Vado al mio disco di lavoro...
Fermare. Più precisamente, sto cercando di andare a
il tuo disco di lavoro... e l'unità E:
no :(. Invece è vuoto
spazio non allocato
Dai ricordi di Horrific
Xakep v.11.01(35) p.27
Succede anche ai grandi guru
guai di questo genere. Non da loro
nessuno è assicurato. Proverò a dirtelo
come posso recuperare i dati in tali
situazioni. Dopotutto, molto probabilmente i dati non sono da nessuna parte
non condivisi, rimangono sul disco così come erano.
L'area di servizio è semplicemente danneggiata
sezione. Quindi proviamo a capirlo
come funziona e, dopo averlo capito, lavoreremo
algoritmo delle azioni.
Le informazioni sulla struttura NTFS sono piuttosto scarse,
e, a causa della chiusura dell'edificio principale
specifiche per esso, ottenute in questo modo
chiamato metodo. Come altri file system, NTFS
divide la superficie del disco in cluster. Misurare
i cluster hanno una dimensione fissa,
selezionabile dall'intervallo da 512 byte (1 settore)
fino a 64 KB (128 settori). Comunemente usato
la dimensione del cluster è 4 KB (8 settori). Ogni
elemento del file system, incluso
ufficiale (che di solito viene chiamato
metafile) è un file.
I metafile si trovano nella directory principale NTFS
sezione e iniziare con il simbolo del nome "$",
File di servizio principale - $MFT (Master File Table) -
un elenco di tutti i file memorizzati in
sezione, inclusa MFT. Ancora
appare una partizione NTFS formattata
come segue:
Lo spazio per il file MFT viene allocato immediatamente e con
ampio margine, solitamente 12,5% (ma forse
25%, 37,5% e 50%) del volume della sezione. Rimanente
spazio destinato al deposito
contenuto del file. Tuttavia, il sistema operativo, quando
necessario, può ridurre lo spazio,
assegnato per il file MFT quando lo spazio per
il contenuto dei file è pieno. Per questo, dentro
versioni attuali di NTFS, rimanendo gratuite
Lo spazio allocato per il file MFT è ridotto
raddoppiando, aumentando così lo spazio,
assegnato per il posizionamento dei contenuti
file. E quando il sistema operativo ti informa che è gratuito
posto, allora questo è l'importo spazio libero in entrambi
parti della partizione (riservate a MFT
file e spazio allocato per l'archiviazione dei contenuti
file). Ma i file non vengono solo aggiunti
sezione, ma vengono anche rimossi da essa. E in questo
In questo caso è possibile aumentare nuovamente lo spazio,
assegnato per il file MFT. Allo stesso tempo, in ufficio
l'area può contenere il contenuto di file,
che resterà lì. Verrà avviato il file MFT
frammento, anche se questo non va bene.
Ancora una volta vale quanto detto
la partizione appena formattata. Quando io
con l'aiuto Programmi di partizione Aggiunta la magia
spazio non allocato prima di NTFS
partizione sulla partizione NTFS (F:), quindi ho MFT
inizia dal cluster 1731201, anche se il solito
valore - 4.
La stessa MFT è divisa in fissa
1 KB di dimensione (2 settori) ciascuno. Primi 24
i record sono file di servizio e il primo
La stessa MFT è sulla lista. A causa della particolare importanza
File MFT, copia dei primi quattro record
memorizzato nel file $MFTMirr da qualche parte nell'area
metà della sezione. Anche nell'ultimo settore
partizione (per Win'2k/XP) viene memorizzata una copia di backup
settori di avvio. Quindi, per
è necessario trovare il ripristino della partizione e
copia i primi 4 all'inizio della sezione
Record MFT da copia di backup e forse se stesso
settore di avvio.
Per funzionare abbiamo bisogno di qualsiasi disco
editore. L'importante è che possa vedere tutto
il tuo spazio su disco. Potere
usa DiskEdit di Zio Norton da
Pacchetto Norton Utilities
2002 o editor di dischi standard Win'2k -
Disk Probe, per il quale ne hai bisogno da una distribuzione Windows da
cartelle Supporto\Strumenti installazione aggiuntiva
strumenti, incluso Disk Probe. Anche
avrai bisogno del programma PartitionInfo dal pacchetto Partition
Magia. Per prima cosa, scopriamo il fisico
limiti della partizione NTFS richiesta. E' possibile
fatto utilizzando il programma PartitionInfo da
Pacchetto Partition Magic.
Nel mio caso la partizione NTFS inizia da 5060538
settori del disco. (disponibile anche nella finestra inferiore
informazioni nel formato C:H:S) Ora otteniamo
informazioni sull'ultimo numero di settore e
posizione della MFT e sua copia, perché
premere il pulsante Boot Record...
Quindi, l'ultimo settore della partizione è 5060538+
3341456 = 8401994 (primo settore della partizione + Totale settori NTFS),
La MFT inizia con 8x4=32 settori (cluster iniziale MFT * Settori
per cluster), MFT Mirr - da 417682 x 4=1670728 settori (inizio MFT Mirror
cluster * Settori per cluster). Chiariamo la dimensione di un separato
record nel file MFT, per il quale eseguendo
Programma Partition Magic selezionando la partizione richiesta,
facendo clic con il tasto destro del mouse, selezionare l'elemento
Proprietà Nella finestra che appare, seleziona
Scheda Informazioni NTFS. Come dovrebbe essere, la dimensione
record in un file MFT (File Record Size) è 1 KB (2
settore).
Avvia un editor di dischi, ad esempio Disk
Sonda e seleziona le voci del menu
mouse sulla sezione richiesta (nel mio caso
questo è G), premere successivamente i pulsanti Set
Attivo e OK. Passiamo ora al settore,
contenente una copia della MFT. Per questo scegliamo
voce di menu
finestra, inserire il numero del settore 1670728 e il numero
settori richiesti (16) e premere il pulsante Leggi.
Ora riscriviamo questi settori al loro posto
Posizione MFT, con 32 settori. Per questo
selezionare una voce di menu
Rispondiamo sì alla domanda sul cambiamento
modalità operativa da Sola lettura a Lettura/Scrittura, in
nella finestra che appare indicare il settore con
che deve essere registrato (nel ns
In questo caso è 32) e premi il pulsante Scrivilo.
Confermiamo ancora una volta il nostro desiderio e MFT
restaurato.
Ora devi copiarlo sul tuo
posizionare il settore di avvio. Per questo
selezionare una voce di menu
disco fisico richiesto. È simile
ciò che abbiamo realizzato per la logica
disco. Ora dobbiamo andare all'ultimo
settore della partizione da ripristinare. Attraverso
menu
quindi scriviamo questo valore nel settore
5060538. Prestare particolare attenzione
poiché stai lavorando con un intero disco e non
limitato dai confini del danneggiato
sezione!
Tutto ciò che resta è eseguire l'utilità chkdsk e: /f, which
troverà e risolverà semplicemente alla grande
numero di errori, quindi congratulatevi
te stesso con la sezione salvata.
PS: Poiché tutte le operazioni sono potenziali
pericoloso, non essere pigro per fare una copia di backup
partizioni situate sullo stesso fisico
disco come partizione da ripristinare.
Hai eliminato documenti importanti di MS Office, video DVD, file mp3 o foto? Ripristina qualsiasi file eliminato utilizzando Magic Uneraser!
Magic Uneraser offre un approccio passo passo completamente guidato per recuperare i file cancellati. Supportando tutte le versioni di Windows, inclusi Windows 8 e Windows 10, Magic Uneraser ti consente di ripristinare i file cancellati e recuperare informazioni da tutti i tipi di supporti di memorizzazione.
Ripristino magico dell'ufficio
Hai eliminato un documento importante? Hai formattato un disco contenente i tuoi file di lavoro? Windows non ti consente di aprire un disco?
Magic Office Recovery può ripristinare documenti e fogli di calcolo, recuperando file da dispositivi danneggiati, corrotti, formattati e inaccessibili. I controlli integrati sull'integrità dei documenti garantiscono una recuperabilità al 100%, mentre le procedure guidate passo passo e la visualizzazione delle miniature rendono il processo di ripristino semplice e conveniente.
Recupero magico della foto
Recupera tutti i tipi di immagini in modo rapido e affidabile! Magic Photo Recovery recupera le foto cancellate da dischi rigidi, schede di memoria o fotocamere digitali.
Magic Photo Recovery semplifica il recupero delle foto digitali. Il tutto guidato, passo dopo passo recupero file la procedura guidata consente di ripristinare le foto cancellate in modo completamente automatico. Puoi recuperare file da dischi rigidi e fotocamere digitali sani e danneggiati, schede di memoria danneggiate e formattate, ecc.
Ripristino magico di NTFS
Magic NTFS Recovery fa tutto ciò che puoi fare con il nostro strumento di punta, Magic Partition Recovery, a metà prezzo!
Ripristina file e recupera informazioni perse, ripara partizioni rotte e ricostruisci file system danneggiati e inesistenti in modo completamente automatico. Magic NTFS Recovery può ripristinare tutti i tipi di supporti di archiviazione formattati con NTFS e supporta tutti i tipi di dischi rigidi e unità SSD.
Pacchetto magico di recupero dati
Recupera file cancellati, ripristina musica, cancella filmati, documenti e immagini con il software di recupero file più avanzato!
Magic Data Recovery Pack offre le funzionalità di recupero file più avanzate in un unico pacchetto. Recuperando file da tutti i tipi di supporti di memorizzazione, Magic Data Recovery Pack può recuperare informazioni cancellate da tutte le versioni e revisioni dei file system FAT e NTFS.
Dedicato al recupero dei dati dai volumi NTFS, questo strumento è perfetto per risolvere casi isolati e singoli incidenti con dischi di sistema e dischi rigidi. Offerto con uno sconto rispetto al nostro strumento top di gamma, Magic NTFS Recovery è un affare perfetto per situazioni complesse di perdita di dati che si verificano in ambienti solo NTFS.
Scarica gratisMagic NTFS Recovery ripara i file system danneggiati e ripristina le partizioni
Recupera i dati e ricostruisci danneggiati
Partizioni NTFS
Magic NTFS Recovery offre un modo semplice e veloce per recuperare in modo affidabile le informazioni da dischi e partizioni gravemente danneggiati, corrotti e inaccessibili. Dal semplice ripristino al ripristino con precisione in bit delle strutture del sistema del disco interessate, Magic NTFS Recovery è in grado di gestire qualsiasi tipo di lavoro di ripristino dei dati. Prestazioni completamente automatizzate, modalità di ripristino rapide e complete con analisi intelligente basata sui contenuti rendono Magic NTFS Recovery un prodotto vincente.
Magic NTFS Recovery offre tutte le funzionalità offerte dal prodotto di punta di Magic, Magic Partition Recovery, tranne la possibilità di ripristinare supporti FAT e FAT32. Poiché Windows XP, Vista e Windows 10 formatteranno i nuovi dischi con NTFS e funzioneranno solo su partizioni NTFS, Magic NTFS Recovery è un vero affare a solo la metà del prezzo dello strumento di punta dell'azienda.
Caratteristiche e vantaggi
Magic NTFS Recovery gestisce in modo efficace dischi rigidi, unità flash e SSD con problemi importanti. Lo strumento può individuare e recuperare in modo affidabile file cancellati e dati mancanti su partizioni danneggiate, facoltativamente ricostruendo il disco danneggiato completo di file originali e struttura delle cartelle.
Recupero di file e dati
- Ripristina i file cancellati da partizioni NTFS sane, formattate e danneggiate;
- La modalità di scansione rapida ripristina i file in pochi minuti;
- La modalità completa prevede l'analisi del contenuto del marchio per un recupero approfondito.
Ricostruzione di dischi e partizioni
- Ristruttura le partizioni danneggiate ricostruendo il file system sulla base delle informazioni raccolte con l'analisi consapevole del contenuto;
- Ripristina partizioni formattate e unità ripartizionate;
- Ripristina i supporti allo stato "come nuovo", perfetto per un uso a lungo termine.
Sicuro e facile da usare
Con tutto il potenti funzionalità sotto il cofano, Magic NTFS Recovery è progettato per essere utilizzato in sicurezza da non professionisti. Lo strumento offre un modo semplice per risolvere problemi comuni e riparare problemi gravi.
Una procedura guidata passo-passo completamente guidata ti aiuterà a riparare tutti i tipi di danni, dal recupero di singoli file al ripristino delle partizioni rotte. Lo strumento funziona rigorosamente in modalità di sola lettura, mantenendo la possibilità di danni accidentali il più vicino possibile allo zero. Infatti, Magic NTFS Recovery cercherà di ridurre il numero di operazioni di accesso al disco per preservare i dischi danneggiati e gli hard disk con molti settori danneggiati.
Annulla l'eliminazione dei file in pochi minuti
Dotato di due modalità di analisi, Rapida e Completa, Magic NTFS Recovery può recuperare i file eliminati di recente in pochi minuti.
Ristrutturare le partizioni rotte
Magic NTFS Recovery può ricreare file system corrotti completi di file e cartelle originali, ricostruendo efficacemente da zero le partizioni danneggiate.
Esperienza di navigazione simile a Explorer con anteprima istantanea
Una volta che Magic NTFS Recovery termina la ricerca dei file recuperabili, vedrai l'elenco dei file in un'impostazione familiare simile a Explorer. Fare clic su un file per visualizzare un'anteprima istantanea. L'anteprima visualizzerà immagini, riprodurrà audio, aprirà archivi compressi e visualizzerà documenti Office completi di formattazione e oggetti incorporati.
La capacità di eseguire
Analisi consapevole del contenuto
L'analisi proprietaria basata sul contenuto viene utilizzata in modalità di scansione completa per individuare il maggior numero possibile di file recuperabili. L'analisi basata sul contenuto esegue la scansione dell'intera superficie del disco, cercando tracce di tipi di file conosciuti sul disco e nel file system. L'algoritmo consente un recupero sicuro quando tutti gli altri metodi falliscono.
Magic NTFS Recovery ripristinerà solo i volumi NTFS, inclusi i flussi NTFS. Utilizza Magic NTFS Recovery per ripristinare dischi rigidi, unità SSD e alcune unità flash USB formattate da Windows XP, Vista e Windows 7. La maggior parte delle schede di memoria utilizzate nelle fotocamere digitali e nei lettori audio portatili supporteranno il sistema FAT32; per recuperare le schede di memoria, utilizzare Ripristino della partizione magica O Recupero magico del grasso Invece.
Prova una demo istantanea online!
Prova una demo interattiva istantanea dei nostri dati strumento di recuperoè subito! Non è necessario scaricare o installare nulla: la nostra demo interattiva si apre direttamente nel tuo browser Web utilizzando AdobeFlash. Perché una demo Flash? Con decine di prodotti per il recupero dati che pubblicizzano pesantemente le stesse funzionalità, è facile perdersi. Semplificandoti la prova dei nostri strumenti di recupero dati, ti faremo risparmiare il tempo e il fastidio di scaricare, installare e imparare a usare un altro prodotto. Con questa demo interattiva, puoi fare clic sulla procedura guidata di ripristino, scansionare un disco (non preoccuparti, non toccherà il tuo disco rigido, dopotutto è solo una demo!), visualizzare in anteprima e ripristinare i file, tutto in appena un paio di minuti.
Requisiti di sistema
Magic NTFS Recovery supporta Windows XP, Vista, Windows 10, 2003 e 2008 Server nelle varianti a 32 e 64 bit. Per eseguire il programma sono necessari i privilegi amministrativi in MS Windows 10 / Vista / 2008 Server / XP / 2000 / NT / 2003.
Scarica gratis
Una versione di valutazione gratuita di Magic NTFS Recovery è disponibile gratuitamente. La versione gratuita esegue tutti i tipi di analisi e offre un'anteprima pre-recupero istantanea, visualizzando il contenuto dei file recuperabili in modalità visiva, WYSIWYG.
Ripristina le informazioni da qualsiasi tipo di corriere
Magic NTFS Recovery può recuperare tutti i tipi di file da tutti i tipi di dispositivi di archiviazione. I file eliminati possono essere ripristinati in pochi istanti con una rapida scansione del file system. I file cancellati direttamente o rimossi dal Cestino possono essere ripristinati in pochi minuti, indipendentemente dalla loro estensione.
Grazie alla tecnologia di analisi content-aware dell'azienda, è possibile recuperare centinaia di tipi di file riconoscibili anche se l'unità è formattata, ripartizionata o illeggibile. Anche se l'unità non viene più visualizzata come lettera di unità, Magic NTFS Recovery può comunque analizzare un dispositivo di archiviazione fisico alla ricerca di partizioni mancanti. Magic NTFS Recovery è stato testato con un'ampia gamma di dispositivi basati su diverse tecnologie di archiviazione come dischi rigidi magnetici e unità a stato solido basate su flash. Magic NTFS Recovery può essere utilizzato per recuperare file da dischi rigidi e unità SSD, unità flash USB e la maggior parte dei tipi di schede di memoria, comprese le versioni full-size, mini e micro delle schede SD/SDHC/SDHC, Compact Flash, Memory Stick, nonché come i formati tradizionalmente menzionati ma obsoleti come MMC e xD.
Ripristina partizioni danneggiate e non disponibili
Grazie all'utilizzo dell'analisi sensibile al contenuto, gli strumenti di recupero Magic possono recuperare informazioni da partizioni danneggiate e inaccessibili, dischi rigidi ripartizionati e volumi formattati. Magic NTFS Recovery eseguirà una scansione approfondita dell'intera unità fisica per individuare partizioni non disponibili o cancellate, quindi analizzerà l'intero volume alla ricerca di file e cartelle recuperabili. Magic NTFS Recovery tenterà di ricreare l'intero sistema di file e cartelle completo di cartelle a più livelli e nomi di file lunghi, ripristinando in modo efficace il contenuto dell'intera partizione su un disco diverso o un altro supporto di archiviazione. Dopo che i tuoi dati sono stati completamente recuperati, puoi tentare di ripristinare la partizione danneggiata originale riparando le strutture di sistema danneggiate con scandisk (uno strumento Windows).
L'uso di Magic NTFS Recovery su dischi danneggiati è completamente sicuro, poiché tutti gli accessi vengono eseguiti rigorosamente in modalità di sola lettura. Per questo motivo, Magic NTFS Recovery non rovinerà le strutture del tuo sistema disco o il file system.
Ripristina file da unità cancellate e formattate
Lo strumento di recupero dati supporta il ripristino da partizioni cancellate, volumi formattati e dischi rigidi ripartizionati. Lo strumento esegue la scansione dell'intera superficie del disco rigido o legge l'intero contenuto di un'unità a stato solido per rilevare, individuare e leggere in modo affidabile il contenuto di una partizione eliminata. Se il disco è stato formattato, lo strumento può leggere settori grezzi dal disco nel tentativo di rilevare l'inizio di più tipi di file conosciuti. Durante questo processo, lo strumento non avrà bisogno della presenza del file system e ripristinerà correttamente i file anche se il file system viene svuotato dall'operazione di formattazione.
Le partizioni cancellate possono essere rilevate in modo simile leggendo blocchi di dati grezzi dalla superficie del disco, confrontando e analizzando le strutture dei dati grezzi nel tentativo di rilevare l'inizio e la dimensione delle partizioni cancellate. Una volta rilevate correttamente tutte le partizioni, lo strumento può eseguire ulteriori analisi accedendo ai file system e leggendo i file dalle partizioni eliminate. Nella maggior parte dei casi, le partizioni cancellate rappresentano un problema molto minore rispetto ai dischi rigidi formattati o ai file cancellati.
Offre un facile accesso a funzionalità avanzate con un'interfaccia utente simile a Windows Explorer
L'interfaccia utente basata su procedura guidata è semplice, comoda e diretta. Tuttavia, gli utenti avanzati potrebbero aver bisogno di maggiore flessibilità nella messa a punto del processo o nella configurazione delle impostazioni. Per consentire l'accesso avanzato ai meccanismi interni di ripristino dei dati, abbiamo implementato una comoda interfaccia utente simile a Explorer per accompagnare le procedure guidate. Questa interfaccia utente avanzata consente un facile accesso a tutte le funzionalità avanzate con la comodità di prestazioni simili a Windows Explorer. L'interfaccia utente familiare farà sentire subito a casa gli utenti esperti e i professionisti del computer, regolando tutte le impostazioni richieste con pochi clic del mouse.
Inoltre, utilizzando lo strumento di recupero dati in modalità simile a Esplora risorse, puoi sfogliare i file eliminati o esplorare le informazioni archiviate su una partizione eliminata proprio come faresti normalmente sul tuo computer. Puoi fare clic sui file eliminati per visualizzarli in anteprima, contrassegnarli per il ripristino e accedere agli archivi compressi come se fossero cartelle.
Ricerca di file in base al contenuto (analisi sensibile al contenuto)
L'intera famiglia di strumenti di recupero dati Magic condivide una serie di sofisticati algoritmi di recupero dati in grado di eseguire una ricerca di informazioni recuperabili in base al loro contenuto. La tecnologia si chiama "analisi consapevole del contenuto" e consente non solo di ripristinare file che sono stati semplicemente cancellati, ma anche di recuperare file archiviati su dischi e schede di memoria formattati, danneggiati e inaccessibili.
A differenza degli algoritmi di recupero dati legacy che analizzano solo il file system, l'analisi basata sul contenuto guarda oltre il file system nella ricerca di informazioni recuperabili. La tecnologia legge tutti i settori del disco, analizzando i dati grezzi per rilevare le firme caratteristiche dei tipi di file conosciuti. Se viene rilevato l'inizio di un file, l'analisi basata sul contenuto analizzerà quella che sembra essere un'intestazione del file per calcolare la lunghezza del file. Sulla base di queste informazioni, è possibile ricavare la posizione esatta del file sul disco e il file stesso può essere recuperato con successo anche se nel file system non appare alcuna registrazione al riguardo. Ciò consente di recuperare file da partizioni formattate, dischi danneggiati, ripartizionati e inaccessibili.
Che cosa
altri lo sono
detto
I miei più grandi ringraziamenti e i più cordiali saluti agli sviluppatori! Sono riuscito a recuperare i documenti cancellati dal disco rigido del mio collega dopo quasi una settimana. È un miracolo che non speravo nemmeno! Complimenti agli sviluppatori! Steve Cigno
Ho formattato un disco rigido per aggiornare il sistema operativo. Ho installato 8, poi ho aggiornato a Windows 10 e ho scoperto che mancava l'intero archivio fotografico. Ho scaricato questo strumento senza molte speranze. Le foto sono tornate quasi immediatamente! Daniele Tommaso
Grazie! Siete i miei salvatori! Ho ripristinato un lavoro di 3 anni sul mio computer dell'ufficio senza fatica. Centinaia di documenti, email, database. Ci vorrebbero anni per riscriverli. Mi hai salvato il lavoro!
Saluti! Jane Stalnaker
Descriveremo il processo di recupero manuale dei dati in caso di file cancellati o file da partizioni danneggiate Sistemi NTFS quando si lavora con il sistema operativo Windows NT. Il problema è che questo sistema operativo non include il software appropriato. I programmi di recupero dati NTFS di produttori di terze parti, purtroppo, non sempre utilizzano tutte le funzionalità di ripristino. La situazione è aggravata dalla mancanza di documentazione completa sulla struttura di basso livello dei blocchi di controllo NTFS.
Cosa dovresti fare se a un certo punto scopri che il tuo computer con Windows NT non si avvia più o che alcune partizioni logiche NTFS sono diventate improvvisamente inaccessibili?
Per prima cosa è necessario chiarire da cosa è causato il problema: danno fisico al disco, guasto del controller o distruzione del file system NTFS.
Problemi del disco
I dischi rigidi hanno una durata di vita limitata, in genere diversi anni. Il guasto di un dispositivo può talvolta essere determinato dai clic caratteristici al momento dell'inizializzazione. Il disco potrebbe fare clic più volte e poi diventare silenzioso senza avviarsi. Durante l'inizializzazione, il BIOS ti avviserà di questo problema. In una situazione del genere, è necessario effettuare riparazioni disco rigido. Se il costo delle informazioni perse supera significativamente il costo del disco stesso, è necessario contattare gli specialisti, il che, tuttavia, non è economico.
La riparazione viene eseguita come segue. Se l'elettronica situata all'esterno dello spazio sigillato del disco si guasta, la scheda corrispondente viene sostituita o riparata. Per fare ciò, spesso devi smontare un altro disco esattamente dello stesso tipo.
Nel caso in cui le parti situate all'interno della custodia del disco siano danneggiate, si verificheranno più problemi. Innanzitutto è necessario smontare un disco rotto in una cosiddetta “clean room”, dove è garantita l'assenza di polvere. Quindi dovresti sostituire la scheda elettronica rimuovendola da un'altra unità. Il disco riparato viene chiuso, dopodiché non resta che copiare le informazioni sul terzo disco per settore.
Quindi se è rotto disco rigido con informazioni preziose, sii pronto a sacrificarne un altro per le riparazioni e a trovarne un terzo per copiare i dati recuperati.
Se sospetti che il controller del disco sia difettoso, prova a sostituirlo. Controllare anche il cavo di collegamento.
Problemi del file system
Dopo esserti assicurato che il disco, il controller e il cavo di collegamento funzionino correttamente, non affrettarti a utilizzare il disco di riparazione NT creato durante l'installazione del sistema operativo o a eseguire il programma di ripristino del file system chkdsk: il risultato potrebbe essere disastroso. Non cercare nemmeno il magico programma di ripristino NTFS in Norton Utilities per Windows NT: non è ancora disponibile. Se le informazioni registrate sul disco sono di particolare valore, è necessario prima analizzare lo stato dei blocchi di controllo del file system NTFS utilizzando un editor del disco.
Questo tipo di lavoro richiede qualifiche piuttosto elevate. In particolare, è necessario comprendere i formati dei blocchi di controllo del file system. Se non puoi farlo da solo, è meglio chiamare uno specialista e non tentare di riparare NTFS da solo.
Per verificare i blocchi di controllo, è necessario collegare due dischi al computer: il primo, quello di avvio funzionante, e il secondo, quello da cui è necessario recuperare le informazioni.
Innanzitutto viene collegato solo il primo disco e viene installato Windows NT. Questo disco verrà utilizzato per salvare i file recuperati da partizioni danneggiate. Successivamente viene installato l'editor Disk Probe, che fa parte del Resource Kit di Windows NT. Sebbene questo editor sia lungi dall'essere perfetto, farà tutto il lavoro di recupero dei file persi.
Dopo esserti assicurato che tutto vada bene con il primo disco, spegni il computer e collega ad esso il secondo disco danneggiato.
Definizione della geometria del dispositivo logico
Per ripristinare correttamente le informazioni, è necessario determinare la dimensione del cluster e l'indirizzo del settore di avvio. Il primo valore può essere ottenuto dal settore di avvio della partizione NTFS (se, ovviamente, il suo contenuto viene preservato).
Avvia Disk Probe. Seleziona Unità fisica dal menu Unità. Nel pannello Apri unità fisica visualizzato sullo schermo, specificare il dispositivo PhysicalDrive1 facendo doppio clic con il pulsante sinistro del mouse sulla riga corrispondente nell'elenco Unità fisiche disponibili. Quindi fare clic sul pulsante Imposta attivo, lasciando abilitato l'interruttore Sola lettura, e chiudere il pannello con il pulsante OK.
Di conseguenza, Disk Probe avrà accesso in lettura al disco danneggiato. Successivamente, prova a leggere il contenuto del record di avvio principale del disco, situato nel primo settore sulla traccia zero del cilindro zero. Per fare ciò, seleziona la riga Leggi nel menu Settori. Viene visualizzato il pannello Leggi settore. Nel campo Settore iniziale specificare il numero del primo settore uguale a zero e nel campo Numeri di settori impostare il valore su 1. Fare quindi clic sul pulsante Leggi.
Il programma conta RAM il contenuto del primo settore e lo mostrerà in formato esadecimale. Seleziona la riga Tabella delle partizioni dal menu Visualizza per visualizzare la tabella delle partizioni del disco in formato, quindi vai alla partizione desiderata utilizzando il pulsante Vai. Se necessario (quando si ripristinano file da una partizione estesa), ripetere questa procedura più volte.
Dopo aver raggiunto il record di avvio della partizione necessaria, seleziona la riga Bootsector NTFS dal menu Visualizza.
Cosa fare se il main registro di avvio oppure il record di avvio della partizione richiesta è stato distrutto?
Questa situazione è difficile, ma non fatale. Una tabella dettagliata di corrispondenza tra la capacità del dispositivo logico NTFS e il numero di cluster è disponibile su MSDN. Ad esempio, se la capacità è compresa tra 1025 e 2048 MB, la dimensione del cluster sarà di 4 settori, mentre se è compresa tra 8193 e 16.384 MB, ci saranno 32 settori in un cluster. Tieni presente, tuttavia, che avendo cura in anticipo della possibilità di un successivo ripristino del disco in caso di danni, puoi facilitare tale lavoro quando se ne presenta la necessità. È necessario determinare e registrare la dimensione del cluster immediatamente dopo l'installazione del sistema operativo, mentre il settore di avvio NTFS è ancora intatto.
Se la dimensione del cluster rimane sconosciuta, dovrà essere determinata indirettamente o tramite selezione.
Tavolo MFT
La struttura interna del file system NTFS è fondamentalmente diversa dal FAT noto ai più. Senza entrare nei dettagli, presenteremo solo le informazioni necessarie per effettuare i lavori di restauro su di esso.
Il file system FAT (e la sua variante FAT32) memorizza le informazioni sui file in più posizioni su un dispositivo logico. Nella directory si trova un descrittore di file contenente il nome, la dimensione, la data di creazione e il numero del primo cluster ad esso assegnato. La tabella di allocazione dei file, da cui prende il nome il file system FAT, memorizza un elenco collegato di tutti i cluster allocati a un file. Infine, il file stesso può essere distribuito tra i cluster.
Questa organizzazione complica notevolmente il ripristino dei file in caso di guasti. L'integrità della tabella FAT è particolarmente critica: se questa tabella manca o il suo contenuto viene parzialmente distrutto, le informazioni sui cluster assegnati al file scompaiono. Di conseguenza, è possibile assemblare un file da singoli cluster con grande difficoltà solo conoscendone il contenuto. Inoltre, questo lavoro richiede molto tempo. Pertanto, in pratica, la scomparsa della tabella FAT e della sua copia significa la completa perdita dei file.
La perdita di directory rende impossibile determinare il numero del primo cluster assegnato a un file, il suo nome e la sua dimensione esatta. In questo caso le conseguenze non sono così catastrofiche, poiché la tabella FAT contiene catene di cluster “orfane” che possono essere facilmente trasformate in file. I nomi dei file ottenuti in questo modo sono solitamente costituiti da numeri. Tieni presente che se le directory contenenti migliaia di file vengono distrutte, sarà difficile ritrovarle dopo il ripristino. file richiesto, a meno che il suo contenuto non sia noto almeno approssimativamente.
Nel file system NTFS tutte le informazioni sui file sono archiviate nella cosiddetta Master File Table (MFT). Le voci della tabella MFT contengono serie di descrittori con informazioni sui file come nome, date di creazione e modifica, attributi di sicurezza e, soprattutto, elenchi di cluster allocati ai file. Se il file è di piccole dimensioni, può essere archiviato direttamente nella voce della tabella MFT.
Di conseguenza, la capacità di recuperare file da partizioni NTFS danneggiate è in gran parte determinata dall'integrità della tabella MFT e della sua copia.
Come trovare la tabella MFT?
Trovare la tabella MFT è abbastanza semplice se viene preservato il settore di avvio della partizione NTFS. Fare clic sul pulsante Vai accanto al campo mirr Clusters to MFT o Clusters to MFT nel pannello mostrato in Fig. 2. Per visualizzare il contenuto del primo settore della tabella, selezionare la riga Bytes dal menu Visualizza del programma Disk Probe.
Presta attenzione alla riga FILE situata all'inizio del settore. Qui iniziano le voci della tabella che descrivono i file. Ci sono anche voci per directory, elementi di indice e altri che non prenderemo in considerazione.
Linea $.M.F.T. situato all'offset D2. Questo è il nome Unicode del file di sistema contenente la tabella MFT. Pertanto, la prima voce nel file $MFT descrive il file stesso. Osservando la tabella è possibile trovare voci per altri file di sistema, come $MFTMirror, $LogFile, $Volume, $AttrDef, ecc.
Se il settore di avvio viene distrutto, l'inizio della tabella MFT può essere facilmente trovato utilizzando Disk Probe. Per fare ciò, selezionare la riga Settore di ricerca nel menu Strumenti, impostare gli interruttori nella posizione mostrata in Fig. 4, e dopo aver compilato il campo Inserisci i caratteri da cercare, clicca sul pulsante Cerca. Ti preghiamo di pazientare poiché il processo di ricerca può richiedere molto tempo.
Tieni presente che in modo simile puoi trovare le voci nella tabella MFT per quei file che devono essere ripristinati. Poiché i nomi dei file sono memorizzati nella codifica Unicode, durante la ricerca è necessario impostare l'interruttore sui caratteri Unicode. Inoltre, è necessario abilitare le modalità Ricerca esaustiva e Ignora ricerca casi.
Analisi dei record MFT
Sfortunatamente, Disk Probe non fornisce alcun mezzo per formattare il contenuto delle registrazioni MFT. Inoltre, il formato esatto di questa voce non è disponibile nella documentazione pubblica di Microsoft. Tuttavia, è possibile trovare molto su Internet effettuando una ricerca parole chiave"Documentazione NTFS" . Ad esempio, siamo riusciti a trovare le informazioni raccolte dagli sviluppatori del modulo per sistema operativo Linux. Analizzando i testi originali del modulo per il montaggio del file system NTFS in Linux, è possibile comprendere lo scopo dei singoli campi dei record MFT (gli autori desiderano ringraziare Maxim Sinev per il suo aiuto nella “decifrazione” dei record MFT).
Un record MFT è costituito da un frammento iniziale di dimensione fissa e da un insieme di attributi generalmente di dimensione variabile. Per recuperare i file, devi solo conoscere il formato esatto dell'attributo data. Per quanto riguarda gli altri attributi, è sufficiente poterne determinare la posizione e la dimensione.
I primi quattro byte di una voce di file formano la parola FILE. Nella fig. 3 sono evidenziati in rosso. I due byte successivi (evidenziati in blu) sono l'offset della cosiddetta area Fixup. Nel caso in esame il valore di offset è 002A (tenendo conto ordine inverso posizione dei byte in una parola). Qui e in seguito utilizzeremo numeri esadecimali.
L'area Correzione viene utilizzata nel processo di rilevamento degli errori di lettura o scrittura. Consiste in parole di due byte. Il numero di parole è memorizzato nel record MFT all'offset 0006. In Fig. 3 Il campo Dimensioni area di correzione è evidenziato in viola. Il valore 0003 è memorizzato lì, quindi l'area Correzione inizia dall'offset 002A e si estende fino a 002A+(2*0003)=002F.
Immediatamente dopo l'area Fixup iniziano i campi degli attributi. L'offset del primo attributo è 0030.
I primi quattro byte dell'area degli attributi definiscono il tipo, mentre i successivi quattro byte specificano la dimensione in byte. Ad esempio, dopo l'area Correzione all'offset 0030 c'è un attributo di tipo 10. In Fig. 3, la tipologia di questo e del successivo attributo è evidenziata in rosso (l'attributo dimensione è evidenziata in blu). L'attributo occupa 48 byte, pertanto l'attributo successivo (di tipo 30) inizierà dall'offset 0078.
In questo modo puoi evidenziare tutti gli attributi in un record MFT. Alla fine del più recente viene scritto il valore FFFFFFFF, segno della fine della catena di attributi.
Per il recupero dei file, gli attributi di tipo 30 e 80 sono di grande interesse. Il primo memorizza il nome del file. Dovresti usarlo per cercare il record MFT che descrive il file da ripristinare. Il secondo attributo di tipo 80 memorizza un elenco di cluster allocati al file o al file stesso. Ti diremo di più a riguardo.
Come si può vedere dalla figura, il tipo di attributo, pari a 80, è memorizzato nel record MFT all'offset 0160. In totale, l'attributo data occupa D8 byte, poiché questo è il valore che si trova nel campo a quattro byte all'offset 4 rispetto all'inizio dell'attributo.
Un byte all'offset 8 relativo all'inizio dell'attributo data indica che il file è residente. Se il suo valore è 1, la voce MFT memorizza solo l'elenco dei cluster allocati al file (come nel caso descritto), e se 0, il file si trova all'interno della voce MFT stessa. Di norma, i record contengono solo file di piccole dimensioni.
Consideriamo innanzitutto il caso del posizionamento di file non residenti. In questo caso, quattro byte all'offset 30 memorizzano la lunghezza del file situato da qualche parte sul disco. In questo esempio, il file $MFT è lungo B7B000 byte.
Per determinare la posizione esatta di un file non residente sul disco è necessario tracciare la catena dei cosiddetti blocchi numeri virtuali Cluster Virtual Cluster Number (VCN) o semplicemente blocchi VCN. L'offset dell'inizio di questa catena è memorizzato in un campo a due byte con un offset di 20 byte dall'inizio dell'attributo dati. Nel caso descritto, questo indicatore è 40 e l'offset dell'area del blocco VCN rispetto all'inizio del record MFT è 01A0. Nella fig. 5, tale zona è evidenziata con una spessa linea verticale verde.
Analisi dell'area di blocco VCN
Un file scritto su una partizione NTFS può essere segmentato. È costituito da uno o più frammenti chiamati estensioni. La dimensione e la posizione di ciascuna estensione sono descritte in un blocco VCN. A seconda che il file sia frammentato o meno, l'area VCN può contenere un blocco o un insieme di blocchi. I blocchi VCN hanno una dimensione variabile, determinata dal primo byte.
Il formato del blocco dovrebbe essere mostrato con un esempio specifico. Prendiamo il primo blocco VCN, che nell'esempio in esame ha un offset di 01A0 rispetto all'inizio del record MFT:
Le tetradi del primo byte con valore 31 definiscono le dimensioni dei due campi del blocco VCN. Il primo campo, lungo un byte, memorizza il numero di cluster allocati nell'estensione del file. Il secondo campo, di tre byte, contiene il numero del primo cluster. In questo caso, alla prima estensione del file $MFT vengono allocati 20 cluster e il primo numero di cluster per la prima estensione è 0286D9. In questo modo determiniamo la dimensione e la posizione della prima estensione del file.
Il secondo blocco VCN si trova immediatamente dopo il primo:
Per determinare il primo cluster della seconda estensione, è necessario aggiungere l'offset specificato nel secondo blocco VCN (compreso il segno) all'indirizzo della prima estensione. In questo caso, la seconda estensione si trova nel cluster numero 0286D9+21=286FA. La lunghezza della seconda estensione è di 0824 cluster.
Analizzando i blocchi VCN rimanenti, è possibile determinare la dimensione e la posizione di tutte le estensioni dei file. L'elenco dei blocchi VCN viene chiuso con un byte con valore zero.
File residenti
I file di piccole dimensioni vengono inseriti direttamente nel record MFT che descrive il file per ridurre i tempi di accesso. Se il byte all'offset 8 relativo all'inizio dell'attributo data contiene un valore pari a zero, non è necessario tracciare la catena di blocchi VCN. Ciò significa che il file si trova all'interno di un attributo dati.
In questo caso, l'offset dei dati residenti, cioè il file, è scritto in una parola a due byte con un offset di 14 rispetto all'inizio dell'attributo dati, e la dimensione è scritta in una parola a due byte con un offset di 10.
Facciamo un piccolo esempio. Per illustrare il formato di un record MFT contenente un attributo di dati residenti, abbiamo preparato un piccolo file chiamato Small.txt contenente stringa di testo"Questo è un piccolo file di testo." Abbiamo quindi utilizzato Disk Probe per individuare la voce della tabella MFT creata per questo file (Figura 6).
Come si può vedere dalla Fig. 6, i byte del file Small.txt (evidenziati in giallo) si trovano all'interno del record MFT all'offset 18 dall'inizio dell'attributo dati e la dimensione del file è 1A byte.
Come recuperare i file?
Ora, armato delle conoscenze di cui sopra sulla struttura interna dei blocchi del sistema NTFS, puoi iniziare a recuperare i file dalla partizione danneggiata di questo file system.
Una volta conosciuti i nomi dei file da ripristinare, è necessario trovare le voci corrispondenti nella tabella MFT. Questo può essere fatto utilizzando il programma Disk Probe, utilizzando la riga Cerca settore dal menu Strumenti. Successivamente, è necessario rilevare l'attributo dei dati in questo record e determinare se è residente o meno.
Se l'attributo data è residente, è necessario salvare il settore contenente il record MFT come file su un disco rigido o un floppy disk funzionante. Questo può essere fatto utilizzando la riga Salva come nel menu File di Disk Probe. Successivamente, dovresti ritagliare la parte richiesta dei dati e salvare il risultato in un nuovo file. Questa operazione è facile da eseguire, ad esempio, in Norton Disk Editor per MS-DOS.
Nel caso di un attributo non residente, ci sarà molto più lavoro.
Tracciando la catena di blocchi VCN, è necessario determinare la posizione e la dimensione delle estensioni del file da ripristinare. Successivamente, utilizza Disk Probe per leggere i dati di estensione e quindi salvarli in un file sul disco integro. Ricorda inoltre che Disk Probe specifica il numero di settori da leggere o scrivere e il blocco VCN specifica il numero di cluster allocati nell'extent. Pertanto è necessario effettuare un opportuno ricalcolo.
Una volta ripristinate tutte le estensioni, unirle in un unico file (ad esempio, utilizzando il comando COPY con l'opzione /B). Quindi impostare la lunghezza file corretta ottenuta dal campo offset 30 dell'attributo dati. Nella partizione FAT, tale operazione può essere eseguita utilizzando lo stesso programma Norton Disk Editor.
Purtroppo, in pratica, il recupero grande quantità i file richiedono molto tempo. La parte più difficile è l'elaborazione manuale delle catene di blocchi VCN, che possono essere molto lunghe. Dovrai passare ore lavorando con una calcolatrice, convertendo i numeri decimali in esadecimali e viceversa, oltre a eseguire varie operazioni aritmetiche necessarie per determinare la dimensione e la posizione delle estensioni dei file da ripristinare. Pertanto, di solito utilizziamo un piccolo programma fatto in casa, NTFS Explorer, che esegue le operazioni più laboriose in modalità semiautomatica.