Forum elektroda.pl

Regulamin  | Punkty  | Dodaj...  | Ostatnie  | Szukaj  | Rejestracja  | Zaloguj

Ta strona używa cookie. Dowiedz się więcej o celu ich używania i zmianie ustawień cookie w przeglądarce.
Korzystając ze strony wyrażasz zgodę na używanie cookie, zgodnie z aktualnymi ustawieniami przeglądarki.

Uszkodzona główna tabela plikow + moja błedna naprawa


Napisz nowy temat  Odpowiedz do tematu      Strona Główna -> Forum elektroda.pl -> Komputery Serwis -> Naprawa HDD  i odzysk danych -> Uszkodzona główna tabela plikow + moja błedna naprawa
Autor
Wiadomość
M-K
Poziom 4
Poziom 4


Dołączył: 14 Lut 2009
Posty: 8
Miasto: Poznan

Post#1 Post autora tematu 14 Lut 2009 20:07   

Uszkodzona główna tabela plikow + moja błedna naprawa


Witam
Pewnego dnia zginęła mi jedna z partycji. Podczas włączania systemu wyświetla "uskodzona główna tabela plików"
Cześć danych odzyskałem programem "PC Inspector File Recovery"
Oczywiście po przeczytaniu 3-4 tematów stwierdziłem ze to proste i sam naprawie i za pomocą DMDE skopiowałem boot sector copy na Boot sector i nic system plików RAW wszystko 0 bajtów
dysk to IDE ST3320620A, dysk podzielony na 3 partycje, system xp na innym dysku,
Pytanie brzmi czy da sie z tego cos uratować odzyskane dane są częściowe i "poszatkowane"
screen z DMDE :
Uszkodzona główna tabela plikow + moja błedna naprawa
i dalej
Uszkodzona główna tabela plikow + moja błedna naprawa
po kliknięciu Open volume
Uszkodzona główna tabela plikow + moja błedna naprawa
Uszkodzona główna tabela plikow + moja błedna naprawa
Uszkodzona główna tabela plikow + moja błedna naprawa

Osoby chcące wyrazić opinie na temat mojej głupoty, lenistwa, pośpiechu itp proszę o wstawienie w poście :!: proszę jednocześnie o nie pisanie samych :!:

Załączniki:
Powrót do góry
   
Google


Google Adsense


Post# 14 Lut 2009 20:07   





Powrót do góry
   
mackowskidariusz
Poziom 6
Poziom 6


Dołączył: 21 Lis 2005
Posty: 18
Miasto: Rybnik

Post#2 14 Lut 2009 22:42   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Ja w takich wypadkach korzystam z Rescuecd i programu testdisk (do ściągnięcia legalnie z netu) opis w google
Powrót do góry
   
M-K
Poziom 4
Poziom 4


Dołączył: 14 Lut 2009
Posty: 8
Miasto: Poznan

Post#3 Post autora tematu 14 Lut 2009 22:43   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


uszkodzona tabela plików to komunikat z przed mojej "naprawy" teraz przy starcie okien nic
nie twierdze ze DMDE źle działa tylko ja go źle użyłem, skopiowałem boot sector copy i wkleiłem na Boot sector a to nie tylko nic nie dało ale chyba pogorszyło
a ten temat czytałem a raczej próbowałem bo dla mnie to czarna magia
Powrót do góry
   
mackowskidariusz
Poziom 6
Poziom 6


Dołączył: 21 Lis 2005
Posty: 18
Miasto: Rybnik

Post#4 14 Lut 2009 23:16   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


spróbuj testdisk .... tylko na spokojnie poczytaj jak się z niego korzysta, mnie pomógł odtworzyć naprawdę solidnie rozwalone dyski (pod względem logicznym). Nie trzeba być geniuszem aby go używać (no trochę podstaw linuxa się przydaje)
Powrót do góry
   
Usunięty






Post#5 15 Lut 2009 01:45   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Kolego mackowskidariusz chce zapytać o jedna rzecz, n.p. mamy uszkodzone 4 pierwszych zapisy $mft jasne ze $mftmirror tez będzie uszkodzony, a na dodatek nie mamy boot ntfs i nie mamy boot copy tej partycji, co trzeba zrobić żebyś odzyskać dane (raczej jak to zrobi testdisk )?
Powrót do góry
   
mackowskidariusz
Poziom 6
Poziom 6


Dołączył: 21 Lis 2005
Posty: 18
Miasto: Rybnik

Post#6 15 Lut 2009 12:31   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Nie specjalizuję się w odzyskiwaniu danych(raczej trafia się jako dodatkowe zajęcie od znajomych), miałem niedawno taki przypadek że kolega nadpisał partycję obrazem innej partycji(nie z tego dysku , inna wielkość i rozmiar), a konkretnie to zorientował się po ok 2 minutach że to nie to chciał zrobić. Wypróbowałem testdisk-a i udało się przywrócić system do stanu przed awarii ... i nie wiem jak testdisk to zrobił ale zrobił. PS był to NTFS

Kolega jeszcze raz przeczyta (zaznaczyłem na czerwono) co sam napisał, skoro nie znasz pojęć słów nie używaj. Proszę poprawić wypowiedź wprowadzającą w błąd innych użytkowników. (gsm_virus)
Powrót do góry
   
Usunięty






Post#7 15 Lut 2009 13:17   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Kolego każdy może napisac bajeczkę, przy tym nie mówiąc o szczegółach działania tego sposobu, jako argument używając ja zrobiłem u mnie działa. A ty opowiedz co było, co naprawiał tesdisk (żebyś tobie łatwiej było, testdisk nie może naprawić mft jeżeli mamy uszkodzony mftmirror co jest zwyczajnym przy uszkodzeniu pierwszych 4 zapisów mft, jeżeli został nadpisany mft i mftmirror na nowo utworzonymi danymi to testdisk tu nie ma szans, nawet brak boot ntfs i boot copy zrobi nie możliwym skuteczna praca testdiska "a przypadek opisany przez kolegi to fikcja bez argumentów, których kolego jak widzę przedstawić nie ma możliwości z braku pojęcia co robi""). Jeżeli kolego po prostu chce zniechęcić ludzi do myślenia odmawiając od korzystania mózgu i narzędzia które potrzebuje myślenia i rozumienia tego co robisz, to cóż ma kolego na to prawo, tylko chce żebyś oprócz ogólniaków opisał by jak działa w tej czy innej sytuacji soft którego kolego poleca (oczywiście jeżeli kolego sam ma jakieś pojecie o tym)
Powrót do góry
   
mackowskidariusz
Poziom 6
Poziom 6


Dołączył: 21 Lis 2005
Posty: 18
Miasto: Rybnik

Post#8 15 Lut 2009 15:08   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Koledze okzo to jedynie co mogę zalecić to Valium, i to tyle w temacie dyskusji
Moderowano przez gsm_virus:
Nie poprawiłeś wypowiedzi, która wprowadza w błąd, a w notatce w Twoim profilu kwitnie moja prośba.
Dodatkowo nieznajomość regulaminu pkt 4 i 10.8
Takie postępowanie na forum nie będzie tolerowane, "nagradzam" ostrzeżeniem.

Powrót do góry
   
M-K
Poziom 4
Poziom 4


Dołączył: 14 Lut 2009
Posty: 8
Miasto: Poznan

Post#9 Post autora tematu 15 Lut 2009 15:46   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Podsumowując testdisk jest dobrym narzędziem ale odpowiednio użytym i z odpowiednią wiedzą, a na pewno nie jest automatem na wszystkie problemy z dyskiem.
Dodam że po przeczytaniu wielu tematów nie tylko na tym forum stwierdzam że mimo nerwowości wiedza kolegi okzo jest rzetelna i profesjonalna dlatego moje działania chciał bym oprzeć o jego wiedzę

Dlatego pytanie pozostaje da sie coś zrobić?

dołączam plik z boot sector copy ten którym nadpisałem

Załączniki:
Powrót do góry
   
Usunięty






Post#10 15 Lut 2009 16:02   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Właśnie kolego, to jest tym co nazywa sie klikam i nie patrze co robię. Jeżeli kolego nie wiesz co to, jest to sektor w którym nic nie ma oprócz zer, adres tego lba po tym co było w BPB boot ntfs był ostatnim sektorem partycji, co oznaczało ze tu musiał być boot copy (ale co przeszkodziło koledze spojrzeć na zawartość tego lba? tym bardziej jak DMDE krzyczał tobie "tu nie ma boot copy EBx") , jak można domyśleć się, ten dysk był potraktowany czymś wcześniej (czymś takim jak acronis , testdisk, PM, paragon ), i to spowodowało ze prawdziwy boot copy okazał się o parę sektorów dalej niż adres ostatniego sektora partycji .
A NIE SPOJRZEĆ NA ZAWARTOŚĆ W TRAKCIE KOPIOWANIA TEGO SEKTORA KOLEGO NIE MÓGŁ , OZNACZA TO, ZE .... ??
Kod:
0x0000   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0010   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0020   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0030   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0040   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0050   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0060   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0070   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0080   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0090   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x00A0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x00B0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x00C0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x00D0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x00E0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x00F0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0100   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0110   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0120   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0130   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0140   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0150   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0160   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0170   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0180   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x0190   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x01A0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x01B0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x01C0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x01D0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x01E0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0x01F0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................

Powrót do góry
   
Google


Google Adsense


Post# 15 Lut 2009 16:02   





Powrót do góry
   
M-K
Poziom 4
Poziom 4


Dołączył: 14 Lut 2009
Posty: 8
Miasto: Poznan

Post#11 Post autora tematu 16 Lut 2009 11:56   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Acronisem były dzielone partycje na dysku ale to było kilka miesięcy temu od tego czasu był przeinstalowany system i nie było używane żadne narzędzie dyskowe. Jeśli kolega uważa że to modyfikacje programowe to : dysku mam dwa systemy, drugi to windows 7. System ładuje sie domyślnie jeśli moja córka wyłączyła napięcie na listwie i wystąpił błąd po ponownym uruchomieniu probował to naprawić i wtedy wyłaczyła ponownie, to tylko hipoteza bo mnie nie było a żona sie przyznała że podobna sytuacja miała miejsce .Kiedy ja wróciłem z pracy włączaniu system wyświetlił partycja f wymaga sprawdzenia i po chwili uszkodzona główna tabela plików i po chwili przerwano ( teraz listwa jest w mniej dostępnym miejscu)

"A NIE SPOJRZEĆ NA ZAWARTOŚĆ W TRAKCIE KOPIOWANIA TEGO SEKTORA KOLEGO NIE MÓGŁ , OZNACZA TO, ZE .... ??"

Całkowita racja, moglem spojrzeć moglem zrobić kopie tego boot sektora przed nadpisałem ale zrobiłem to w sposób jaki sam krytykuje next-next powiem tak bije sie w pierś i jest mi głupio
Powrót do góry
   
Usunięty






Post#12 16 Lut 2009 12:56   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Cytat:
Acronisem były dzielone partycje na dysku ale to było kilka miesięcy
- tego wystarczy, jeżeli kolego po tym nie zakładał partycje od nowa a tylko formatował istniejące, formater acronisa i MS bardzo się różnią .
Acronis- 48cluster mftmirror - 2cluster mft : 8s/cluster
ParagonDM - 2cluster mft : 128s/cluster ( domyslnie)
ParagonDM - 4cluster mft : 8s/cluster
MS - 786432 mft : 8s/cluster
PartitionMagic - 786432 mft : 8s/cluster
Dla wszystkich oprócz acronisa mftmirror po środku partycji.
Odbudowanie logiki po tym co kolego zrobiłeś, jest możliwe, i mało czym się rożni od ręcznego odbudowania logiki fragmentowanej partycji ntfs po formacie -> http://yura.projektas.lt/prob/odzyskiwanie_plikow.html . Dla tego trzeba przede wszystkim znaleźć (możliwe ze będą w całości ) mft lub mftmirror, jeżeli są uszkodzone, wtedy trzeba na podstawie istniejących zapisów wyliczyć adres pierwszego klastra mft i odbudować w taki sam sposób jak przy formatowaniu, następnie ręcznie odbudować boot ntfs i wszystko.
Powrót do góry
   
wigor11
Poziom 10
Poziom 10


Dołączył: 27 Sie 2003
Posty: 59

Post#13 17 Lut 2009 12:00   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Witam
Problem z niemożliwością odczytania danych z dysku uważam za poważny, dlatego chciałbym wtrącić swoje trzy grosze do tej dyskusji. Miałem problem z odczytaniem danych z partycji, były nieczytelne z windy i nie dawały się zamontować pod Linuxem. Problem rozwiązałem o tyle, że wszystkie dana odzyskałem z obydwu partycji i mogłem je zapisać na innym dysku. Chodziło o dwie partycje NTFS. Jedna istniała jako poddstawowa, a druga była jedną z dwóch na partycji rozszerzonej. Obydwie partycje były na jednym dysku. Na tym samym dysku istniały dwie inne partycje -jedna podstawowa i jedna na rozszerzonej, które dawały się odczytać i zamontować pod Linuxem bez problemu. Partycje nieczytelne jako takie były widoczne i tylko tyle. Na podstawie komunikatów z okna terminala Linuxa w czasie prób zamontowania tych partycji zorientowałem się, że problem jest w MFT każdej z tych partycji. Niestety, wyglądało również na to, że mirrory MFT były nieczytelne. Problem wyglądał dosyć poważnie - utrata danych. Niestety programy zciągnięte z internetu to były tylko dema. Niektóre pozwoliły mi zobaczyć, że dane istnieją na partycjach (pierwszy sukces), ale nie było możliwości ich zapisania (tylko demo). Testdisk w tym przypadku też nic nie zdziałał.
Rozwiązaniem okazały się programy komercyjne, ale:
1) jeden z nich to "RescuePRO" v3.3 -programik SanDisk'a, który dostałem przy zakupie karty CF 2GB (był w opakowaniu). Program jest przeznaczony do odzysku danych utraconych na kartach pamięci, ale na dysku też działał.
2) drugi z nich to "EASEUS Data Recovery Wizard Professional" 4.3.6 -program ten w pełnej wersji został zamieszczony na płycie dołączonej do PC WORLD luty 2009 (notabene za sugestią mojego anioła struża, za co dziękuję).
Drugi z programów okazał się lepszy, ponieważ nie zmieniał nazw plików foto. Programy są co prawda komercyjne, ale zostały nabyte "przy okazji", a okazały się bardzo skuteczne.
Korzystam z systemu Linux i nie udało mi się znależć programu, który potrafiłby przeskanować dysk podobnie jak powyższe programy (między innymi) w celu odczytania danych z pominięciem tablicy plików. Jeżeli ktoś z forumowiczów zna taki, to proszę o wypowiedź.
Tekst napisałem z myślą, że pomoże komuś w sytuacji z podobnym problemem.
Powrót do góry
   
Usunięty






Post#14 17 Lut 2009 13:22   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


A ten tekst został napisany przez Okzo aby ludzie zrozumieli co to jest NTFS i jak wygląda praca z odzyskiem danych z niego oraz aby różne podpuchacze nie wsadzali ludziom kitu nasłuchawszy sie OER-owskich bzdur ->


NTFS
Zobaczymy, co dzieje się przy skasowaniu plików /dirX/file.xxx
1. Kasowanie pliku zaczyna się od odczytu pierwszego sektora systemu plików i praca z boot sektorem dla wyliczenia rozmiaru klastera i początkowego adresu MFT i rozmiaru MFT zapisu.
2. Odczyt z MFT pierwszego zapisu (plik $MFT) i obliczenie według tego zapisu wyjaśniając strukturę pozostałych zapisów MFT, informacja przechowywana jest w atrybutach $DATA
3. Dalej potrzebne jest odnalezienie katalogu dirX, dla tego musimy odczytać zapis MFT katalogu ROOT i przechodzimy po index'ie w atrybutach $INDEX_ROOT i $INDEX_ALLOCATION. Ze znalezionego elementu dirX bierzemy adres zapisu MFTxxx i odświeża się czas ostatniego zgłoszenia do folderu.
4. Pracujemy z atrybutem $INDEX_ROOT zapisu MFTxxx i szukamy w nim elementu file.xxx., wyjaśniamy, że adres MFT pliku jest pod zapisem MFTxxy.
5. Zapis wyklucza się z indexu, elementy węzła przesuwają się i zamieniają poprzedni element. Dla folderu odświeża się czas ostatniego zgłoszenia.
6. Zapis MFTxxy wyswobodzony zostaje przez zrzucenie flagi użytkowania. Tak samo opracowany jest atrybut $DATA pliku $BITMAP, i w nim zerujemy bit danego zapisu.
7. Obrabiamy nierezydentne atrybuty zapisu MFTxxy, klastery należące do niego uwalniają sie w bitowej mapie pliku \$Bitmap. W naszym konkretnym przykładzie to np. klastery xxx i xxxx.
8. W każdym z wymienionych etapów może być robiony zapis do dziennika systemu plików $LogFile i dziennika zmian \$Extend\$Usr\JRNL. Jeżeli w systemie są quoty, nowy rozmiar pliku quoty użytkownika wylicza się w pliku \$Extend\$Quota. Zwróćcie uwagę: przy kasowaniu plików w NTFS Windows nie kasuje odnośników, i związki pomiędzy zapisem MFT i klasterami zostają, związek pomiędzy nazwa pliku i zapisem MFT tez by pozostał, jeżeli zapis nie był by utracony w skutek sortowania.

Odzyskiwanie plików.

Odzyskiwanie skasowanych plików w NTFS jest łatwiejsze niż w większości pozostałych systemów plików. Przy kasowaniu pliku jego nazwa jest wykluczona z indexu foldera rodzicielskiego, wyswobadza się zapis MFT I zajęte przez niego klastery. Przy tym komponent Microsoft nie kasuje zawartości odnośników chociaż wykluczyć takiej możliwości w kolejnych wersjach Windows nie można. NTFS ma jedną wielką wadę: przy wykluczeniu nazw plików z indexu rodzicielskiego folderu index sortowany jest od nowa, i informacja o nazwie plików może być utracona. Chociaż taka wada może być po części kompensowana tym, że wszystkie zapisy MFT są trzymane w jednej tabeli, co ułatwia odnalezienie wszystkich wolnych zapisów. Oprócz tego każdy zapis jest w atrybutach $FILE_NAME z bazowym adresom rodzicielskiego folderu, a to oznacza ze przy odnalezieniu wolnego zapisu można wyliczyć jego całą ścieżkę dostępu, jeżeli tylko zapisy w rodzicielskich katalogach nie są powtórnie zajęte nowymi plikami lub folderami.
Druga czynność przy odzyskiwaniu – szukać dodatkowych atrybutów $DATA.
Żeby odzyskać wszystkie skasowane pliki w systemie plików NTFS, potrzebnie jest odnalezienie w MFT wolnych zapisów, już po odnalezieniu wolnych zapisów nazwa jest zapisana w atrybucie $FILE_NAME i adresie rodzicielskiego foldera. Odnośniki do klasterów ciągle istnieją, i jeżeli dane jeszcze nie byli nadpisane można je odzyskać bez trudu nawet przy mocnej fragmentacji skasowanych plików. Jeżeli znaczenie atrybutu było rezydentne dane nie będą nadpisywane do kolejnego wydzielenia tego zapisu MFT. Jeżeli dla przechowywania atrybutów pliku potrzebnie było więcej niż jeden zapis MFT dla pełnego odzyskania mogą być potrzebne pozostałe zapisy. W Windows dla zapisów MFT wykorzystywany jest algorytm zaznaczenia pierwszego wolnego zapisu, dla tego MFT zapisy z małymi numerami są przepisywane częściej niż z wielkimi. Przy odzyskiwaniu mogą być przydatne dane dziennika systemu plików lub dziennika zmian (dziennik zmian nie zawsze jest aktywny, ale w nim można odnaleźć czas skasowania lub redagowania pliku).
Teraz już można konstatować, ze z odzyskiwaniem w NTFS poradzi sobie byle jaki program z istniajacych na rynku, tylko trzeba przytrzymać się niektorych obowiązkowych szczegółów.
ext3: Ten system plików niczym prawie nie rożni się od ext2 za wyjątkiem niektorych szczegółów i tego ze jest "jurnaled filesystem"( data=writeback, data=ordered, data=journal). 3 tryby księgowania tego systemu plików
1. data=writeback - w tym trybie system plików nie prowadzi jakiegokolwiek księgowania.
2. data=ordered - tryb data=ordered księguje tylko metadane. W tym trybie bloki metadanych i dane zapisywane do wspólnego modułu (transaction), przed nagraniem nowych metadanych dane związane nagrywane są jako pierwsze.
3. data=jurnal - w tym trybie księguje się wszystko i metadane i dane, wszystkie nowe dane najpierw zapisywane są do księgi i tylko po tym zapisywane na swoich fizycznych miejscach na dysku.
Jak odzyskać dane skasowane w ext3, w takim przypadku ext2 w odróżnieniu od ext3 po prostu zaznacza odnośniki do bloków jako nieużywane a w ext3 odnośniki są zerowane. Także odzyskiwanie danych skasowanych w ext3 będzie możliwe tylko przez szukanie plików po „grep“ sygnaturach plików . Do tego jest najlepszym softem DataExtraktor BVG HRT DRE lub ACELAB, tryb raw recovery, dla odzyskiwania plików skasowanych w ext2 można użyć
soft r-studio czy stellar for linux i już wcześniej podane narzędzia profesjonalne i tp.


Teraz popatrzymy co dzieje sie przy formatowaniu dysku NTFS

NTFS formatowanie dysku :
Buduje się boot-sektor w formacie ntfs
Generuje się nowy seryjny numer dysku i zapisuje się w boot sektor, offset 48h
Oblicza się nowa suma kontrolna boot-sektor i zapisuje się offset 50h,
Buduje się nowy plik MFT, zawierający informacje o wszystkich plikach na dysku i zazwyczaj zapisuje się nadpisując stary plik MFT (wyjątków tu nie ma). We wszystkich przypadkach pierwsze ~24 zapisy (File Record) będą zniszczone bezpowrotnie.
W tych zapisach znajduje sie sam $MFT, $MFTMirr, folder root, /$LogFile - plik transakcji,/$BITMAP - mapa wolnej przestrzeni,/$Secure- deskryptory bezpieczeństwa i inne służbowe pliki
Inicializuje się $MFT:$DATA - ustala się nowa długość ($MFT:$30.AllocatedSize, $MFT:$30.RealSize, $MFT:$80.AllocatedSize, $MFT:$80.RealSize, $MFT:$80.CompressionSize, $MFT:$80.InitializedSize, $MFT:$80.LastVCN), data/czas zbudowania/ostatniej modyfikacji ($MFT:$10.FileCreationTime, $MFT:$10.FileAlertedTime, $MFT:$10.FileReadTime, $MFT:$30.FileCreationTime, $MFT:$30.FileAlertedTime, $MFT:$30.MFTChangeTime, $MFT:$30.FileReadTime) i najważniejsze, buduje się nowy spis odcinków (data-runs), bezpośrednio nadpisując stary, a to oznacza ze zbierać fragmentowany $MFT trzeba będzie po kawałkach
Buduje się nowy /$BITMAP-plik odpowiedzialny za podzielenie przestrzeni dyskowej (wolne i zajęte klastry) znowu nowa zawartość nadpisuje stara, ale to tez można odzyskać z chkdsk.
Buduje się nowy plik dziennika transakcji - /$LogFile,
Do nagłówka zapisu $MFT wprowadza się nowy LogFile Sequence Number w skrócie LSN;
$MFT naznaczany jest nowy numer kolejności aktualizacji (Update Sequence Number);
Buduje się lustro $MFTMirr, bezpowrotnie zacierająca stare (znajduje się po środku partycji NTFS ),
Budują się nowe /$Volume, /$AttrDef i inne pliki służbowe.
Przeprowadza się sprawdzenie powierzchni i wszystkie odnalezione uszkodzone klastry zapisywane do pliku /$BadClus;
Formuje się nowy folder root
Jeżeli do formatowania partycji istniał /System Volume Information-plik, to on po prostu odnawia się, w przeciwnym razie /System Volume Information buduje się tylko po restarcie komputera;
Jak widać po formacie zostają wszystkie dane, które były na dysku, tylko z wyjątkiem niektorych szczegółów samych metadanych zmiana których utrudnia odzyskiwanie , ale nie na tyle, żeby to było niemożliwe.
Przy tym klasyczna metoda zerowania za pomocą MHDD niszczy dane całkiem, nadpisując bezwzględnie każdy sektor zerami, softowe kasowanie można liczyć na dzień dzisiejszy za jeden z najbardziej dostępnych i najskuteczniejszych. Mozę nie jest najszybszy , ale używając odpowiednich metod można to przyspieszyć, przy tej samej skuteczności niszczenia danych.


Teraz trochę info, jak można odbudować sformatowana partycje NTFS bez jakichkolwiek narzędzi dodatkowych, tylko dowolny edytor dyskowy (może być i zwykły hex edytor w parze z MHDD, komendy atof i ff pomogą odczytać i zapisać sektory po edycji na dysk) lub DMDE, ktory zawiera wszystko. Jednym slowem darmowe odzyskiwanie danych ze sformatowanej partycji NTFS bez potrzeby kopiowania na inny nosnik (unformat NTFS recznie).

Naszym celem będzie ręczne odzyskiwanie danych całej sformatowanej partycji NTFS bez jakichkolwiek dodatkowych narzędzi dla odzyskiwania danych , wszystko co będzie potrzebne to dowolny edytor dyskowy z takich najlepszym jest DiskExplorer for NTFS no i chkdsk (słynny zabójca partycji może posłużyć do ich ratowania po formacie).

W trakcie formatowania przeprowadza się bezpowrotne zniszczenie większości kluczowych struktur metadanych - danych, które ręcznie odzyskiwać byłoby bardzo ciężko, tego właśnie i nie potrzeba . Cały sens jest w tym, żeby przywrócić partycji utracone zapisy systemu plików, a pozostała prace niech robi chkdsk .
Jedyna struktura danych bez której nie może pracować chkdsk jest atrybut $DATA pliku $MFT. Dlatego nam potrzebne jest odbudować poprzedni $MFT:$DATA i ulokować go zamiast ewentualnych zapisow . Jeżeli $MFT:$DATA nie jest fragmetowany, to można zrobić prosto powiększeniem jego długości. Jak to zrobić ?
Odpalamy DiskExplorer for NTFS wchodzimy na pierwszy sektor MFT(Goto -> Mft), klikamy na $MFT pliku i w atrybucie $DATA (80h) powiększamy znaczenia pola Allocated Size/Real Size/Compressed Size na potrzebna ilość równolegle korygując spis odcinków (run-list). Jak wyliczyć długość pliku MFT? Ona równa się różnicy pierwszego i ostatniego sektora, w których znajduje sie sygnatura FILE. Prawidłowa długość pliku MFT wyliczać nie ma potrzeby, wystarczy wziąć długość większa, niepotrzebna wyrzuci chkdsk (i lepiej brać więcej niż mniej)
DiskExplorer for NTFS nie pozwala redagować pola i dlatego potrzebne jest przełączenie w tryb hex editora i szukać offsety wszystkich wartości samodzielnie. Odnalezienie nagłówka atrybutu $DATA jest bardzo proste: na jego początku zawsze znajduje się kolejność 80 00 00 00 xx 00 00 00 01. W NTFS wersji 3.0 ona ulokowana z offsetem F8h od początku pola sektora. Pole Real Size we wszystkich wersjach NTFS ma offset 30h odnośnie nagłówka, a pole Allocated Size i Initialized Size po offsetom 28h/38h bajt, przy czym znaczenia Allocated Size musi być obowiązkowo wielokrotnością rozmiaru klastra . Najważniejszym jest, żeby przy formatowaniu był ten sam rozmiar klastra inaczej z tego co chcemy zrobić nic nie wyjdzie, jeżeli już wyszło tak, ze dysk został sformatowany z innym rozmiarem klastra, to nic innego nie pozostaje, jak sformatować z kluczem /A:x, gdzie x rozmiar klastra.

Teraz potrzebne jest wygenerowac nowy run-list. Zazwyczaj on bedzie wygladal tak 13 XX XX XX YY 00, gdzie XX XX XX - trzybajtowy rozmiar $MFT w klastrach, a YY – poczatkowy klaster. Klaster poczatkowy zawsze musi wskazywac na pierwszy klaster MFT, w przeciwnym razie chkdsk nie bedzie mogl pracowac. Jezeli nowy run-list ma wieksza dlugosc niz terazniejszy, potrzebne jest korygowanie dlugosci naglowka atrybutu (ulokowany po offsetu 04h od jego poczatku). Przeprowadzic taka nieciezka opieracja, odpalamy chkdsk z kluczem /F i poczekamy poki on przywroci nasze foldery i pliki. Jedyna rzecz, ktora nie odbuduje chkdsk to deskryptory bezpieczestwa (wszystkim folderom i plikom naznaczane domyslne prawa dostepu). Pliki zsylajace sie na nieistniajace foldery ulokowany beda do folderow Found xxx (to mozna powiedziec sa pliki wyciagniete z tamtego swiata).

Najgorzej jest z odzyskiwaniem danych z partycji, ktorej MFT mocno fragmetowany, jezeli poprzedni run-list przy formatowaniu bedzie zniszczony bezpowrotnie. Nic innego nie pozostaje, jak zbierac pliki recznie z kawalkow fragmentow. Brzmi to straszniej, niz wyglada. W odroznieniu od pozostalych plikow na dysku, plik $MFT posiada bardzo dobra signatura FILE, ktora jest na poczatku kazdego zapisu systemu plików. Wszystko, co będzie nam potrzebne, po kolei przeskanować partycje od pierwszego klastra do ostatniego i zapisać początek i koniec każdego fragmentu $MFT. Juz kiedy fragmenty beda wypisane, musimy z tego łańcucha wykluczyć $MFTMirr (jest ulokowany po środku partycji i zawiera kopie zapisów $MFT, $MFTMirr, $LogFile i $Volume, przy tym $MFTMirr ma odnośnik i na siebie samego). Wygląda run-list mniej więcej tak np. mamy 04h - 427h, 946h - 1078h, 1786 - 1113h temu będzie odpowiadał taki run-list 12 27 04 04 22 78 10 46 09 22 13 11 86 17 00.

To jest przedstawienie na czarno dlatego, ze nie znamy kolejności, w której były ulokowane odcinki w pliku. Co będzie, jeżeli porządek w pliku $MFT będzie inny? W samym MFT wszystkie zapisy maja odnośniki na kolejne zapisy po swoim porządkowym numerze przedstawiającym indeks masywu. Te odnośniki potrzebne dla odzyskiwania struktury folderów, uporządkowania hard-linków. Odnośniki na macierzysty folder dublowane w indeksach i odzyskują się bardzo prosto. Hard linki niszczą się bezpowrotnie (no tylko jeżeli spróbować zebrać $MFT odcinki w innym porządku). Największym problemem w takim przypadku są pliki, które same są bardzo mocno fragmentowane, a ich zapisy porozrzucane po rożnym fragmentach $MFT. Tu pozostaje tylko poprawne ustawienie fragmentów (zazwyczaj tych kombinacji jest nie tak dużo, ale to jest uzależnione od faktycznego rozmiaru klastra . Bywa ze niektórzy admini konfigurują sam ntfs zaczynając od rozmiaru klastra i ustawiając go równym 1 sektorowi. To jest jeden z największych błędów niedający jakiegokolwiek efektu jak ze względu oszczędzenia miejsca na dysku, a ze względu fragmentacji dający taki efekt, ze na jednej partycji niewielkiego rozmiaru może być do kilku tysięcy fragmentów pliku $MFT.) . W nowej wersji NTFS 3.1 (WIN XP ) numery zapisów $MFT chronione w jawnie po offsecie 2Ch od początku FILE zapisu).

A tak takie odzyskiwanie wygląda w praktyce -> http://www.elektroda.pl/rtvforum/viewtopic.php?p=5166874#5166874

info :
http://www.elektroda.pl/rtvforum/topic891920.html
linki:

http://www.insidepro.com/rus/doc.shtml

http://www.linux-ntfs.org
Powrót do góry
   
M-K
Poziom 4
Poziom 4


Dołączył: 14 Lut 2009
Posty: 8
Miasto: Poznan

Post#15 Post autora tematu 17 Lut 2009 16:25   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


No to fajnie pomyślałem jak to takie proste to zrobie to sam troche poczytam i już. Czytam, czytam i czytam i nie powiem bo moja wiedza na temat logiki dysku wzrosła z 0 do poziomu coś tam słyszałem, no niestety ale odzyskiwaniem danych to ja nie będę sie zajmował.
Ale coś mi wpadło do głowy
Cytat:
jak można domyśleć się, ten dysk był potraktowany czymś wcześniej (czymś takim jak acronis , testdisk, PM, paragon ),i to spowodowało ze prawdziwy boot copy okazał się o parę sektorów dalej niż adres ostatniego sektora partycji

To czy nie prościej by nie było skopiować boot sector copy ten prawdziwy z właściwej lokalizacji i wkleić w miejsce boot sector
oczywiście jeśli nie
Cytat:
mamy uszkodzone 4 pierwszych zapisy $mft jasne ze $mftmirror tez będzie uszkodzony

ot taka teoria laika, jasne że niemam pojecia jak to sprawdzić i zrobić
Powrót do góry
   
Usunięty






Post#16 17 Lut 2009 16:37   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


->
http://www.elektroda.pl/rtvforum/topic891920.html

Uszkodzona główna tabela plikow + moja błedna naprawa
sam BPB składa się z :

offset(w bajtach)/rozmiar(w bajtach) :
0/3 - komenda JMP
3/8 - Nazwa firmy producenta i systemu operacyjnego( w tym przypadku NTFS )
B/2 - Rozmiar sektora w bajtach
D/1 - Liczba sektorów w klastrze
E/7 - Zarezerwowane
15/1 - Typ nośnika (dysk twardy dowolnej pojemności F8 )
16/2 - Zarezerwowane
18/2 - Liczba sektorów na tracku
1A/2 - Liczba głowic
1C/4 - hiden sectors (młodsze słowo hiden sectorsb ^1)
20/4 - Zarezerwowane (starsze słowo hiden sectors ^1)
24/2 - Zawiera liczba 0x80
26/2 - Zawiera liczba 0x80
28/4 - Młodsze słowo ilości sektorów partycji
2C/4 - Starsze słowo ilości sektorów partycji
30/4 - Młodsze słowo numeru pierwszego klastra $MFT
34/4 - Starsze słowo numeru pierwszego klastra $MFT
38/4 - Młodsze słowo numeru pierwszego klastra $MFTmirror
3C/4 - Starsze słowo numeru pierwszego klastra $MFTmirror
40/4 - Rozmiar zapisu MFT w klastrach
44/4 - Rozmiar buforu index'ow w klastrach
48/4 - Młodsze słowo numeru serjinego dysku
4C/4 - Starsze słowo numeru serjinego dysku
^1 -1C/4 -hiden sectors i 20/4 - te bajty teraz wszędzie są opisywane jako zarezerwowane, ale moim zdaniem szybko rosnąca pojemność dysków nie pozostawia innego przeznaczenia dla nich, niż ukazane w nawiasach.
Teraz kiedy mamy boot NTFS możemy przeanalizować BPB.
patrzymy na przykładu kolegi boot'a.
Ze wszystkich parametrów nas będą ciekawić najważniejsze:
1.liczba sektorów w klastrze
2. pierwsze klastry $MFT i $MFTmirror ( dla sprawdzenia parametrow BPB)

adresy pierwszych klastrów mft zazwyczaj są standardowo ulokowane w zależności od użytego formatera (kolego dostałeś niewielki ale najczęściej spotykany spis -> "nasz formater" gdzie musimy szukać mft ! ) http://www.elektroda.pl/rtvforum/viewtopic.php?p=6157490#6157490
Powrót do góry
   
M-K
Poziom 4
Poziom 4


Dołączył: 14 Lut 2009
Posty: 8
Miasto: Poznan

Post#17 Post autora tematu 17 Lut 2009 20:22   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


czy to BPB

Załączniki:
Powrót do góry
   
Usunięty






Post#18 17 Lut 2009 21:01   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Kolego na flopikach chce znaleźć adres pierwszego klastra mft :D :D. Od razu zauważyłem ze temat jest nienaturalny i wszystko wskazuje na to ze, pytający założył temat tylko z jedynym celem, okłamać ludzie i oczernić DMDE, i jak widać dalej szuka słabych miejsc podając bzdurne prowokacyjne pytania !!!
Masz swoj BPB FAT12
Kod:
0x0000   EB 3C 90 4D 53 57 49 4E 34 2E 31 00 02 08 01 00   ë<�MSWIN4.1.....
0x0010   02 00 02 03 51 F8 08 00 11 00 04 00 01 00 00 00   ....Qø..........
0x0020   00 00 00 00 80 00 29 00 00 00 00 4E 4F 20 4E 41   ....€.)....NO NA
0x0030   4D 45 20 20 20 20 46 41 54 31 32 20 20 20         ME    FAT12   


0B/2   Bytes per Sector
0D/1   Sector per Cluster
0E/2   Reserved sector
10/1   FATs on the diskette
11/2   Root Directory entries
13/2   Total Sectors on the diskette
15/1   Media Descriptor
16/2   Sectors per FAT
18/2   Sectors per Track
1A/2   Heads
26/1   Extended BPB Signature Byte
27/4   Volume Serial Number
2B/11  Volume Label
36/6   File System ID

Powrót do góry
   
M-K
Poziom 4
Poziom 4


Dołączył: 14 Lut 2009
Posty: 8
Miasto: Poznan

Post#19 Post autora tematu 17 Lut 2009 21:36   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Nie mam pojęcia o hex to co znalazłem pasowało mi wzoru to cale EB xx 90 i tak dalej od początku pisze że nie mam pojęcia o co chodzi i nawet jeśli bym trafił to i tak nie wiem co z tym zrobić.
Ja od początku widzę że kolego nie chce mi pomóc bezpośrednio tylko zmusić mnie do samodzielnego myślenie i działania, wiec sie staram ale niestety im więcej czytam tym bardziej widzę że moja wiedza w tym temacie jest niewielka
Powrót do góry
   
Usunięty






Post#20 17 Lut 2009 21:56   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


To temat należało w taki sposób założyć.
Ze ja użytkownik M-K od wielu lat bylem nauczany nie myśleć a tylko klikać, trafiłem na program o fantastycznych możliwościach ale potrzebujący myślenia i przez moja niewiedzę (której winnym nie jestem, a jest winny system zbudowany odpowiednimi firmami z założenia ze, osoba niemyśląca jest łatwa do sterowania) po prostu zacząłem klikać, nie myśląc nad tym co jest w rzeczywistości i jakie mogą być wyniki takiego klikania !
Powrót do góry
   
Google


Google Adsense


Post# 17 Lut 2009 21:56   





Powrót do góry
   
M-K
Poziom 4
Poziom 4


Dołączył: 14 Lut 2009
Posty: 8
Miasto: Poznan

Post#21 Post autora tematu 18 Lut 2009 19:07   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Cytat:
Osoby chcące wyrazić opinie na temat mojej głupoty, lenistwa, pośpiechu itp proszę o wstawienie w poście :!: proszę jednocześnie o nie pisanie samych :!:

Cytat:
a ten temat czytałem a raczej próbowałem bo dla mnie to czarna magia

Tak ogólnie to coś tam wiem, potrafię zainstalować 98 i z dyskietki startowej podzielić partycje, gdzie 99% moich znajomych ma problem z instalacją xp :(

mam kilka pytań
1. Poco każda firma wprowadza swoje jedynie słuszne ustawienia?
Cytat:
Acronis- 48cluster mftmirror - 2cluster mft : 8s/cluster
ParagonDM - 2cluster mft : 128s/cluster ( domyslnie)
ParagonDM - 4cluster mft : 8s/cluster
MS - 786432 mft : 8s/cluster
PartitionMagic - 786432 mft : 8s/cluster
Dla wszystkich oprócz acronisa mftmirror po środku partycji.


2.Czy najlepszym rozwiązaniem jest podzielić partycje czymś ale formatować pod windows ?

3. Co na 320G dysku i 160G partycji robi coś z FAT12 ?

4. Czy kolegA mi pomoże i napisze co z czym zrobić tak w sposób zrozumiały dla "klikacza "
Powrót do góry
   
Mar-Sob
Poziom 10
Poziom 10


Dołączył: 01 Wrz 2008
Posty: 45
Miasto: Tarnów

Post#22 04 Lis 2013 10:27   

Re: Uszkodzona główna tabela plikow + moja błedna naprawa


Witam serdecznie,
mam ogromną prośbę o pomoc w odzyskaniu danych, a dokładnie "przywrócenia" dysku, który stał się formatem RAW.
Dysk ten to dysk WD Caviar WD800, o parametrach:
LBA 156301488
80.0 GB
MDL: WD800JB-00ETA0
DATE: 10-SEP-2003
DCM: DSBHCTJAH
Na dysku były 3 partycje, które system widzi, ale tuż po kliknięciu na każdą z nich okazuje się ona bezużyteczna.
Z góry serdecznie dziękuję za pomoc, za "łopatologiczne" krok-po-kroku wytłumaczenie co i jak zrobić, żeby pomóc mu "wstać" i odczytać z niego dane.
Powrót do góry
   
Napisz nowy temat  Odpowiedz do tematu      Strona Główna -> Forum elektroda.pl -> Komputery Serwis -> Naprawa HDD  i odzysk danych -> Uszkodzona główna tabela plikow + moja błedna naprawa
Strona 1 z 1
Podobne tematy
Uszkodzona glowna tabela plikow (10)
Glowna tabela plikow jest uszkodzona pomocy.. (1)
Uszkodzona glowna tabela plikow i zagubiona partycja ntfs (12)
Uszkodzona główna główna tabela plików po aktualizacji BIOS mobo. (6)
Uszkodzona główna tabela plików. (12)
Dysk WD 1TB Uszkodzona główna tabela plików (6)
Uszkodzona główna tabela plików PenDrive PQI 16GB (4)
Uszkodzona płyta główna -naprawa (8)
asus crosshair nForce590 sli - Uszkodzona płyta główna a naprawa ? (12)
Acer 6530g - Uszkodzona płyta główna. Wymiana czy naprawa? (5)


Administrator || Moderatorzy || Regulamin forum || Regulamin ogólny || Informacja o cookies || Kontakt

Page generation time: 0.115 seconds

elektroda.pl temat RSS