WD passport - Odzyskanie danych z dysku przenośnego WD.

Partycja z danymi zniknęła z dnia na dzień. Dysk oczywiście nie był formatowany, nie były tworzone nowe partycje, wgrywane nowe dane.

Odpal DMDE i skopiuj dane do pliku na inny nośnik jeśli to coś ważnego.

Jeżeli ważne dane to kopia posektorowa.
ddrescue do pliku
https://www.elektroda.pl/rtvforum/topic2592140.html#12436492
I odzysk danych.
DMDE
https://www.elektroda.pl/rtvforum/topic2341359-30.html
testdisk
https://www.elektroda.pl/rtvforum/topic2339563-30.html#11121418
photorec
https://www.elektroda.pl/rtvforum/topic3273134.html
Nie katuj tego dysku.
Pozdrawiam

kindlar napisał:

Odpal DMDE i skopiuj dane do pliku na inny nośnik jeśli to coś ważnego.

Tak dane są ważne.
Co teraz?



Na moje oko uszkodzenia są poważne. Czy warto przestać pogarszać sprawę i oddać dysk do firmy profesjonalnej na darmową diagnozę?

Na moje oko sam się prosisz o utratę danych wykonując pełne skanowanie na uszkodzonym dysku (tak mi się wydaje, że pracujesz na oryginale), a podkreślasz, że dane są ważne. Za ten czas wykonałbyś już kopię posektorową do pliku i miał bezpieczne przynajmniej dane, z której to kopii zawsze dane można odzyskać (a nie pracujesz na oryginale co jest w sprzeczności z zasadami odzyskiwania danych). Zapisz wyniki skanowania do pliku. Po zamieszczonych screenach nie wiem jakie są uszkodzenia nawet i w którym obszarze występują. Po wykonaniu kopii posektorowej zamieść screen z DMDE z widoku okna partycje po wczytaniu wykonanej kopii. Jeśli nie chcesz sam odzyskiwać danych a jesteś w stanie płacić słono za odzysk, to możesz oddać do profesjonalnej firmy. Niemniej wygląda na to, że jeśli skan się udał, to i z kopią i odzyskiem nie powinno być kłopotów. Diagnoza jest niepotrzebna bo jest już znana. Dysk jest uszkodzony i po odzysku nie nadaje się do użytku.

Przepraszam nie wiedziałem, że to taka walka z czasem. Już robię kopię posektorową. Wyniki skanowania są już zapisane do pliku. Zostawiam na noc skan, dziękuję.

W przypadku uszkodzonego dysku może się liczyć czas, tzn. możesz mieć teraz dostęp do danych, a następnie za kilka godzin już nie, dlatego tak ważne jest ich zabezpieczenie, gdy jest to możliwe. Na sprawnym dysku nie ma wtedy obawy, że dane nagle przestaną być dostępne.

A więc ciąg dalszy.

mati211p napisał:

zamieść screen z DMDE z widoku okna partycje po wczytaniu wykonanej kopii

Jakie kroki teraz wykonać żeby odzyskać większość plików? I jeszcze pytanie czy niezbędne jest kupienie licencji na DMDE czy są jakieś darmowe alternatywy

Uruchomiłem czystą rekonstrukcję systemu plików i pliki SĄ!
Teraz się zastanawiam czy dać 77zł za roczną wersję, żeby odzyskać wszystko na raz.

Widzę zrobiłeś kopię partycji a nie dysku, ale mniejsza o to. Załącz w pliku sektor 0 i sektory od 6291456 do 6291556. Pliki można odzyskiwać bezpośrednio z kopii, natomiast w tym stanie partycja się nie zamontuje. Można jeszcze z MFT mirror odbudować MFT jeśli uszkodzone jest do 8 pierwszych sektorów i być może uda się wtedy zamontować partycję. Zmieniałeś coś w ustawieniach, że jest pominięte 19MB?

Oto pliki
IMAGE_lba6...56_101.bin (50.5 kB)Musisz być zalogowany, aby pobrać ten załącznik.
ZERO.bin (512 bajtów)Musisz być zalogowany, aby pobrać ten załącznik.

W opcjach nie zmieniałem. Zrobiłem kopię sektorową dysku od 0 sektora do ostatniego, nic w opcjach nie zmieniałem. Pomijałem tylko sektory z błędami CRC.

Nie zrobiłeś kopii dysku tylko kopię partycji dlatego, że chociażby boot sektor jest w sektorze 0. Wybrałeś dysk z dysków logicznych w DMDE zamiast urządzeń fizycznych i wykonała się kopia partycji Jednakże to nic nie zmienia w dostępie do danych. Nie da rady odzyskać partycji za duże uszkodzenia, zostaje odzysk plików.

IMAGE_lba4...2760_9.bin (4.5 kB)Musisz być zalogowany, aby pobrać ten załącznik.



To jak się zabrać za ten odzysk plików?



Czy z tego okienka coś wybrać?

Opcja ta co masz wybierz, ja będzie mało plików to wtedy pełne skanowanie. Z załączonych 100 pierwszych sektorów MFT bardzo dużo jest uszkodzone - ponad 50%, MFT mirror ok, ale uszkodzone jest więcej niż 8 pierwszych sektorów MFT. Aby tylko odzyskane pliki były ok.

Hmm jest dość dużo plików ale przykładowe sobie odzyskałem i na przykład połowa JPG nie otwiera się wcale. Tak jakby odzyskiwał plik ale on był uszkodzony.

Czy dobrze rozumiem, jeśli zrobię odzyskiwanie RAW to wtedy foldery i nazwy przepadają? Są tylko same pliki z ponumerowanymi nazwami?

RAW to będą pliki znalezione po sygnaturach - bez nazw i katalogów. Nie musisz z tamtego miejsca odzyskiwać mając do dyspozycji partycję. Możesz też załączyć przykładowe niedziałające zdjęcie.

Myślałem, że RAW może jakieś dodatkowe pliki znaleźć, takie poza partycją skoro informacje o niej są tak uszkodzone.
DSC_07..jpg (3.13 MB)Musisz być zalogowany, aby pobrać ten załącznik.
DSC_07..jpg (4.13 MB)Musisz być zalogowany, aby pobrać ten załącznik.

Czarne fotki.

Zostawię full scan na noc, zobaczymy co z tego wyniknie.
Rozumiem, że to jest maks możliwości jeśli chodzi o odzyskanie danych? Profesjonalne firmy też używają podobnych metod i nic więcej by nie osiągneli?
Czy jest sens jeszcze raz kopiować dysk sektorowo czy to nie ma sensu?
Miejsce mam...

To samo jest w części MFT, myślałem, że to może jakiś przeskok w danych ustawiony był po trafieniu na uszkodzony sektor, bo to są jakieś losowe dane, na pewno nie zdjęcie. Ewentualnie błędnie odczytanie przy wykonywaniu kopii/pominięte. Na pewno profesjonalne laboratoria dysponują lepszym sprzętem i oprogramowaniem. Ponadto w domowych warunkach odzyskujemy w tej chwili poprzez interfejs USB, to też jest kłopotliwe.

Udało mi się odzyskać 50GB danych. Czy jest jakaś możliwość sprawdzenia jak bardzo był zapełniony dysk przed awarią? Nie bardzo pamiętam ile było i czy dalej grzebać.

Jeśli takie sprawdzenie jest w tej chwili możliwe, to raczej nie trwa to kilka minut. Nie bardzo wiem jak można szybko policzyć, sprawdzenie $Bitmap sporo zajmie. Ponadto jeśli jest uszkodzony to tym bardziej z niego nie będzie możliwości odczytania tej informacji. Można sumować rozmiary plików znajdujące się w $MFT ale to też masz 100 000 rekordów do zsumowania - każdy plik osobno (sądząc po rozmiarze $MFT).

Cośtam mi świta, że było około 350GB więc porażka. Sprawdzam teraz czy w RAW też jest tylko 50GB.

W RAW samych JPG jest 80GB. Pytanie tylko czy będą do odczytania.

Właśnie w tym rzecz, że wygląda na to, że dysk został źle skopiowany, lub na oryginale są przekłamania. Mamy bowiem dane, uszkodzone dane i losowe dane, które powinny być albo danymi, albo wolnym miejscem, albo uszkodzonymi danymi. W przypadku tych załączonych jpeg były to losowe dane. Jeśli po sygnaturach są znalezione zdjęcia to powinny być w przynajmniej części sprawne, gdyż program znalazł sygnaturę jpeg na początku sektora.

Hmm jeśli to pomoże to mogę jeszcze raz wykonać kopię posektorową ale boję się, że dysk tego nie przeżyje. Na początku było 150 niestabilnych sektorów a teraz jest już 600.

Możesz odzyskać z kopii po sygnaturach co jeszcze możliwe i wtedy wykonać drugi raz kopię, wykonaj ją z użyciem ddrescue, będzie możliwość doczytania pominiętych danych. Wg DMDE tych nieczytelnych sektorów było prawie 5000.

Czy jak odpalę linux na VMware to będzie się to dało zrobić? Czy muszę robić linux na pendrive itp.?

Szczerze to nigdy nie próbowałem w taki sposób, więc nie wiem.

Ok mam już tego linuxa tylko nie bardzo wiem co robić. Mam kopię tego dysku i logi ze skanowania tego bina(RAW+NTFS). To jak teraz w ddrescue ustawić, żeby doczytał tylko jakieś tam sektory, wcześniej pominięte? DDRrescue potrzebuje logów z kopiowania sektorowego a dmde chyba mi takich nie stworzył.

EDIT
Ok zrobiłem nową kopię ddrescue + jeszcze z paramatrem -r 1 jak napisał w poradniku użykownik Linux. Niestety DMDE nadal widzi tylko 50GB plików w folderach. Ogólnie było tylko 16MB błędów odczytu więc nie wiem czemu on sobie nie radzi. Powtórne odczytywanie badsectorów nic nie dało.

Scaliłem. RADU23

Ostatecznie udało się odzyskać 50GB danych posortowanych + 300GB plików RAW. ddrescue z linuxem a następnie DMDE z Windowsem. Można zamknąć.