Форум iHDD.RU

[BadMaker]

Хоть я и опоздал :), но в будущем, быть может, мои соображения кому-то помогут в такой ситуации:

шаг 0. Быть может, Вам повезло, и все цело? Попробуйте найти на диске значение "MSWIN", находящееся в 4 байте от границы сектора (3 байта, а за ними MSWIN). Или, "FAT16___", "FAT32___" (вместо "___" надо писать 3 пробела). В конце того-же сектора должно быть 55 AA, дабы быть уверенным, что это и есть сектор раздела, а не области данных. Если нашли - это и есть начало Вашего раздела, или, копия первого сектора раздела, в любом случае, все цело, поздравляю ;), создаем ссылку (про это у akina написано) в MBR (Extended не обязателен) и радуемся жизни.

шаг 1. найти таблицу FAT.
Сделать это можно, читая кусочки по 512 байт (сектор), и если в нем значения (по 4 байта):
1. последовательности значений (цепочки), т.е. 10 00 00 00, 11 00 00 00, 12 00 00 00 и т.д
2. признаки конца файла - значения ff ff ff 0f (или f8 ff ff 0f? Не помню)
3. в секторе не может быть одинаковых значений, за исключением признаков конца файла, и (если ничего не забыл), меток bad-кластеров F7 FF FF 0F
то это и будет сектором от FAT32-таблицы :)

Начало таблицы обычно F8 FF FF FF, хотя F8 зависит от заголовка, но думаю, этим можно пренебречь :), после чего идет метка конца файла.

Важно: в FAT32 используются 28 бит, поэтому значения 00 00 00 00, 00 00 00 10, и т.д. до 00 00 00 F0 - идентичны для системы
По идее, фат можно обнаружить в свопе, но вот как его потом использовать, да и актуальный ли он... увы, ничего не могу сказать
Если не нашли - увы, дальше можно не читать :(

шаг 2. Найти Root-Directory.
Вы давали своему диску метку _при форматировании_? Да? И еще на английском языке? Тогда смело вводите ее в строчку поиска, и первая запись, расположенная в самом начале сектора - это и будет маячком Root-Directory :)
Не помните? Или, быть может, обозвали диск уже ПОСЛЕ форматирования? Тогда вспомните, какие файлы были в корне, причем были записаны первыми! При системном разделе обычно можно поискать windows, ntldr, boot, progra, winnt, docume, эти записи идут первыми на диске, а значит должны быть в первом кластере root-directory. Не нашли? Ну попытайтесь вспомнить, что вообще лежало в корне диска, может пойдет :).
А определить, что нашли, корень, или обычную папку - просто, в корне нет папки ".." (в предыдущую)
Если вообще ничего не нашли - дальше можно не читать :(

шаг 3. Склеивание остатков.
Как уже и сказали, адрес root-directory - адрес начала второй таблицы = размер одной фат
Далее, варианты... Или сделать копию таблицы + 32 сектора от здорового раздела, как было описано выше, или, чуток интереснее - скопировать 3 сектора от начала "здорового" раздела, кинуть их прямо перед началом таблицы, указав в нем, что у нас всего 1 таблица, указать ее размер, что у нас количество кластеров = размер таблицы (байт) / 4 - 2 и т.д.. На FS_Info можно забить, как и на 3 сектор.
Как указать? Как исправить? Была у меня идейка написать такую тулзу, показывающую/редактирующую все атрибуты FAT, да все руки не доходят. Даже свою вставлялку/убиралку бадов забросил, неинтересно оно мне стало (рабочее ядро написал, а как до ГУИ дошло, там и все заглохло). Поэтому, берем WinHex, берем "Microsoft Extensible Firmware Initiative FAT32 File System Specification" (v.1.03), что в виде fatgen103.exe на сайте ms, курим доку, и все по ней правим.

На истину я не претендую, наоборот, предостерегаю, что могу ошибаться, и все это можете использовать только на свой страх и риск.

-------------------------------------------------------------

> А Вы не подскажите, между таблицами FAT
> нет никакого зарезервированного пространства,
> вторая начинается сразу после первой,
> в следующем секторе?

сразу в следующем секторе

> то довольно странно, что в её размер
> надо включать служебную

и не надо, кластеры - все, что осталось после ресервед-ареа с таблицами

> операционные системы часто не утруждают
> себя производить изменения обеих копий.
> Так ли это?

1. В FAT32 есть возможность отключения зеркалирования таблиц, в этом случае и не должны. MS клянется в полном соответствии своей-же спецификации
2. Ну уж при корректном завершении (отмонтировании раздела) что мешает провести зерклирование?
3. Сама ms пишет в доке, что в мире полно некорректного кода для FAT, так что быть может все.

В любом случае, если есть конец первой таблицы, то не надо его замещать, просто дописать начало от второй, а потом "пощелкать" переключением активной таблицы (ExtFlags в спецификации)

> А как же First cluster of root? Там вроде обычно двойка

Действительно, адресация начинается с 2, но не обязана это делать (хотя такого не видел). Это сделано на случай, если "2" кластер (корневой по умолчанию) вышел из строя, можно просто переадресовать корень диска в любое место. Короче, ставте 2 и не парьтесь :)

> Т. е. между FAT2 и ROOT еще 1 (или 2?) кластера.

а вот и нет - эта 2 происходит от начальной сигнатуры таблицы, которая занимает 8 байт (адреса 2 кластеров по 4 байта), так что данные идет сразу после таблицы.

> В общем, скорее всего придётся
> покупать ещё 1 винт на 200 Гб
> и разбивать его так же как и первый

такие эксперименты лучше всего проводить под vmware, там хоть терабайтный диск создать можно, только бы места на реальной машине хватало для записи (если на диск ничего не писать, то он будет месколько метров)

> жалко что дискету Винда в FAT32 не хочет форматить

дискета для этого должна быть как минимум в 32 метра :D
Я пробовал сделать раздел в 15кб, винда даже предложила отформатить такой раздел, при этом размер она и указала в 15кб :D (и почему я скриншот не сделал?), вот только при таком действе все висло, порою до самой винды :D. Да и как такое смонтировать, винда определяет тип фата по количеству кластеров, так что такой форус не пройдет. Зато пройдет под Линуксом - проверял лично :D

> с помощью какой проги можно скопировать
> один винт на другой "сектор в сектор"?

я бы загрузился под каким-то Linux LiveCD, например Knoppix, а и нем это сделал. dd if=/dev/винт-источник of=/dev/винт-получатель. Вместо винта можно указать файл-образ

> винт мне необходим лишь для того, чтобы иметь резервную копию

покупай DVD-резак, все дещевле будет аналогичного винта ;)

> начинался не с нового цилиндра, а с дорожки № 76

дорожка - это что? sector / head / cylinder? сектор обычно всегда равен нулю (т.е.1), в отличии от головки, которая в случае extended partition равна 1

[maysoft]

Wow. Отлично описано!

[GGarry]

Привет всем!!!
Ребята, а вы не хотите попробовать поднять мой диск?
Буду очень рад увидеть его работающим.
И так.
Разговор идёт о SATA "Maxtor 6Y060M0".
Ниже можно посмотреть несколько отчётов.



http://garbuz-h.pochta.ru/SMART.txt

[maysoft]

Увы, этот диск — труп.

[GGarry]

[Tomset]

GGarry
201 TA Counter Detected 219 001 0000000078C1 000
202 TA Counter Increased 001 001 0000000006C6 000
Ну для добывания данных можно еще подергаться. А восстановить работоспособность, эт врядли, головки он уже не может нормально перемещать.
Ну, а раз пытаешься форматировать, значит данные не нужны. Тогда банку только на магнитики и пепельницу, а плату можно ремонтникам подарить.

[BadMaker]

Я сам отвечаю на свои-же ответы, а модератор меня банит за это (с) RucheyServer

Немного дополню про мой предыдущий пост:
Конец файла в цепочке (метка EOF) - 0хFFFFFF8...0хFFFFFFF, т.е. 8 значений (в байтах это будет от F8 FF FF Fx до FF FF FF Fx, поскольку little-endian)

Про фат:
По идее, если предположить, что на нашем диске 1 большой файл, то фат должен выглядеть так:

[Sheriff]

2 BadMaker - а чем больше, тем вкуснее (с)

[demon01]

У сеня Сигейт 160 гигов, слетела структура mbr. Пожалуйста подскажите мне как восстановить mbr. Заранее благодареен!
П.С. то что было написано выше мне не очень понятно, поэтому прошу помощи

[Antech]

demon01
Во-первых, проверьте, что все операционки, имеющие доступ к винту, поддерживают LBA48: www.48bitlba.com
Во-вторых, почитайте: www.akina.hop.ru/mbr.php3 - это описание MBR.
В-третьих, скачайте WinHex или DMDE (или другой дискэдитор).

[Compiller]

Смежная тема на ru-board.com (Необходима бесплатная регистрация).
http://forum.ru-board.com/topic.cgi?forum=62&bm=1&topic=0509#1

Сорри за рекламу чужого форума, но там на эту тему очень много полезного.

[bratok]

Есть Seagate Barracuda 7200.7 160 GB SATA и XP SP2 раздел один на весь диск. (Никаких других систем нет) NTSF

Однажды Виндовз перестал загружаться. Нет сообщения об ошибке -просто чёрный экран с курсором. На этот момент свободно было 8 Гб. ИЗ консоли восстановления chkdsk пишет "диск содержит олдну или несколько неисправимых ошибок". Fixmbr пишет все данные скорее всего будут уничтожены поэтому не продолжаю. ЗАпускаю прогу установки XP она говорит что диск заполнен полностью(даже не предлагает установить в тот же раздел и затреть предъдущую версию как бывало обычно) и предлагает отформатирвать диск в NTSF. ТОгда с загрузочного CD запускаю несколько прог.

ChekIt - тест на скорость чтения проходит хорошо.
Easy Recovery Proffesional "Физических проблем не обнаружено."
Active Partition Recovery выдаёт "Error reading sector #0 or boot sector Invalid"
Partition Magic "Bad File record signature"
Acronis disk Director "File sisitem error: File record corrupted"
PAragon Partition Manager (показывает верно - что 8Гб свободно в отличии от других) "Incorrect file system file allocation fults (f.e. crossslinked files)"
Norton Ghost - Integrity Chek Completed Succesefuly.
Seatools "File structure test. Basic structure corrupted"

Подключил через USB-SATA к другому компу - в свойствах диска - "Файловая систем RAW"
Значения ЗАнято Свободно Емкость показывает всё 0 байт

Как привести в порядок? Желательно без удаления. Есть несколько каталогов общим размером 130 Гб которые надо обязательно восстановить.


Предположим вариантов без удаления нет, тогда какой прогой надо удалять (форматировать) чтобы потом всё гарантированнно восстановить?

[Tomset]

bratok
Самый безопасный метод, раздобыть на время диск достаточного объема, вытянуть данные R-studio, GetDataBack и т.п.
Переформатировать пострадавший и вернуть данные на место.
Остальные методы восстановления на месте, требуют хорошего знания устройства файловой системы, не гарантируют успех. Без полной посекторной копии всего диска, грозят распрощаться с информацией на всегда.

[bratok]

Переформатировать пострадавший и вернуть данные на место.


А если просто форматнуть, то потом можно будет всё что было записано на этом диске восстановить с помощью прог?

[Antech]

bratok
http://forum.ixbt.com/topic.cgi?id=4:94028-2

Форум iXBT отвалился на запись. Вы там показывали SMART и дампы. Комментарии к Вашему сообщению на iXBT даны ниже.

простого in-place восстановления В чем смысл этого метода?
Поиск разделов по их бутсекторам. При необходимости - поиск резервных бутсекторов и MFT Mirror (на NTFS) с последующим залитием на место основных (MFT Mirror - только первые 4 записи).

R-Studio или GetDataBack. - они во время восстановления если восстанавливаются данные на другой диск меняют данные на поврждённом диске?
Эти - нет. Но будьте внимательны, если как бы read-only авторекаверилки, которые на самом деле пишут на пострадавший винт (одну такую обнаружили на форуме РуБоард).

ДАнные по СМАРТ
Ultra ATA CRC 200 1 5727
шлейф - в помойку, если есть разгон - убрать. Проверить питание. интерфейсные ошибки иногда делают очень плохие вещи, в т. ч. и "отстрел разделов" .

194 31 56 31
Винт разогревался до 56 *С. Нужно охлаждать, иначе может быстрее сдохнуть.

http://slil.ru/25410398
Таблица разделов ОК: один NTFS раздел на 160 ГБ, начало в секторе 63.
Бутсектор раздела (сектор 63) ОК: объем 160 ГБ, кластер 8 секторов (4 КиБ), начальный кластер MFT 786432, начальный кластер MFT Mirror 19535036 (точно середина раздела), файловая запись - два сектора, индексная - 8 секторов. Т. е. значения классические и вероятность того, что они неверны, практически ноль.
Значит раздел и бутсектор в порядке, нужно искать проблему в MFT (об этом также говорят невнятные сообщения программ про какие-то глюки в файловых записях, это может быть из-за повреждения MFT). Вероятность успешного простого ручного восстановления в данном случае не велика. Но, если хотите, можем продолжить.
Нужны следующие дампы:
1. Начальный сектор 6291519, количество секторов 1000 (MFT).
2. Начальный сектор 156280351, количество секторов 1000 (MFT Mirror).
3. Начальный сектор 312560639, количество секторов 1 (резервный бутсектор раздела).
Снять дампы Вы можете как и раньше, только не забудьте правильно указать "Первый сектор" (копируйте числа из этого сообщения).

Не нужно пока что ничего исправлять в редакторе.

если просто форматнуть, то потом можно будет всё что было записано на этом диске восстановить с помощью прог?
Да, но только на другой диск. Лучше вначале посмотреть, что произошло с MFT. Если окажется, что восстановление на месте (с бэкапом, естественно) затруднительно, просто снимите данные в R-Studio (разумеется, Вы можете использовать R-Studio прямо сейчас).

[bratok]

Есть ли вещи кооторые могут быть выполнены только спецами вручную?
Правильно ли я понмаю, что все эти проги пользуются автоматическим анализом записей в секторах по шаблону. Если это так то почему работа вручную эффективнее - это же огромное количество времени.

Шлейф шёл в компелекте с матерью АСУС P4P800-E (кстати она поддерживает SATA2?) а какой кабель качественный. Купил какой-то китайский с защелкой. КАк выбрать качесственый или это рулетка.

если есть разгон - убрать. Конкретно чего разгон? ДИска? Мне известно только о разгоне проца памяти и частоты на маме.

Проверить питание. Как? Блок питания (Golden Power 350w-A) покупался встроенным в корпус.

По стабильнсти работы диск лучше брать интерфейс SATA или IDE(UDMA) ? И насколько SATA реально быстрее?

Для целей восстановления какая система удобнее NTSF или FAT32?

Правильно лия понял что основная работа CHKDSK заключается в корректировании MFT и чем чаще запускается проверка диска (и дефрагментация) тем лучше?

Не понимаю если всё так просто, то почему где нибудь в консоли восстановления нет такой команды "Восстановить загр. запись , таблицу файлов и таблицу разделов из их резервных копий".


Полноэкранные скрины.

http://i039.radikal.ru/0801/52/1ff74de2ad1b.jpg

http://i020.radikal.ru/0801/7d/c51135291719.jpg

http://i014.radikal.ru/0801/66/45e403acae97.jpg

http://i018.radikal.ru/0801/a7/5c85cac1c740.jpg

http://i030.radikal.ru/0801/d8/d6200302ed08.jpg


Особо интересны ошибки внизу окна R-studio насколько они критичны?


Что делать теперь?
ЖАть на это меню?

http://i009.radikal.ru/0801/21/5a980276a88b.jpg


1. Начальный сектор 6291519, количество секторов 1000 (MFT).

http://slil.ru/25414707

2. Начальный сектор 156280351, количество секторов 1000 (MFT Mirror).

http://slil.ru/25414727

3. Начальный сектор 312560639, количество секторов 1 (резервный бутсектор раздела).

http://slil.ru/25414731


Почему-то мне кажется что мой случай простой - надо просто заменить MFT резервной копией. Кстати как часто ВИндовз обновляет резервную копию, каждую загрузку?

[Antech]

bratok
эти проги пользуются автоматическим анализом записей в секторах по шаблону
Да, верно.

почему работа вручную эффективнее
Вы, наверное, много раз видели картинки с буквами/цифрами для отшивки роботов на бесплатных файл-хостингах типа rapidshare. Человек обычно без проблем понимает, какие цифры и буквы написаны, а программы - нет. То же самое и с восстановлением. Человек использует огромный потенциал опыта, знаний и интеллекта, а программа - только сравнительно простой алгоритм. Конечно, в простых случаях можно обойтись программой автоисправления на месте (при наличии копии).
Однако, не стоит думать, что все делается вручную в редакторе. Наибольший эффект дают полуавтоматические средства, когда Вы сами выполняете интеллектуальную часть работы, а Ваши программы - массовый анализ диска, который был бы невозможен вручную.

Конкретно чего разгон?
Всего, что только можно. (Диски вроде гнать еще не научились .)

Проверить питание. Как?
Конкретный блок - осциллом (на соответствие стандарту ATX на питание). Производителя блока - по форуму "Корпуса, питальники" на iXBT (крупнейший форум, есть смысл его использовать). Если Ваш GP - в стиле Кодген, менять однозначно.

Для целей восстановления какая система удобнее NTSF или FAT32?
NTFS (ИМХО).

основная работа CHKDSK заключается в корректировании MFT и чем чаще запускается проверка диска (и дефрагментация) тем лучше?
Да, Чекдиск правит MFT и внешние списки (индексы, они расположены вне MFT). Но запускать его на исправление (/F) - только при наличии бэкапа либо при отсутствии ценных данных.

если всё так просто, то почему где нибудь в консоли восстановления нет такой команды "Восстановить загр. запись , таблицу файлов и таблицу разделов из их резервных копий"
Загрузочная запись диска - FAXMBR, раздела - FIXBOOT, файловая система - ChkDsk. Более сложные in-place методики для разделов и бутсекторов - удел спецпрог типа TestDisk.

как часто ВИндовз обновляет резервную копию
Каждый раз, когда изменяется хотя бы одна из 4 первых записей основной MFT (естественно, нужно делать поправку на кэширование в ОС и винте).

Почему-то мне кажется что мой случай простой - надо просто заменить MFT резервной копией
Нужно быть внимательнее. Посмотрите на MFT Mirror. Там такой же примерно расколбас, как и в основной MFT. Суть расколбаса - в смещении первых четырех файловых записей на 0x14 байт от нормального положения. Идентификаторы FILE эффектно указывают на это. В остальном, на первый взгляд, все нормально. (Кстати, MFT у Вас фрагментирована по самые помидоры.) Я уже встречался с подобным глюком: было два раздела на одном винте, на одном из разделов подобное смещение, восстановили на месте успешно.
Я поправил Вашу MFT. Вот дамп. Этот дамп нужно записать начиная с начального сектора основной MFT, а также MFT Mirror (достаточно первые 8 секторов). Внимание! Если есть действительно ценные данные, сделайте полный посекторный образ диска перел любым редактированием!!! Исходную MFT и MFT Mirror (Ваши дампы) я сохранил. Для записи можете использовать в DMDE меню Сервис - Записать в секторы диска. Задайте запись из файла, укажите мой дамп. Начальный сектор 6291519, количество секторов 8. Для копии MFT - аналогично, но начальный сектор 156280351. Перезагрузите комп и проверьте результат. Не давайте Чекдиску запускаться!

[bratok]

Но запускать его на исправление (/F) - только при наличии бэкапа либо при отсутствии ценных данных.

У меня ещё до сбоя несколько фильмов с диска пропали ещё неделю назад смотрел и тут - 0 байт стал весить этот файл! (R-studio тожеотразил их в 0 байт - видимо затёрты)

Вопрос на будущее - 2 лучшие проги по восстановлению случайно удалённого в Виндовс? (Когда всё цело и Виндов грузится)

Можно дальше не продолжать R-studio -рай! Корректная структура каталогов, имена файлов всё восстановилось. Нашел даже то, что было мною давно удалено (правда восстановленные файлы не прочесть)

Вот у меня есть копия диска и сам диск с нарушенной файловой таблицой. Поскольку терять уже нечего (всё восстановлено) попробую in-place восстановление. Что ещё кроме TestDisk можно попробывать и каков алгоритм действий?

Вот у меня диск 250 гб и для Васк-up:а медиа архива нода иметь такой же диск рядом на котором будут копии... это деньги на ветер. Какие ещё варианты.

[bratok]

Этот дамп нужно записать начиная с начального сектора основной MFT
И Виндовз анчнёт загружаться?


А как не дать запустьтся Чекдиску?

[Antech]

bratok
Пожалуйста, не надо TestDisk:
1. Это совершенно не интересно.
2. В данном случае он никак не поможет.
(Хотя, вообще, я ничего не имею против TestDisk.)

Т. к. у Вас все восстановлено, пишите мой дамп в MFT и Mirror. Начнет ли грузиться Win, не знаю, но что мешает попробовать? Не забывайте указать количество секторов == 8, чтобы не затереть то, что после Mirror находится (сам Mirror - только 8 секторов).

А как не дать запустьтся Чекдиску?
Ну там вроде надо any key или пробел нажать... Короче, следите за этим во время загрузки Винды.