Форматирование raw в ntfs. Восстановление данных c повреждённых разделов NTFS. Как же восстановить файлы

06.02.2019

Захожу на свой рабочий диск…
Стоп. Точнее пытаюсь зайти на
свой рабочий диск… а диска Е:
нету:(. Вместо него пустое
неразмеченное пространство

Из воспоминаний Horrific
Xakep v.11.01(35) p.27

Даже с великими гуру случаются
неприятности такого рода. От них не
застрахован никто. Я попытаюсь рассказать,
как можно восстановить данные в подобной
ситуации. Ведь, скорее всего, данные никуда
не делись, как были, так и остались на диске.
Просто повреждена служебная область
раздела. Поэтому попытаемся разобраться,
как она устроена, а поняв, выработаем
алгоритм действий.

С помощью этой интерактивной демонстрации вы можете щелкнуть по кнопкам в мастере восстановления данных, просмотреть диск, просмотреть эскизы и получить файлы. Эта демонстрационная версия позволяет вам искать и сканировать диск. В конце сканирования будут отображены восстанавливаемые данные.

Он извлекает все типы файлов из всех типов памяти

Удаленные файлы можно получить через несколько секунд с быстрым сканированием файловой системы. Файлы, которые удаляются напрямую или удаляются из Корзины, могут быть восстановлены через несколько минут, независимо от их расширения. Благодаря новой технологии на основе контента можно найти сотни известных типов файлов, даже если диск отформатирован, перераспределен или нечитабель.

Информация о структуре NTFS довольно скудна,
и, вследствии закрытости основных
спецификаций на нее, получена так
называемым методом . Как и другие файловые системы, NTFS
делит поверхность диска на кластеры. Размер
кластеров имеет фиксированный размер,
выбираемый из интервала от 512 байт (1 сектор)
до 64 Кб (128 секторов). Обычно используется
размер кластера в 4 Кб (8 секторов). Каждый
элемент файловой системы, включая
служебные (которые принято называть
метафайлами), представляет из себя файл.
Метафайлы находятся в корневом каталоге NTFS
раздела и начинаются с символа имени "$",
Основной служебный файл — $MFT (Master File Table) —
список абсолютно всех файлов, хранящихся в
разделе, включая MFT. Вновь
отформатированный раздел NTFS выглядит
следующим образом:

Восстановление поврежденных и недоступных разделов

После того, как данные будут полностью восстановлены, вы можете попытаться восстановить исходный поврежденный раздел, восстановив структуры системы через скандинав.

Восстанавливает файлы из удаленных и отформатированных дисков

Программа восстановления данных поддерживает восстановление с удаленных разделов, отформатированных томов и разделов на жестких дисках. Если диск отформатирован, инструменту удается прочитать сектора диска, пытаясь обнаружить начало ряда известных типов файлов. Во время этого процесса инструмент не будет нуждаться в файловой системе и будет успешно восстанавливать файлы, даже если файловая система была скомпрометирована операцией форматирования.

Место под MFT файл выделяется сразу и с
большим запасом, обычно 12,5% (но может быть и
25%, 37,5% и 50%) от объема раздела. Оставшееся
место предназначено для хранения
содержимого файлов. Однако ОС, при
необходимости, может сокращать место,
выделенное для MFT файла, когда место под
содержимое файлов заполнено. Для этого, в
текущих версиях NTFS, оставшееся свободное
место, выделенное под MFT файл, уменьшается
вдвое, тем самым, увеличивая место,
отведенное для размещения содержимого
файлов. И когда ОС информирует о свободном
месте, то это сумма свободного места в обеих
частях раздела (зарезервированное под MFT
файл и выделенное под хранение содержимого
файлов). Но файлы не только добавляются в
раздел, но и удаляются из него. И в этом
случае возможно вновь увеличение места,
отводимого под MFT файл. При этом в служебной
области может оказаться содержимое файлов,
которое там и останется. MFT файл начнет
фрагментироваться, хотя это и не есть good.
Еще раз повторюсь, сказанное относится к
вновь отформатированному разделу. Когда я
при помощи программы Partition Magic добавил
неразмеченное пространство перед NTFS
разделом к NTFS разделу (F:), то MFT у меня
начинается с 1731201 кластера, хотя обычное
значение — 4.

Удаленные разделы можно получить таким же образом, читая исходные блоки данных с диска, пересекая и анализируя структуры данных, и обнаруживая начало и размер данных. После успешного обнаружения всех разделов инструмент может выполнить дальнейший анализ для доступа к своим файловым системам и чтения файлов. Очень часто удаленные разделы - это меньшая проблема, чем форматированные жесткие диски или удаленные файлы.

Поиск файлов на основе контента

Мастер восстановления основан на очень простом и интуитивно понятном пользовательском интерфейсе. Тем не менее, пользователям может потребоваться дополнительная гибкость при тонкой настройке процесса или настройке параметров. Вы можете щелкнуть, чтобы просмотреть удаленные файлы, пометить их для восстановления и ввести сжатые файлы, как если бы они были папками. Технология называется «анализом контента» и позволяет не только извлекать файлы, которые были просто удалены, но также извлекать файлы, хранящиеся на дисках и картах памяти, отформатированных, неактивных и недоступных.

Сам MFT поделен на записи фиксированного
размера по 1 Кб (2 сектора) каждая. Первые 24
записи — это служебные файлы, причем первым
в списке идет сам MFT. Ввиду особой важности
MFT файла, копия первых четырех записей
хранится в файле $MFTMirr где-то в районе
середины раздела. Также в последнем секторе
раздела (для Win’2k/XP) хранится резервная копия
boot сектора. Таким образом, для
восстановления раздела необходимо найти и
скопировать в начало раздела 4 первые
записи MFT из резервной копии и, возможно, сам
загрузочный сектор.

В отличие от традиционных алгоритмов восстановления данных, которые анализируют только файловую систему, контент-аналитический анализ выходит за пределы файловой системы, чтобы найти восстановимую информацию. Технология считывает все сектора диска, анализируя необработанные данные для обнаружения типичных функций известных файлов. Если обнаружено начало файла, анализируемый контент проанализирует то, что, по-видимому, является заголовком файла для вычисления длины файла. На основе этой информации вы сможете точно определить положение файла на диске, а затем его можно легко восстановить, даже если в файловой системе нет информации.

Для работы нам потребуется любой дисковый
редактор. Главное, чтоб он мог видеть все
пространство твоего диска. Можно
воспользоваться DiskEdit от дяди Нортона из
пакета Norton Utilities
2002 или штатным дисковым редактором Win’2k —
Disk Probe, для чего нужно с дистрибутива Windows из
папки Support\Tools установить дополнительные
инструменты, в том числе и Disk Probe. Также
потребуется программа PartitionInfo из пакета Partition
Magic . Для начала, выясним физические
границы требуемого NTFS раздела. Это можно
сделать при помощи программы PartitionInfo из
пакета Partition Magic.

Это позволяет восстанавливать файлы из отформатированных, поврежденных, разделенных и недоступных дисков. Огромное спасибо! Действительно чудесная программа! Большинство пользователей после этих предупреждений и сигналов склонны ремонтировать консоль в технической помощи. Давайте посмотрим, как это сделать. Чтобы выполнить «Защищенный режим», вы должны убедиться, что ключ зажигания выключен, и горит красный индикатор. Затем нажмите кнопку питания в течение 5 секунд, пока не услышите короткий звуковой сигнал.

Среди параметров, отображаемых на экране «Защищенный режим», также будет «Восстановить файловую систему». Выбрав эту опцию, все области жесткого диска, на котором хранятся и сохраняются файлы, будут немедленно восстановлены или восстановлены, а некоторые из файлов с непригодным повреждением будут удалены.

В моем случае раздел NTFS начинается с 5060538
сектора диска. (также в нижнем окне доступна
информация в формате C:H:S) Теперь получим
информацию о номере последнего сектора и о
расположении MFT и ее копии, для чего
нажимаем кнопку Boot Record…

Итак, последний сектор раздела это 5060538 +
3341456 = 8401994 (первый сектор раздела + Total NTFS Sectors),
MFT начинается с 8х4=32 сектора (MFT start cluster * Sectors
per cluster), MFT Mirr — c 417682 х 4=1670728 сектора (MFT Mirror start
cluster * Sectors per cluster). Уточним размер отдельной
записи в MFT файле, для чего запустив
программу Partition Magic, выбрав требуемый раздел,
нажав правую кнопку мыши, выберем пункт
Properties В появившемся окне выберем
вкладку NTFS Info. Как и должно быть, размер
записи в MFT файле (File Record Size) составляет 1 Кб (2
сектора).

Инструкции по форматированию

Прочтите следующую информацию в следующих случаях. Прежде чем следовать инструкциям по форматированию жесткого диска, проверьте доступные форматы на своем компьютере. Вышеуказанные шаги помогут вам отформатировать и разделить хранилище на разделы. Внимание: форматирование удаляет все данные на устройстве хранения.

Примечание. В документации к операционной системе. Чтобы создать новый раздел, щелкните правой кнопкой мыши громкость и выберите «Новый простой том».

Щелкните правой кнопкой мыши «Компьютер» и выберите «Управление».
В окне «Управление» выберите «Управление дисками».
Следуйте инструкциям на экране когда появится мастер «Новый простой том».
В левом столбце отображаются все устройства хранения, разделы или образы дисков.
Нажмите вкладку «Удалить».
Выберите формат в раскрывающемся меню.

В этой ситуации, если вы нажмете «Нет», диск не будет доступен.

Запускаем дисковый редактор, например Disk
Probe, и выбираем пункты меню — Volume>. В появившемся окне дважды щелкаем
мышкой по требуемому разделу (в моем случае
это G), нажимаем последовательно кнопки Set
Active и OK. Теперь переходим на сектор,
содержащий копию MFT. Для этого выбираем
пункт меню — и в открывшемся
окне вводим номер сектора 1670728 и число
требуемых секторов (16) и нажимаем кнопку Read.
Теперь перепишем эти сектора по месту
расположения MFT, с 32 сектора. Для этого
выбираем пункт меню — .
Отвечаем утвердительно на вопрос изменения
режима работы с Read Only на Read/Write, в
появившемся окне указываем сектор, с
которого надо осуществить запись (в нашем
случае это 32) и нажимаем кнопку Write it.
Подтверждаем свое желание еще раз и MFT
восстановлена.

Теперь необходимо скопировать на свое
место загрузочный сектор. Для этого
выбираем пункт меню — После чего устанавливаем активным
требуемый физический диск. Это аналогично
тому, что мы осуществили для логического
диска. Теперь надо перейти на последний
сектор восстанавливаемого раздела. Через
меню — вводим значение 8401994
после чего записываем это значение в сектор
5060538. Будьте особенно внимательны,
поскольку вы работаете с целым диском и не
ограничены границами поврежденного
раздела!

Осталось запустить утилиту chkdsk e: /f, которая
найдет и исправит просто огромное
количество ошибок, после чего поздравить
себя со спасенным разделом.

PS: Поскольку все операции потенциально
опасны, не поленись сделать резервную копию
разделов, находящихся на том же физическом
диске, что и восстанавливаемый раздел.