От: Tимa 1 февраля 2016 г. 20:42
Здравствуйте.
На ноутбуке Lenovo было 2 диска. SSD 32Gb и HDD 750Gb. Объединены в один логический спецдрайвером (типа RAID). SSD вышел из строя. HDD скопирован в несжатый по секторный образ диска с помощью HDClone Image. Получился файл .img.
Какую программу лучше применить, которая понимает формат такого образа, чтобы вытащить ту часть файлов, которые были на HDD? R-Studio образ не видит.
От: OLiMP 1 февраля 2016 г. 22:01
Если создавался не сжатый образ диска то у Вас по сути должна была получится полная по секторная копия диска. Размер IMG файла должен полностью соответствовать размеру диска. R-Studio должна была бы найти файлы в таком случае, хотя бы файлы по типам. Но эти ноутбуки устроены очень хитрым образом, без данных с SSD накопителя восстановить информацию у нас не получилось. Хотя изначально в нашем случае был не исправен жёсткий диск, но пользователь прежде чем привезти диск на восстановление данных установил в ноутбук новый диск и выполнил установку новой операционной системы. С не исправного диска была сделана полная копия, эта копия была записана в точно такой же жёсткий диск, даже паспортные данные у диска поменяли что бы получился абсолютно полный клон, но увы данные восстановить не удалось. Есть очень серьёзное подозрение что данные помимо всего прочего шифруются ноутбуком на лету, поскольку никаких данных не удалось обнаружить даже при поиске файлов по заголовкам, хотя уж какие то файлы точно должны были обнаружиться. Диски на ноутбуке объедены в JBOD, сначала идёт SSD накопитель, затем идёт жёсткий диск. Вся информация о размещении файлов лежит на SSD. Там же похоже лежит и блок шифрования.
От: Tимa 2 февраля 2016 г. 8:55
OLiMP
Благодарю.
Да. Размер образа соответствует размеру исходного диска. Все разделы на месте, в том числе скрытый раздел для восстановления системы. R-Studio должна бы увидеть образ, но почему-то в окне выбора образа формат *.img отсутствует. Пробовал с помощью HDClone Image восстановить образ на другой HDD, но мне подсказали, что это некорректно - расположение данных будет отличаться. Нужно работать именно с образом.
У меня есть информация, что были случаи, когда частично удавалось вытащить данные с HDD. В моем случае меня интересует извлечь файлы формата *.jpeg *.mov.
Какую еще программу можно попробовать?
От: OLiMP 2 февраля 2016 г. 9:01
В R-Studio выбираете меню открыть образ, в меню открыть файл образ по умолчанию стоит файлы образов (*.???), где ??? куча разных расширений но .img там нет, выбрать пункт все файлы, и выбрать полученный файл образ. Сканировать можно так же программой GetDataBack или нашей R.Saver . Есть и другие программы. R-Studio с включенной опцией искать известные типы файлов в данном случае нагляднее будет.
От: Tимa 14 марта 2016 г. 12:53
Продолжаю попытки восстановления. R-Studio пробовал несколько раз- результат не удовлетворительный. По сигнатурам пробовал - открываются только небольшие или не нужные, возможно удаленные ранее. Структура раздела видна частично. Данные видны тоже частично. С помощью R.saver результат получился вроде бы лучше - вся структура раздела видна. Все имена файлов, папок, размеры - все совпадает. Никаких потерянных файлов и папок нет. Все скопировалось на внешний HDD, но файлы не открываются, кроме небольших текстовых. Можно ли как-то решить проблему? Что я делаю не так?
Почитал форум такого случая не нашел. Может быть уважаемый
Fader RAID EXPERT прочитает о моей проблеме и вынесет свой вердикт?
От: OLiMP 14 марта 2016 г. 13:29
Скорее всего R.Saver нашёл не валидную копию метаданных, и как следствие данные извлекаются не корректно. Попробуйте программой GetDataBack просканировать получившийся образ, возможно она справится с задачей. Подсказать что то по задаче крайне сложно. Тут нужно работу проводить, и не с образом, а с оригиналами.
От: Tимa 14 марта 2016 г. 14:05
Благодарю за помощь!
GetDataBack пробовал (искал только нтфс) - результат хуже получается. Не видит всю структуру. А те, папки, что видит, оказываются не полными, т.е. не все файлы. Причем из них большинство файлов не открываются. Однако у GetDataBacк результат лучше, чем у R-Studio.
Согласен, что R.Saver нашел не валидную копию. Копий там довольно много (это я заметил после сканирования R-Studio и, имхо, они расположены не там, где в чистой NTFS. В моем случае это только часть логического диска. А как найти нужную таблицу - для меня большой вопрос. Однако R.Saver настолько точно восстановила структуру, что я уж было подумал, что это удача. Но нет.
Решил попробовать смонтировать Raid, а там нужен 2-й диск (на нем была 2-я часть таблицы наверное), но ссд перезаписан программой восстановления Винды ...
От: OLiMP 14 марта 2016 г. 14:55
У Вас был JBOD состоящий из SSD+жёсткий диск. Метаданные в файловой системе NTFS как правило лежат в области 3 GB от начала раздела. То есть валидная копия метаданных была на SSD. Часть метаданных может оказаться в других областях, как правило это происходит в тех случаях когда файлов много, и области изначально выделенной при создании файловой под MFT не хватило. Для Вам начала надо выяснить размер в байтах SSD накопителя, создать пустой файл соответствующего размера, объединить пустой файл с образом диска (сначала пустой файл, затем файл образ диска), и полученный образ сканировать всеми перечисленными программы. Тогда у Вас есть шанс что тот же R.Saver найдя копию MFT сможет правильно выставить смещения. Поскольку SSD у Вас живая но содержит не ту информацию которая была Вам проще всего сделать с SSD посекторную копию, так же как Вы её делали с диска, полученный файл заполнить нулями (что бы текущая информация на SSD не мешала восстановлению). А дальше проделать операции описанные мной выше.
P.S. С учётом того что Вы находите метаданные, и какие то файлы даже открываются то у Вас шифрования по всей вероятности не было. А это увеличивает шансы на успех, хоть и не сильно.
От: Tимa 14 марта 2016 г. 15:56
Спасибо. До этого я не додумался. Идею я понял. Идея мне нравится. Но не знаю как, в смысле с помощью чего можно создать файл определенного размера и забить его нулями. И как объединить файл с образом. У меня не совсем образ (образы обычно бывают из одного файла, типа ISO, IMG), а у меня посекторная копия целого диска 750 Гб. Эта копия диска состоит из многих папок и файлов. С этой посекторной копии я восстановил интересующий меня раздел на новый HDD и уже с этим HDD работала R.saver.
Пойду изучать матчасть.
От: OLiMP 14 марта 2016 г. 16:46
Именно так и должна делаться копия, посекторный образ. Сделать файл нужной длинны можно например программой WinHex. Клеить посекторные образы (например командой copy /b file_ssd.img+ file_disk.img jbod.img), пусть первый и будет пустой, он нужен для учёта смещений. В итоге у Вас должен получится файл размером 782GB.
От: Tимa 18 апреля 2016 г. 15:17
Файл-образ file_ssd.img сделал. А вот file_disk hdd.img не получается.
У меня образ расположен на HDD размером 1Т, а исходный диск был 750. При этом образ состоит из большого количества файлов. Winhex не может сделать из этого набора один файл-образ. Можно попробовать восстановить исходный диск 750 путем заливки образа диска той программой, какой он был создан, а уже потом делать файл-образ Winhex- ом. Но для этого нужно освобождать исходный диск от данных. А как скажется такое двойное преобразование на точности данных? И нет ли способа попроще?
От: OLiMP 18 апреля 2016 г. 16:33
Программой HDClone image никогда не пользовался, как она создаёт образ и как она его записывает на диск мне не известно, так что ничего подсказать на эту тему не смогу. Единственно что я бы порекомендовал это развернуть образ на чистый не размеченный диск походящего объёма, что бы не усугубить ситуацию.