Dysk WDC 1,5 TB zabity po przywróceniu Windows z kopii zapasowej

Po przywróceniu z kopii zapasowej systemu Windows Vista uszkodzone zostały partycje na dysku 1,5 TB WDC WD15EVDS. Wcześniej, gdy była robiona ta kopia był 128 GB SSD Transcend i Samsung F3 500GB. Obecnie są HDD: 128 GB SSD i WDC 1 TB oraz ten uszkodzony.
Po prostu po przywróceniu z kopii Windows sam go zabił i zamienił partycje na taką jak była na F3 przy tworzeniu kopii usuwając dwie wcześniej utworzone. Nieszczęśliwie chyba na dodatek nadałem jej literę w systemie zanim zauważyłem problem.

Można coś z tym zrobić czy tylko ratunkowo wykonać pełne skanowanie w DMDE?

Dra98 napisał:

po przywróceniu z kopii Windows sam go zabił

Raczej nie Windows a po prostu odtworzyłeś kopię nie na ten dysk co trzeba, i to na dodatek chyba nie tą kopię co trzeba - kopię pochodzącą z dysku 500GB.
Odtwórz teraz backup 1,5 TB WDC WD15EVDS, a do odtwarzania backupu 128 GB SSD Transcend dopnij tylko dysk docelowy na który chcesz odtwarzać.

Dra98 napisał:

Można coś z tym zrobić czy tylko ratunkowo wykonać pełne skanowanie w DMDE?

1/3 dysku masz nadpisaną fizycznie inną zawartością, więc słabo widzę uratowanie całości danych z dysku 1,5TB tą metodą.

Odtworzyłem na SSD i działa OK. Dysku F3 500 GB już od dawna nie mam na niego w marcu 2016 była utworzona kopia, którą skopiowałem na WDC 1TB i z niego odtworzyłem. Nie spodziewałem się takiego obrotu sprawy po zwykłym przywróceniu kopii zapasowej.
Na utworzonej partycji SEA_500 na dysku 1,5 TB nic nie ma, tak nazywała się na F3. Z drugiej usuniętej WD_DM_152 odzyskałem dane.

Druga jest ok ( jeśli chodzi o odzyskanie danych - nadpisane 18 GB, a może nawet i nie), bo o dziwo jest całe jej $MFT. Czyli dobrze rozumiem, że przywrócona 500GB jest pusta? Co ciekawe nie nadpisana jest kopia boot ($MFT może być to samo dla obu partycji stąd niby wskaźnik F). Nie jest to wobec tego przywrócona kopia posektorowa partycji, więc może niewiele zostało utracone. Załącz w pliku sektory: 2048 oraz 942 082 047. Po wejściu na tą 482GB partycję też jest pusta? Możesz też od razu załączyć 3MB pliki (6000 sektorów) począwszy od sektora 0 $MFT obu partycji oraz oba $MFT mirr. Po weryfikacji $MFT można będzie się zorientować ile zostało utracone, pełny skan nie zaszkodzi (do pozycji końcowej partycji 482GB z zaznaczeniem RAW).

mati211p napisał:

Czyli dobrze rozumiem, że przywrócona 500GB jest pusta?

Tak.
Zasadniczo dwie przypadłości są związane z tym przywracaniem pierwsza aktualizacja firmware SSD Transcend - usuwa dane - która wyzerowała S.M.A.R.T. i z ponad 12k przepracowanych godzin zrobiła 0.
Druga to zniszczenie przez system partycji na WDC 1,5 TB szkoda, że było już późno i przydzieliłem literę dla dysku SEA_500 500 którego od kilku miesięcy nie ma w ogóle. Pierwsza była mniejsza więc rozwaliło mi wszystko.

mati211p napisał:

Załącz w pliku sektory

Już dodaję
Partycja widoczna w systemie jest pusta

niewidoczna również

2 $MFT w tym samym miejscu - nadpisany poprzedni $MFT przez nowy - stąd pewnie DMDE nie widzi danych na niej.
Wstaw teraz jeszcze sektory z przedziału:
6 293 504 - 6 299 504 (3MB) - pierwsze 3 MB $MFT partycji nowej i partycji utraconej
471 042 040 - 471 042 047 (4kB) - $MFT mirr utraconej partycji

mati211p napisał:

6 293 504 - 6 299 504 (3MB) - pierwsze 3 MB $MFT partycji nowej i partycji utraconej

Załączone

Miałem jeszcze MTFmir z utraconej załączyć chyba od 488385528 - dodaję:

Wygląda na to, że jest poprzednie $MFT nadpisane tak jakby jedynie szybkie formatowanie było wykonane, czyli dane powinny być (a nawet lepiej bo nie nadpisało $MFT mirr).
Trzeba by spróbować przywrócić dane do stanu co najmniej czytelności w DMDE, ewentualnie podjąć próbę naprawy.
Wg załączonego $MFT mirr jakieś dane są, można zweryfikować to.
W DMDE można usunąć tą 500GB wstawić tylko tą drugą partycję 1,02TB w DMDE i sprawdzić czy czytelna pod Windows. Następnie zabezpieczyć "482GB" danych poprzez wykonanie kopii posektorowej. Po tym podmienić aktualny $MFT sek.0 klas.0 z poprzednim z $MFT mirr lub cały klaster 0 $MFT. Wtedy zobaczyć, czy DMDE widzi dane na partycji. Jeśli tak to można wtedy odzyskiwać pliki lub spróbować naprawy poprzez jej wstawienie w DMDE i wykonanie chkdsk na niej (szczególnie jeśli masz zapasową kopię posektorową tego obszaru).
P.S. $MFT mirr z aktualnej partycji będzie taki sam jak $MFT klas.0 stąd też nie trzeba załączać .

DMDE po wykonaniu skanowania widzi chyba wszystkie dane.

mati211p napisał:

W DMDE można usunąć tą 500GB wstawić tylko tą drugą partycję 1,02TB w DMDE i sprawdzić czy czytelna pod Windows.

Jest, dane już wcześniej skopiowałem.

mati211p napisał:

podmienić aktualny $MFT sek.0 klas.0 z poprzednim z $MFT mirr lub cały klaster 0 $MFT

Za bardzo nie wiem jak to poprawnie wykonać.

Ok dane skopiowałeś, ale sama partycja jest czytelna? Masz kopię tych 482 GB danych wykonaną? Jeśli tak to ewentualnie mogę pomóc zdalnie przez TeamViewera.

Dra98 napisał:

Za bardzo nie wiem jak to poprawnie wykonać.

Po pierwsze obecna 500GB musi być usunięta przez DMDE i zatwierdzona, by nie było możliwości nadpisywania $MFT. Po drugie trzeba zwyczajnie wtedy skopiować $MFT mirr w miejsce aktualnego pierwszego klastra $MFT (nadpisać $MFT klas.0)

mati211p napisał:

sama partycja jest czytelna?

Tak.

mati211p napisał:

Masz kopię tych 482 GB danych wykonaną?

Muszę zorganizować HDD.

mati211p napisał:

Po pierwsze obecna 500GB musi być usunięta przez DMDE i zatwierdzona

Zrobione. Windows po restarcie widzi dane OK.

Jak masz na tym 1,02TB wystarczająco dużo miejsca to wykonaj kopię do pliku od sektora 0 do 942 082 047. Potem wystarczy, że wgrasz począwszy od 6 293 504 kopię $MFT mirr aż do sektora 6 293 511. Wtedy inaczej DMDE będzie widział strukturę danych i po wejściu na nią powinna być struktura danych - od razu lub po wszystkie znalezione+rekonstrukcja. W sumie jak nie zamierzasz używać chkdsk to z zamianą $MFT klas. 0 możesz spróbować, tylko nie można się pomylić. Jeśli partycja jest niewstawiona, to system i tak nie będzie nic z nią chciał robić. Ponadto kopię pierwszych 3MB $MFT mamy. Miała chyba nazwę WD_DM_151 ta partycja z tego co widzę w kopi $MFT klas. 0.

mati211p napisał:

Jak masz na tym 1,02TB wystarczająco dużo miejsca to wykonaj kopię do pliku od sektora 0 do 942 082 047

Wykonałem na ten 1,02 TB.

mati211p napisał:

wystarczy, że wgrasz począwszy od 6 293 504 kopię $MFT mirr

Wgrana.
Wstawiłem partycje i użyłem chkdsk - choć go nie lubię za bardzo. Dane widoczne i odzyskane.
Dzięki za pomoc.