файловая система сейчас а какая была ДО форматирования. И если указать только ту, которая сейчас, а до этого была другая, то результат восстановления по файловой системе вполне предсказуем

PS. Если кто то подумает "Пришёл Дартаньян и всех покрошил", то могу для таких сразу написать

СПОЙЛЕР »

Я не профессиональный специалист по восстановлению данных, не заканчивал никаких курсов и все мои знания получены в результате чтения информации и, больше всего, в процессе помощи участникам в восстановлении данных. Этих случае огромное множество и большинство из них можно изучить как здесь, так и на бывшем форуме руборды - там несколько частей темы по восстановлению данных. Мои ники там - 9285, temp9285, eh. Там же, в первых частях можете почитать сообщения моего виртуального наставника (гуру) Antech. Есть сообщения и на хоботе, но там это было в далёком прощлом. Есть и ещё на некоторых "форумах", но там уцелели лишь отмётки, которые не удалили до конца обиженные "модераторы". На том же хоботе (ixbt.com) есть мой виртуальный коллега Yatagan, раньше часто был автор любимой моей программы DMDE - можете спросить у них насколько я прав и компетентен. Ну а самым главным моим аргументом являются сотни случаев восстановления данных, в том числе когда спИцИалИЗды предрекали фиаско.
Ну а если кому то это не является аргументом, то можете оставаться при своём мнении, так как оно мне фиолетово, чего нельзя сказать о благодарностях тех, кому помог.