Elektroda.pl
Elektroda.pl
X
Proszę, dodaj wyjątek www.elektroda.pl do Adblock.
Dzięki temu, że oglądasz reklamy, wspierasz portal i użytkowników.

Odbudowa struktury partycji FAT32 - czego brakuje?

Mr.Wrong 18 Lut 2018 20:09 660 15
  • #1 18 Lut 2018 20:09
    Mr.Wrong
    Poziom 6  

    Witam kolegów :)

    Pendrive 16GB z partycją FAT32x przedwcześnie wyjęty z kserokopiarki - poskutkowało to "zaśmieceniem" pierwszych kilku tysięcy sektorów. Zniknął tym samym MBR, boot sector partycji (wraz z kopią), oraz część pierwszej tablicy FAT. Przy pomocy DMDE "namierzyłem" drugiego FAT-a i FDT. Szybki format pena (oczywiście po wcześniejszym zabezpieczeniu zawartości), po którym ręcznie wyedytowałem MBR-a, boot sector i wkopiowałem w odpowiednie miejsce FAT2 na FAT1. Kolejność wygląda tak (numery sektorów liczone bezwzględnie od początku dysku):

    63 - boot sector partycji (jedynej na dysku)
    63 - 98 - reserved sectors (36 sektorów, ilość wynikająca z położeń FAT2 i FDT)
    99 - 14.980 - FAT1
    14.981 - 29.862 - FAT2 (14.882 sektory, rozmiar i położenie wykryte przez DMDE)
    29.863 - 29.894 - FDT

    Po wprowadzeniu tych zmian, w programie DMDE widoczna jest struktura folderów, można je przeglądać, a po kliknięciu w dowolny plik, widok przełączany jest w odpowiadający mu klaster - stąd wniosek, że tablice FAT zawierają poprawne dane. Natomiast w eksploratorze w Windzie widoczna jest struktura folderów, ale żadnego nie można otworzyć, podobnie jak i plików (info "Folder lub plik jest uszkodzony i nieczytelny"). Uruchomienie chkdsk /r skutkuje tym, że można już przeglądać zawartość folderów, ale pliki wciąż są nieczytelne. Wiem, że mógłbym wykorzystać Recovery w DMDE, ale po pierwsze nie mam (jeszcze :wink: ) pełnej wersji i miałbym duuużo klikania, a po drugie możliwe, że do pełnego sukcesu brakuje już dosłownie "bita" o którym nie wiem, lub zdążyłem zapomnieć :D (częściej zdarza mi sie odzyskiwać dane z partycji NTFS, z FAT32 nie miałem do czynienia od dośc dawna).

    Załączam zawartość MBR i boot sektora.

    0 15
  • #2 18 Lut 2018 21:46
    mati211p
    Specjalista - HDD i odzyskiwanie danych

    FAT 1 i FAT 2 zawierają te same dane? Dobrze wiesz, że z samego boot sektora i MBR nie wyciągnie się wszystkiego. FAT 1 zaczynał się już w sektorze 99? Hidden Sectors powinno być na pewno 63 a nie 0. Czy po pojawieniu się tego klastra dane są właściwe, tzn. np. zdjęcie jest początkiem zdjęcia faktycznie?

    0
  • #3 19 Lut 2018 08:38
    Mr.Wrong
    Poziom 6  

    Tak, wyrywkowo użyłem Recovery na kilku plikach i wszytkie są poprawne, tzn. zdjęcia są całe, a doc-e, xls-y, pdf-y kompletne. Strukturę odbudowałem w oparciu o dane porównawcze z dokładnie takiego samego modelu pena, również sformatowanego w FAT32x. Obie tablice FAT są takie same, ponieważ FAT1 jest kopią 1:1 z ocalałej FAT2.

    0
  • #4 19 Lut 2018 16:21
    mati211p
    Specjalista - HDD i odzyskiwanie danych

    Jak masz kopię posektorową tą wstępnie naprawioną i czytelną w DMDE (obraz *.bin) np z DMDE, to spróbuj ją otworzyć 7-ZIPem i sprawdź, czy czyta. Potem ewentualnie wypakuj zawartość. Tak na odległość nie wiadomo, co dokładnie powoduje problem.

    0
  • #5 20 Lut 2018 13:42
    Mr.Wrong
    Poziom 6  

    Heh, nie znałem takiej sztuczki :) Niestety 7-zip widzi tylko obiekt o nazwie 0.fat, podaje start i koniec partycji, ale struktury "korzenia" nie widać. Spróbuję jeszcze innego podejścia - wymuszę przy formatowaniu, żeby partycja zaczynała się od sektora 63 i dopiero potem naniosę zmiany. Do tej pory formatowałem pod windą, a tam niezależnie od wersji (XP, 7 ,10) i rozmiaru klastra, partycja zawsze zakładana była w sektorze 0, z pominięciem MBR.

    0
  • #6 20 Lut 2018 14:37
    mati211p
    Specjalista - HDD i odzyskiwanie danych

    A jak rozklikasz 0.fat? (z automatu powinna być wtedy jeszcze dodatkowo sama wypakowana do plików tymczasowych). Jak nie było na urządzeniu tablicy to nie mogło działać :) (czyt. Boot sektor w sektorze 0).

    0
  • #7 20 Lut 2018 19:29
    Mr.Wrong
    Poziom 6  

    Tak, zaklikałem – pojawia się pasek postępu jak przy dekompresji, a potem wychodzi systemowy monit o wskazanie programu do otwarcia nieznanego typu pliku.

    Boot sector w sektorze 0? To bardzo możliwe, bo przypadkowo odkryłem inną rzecz, która wyjaśniałaby rozbieżność pomiędzy interpreatcją struktury partycji przez DMDE i sytemowy eksplorator plików. Sformatowałem pena pod linuksem, wymuszając wyrównanie do cylindra (partycja startuje od 63 sektora), w DMDE podmieniłem MBR i boot, nie zdążyłem jeszcze wgrać w odpowiednie obszary zachowanego FAT-a, przypadkowo zaklikałem na podglądzie boot sektora (DMDE przechodzi wtedy do widoku zawartości dysku) i szczena mi opadła… program pokazał poprawną strukrurę folderów 8-O . Nie wierząc własnym oczom cofnąłem się do obszarów FAT1 i FAT2 – oba wyzerowane od góry do dołu… Jedyne wyjaśnienie jakie przychodzi mi do głowy, to że DMDE przy błędach w tablicach FAT „olewa” je i korzysta tylko z rekordów FDT – każdy zawiera przecież początkowy klaster pliku, a program czyni „śmiałe” założenie ich ciągłości. Na potwierdzenie tego poświęciłem dłuższą chwilę i wykonałem Recovery na większej ilości plików – tu już nie było tak różowo, tzn. jest trochę plików z przypadkową zawartością, występującą po kilkunastu poprawnych klastrach.

    Posumowując – przypuszczam, że problem leży właśnie w niewłaściwym offsecie partycji, bo zachowana kopia FAT2 wygląda jak najbardziej poprawnie. Spróbuje jutro trochę nim pomanipulować, za punkt odniesienia przyjmując klaster zerowy. Chociaż tak po prawdzie pola do manewru dużego nie ma – rozmiaru FAT-a nie zmienię, bo wyznacza go obszar od początku tablicy do początku FDT, więc chyba jedyna możliwość, to początek partycji w sektorze 0 i zwiększenie o 63 Reserved sectors. Jak źle kombinuję, to mnie popraw :)

    0
  • #8 20 Lut 2018 20:07
    mati211p
    Specjalista - HDD i odzyskiwanie danych

    Teraz musisz odpowiedzieć sobie na jedno pytanie. Czy aby na pewno poprawnie określiłeś początek partycji. Nie mając ani Boot sektora, ani też jego kopii utraciłeś te informacje. Posługując się innym pendrivem jako wzorem możesz pomylić się co do sektora początkowego partycji, jak również co do innych parametrów zawartych w BS (bo wzorowałeś się na BS z innego pendrive). Ponadto mogłeś też wykonać błędnie kopię partycji do pliku a nie urządzenia i wtedy faktycznie początkiem partycji byłby sektor 0, a przywrócenie na urządzenie kopii partycji począwszy od sektora 0 da efekt w postaci nieczytelności nawet sprawnej partycji w systemie (ale program musiałby widzieć taką partycję) - przeglądając zamieszczony przez Ciebie MBR jest sektor 63 jako początkowy, więc ok. Niepoprawne określenie początku partycji skutkuje nieczytelnością danych, bo są one liczone od sektora początkowego partycji. Ponadto DMDE odczyta i mocno uszkodzony system plików, ale właśnie dane mimo poprawnego wyświetlania mogą być nieczytelne po przywróceniu. Reserved sectors jest liczony od BS a nie od sektora 0 urządzenia, więc jeśli FAT 1 zaczyna się w sektorze 37 partycji to wartość 36 jest poprawna.

    0
  • #9 20 Lut 2018 21:57
    Mr.Wrong
    Poziom 6  

    Błędnie sporządzony obraz raczej wykluczam, bo robię to dosyć często, uzywając albo DMDE, albo linuksowego dd. Sprawdzę co będzie, gdy partycję przesuniemy na początek dysku. Mam w firmie kilka identycznych penów, na razie porównałem z jednym - ten startował na sektorze 63 i na pewno taki stan nie zmienił się od wyjęcia z blistra, bo czysty format nie zmieniłby położenia, a osoby go użytkującej nie posądzałbym o umiejętność usunięcia starej i założenia nowej partycji... przecież bez zewnętrznych programów da się to zrobić chyba tylko diskpartem z poziomu powłoki. Co innego użytkownik uszkodzonego pena - ten jest bardziej "kumaty" i mógł to zrobić :)

    EDIT
    Gapa :|

    Zabawa ze zgadywanką offsetu partycji niczego nie wniosła, co zmusiło mnie do dokładnego przyjrzenia się ocalałej tablicy FAT. Napisałem wcześniej, że wygląda poprawnie, ale okazało się, że tylko przez jakieś 30 sektorów - później kolejne 30 to "śmietnik", kolejne znowu poprawne i tak na przemian. Nic dziwnego, że system tego nie trawi... No ale przynajmniej zrobiłem sobie powtórkę z budowy FAT32. Właściciel pena dostał teraz kilka setek bezimiennych plików odzyskanych po sygnaturach, może następnym razem wykaże więcej cierpliwości zanim go wyciągnie z kserokopiarki :D

    Mati - dzięki za wskazówki :)

    Scaliłem. RADU23

    0
  • #10 21 Lut 2018 21:40
    mati211p
    Specjalista - HDD i odzyskiwanie danych

    To co poprawne po nazwach, to można było odzyskać po nazwach, resztę po sygnaturach. Tak przypuszczałem, że coś jest nie do końca poprawnie.

    0
  • #11 24 Lut 2018 13:20
    melanchel
    Poziom 27  

    "Szybki format pena"
    Po co to było, nie pojmuję?

    1
  • #12 26 Lut 2018 10:41
    Mr.Wrong
    Poziom 6  

    "Szybki" w sensie opcji szybkiego formatowania, nie miałem na myśli "wyścigu" z czasem :wink:

    Format wykonany po to, żeby system stworzył MBR, BS i co mu tam jeszcze w duszy "grało" - w końcu łatwiej jest modyfikować istniejącą strukturę, niż tworzyć ją od podstaw :)

    0
  • #13 26 Lut 2018 16:23
    mati211p
    Specjalista - HDD i odzyskiwanie danych

    Trochę to dziwne. Znasz podstawy budowy boot sektora a formatujesz po to by był? Przecież już nawet łatwiej zamiast formatu wgrać boot sektor z innej partycji FAT32 i zedytować, jak musisz mieć istniejący by odbudować.

    0
  • #14 26 Lut 2018 19:59
    Mr.Wrong
    Poziom 6  

    Cytat:
    Znasz podstawy budowy boot sektora a formatujesz po to by był?


    No nie wiem, wydawało mi się że tak jest szybciej :) Poza tym, udzielał się tu kiedyś niejaki okzo ("wymiatacz zza Buga" jak go nazywałem, jesteś tu już dosyć długo, zakładam że go pamiętasz :)) i o ile mnie pamięć nie myli, to przy takim scenariuszu sugerował właśnie takie rozwiązanie.

    0
  • #15 26 Lut 2018 20:28
    mati211p
    Specjalista - HDD i odzyskiwanie danych

    Trochę wątpię by okzo polecał odzyskiwanie przez formatowanie. On miał w małym palcu całą wiedzę na temat systemów plików i ich odbudowy. Z tego co kojarzę preferował zasadę, by odbudować tylko tyle co minimum a potem "wybuch kontrolowany". Zresztą każdy przypadek należy rozpatrzeć indywidualnie. Mimo nawet braku MBR i Boot oraz kopii boot (to tylko 3 sektory) to dalej reszta uszkodzeń mogła być inna.

    0
  • #16 26 Lut 2018 21:15
    Mr.Wrong
    Poziom 6  

    Cytat:
    Trochę wątpię by okzo polecał odzyskiwanie przez formatowanie


    Dobrze zatem, że zabezpieczyłem się ulotnością pamięci :cunning: Chociaż gdyby tu był, to i tak nie uchroniłoby mnie to przed solidnym "obsobaczeniem" za podobne insynuacje :wink: :D

    Czego natomiast jestem całkiem pewien (mam notatki :cunning: ), to że dostałem kiedyś przenośny HDD z FAT32 z podobnym uszkodzeniem, czyli "zaśmiecone" kilka tysięcy pierwszych sektorów i metoda jaką zastosowałem w tym przypadku pomogła, czyli ustalenie położeń FAT2 i FDT, modyfikacja MBR, BS, odtworzenie FAT1, wpięcie i wypięcie dysku i wszystko jak przed awarią :). No ale tam FAT2 musiał być nienaruszony, a poza tym tak jak piszesz, każdy przypadek to osobna historia i to że zadziałało wtedy, nie znaczy że musi zadziałać przy każdym podobnym scenariuszu.

    0