@Диман_Д

Добрый день. Убилась флешка 16 гигов в результате некорректного извлечения. Просит отформатировать.
МБР цела, ПБР равен копии в конце диска, МФТ цел, равен копии. Винхекс весь физический диск сливает нормально,без бед блоков.
Чек диск ругается на отсутствие диска. Программы восстановления видят все окей, но интересует восстановление диска ручками. Спасибо.

0

@Диман_Д

Фото Мбр и Бут нтфс


А так ДМДЕ видит файлы, так как $MFT не затерт.



Понятно что сбой логической структуры диска пустячный и можно все восстановить ручками.

Так же интересует, как эмулировать накопитель, чтобы подсунуть в него Имайдж флешки, чтобы издиваться уже над виртуальным диском ???

0

@Big-Endian

Да, но сначала надо выяснить где этот сбой. Выяснил, что надо править?

Создай виртуальный диск в Управлении дисками и запиши на него образ. Переподключи его и можешь издеваться.
Также можно открывать несжатый файл-образ в OSFMount и тоже издеваться. ))

0

@Диман_Д

если бы выяснил, поправил бы.

0

@Big-Endian

А я уже кое-что вижу, но надо в редакторе ознакомиться с секторами 6291535 и 6.
Сделай дамп секторов 6291519+50 от начала физического диска и закинь на обменник, посмотрю что там вообще творится, с ранлистами в том числе.

0

@Диман_Д

Слил 2 дампа, приложил здесь

Вложения

Dump.7z (5.8 Кб, 4 просмотров)

0

@Big-Endian

Зачем два, если большой содержит 6291535 и 6 секторы?
Посекторный образ уже сделал? Сделай обязательно.
Вторая и третья файловые записи забиты посторонним мусором. Вторую можно просто обнулить, а вот третью надо обязательно, можно скопировать с любого исправного тома с NTFS, работать будет. Еще заполни нулями шестую и восьмую файловые записи. Зеркало тоже желательно занулить, чекдиск всё заново нарисует.
Сейчас в таблице партиций смени тип раздела на 0, убери сигнатуру AA55 и переподключи флэху. Потом работай с файловыми записями, когда всё сделаешь, верни тип раздела и сигнатуру. Проверь чекдиском в режиме чтения (CMD) и покажи. Не забудь сделать образ, а лучше работай с образом, записав его на виртуальный диск.
Справишься? Тренируйся, углубляй извилины. ))

0

@Диман_Д

Посекторный образ диска сделал. Работать с образом затрудняюсь, так как не могу с эмулировать его. У меня же образ всего диска, а не логического.

0

@Big-Endian

В чём не можешь? Можно подробней?

0

@Диман_Д

Тут видимо речь идет о $LogFile и $Volume. Обнулять надо непосредственно со слова FILE, включая и его ? и какова длина обнуления
$Bitmap $BadClus. Опять вопрос сколько байт от начала записи FILE нужно занулять ?
Это я так понимаю всю зеркальную МФТ (1984532*8+63=)15876319 сектор отначала диска ?? и сколько затирать ?

Пробовал в QEMU , он меня послал.
Не понимаю, где с эмулировать с настройками параметров эмуляции. Ведь у меня весь физ диск слит. А там может быть и первичные разделы, и расширенные. Вот откуда эмулятор знает как надо эмулировать диск. Он что мбр будет читать ? А если мбр повреждена ? Или еще что ?

0

@Big-Endian

Каждая файловая запись = 1024 байт = 2 сектора (512 б.). Занулять надо полностью всю файловую запись ( 2 сектора) для $LogFile, а $Volume скопировать с любого исправного тома NTFS, без него и без 0 файловой записи $MFT чекдиск не станет проверять/исправлять ошибки тома. Остальное некритично.

По два сектора на каждую запись. Полностью заполняй нулями.

Зеркало состоит из первых 4 файловых записей (8 секторов) основной таблицы. Вот все 4 записи и затирай.
Координаты его расположения вычислил правильно.

Посмотри http://www.youtube.com/watch?v=UEYYp_69CDk
Создай виртуальный диск, не создавая разделы, и запиши на него полный образ флешки. Переподключи виртуальный диск, чтоб Windows ознакомилась с новым содержимым VHD и работай с виртуальным диском.

Потом, чтоб система не вмешивалась в работу с секторами сделай MBR/OFF в DMDE, Применить и переподключи VHD. Или, как написал чуть раньше - смени тип раздела 07 на 0 и убери сигнатуру. Переподключи VHD.
Далее всё сделаешь в WinHex, вернёшь тип раздела и сигнатуру (MBR/ON), преподключишь, проверишь (чтение) чекдиском в Командной строке и покажешь результат проверки.

1

@Диман_Д

Пасиба, все доходчиво объяснил, вопрос виртуальный диск VHD может быть приблизительно больше физического или надо его размер высчитывать точно, по секторам файла физического диска подлежащему эмуляции.
Например создал 16, 5 гб, потом открыл в Хексе физический накопитель (с эмулированый как физический ) и перебросил сектора из файла образа диска в смещении 0. А там что лишнее осталось место в файле VHD никого не волнует ? И вообще каков формат VHD? может просто переименовать свой образ файл в файл образа VHD?

0

@Big-Endian

На котором находится файл VHD? Может, если создавать динамический виртуальный диск. Вновь созданный чистый файл на 1 ТБ диск занимает всего несколько мегов. По мере заполнения информацией будет увеличиваться. Разумеется, до пределов свободного места тома на котором этот файл лежит.
Динамический создавал?

Он не соответствует бинарному содержимому сырого образа. В начале файла VHD присутствует служебная информация. А вот смонтированный диск из этого файла уже полностью годится для заливки на него образа.
Образ физического диска запиши на пустой смонтированный файл VHD, как на MSVirtualDrive и получишь копию подключенной флешки после перемонтирования VHD файла. Я вроде уже писал про всё это.

0

@Диман_Д

Нет, создал 16.5 фиксированный, отмонтировал VHD, открыл в хексе , пытаюсь залить в смещении 45 образ флешки.
Вычитал тут
Не пойму как на файл записать образ ??? Типа дописать в конец файла ?

0

@Big-Endian

Не на файл, а на смонтированный виртуальный диск из этого файла.
Смонтируй виртуальный диск, запусти DMDE, при выборе диска Отмена, в Меню Сервис => Копировать секторы
в Источник выбери Файл (образ флэхи)
в Место для записи - Диск (Physical Drive, укажи на MS Virtual Drive)
Начальный сектор 0
Ну или в WinHex-е запиши полностью образ с нулевого сектора на виртуальный смонтированный диск. При монтировании виртуального разреши запись на диск.

1

@Диман_Д

Ха, получилось - смотри:


А со смещением 45 секторов не получилось (

Ща буду мучать по твоей методике

0

@Диман_Д

Проверил )
результаты :



Очень удивился, почему метка диска H: от диска J:, думал не тот диск проверил, ааа, я ж $Volume с него взял )

0

@Big-Endian

Диман_Д
Больно быстро справился. Не ожидал. ))
Видишь потеряна запись 6694? Она повреждена. Хочешь поинтересоваться какой файл был в этой записи - Открой том в DMDE, возможно придётся через Поиск NTFS открывать том, но может и так откроется. Выдели раздел и Открой том, посмотри в каталоге Все найденные файлы видит? Если видит, то комбинация клавиш Alt+F выдаст окно запроса номера файловой записи. Забей туда 6694 и посмотри видно ли имя файла. Будешь знать какой файл был записан под этим номером файловой записи. Но может там тоже сплошной мусор залетел, тогда не узнаешь. ))
В принципе, можно пускать чекдиск с ключом /F, образ есть, если что можно всё повторить.

Добавлено через 6 минут
PS, в WinHex тоже можно найти эту файловую запись и посмотреть - меню Position - Go to File Record и забить 6694.
В нём надо логическим диск открывать, по букве.

1

@Диман_Д

Так чтоли понимать ?


Результаты chkdsk h: /f: (надо было писать chkdsk h: /f:>file.txt)
Все что смог скопировать с экрана.txt

Все нормально обработалось ?

0

@Big-Endian

Не так немного. Должно быть как на скрине.
Что с диском в Проводнике? Кажется, совсем без потерь файлов не обошлось.))

0