Antech
Silver Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
9285
Ked_Converse
Понятно, т.е. начало диска в текущем состоянии - это продукт ТестДиска, а останки MFT в текущем состоянии - это продукт друзей... Или там был ExFAT, а NTFS - просто реликт?
Я тоже видел ExFAT, но там так согласовывалась таблица с AMBR, и бутсектор в нужном месте. Я просто пропустил слова про TestDisk вчера... Тогда возможно, что восстанавливать надо ExFAT, а не NTFS?
ExFAT Reverse Engineering (SANS)
Я не изучал подробно, но эксперимент на столь полезном внешнем винте  и вышеприведенный мануал дают возможность утверждать, что когда-то на винте был ExFAT раздел емкостью 500 ГБ, который начинался в секторе 40h (64). Да, почему-то именно в секторе 64 (возможно, выравнивание на AF с секторами 4096 Б). Кстати, ExFAT также имеет тип (в MBR) 07. Об этом сказано в мануале и об этом говорит опыт.
Начало раздела соответствует началу ExFAT с подтертым нулевым сектором, т.е. <BS-NTFS> - <11 секторов> - <BS-ExFAT-Copy> - <11 секторов> - <Нули>. Смещение FAT там 800h секторов и мы, естественно, таблиц в дампе не видим.
Таким образом, мы можем попробовать реинкарнировать ExFAT раздел и посмотреть на результат. Ked_Converse, вот что для этого нужно:
1. В таблице разделов задать тип 07 (в DMDE открыть физический, перейти к табличке с разделами и нажать Ctrl+E для редактирования, затем в табличке поменять тип раздела с 0F на 07, сохранить Ctrl+W). Размер раздела можно оставить как есть (там на 1 сектор больше, чем в буте, но это роли не сыграет).
2. Сектор 4Ch (76) скопировать в сектор 40h (64), делается через Копировать Секторы, думаю, Вы и так знаете как именно. Это вернет основной бутсектор на место (из копии).
После этого нужно перезагрузиться, чтобы Винда прочухала изменения, или переподключить винт через "Безопасное извлечение".
Вероятность того, что раздел станет при этом доступен, стремится к нулю. Ведь таким образом устраняются последствия ТестДиска, но и до него раздел уже не монтировался (Raw). Зато можно запустить Чекдиск без исправлений и посмотреть на результат. Или восстанавливать R-Studio (умеет ExFAT) - ей будет проще после наших исправлений определить тип ФС и начало раздела.
Повторюсь, это для случая, когда основной ФС таки была ExFAT, а ошметки NTFS - ненужный реликт, оставшийся с давних времен. Если точно известно, что была NTFS, то R-Studio + Extra Found Files по типам... Если об ФС точно ничего неизвестно, можно попробовать приведенные выше исправления, и если это ничего не даст, откатить все путем записи дампа sec_0_101.ima обратно на диск. |
Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 15:28 11-07-2011 | Исправлено: Antech, 15:30 11-07-2011 |
|
