Pendrive system plików RAW

[gajowy]

Zostałem poproszony o uratowanie (albo przynajmniej odzyskanie danych) pena, który po podłączeniu do komputera domaga się formatowania. Dość typowy przypadek, w zarządzaniu dyskami wygląda to tak:

Ze względów bezpieczeństwa w pierwszej kolejności zrobiłem kopię posektorową za pomocą DMDE. Kopia wykonała się bezbłędnie i po zamontowaniu obrazu mam możliwość przeglądania i odzyskiwania plików. Jednak ze względu na dość skomplikowaną strukturę katalogów odzyskiwanie plików w darmowej wersji jest bardzo czasochłonne. Dodatkowo nie mogę znaleźć niektórych plików, o jakich wiem, że powinny tam być. W związku z tym postanowiłem przywrócić tablicę partycji za pomocą Testdisk 7. I tu niestety pojawia się problem. Program komunikuje: "Partition sector doesn't have the end mark 0xAA55"

Oczywiście ani Quick Search, ani Deeper Search nie wykrywają żadnych partycji. Znalezione w sieci poradniki nie wspominają o takiej sytuacji. Czy coś jeszcze (oprócz kupienia komercyjnej licencji DMDE) można w tej sytuacji zrobić?

[Groszexxx]

Wrzuć tu proszę pierwsze 2049 sektory dysku (od 0 do 2048). 

DMDE > narzędzia > kopiuj sektory

[gajowy]

Dzięki za zainteresowanie. Tutaj skopiowane sektory.

 

Zmieniłem link

Edytowane 31 Marca 2016 przez gajowy

[Groszexxx]

W tym co wysłałeś są same zera. 

 

Pokaż screena z DMDE. Czy w DMDE Odbudowywałeś obecną strukturę czy skanowałeś za pomocą opcji "skan ntfs" bądź FAT? Jesteś w stanie powiedzieć jaki był system plików? Czy FAT czy NTFS?

[gajowy]

W tym co wysłałeś są same zera. 

Też to zauważyłem. Oprócz zrobienia kopii wykonałem pełne skanowanie.

System plików to prawdopodobnie FAT

[Groszexxx]

Pokaż screena z zakładki partycje. Juz widze, ze to raczej FAT.

[gajowy]

[Groszexxx]

Super. 

Dodaj tę drugą partycję i zobacz czy wszystko wróci do normy. 

[gajowy]

Drugą w sensie Volume 01?

[Groszexxx]

Druga to Volume2.

[gajowy]

Volume 02 było w poście #5

[Groszexxx]

Dobrze, ale napisałem, żebyś ją dodał. Kliknij na nia raz (podwojne klikniecie ja otworzy) i dodaj. Zastosuj zmiany, jak chcesz to mozesz zapisac plik wycofywania zmian, ale on nie jest do szczescia potrzebny. 

[gajowy]

Dobrze, ale napisałem, żebyś ją dodał. 

To znaczy? Masz na myśli Wstaw, bo nie widzę nigdzie Dodaj?

 

[Groszexxx]

Dopisałem wyżej. Zółty kwadracik oznacza, że partycja jest znaleziona, ale nie ma wpisu w tablicy partycji (tablica partycji to część MBR, zerowego sektora, który u Ciebie oczywiście jest wyzerowany). 

 

 Tak, wstaw ;-). 

Edytowane 31 Marca 2016 przez Groszexxx

[gajowy]

Czy dobrze rozumiem - Wstaw partycje (Undelete)... Ctrl + Ins ?

 

Zrobione. I teraz sytuacja wygląda tak:

Czyli partycja jest dostępna, ale nie ma na niej żadnych plików

[Groszexxx]

Dobra, potrzebuję kolejne zrzuty, chcę zobaczyć jakie dane mamy w bootsektorze. 

 

Zrób mi proszę zrzuty sektorów: 8056-8100 31277047-31277055 

 

 

Daaawno nie działałem na fat, ale daj mi chwilę to zrobię parę symulacji. 

 

. Mi się wydaję, że ta partycja została sformatowana.... z racji tego, ze masz kopie - zobacz czy chkdsk wykryje na ten partycji jakieś anomalie...  No i odpal TestDisk po dodaniu tej partycji w DMDE. P listujesz pliki. 

Chociaż powiem Ci szczerze, ze nie wierze, zeby TestDisk nie znalazl partycji po szukaniu... 

Edytowane 31 Marca 2016 przez Groszexxx

[gajowy]

Efekt działania chkdsk:

 

Natomiast Testdisk ostrzega o rzekomo błędnej geometrii:

 

Dałem continue i znalazł (wyświetlił na zielono) partycję logiczną (?) FAT32. Niestety podgląd plików za pomocą klawisza P pokazuje tylko folder FOUND.000

 

Obawiam się, że z pena już nie da się nic wycisnąć. Skupię się raczej na odzyskiwaniu plików z kopii.

[Groszexxx]

Zobacz co jest w tym folderze found. Widzę, że tam może być trochę mało rzeczy. Oczywiście, że chkdsk bezposrednio ingeruje w dane na penie, wiec po jego dzialalnosci musimy przywrocic stan pierwotny - tj wgrać na pendrive swoją kopię z dysku. Nie pomyl się. Źródło ustaw na kopie, a docelowy na dysk. Nie pomyl się. Zawsze możesz plik z kopią ustawić jako "tylko do odczytu", tak asekurycyjnie. 

 

Będę w niedzielę. 

[wieslaw531]

@gajowy

 

Masz kopię tego pena więc spróbuj z pena odzyskać pliki przy pomocy Easeusa - KLIK . Wersja Free ma ograniczenie na 2 GB danych.

Ciekaw jestem jaka jest jego skuteczność w takiej sytuacji - po poprzednich działaniach.

Nie ingeruje w zawartość pena. Zapis na innym nośniku.

[gajowy]

Pliki odzyskałem najpierw za pomocą DMDE, co było czasochłonne, bo w darmowej wersji trzeba wchodzić do każdego folderu zaznaczać pliki do odzyskania. Trzeba też uważać, żeby nie zaznaczyć folderów, bo program zwróci błąd. W przypadku struktury wielokrotnie zagłębionych folderów jest naprawdę sporo "dziobania". Łatwo też coś pominąć. Dlatego użyłem też niezależnie Photorec. Ten zadziałał dopiero po przywróceniu partycji (post #15). Tu problem jest taki, że nie tylko nie zachowuje struktury katalogów, ale nawet nazw plików. Z powodu ich dużej liczby odszukanie i uporządkowanie istotnych będzie wymagało sporo pracy. Jednak tym niech już się martwi właścicielka pena

 

W tej sytuacji trochę już mi szkoda czasu na zabawy z Easeus'em.

[Groszexxx]

PhotoRec odzyskuje pliki niezależnie od systemu plików. Niemożliwym jest więc, że zadziałał dopiero po przywróceniu partycji. Plik to zbiór atrybutów. Nazwa wchodzi jednak w skład metadanych, mowiac prosciej - nazwa jest zapisana w elementach systemu plikow. Zawsze wiec pliki odzyskane w photorec beda bez nazwy.         

[gajowy]

To jeszcze kilka pytań o charakterze edukacyjnym

W oknie Partycje DEME widoczne są 2 nieprzydzielone partycje odpowiednio: $Volume 01 i $Volume 02 i przesunięte względem siebie o 8 sektorów, a w kolumnie Wskaźniki oznaczone xC i BC. Chciałbym się dowiedzieć, skąd się wzięły (2  nie 1), czemu są przesunięte i co oznaczają wskaźniki?

 

cdn

[Groszexxx]

C to kopia bootsektora, B to bootsektor. 

 

Zacznijmy od drugiej pozycji. W oznaczonym lba faktycznie znajduje sie bootsektor. Bootsektor zawiera informacje, że kopia powinna znajdować się 8 sektorów dalej. Budowa bootsektora i kopii bootsektora jest identyczna(inaczej nie byłby kopią) Nie można ich rozroznic. "Logika DMDE" zakłada zatem, że to co znajduje sie w 8064 to kopia bootsektora i proponuje odbudowe nieistniejącego bootsektora w lba o 8 mniejszym. Mamy wiec dwie mozliwosci - Bootsektor w 8056, kopia w 8064 lub Bootsektor w 8064 i kopia w 8072. Wskazniki sa opisane w helpie dmde.