Восстановление данных на HDD

[Kerchanin]

Делал клон программой HDClone. На компе с вин7 подключил 2 диска ( seagate HDD и ssd на который собирался клонировать) выбрал Исходный диск Seagate, Целевой SSD. После нажатия клавиши "старт" прошло 3-5 секунд и выпал BSOD с ошибкой NTFS.SYS и выключился. После включения разделы пропали на всех дисках включая родной с windows 7. На родном диске акронисом спокойно поднял разделы и win7 без проблем запустилась. А вот этот (seagate), кроме ESP раздела ничего не видит. Пробовал разные проги итог везде одинаков. R-studio видит диск С(на HDD была вин10). А вот от диска E ничего не осталось буд-то его и не существовало. Помогите пожалуйста!!!!

[9285]

Цитата (Kerchanin) »

После включения разделы пропали на всех дисках включая родной с windows 7. На родном диске акронисом спокойно поднял разделы и win7 без проблем запустилась. А вот этот (seagate), кроме ESP раздела ничего не видит.

Вот этот момент не очень понял.
Родной сигейт? Если ты на нём восстановил системный, то тогда фраза "кроме ESP" неправдива.

Если же говорить в общем об этом диске (и с учётом написанного в другом месте), то получается что повреждены начала MFT и основной вопрос в том насколько серьёзно.
В случае если при более раннем сканировании в DMDE не сохранял лог, то запусти сканирование заново, но чтобы не тратить время впустую (с учётом того что тебе нужны данные только с Е) выбери раздел Noname07 и в Полном сканировании выбери "Сканировать выбранный раздел".
В опциях сканирования оставь только RAW и NTFS а во вкладке Дополнительно включи Автосохранение (лог файла).
По окончании сканирования запакуй лог фал и (если здесь не получится из за ограничения размера вложения) выложи на вменяемый обменник или облако и дай ссылку. посмотрим что там у тебя выжило.

Добавлено через 8 минут

И ещё один момент.
На скриншоте видно что у индикатора f серый цвет. Это может свидетельствовать о том, что в зеркальной копии (заголовка) есть какие то ошибки. Но может они не особо критичные, но при этом цела 0-вая запись, в которой данные о размещении MFT.
Поэтому можешь сразу сделать дамп секторов с этими записями.
На экране разделы выдели Noname07 и посмотри в фоновом окне значение поля MFT Mirror Cluster. Умножь это значение на значение из поля Secor per Cluster и к этой сумме добавь смещение раздела (на экране разделы номер первого сектора).
Для дефолтного размещения виндового форматера это будет 2х8+475990016=475990032
Вот и сделай дамп этого сектора+ 7ми последующих.
PS. Убегаю на некоторое время - так что у тебя есть время на сканирование, дампы и описание.

[Kerchanin]

Вот 7 секторов

[Kerchanin]

Цитата (9285) »

Вот этот момент не очень понял.
Родной сигейт? Если ты на нём восстановил системный, то тогда фраза "кроме ESP" неправдива.

В общем был один ПК вин7 и ноутбук . Надо было с ноута клонировать HDD seagate на новый SSD. Снял с ноутбука hdd и подключил к ПК вместе с новым SSD. Загрузился с win7 и установил HDClone. Дальше как в описании выше. Комп восстановил полностью, а этот винт кроме диска C ничего не видит(диск Е).

[9285]

Вот теперь стало понятно что всего было три девайса.
Лог сканирования готов? По данным из зеркала, MFT была одним фрагментом (позже обьясню как смотреть), так что, если просканировалось на разделе хотя бы 7100000 секторов, то можно выложить промежуточный лог.
Ну и ещё, не стесняясь расскажи о какой версии HDDclone идёт речь? Версия и откуда взята. Пока не понятно в чём причина, но для статистики эти данные пригодятся.
А то вон есть проблемы после использования одной, вполне нормальной программы, а как выяснилось проблемы происходят с суперэнтерпрайз версии с торрентов.

Добавлено через 3 минуты

И ещё один момент. Судя по всему, при сбое, винда могла сдампить что то (содержимое памяти или ещё чего то) на зону MFT. Но не факт что и ещё куда то.
Так что, даже если получится восстановить нужное тебе, не факт что оно будет целым. Это, как и многое другое явно говорят о том, что бэкапиться надо.

[Kerchanin]

Цитата (9285) »

Вот теперь стало понятно что всего было три девайса.
Ну и ещё, не стесняясь расскажи о какой версии HDDclone идёт речь? Версия и откуда взята. Пока не понятно в чём причина, но для статистики эти данные пригодятся.
А то вон есть проблемы после использования одной, вполне нормальной программы, а как выяснилось проблемы происходят с суперэнтерпрайз версии с торрентов.

Уже не помню ни версии не место откуда была взята. Скачана с первой ссылки которая выпала в поиске.

[Kerchanin]

Цитата (9285) »

Лог сканирования готов?

Да.

[9285]

Чтобы посмотреть расположение MFT нужно перейти к указанному ранее сектору, или открыть дамп (в нём нужная запись в самом начале) и изменить режим просмотра на Файл MFT (Alt + F5)
В списке атрибутов выбираешь 0x80 $Data и нажимаешь пробел. А далее смотришь выделенные значения в одной строке (каждая строка - фрагмент MFT).
Фиолетовым отмечено значение начального кластера, зелёным - число кластеров.
Вот в твоём случае и видно что один фрагмент. Учитывая что типичный размер записи 1024 байта (2 сектора) - число записей должно быть в районе 4416x8/2=17664

[9285]

Судя по логу, не выжило ничего кроме зеркала. Есть ещё несколько (7) записей, но они наверное из журнала файловой системы (крайние транзакции).
Обычно, в таких случаях говорят о восстановлении по сигнатурам. И таковые у той же базы 1С 8-ки имеются. Но, учитывая что с базой работают, то она практически всегда фрагментирована. Что означает возможность восстановления первого фрагмента - а вот с остальными попа.

[Kerchanin]

Цитата (9285) »

Судя по логу, не выжило ничего кроме зеркала. Есть ещё несколько (7) записей, но они наверное из журнала файловой системы (крайние транзакции).
Обычно, в таких случаях говорят о восстановлении по сигнатурам. И таковые у той же базы 1С 8-ки имеются. Но, учитывая что с базой работают, то она практически всегда фрагментирована. Что означает возможность восстановления первого фрагмента - а вот с остальными попа.

Уже думал попробовать по сигнатурам. С диска "C" по сигнатуре нашло, а вот на месте диска E, пусто.

[9285]

Но, это мы ведём речь о предполагаемом расположении раздела..
Можно в реестре посмотреть где начинался нужный том, но думаю что всё таки его расположение именно такое.
В принципе, можно просканировать весь диск и посмотреть есть ли в найденном запись о нужном файле - ведь сдампится мог не только мусор, но и сама запись, причём в любое место. Шанс что такое найдётся практически 0-вой, но если нет других вариантов, то надо отрабатывать всё что можно. В том числе и восстановление по сигнатурам а потом восстановленное прогонять утилитами 1С - мало ли, может недавно база фрагментирвалась, а после записей было мало и т.п. Хотя, устройство самой базы и насколько она критична к потере той или иной части мне неизвестно.
Как то так.

Добавлено через 2 минуты

Цитата (Kerchanin) »

Уже думал попробовать по сигнатурам.

В таком случае надо использовать то, что знает сигнатуры базы 1С 8-ки.
Или искать начало вручную а потом, из заголовка, определять размер файла.

Добавлено через 5 минут

Кстати, на диске, где была 1Ска использовалась 10ка.
Это просто мысль вслух, но если ты в ней завершил работу, при этом в настройках десятки не был отключен быстрый старт, то это и могло привести к такому эффекту.
От этого "новшества" немало людей потеряли данные.

[Kerchanin]

Цитата (9285) »

В таком случае надо использовать то, что знает сигнатуры базы 1С 8-ки.
Или искать начало вручную а потом, из заголовка, определять размер файла.

Сейчас сканирую через r-studio что-бы вытащить все базы (бэкапы которые делались при обновлении 1С) и на основе их уже добавить сигнатуры в DMDE из инструкции - Добавление новых типов файлов на основе файлов-образцов. (написано что экспериментальная версия, но вдруг пройдёт)
Думал добавить по сигнатурам в R-studio, но сложновато оказалось.

[9285]

Photorec знаком с сигнатурами 1с8 - правда не в курсе какой версии.

Добавлено через 1 минуту

Опять же - ничто не мешает в DMDE устроить поиск по начальной сигнатуре и указанием смещения 0.
Сервис - Найти строку.

[9285]

Цитата (Kerchanin) »

Сейчас сканирую через r-studio что-бы вытащить все базы

Не самая актуальна версия 8-ки не знакома с сигнатурами 1CD.
Photorec некорректно вычисляет размер баз современного формата - актуален для первых версий, или для поиска начала базы, а затем ручной расчёт.
Хотя, в таком случае начало можно найти и с помощью DMDE, тем более что в ней сразу видно что в загловке, а Photorec будет восстанавливать все файлы, в том числе кучу битых - и это потребует много свободного места; особенно если не включить фильтр восстанавливаемых файлов.
Так что, рекомендую поиск начала как писал ранее.

[igor_me]

Цитата (Kerchanin) »

Уже не помню ни версии не место откуда была взята. Скачана с первой ссылки которая выпала в поиске.

HDClone - отличная, по моему мнению, прога для клонирования и ещё для некоторых вещей. Пользуюсь ей уже много лет - правда всегда только одной ПРОВЕРЕННОЙ версией (4.0.3en) и РАЗУМЕЕТСЯ почти исключительно ТОЛЬКО в загрузочном режиме! Зачем же вы стали делать клон под системой, если можно было грузануть HDClone автономно? Не знали, что система в данном случае - лишняя прослойка и под системой прога работает через системный API (а не через собственый, как в загрузочном варианте)? Конечно уже поздно по факту причитать, но теперь полагаю запомните это навсегда. О том, что есть особые операции (и клонирование из их числа, а ещё например прошивка некоторых устройств...) которые лучше делать "без лишних прослоек", не из под системы, "из-под DOS". Да, возможно HDClone выполнила некорректную операцию, раз вызвала ошибку NTFS.sys, но она оперировала системными функциями работы с ФС и по факту вам инфу покоцала уже система, а не сама HDClone, как таковая.
Хотя возможно, что имел место вариант с косяком 10-ки, высказанный выше.
Возможно, что и у вас была "корявая" версия HDClone.

[Kerchanin]

Цитата (igor_me) »

Возможно, что и у вас была "корявая" версия HDClone.

Много вариантов можно предполагать, как и в том что глюканул контроллер т.к. комп старенький был. И да, согласен что самой главной ошибкой было не загрузиться с liveCD или 2k10 (обычно использую). Как говориться, урок на всю жизнь.

[9285]

Хотя я придерживаюсь того, что подобные операции надо делать с загрузочного диск, тем не менее это более актуально для случая когда идёт клонирование диска на котором стоит сама система. Но в данном случае речь идёт о клонировании другого диска, и нормальная программа может банально исключить работу системы с ним.(*)

А вот та же гибернация системы реально попила немало крови. Не такая проблема, но показывающая что происходит при таковой - после CHKDSK не видно фалов(win10)
И именно про неё подумал когда прочёл предисторию автора в другом месте и увидел упоминание 10-ки. Хотя и до этого было не очень понятно именно то, что так чётко накрыло именно MFT.
И даже в случае, если проблема не в этом, то уверен в том, что Быстрый запуск не стоит того, что может произойти после в результате его использования.
(*) Недавно в другом месте было "обсуждение", в котором утверждали что нельзя сделать образ диска из под системы. Я написал про то, что есть программы умеющие делать это - например Terrabyte drive Image. Это не призыв так делать, а просто попытка не поддаваться панике и быть обьективным.

[igor_me]

Цитата (Kerchanin) »

Много вариантов можно предполагать, как и в том что глюканул контроллер т.к. комп старенький был. И да, согласен что самой главной ошибкой было не загрузиться с liveCD или 2k10 (обычно использую). Как говориться, урок на всю жизнь.

Не, видимо урок не усвоили Любой LiveCD на базе Винды - ТАКАЯ ЖЕ система (даже более худшая, думается, потому что огромная куча самопальных сборок среди LiveCD). В ней он бы ТОЧНО ТАКЖЕ работал через системный API. Грузить в таких случаях всегда желательно загрузочную версию АВТОНОМНО. С заранее заготовленной дискеты\компакт-диска. В комплекте HDClone есть загрузочные образы. Ну по крайней мере в версии 4 они точно есть...

Цитата (9285) »

и нормальная программа может банально исключить работу системы с ним.(*)

Отмонтировать диск? По моему, точно не скажу, я под системой редко копировал, но вроде бы в HDCLONE есть такое! Надо будет в будущем провести пару опытов, как будет время, реально заинтересовался.
Правда при этом мы по прежнему не уходим от того, что работа происходит опять же ЧЕРЕЗ системный API. Что есть лишняя прослойка. Это основная проблема, думается.

[9285]

igor_me

Цитата

Отмонтировать диск?

Да как угодно - заблокировать том, отмонтировать, работать с теневой копией.

Цитата

Правда при этом мы по прежнему не уходим от того, что работа происходит опять же ЧЕРЕЗ системный API. Что есть лишняя прослойка.

Ну, это вопрос спорный. Особенно если собственное API хорошее, и уж тем более если не знакомо со спецификой той или иной системы.
В той же 10ке, начиная с какого то билда начал использоваться новый тип записи, у которого записи MFT специфичны, да и сама компрессия другая. вот как будет вести себя программа, не знакомая с таковым?
Или насколько корректно работает программа с гибернированной системой?

СПОЙЛЕР »

Ну и ещё пример того что собственное не всегда лучше системного. Не к ночи упомянутый акронис использует свой форматер. который не только делает MFT фрагментированной, с размещением в самом начале - так ещё и использует старый формат NTFS. А вот тот же парагон, не знаю как сейчас а раньше можно было выбирать использовать ли свой или виндовый.

[MiceRus]

Цитата (igor_me) »

HDClone - отличная, по моему мнению, прога для клонирования и ещё для некоторых вещей. Пользуюсь ей уже много лет - правда всегда только одной ПРОВЕРЕННОЙ версией (4.0.3en) и РАЗУМЕЕТСЯ почти исключительно ТОЛЬКО в загрузочном режиме! Зачем же вы стали делать клон под системой, если можно было грузануть HDClone автономно?
...............
Возможно, что и у вас была "корявая" версия HDClone.

Прошу прощения за реанимацию старого треда, но наткнулся на эту тему после очередного (второго) случая когда эта "супер" прога убила ВСЕ три диска.
Что делал? С сайта автора проги скачал ISO и записал его на переносной диск Zalman ve200. В меню ЗАлмана выбрал эту исошку и загрузился.
На компе подключены три диска. Источник ВД 500 гиг. ССД Самсунг 500 гиг и Залман. ЗАгрузилась исошка. Все прошло без ошибок. Выбрал источник. Выбрал цель. Прога предложила использовать смарткопию. Согласился, ведь ей же виднее. Нажал Старт. БЫстро добежало до 12% и потом час стояла на них. Не выдержав (чего там копировать целый час) в меню программы нажал стоп. После чего перезагрузился и...... Большой привет. SSD чист. WD - чист - ни одного раздела и мой диск Zalman - ТОЖЕ ЧИСТ! Ладно, допустим (что в корне не верно) я перепутал WD с Samsyngом (но я же не пьяный!) но Залман-то почему был потерт????