[Rozwiązano] Zalecane programy do odzyskiwania danych z sformatowanego dysku: alternatywy dla DMDE

Witam.

Tak jak w temacie, przez przypadek sformatowalem dysk. Zainstalowałem sobie DMDE i odzyskał mi pliki (nie zależy mi na partycji tylko na plikach). Mogę sobie je odzyskać jednak robienie tego na piechote z kilkoma tysiacami jest delikatnie mowiąc przerąbane...
Szukam wiec jakiegoś innego programu ktory nie ma ograniczeń jak DMDE w darmowej wersji. Proszę o jakieś propozycje jakim programem mógłbym zapisywać całe katalogi a nie jak w DMDE w wersji darmowej.

Sprawdź :Recuva. TestDisk & PhotoRec. Disk Drill Free. Puran File Recovery. StrongRecovery.

Odpaloną mam recuve. Jak wrocę z pracy to zobaczę co zrobiła.
Ale z tego co widzę to pokazuje większość plików na czerwono a jak włączyłem odzyskiwanie, to przywraca pliki ale wszystkie w jeden katalog, jeden wielko misz masz... DMDE widział pięknie katalogi i nie uszkodzone pliki...

Czy któryś z ww programów jest w stanie przywrócić pełne katalogi w sensie tak jak były wczesniej?
A może ktoś ma DMDE z witaminą (jakiś torrent albo coś)? Nie chciał bym w końcu uszkodzić części plików (filmy i muzyke przeżyje ale zdjęcia i inne ważne dane już bedzie cieżko).

tomek122 napisał:

przywraca pliki ale wszystkie w jeden katalog

Ogólnie należy pliki odzyskiwać/kopiować na inny dysk.

tomek122 napisał:

może ktoś ma DMDE z witaminą

Można kupić licencję jest względnie tania (~140 zł) można też kopiować wiele plików na raz jak tu #33 -
https://www.elektroda.pl/rtvforum/topic2341359-30.html#11126655

Zakładam, że miałeś NTFS, jak nie to mnie popraw. Wtedy można na upartego zrobić kopię posektorową i tak pracować z kopią posektorową, by wyedytować $MFT do poprzedniej wielkości i ilości rekordów. Następnie po takiej edycji na kopii roboczej można dokonać "kontrolowanego działania chkdsk" i dostęp do ocalałych plików będzie z poziomu eksploratora. Należy nadmienić, że poprzez nadpisane na 99% starego $MFT nowym utracone zostało pierwsze 256 wpisów. Nie wiadomo, czy nie ma tam jakichś plików/ katalogów o dużej wadze/znaczeniu. Toteż tę część można szukać po sygnaturach. Jak masz ogromne szczęście to masz $MFT lub $MFT mirror w innym miejscu i te dane masz jak na dłoni (ale to wiązać też się może z utratą części plików, bo nowy plik $MFT nadpisał zawartość poprzedniej partycji) i nie tylko ten plik.
Na sprawnych partycjach nie ma problemu bo z obrazu partycji ładnie wyciąga 7-zip wszystkie katalogi, a i sam obraz można montować np. w OSFMount zarówno do odczytu jak i zapisu.

Tak, pliki kopiuje na inny dysk (na serwer). I tak, partycja była NTFS, chodź nie wspominalem, to trochę skomplikowane:

Miałem 100GB nie przydzielonego miejsca (pozostałość po partycji Windowsa 7) oraz partycje zastrzeżoną przez ten właśnie windows, wiec postanowiłem poszerzyć o te miejsce dysk (partycje D), po tym bylo ok ale w zarzadzaniu dyskami było widać jakby 2 partycje na tym dysku (dynamiczne czy jakoś tak), wiec te 100GB widoczne jako osobna, chciałem sformatować (szybkie formatowanie), no i okazalo się że sformatował się caly dysk. Taka głupota.

No niestety wszystko wina tego, że nie zauważyłeś, że stworzyłeś 1 wolumin dynamiczny prosty złożony z dwóch obszarów. Pewnie jeszcze rozszerzyłeś ją o miejsce przed tą partycją a nie za i dlatego tak się stało. Co nie zmienia faktu, że tak też by działało, troszkę większy problem byłby w przypadku uszkodzenia takiej partycji. Niemniej można było ją rozszerzyć bez konwersji na dynamiczny. Dla pewności zamieść screen z DMDE z widoku okna partycje i aktualny z zarządzania dyskami. Jeśli jest jak piszesz $MFT może być przesunięte o 100GB? Zależy jak zostało to teraz utworzone. To by też ładnie tłumaczyło w Recuvie status uszkodzonego pliku, bo przeliczenia mogą być wtedy od nowego początku partycji a nie poprzedniego.

Ok, jak wrocę rano z pracy, to dam info z DMDE.

W zarządzaniu dyskami mam usunietą literę dysku jak wczesniej mi radzono (przypisałem ją tylko na czas skanowania recuvą) a DMDE nie potrzebuje litery z tego co widzialem.

Załączam screeny i które prosiłeś:

Kliknij raz na Nowy xCF 894 GB pokaż screen z DMDE po lewej będzie najważniejsze dwie wartości, tj. MFT start cluster i MFT mirror cluster (to też może już być nadpisana kopia boot), choć już widać, że $MFT został niestety nadpisany a wolumin pozostał tak jak było. $MFT startuje 212 871 168 i zostało nadpisane nowym, co widać po screenach. Na tej partycji (tak naprawdę jest to zlepek dwóch teraz) przewiń w najniższym oknie $MFT do sektora 2 $MFT czyli $MFT miror stań na $Data, kliknij spację i przewiń do widoku, gdzie na samym końcu będzie coś jak:
0: run: 11h len: 1 relc: 2h: 2
To pogrubione nas najbardziej interesuje. Jest to wartość klastra początkowego nowego $MFT mirror. Możesz też zobaczyć sektory przypisane $MFT, czyli zrekonstruowany $MFT na podstawie skanu w DMDE, to może ułatwić, że nie potrzebne będzie szukanie wszystkich rekordów FILE0. Ogólnie widać też, że część folderów i plików została utracona po $MFT. Także są teraz dwie metody, przywrócenie wielkości dawnego $MFT (co wyżej zostało opisane też) lub odzyskiwanie danych, np przez DMDE.
Jeszcze można szukać dawnego rekordu $MFT (w $MFT mirror o ile się zachował) poprzez szukanie początków wszystkich $MFT na całym zakresie partycji.

Dodaje screen partycji nowy xcf.

Ogólnie ten NAJWAŻNIEJSZY plik z hasłami do różnych stron i innych rzeczy odzyskałem. Jednak nie ukrywam, że wiele innych plików bym też chętnie odzyskał. Filmy, muzyke i zdjęcia widze, że mam kopie na freenasie. Ale np katalogi od z projektami z solidedge np już niestety nie mam.

Jaki rozmiar pokazuje DMDE dla pliku $MFT? Znajduje się on w $MetaData tej partycji znalezionej po skanie.

Nie wiem czy o to chodziło?

Nie pokazuje poprzedniego pliku a jedynie nowy. Czyli jednak trzeba szukać ręcznie wszystkich sygnatur FILE0 jeśli chcesz próbować rekonstrukcji $MFT.

a jak zrobić ta rekonstrukcje?

Całość wyglądała by mniej więcej tak: Wykonanie kopii posektorowej do pliku partycji 894GB (ta przed połączeniem), wyszukanie wszystkich sygnatur FILE0 z offsetem 0 należących do poprzedniej partycji. Na podstawie znalezionych rekordów $MFT opracowanie dataruns pliku $MFT i jego wpisanie w nowym $MFT, korekta rozmiaru $MFT, następnie na tak przygotowanym $MFT i partycji zamontowanie w OSFMount obrazu partycji w trybie odczytu i zapisu, wykonanie chkdsk na tej partycji. Po tym zabiegu:
1. Pliki i katalogi z pierwszych 256 rekordów zostaną utracone.
2. Pliki i katalogi których foldery uległy uszkodzeniu poprzez utratę pierwszych 256 rekordów zostaną przeniesione do folderu FOUND.XXX, gdzie X to kolejne numery tego folderu na partycji odzyskiwanej (to pliki oznaczone w DMDE w folderach $FXXXX).
3. Pliki których skatalogowanie zostało nienaruszone zostaną przywrócone do oryginalnych lokalizacji, wraz z katalogami (to pliki w katalogach oznaczonych aktualnie na niebiesko w DMDE z oryginalnymi nazwami).

Odzysk utraconych danych jest możliwy tylko jeśli (po to praca na kopii między innymi by doczytać pliki utracone i zabezpieczyć się, jeśli mimo naszych przewidywań coś pójdzie nie tak):
1. Plik ma znaną sygnaturę.
2. Plik jest w jednym kawałku, nie ma do czynienia z fragmentacją tego pliku.
3. Masz czas i chęć na przejrzenie wszystkich! plików na tej partycji znalezionych po sygnaturach i weryfikację, czy akurat tego brakuje (90% i więcej to może być już to co odzyskane wtedy, a wszystko zależy od liczby rekordów $MFT).

Ok. właśnie się robi kopia posektorowa tej partycji.

Dodano po 3 [godziny] 59 [minuty]:

Ok. Kopia posektorowa już zrobiona.
Ale miedzy czasie znalazlem DMDE (z torentów) i kopiuje w tej chwili całe katalogi. Czesc na razie jest ok (przynajmniej te co przegladałem ). Poczekam az program skończy. Jeśli mój katalog z ważnymi dla mnie danymi bedzie ok, to chyba sformatuje dysk i utworze jedną "normalną" partycje.

Czy w dmde można usunąć wszystkie zbędne partycje i zrobić jedną?

Dziękuję za pomoc. Pliki na których mi zależało zostały w pełni odzyskane. Resztę plików okazało się, że mam kopie na serwerze. Tak więc wygląda na to, że wszystko odzyskałem.
Dysk już został sformatowany jako 1 wielka partycja.

Pozdrawiam.