WinHex > MFT-tábla sérülése

Nem elérhetők egy negyven gigás NTFS-re formázott vinyómon a fájlok. Windows nem ismeri fel. Scandisk se tudja visszahozni a sírból. Sérült az MFT-tábla.

Cannot open "\$MFT". Unexpected data at offset C0000000 and offset 4A817B00, Res=-2, Res2=-2

Bootszektor:

Nincs valakinek ötlete, hogy lehetne visszanyerni az MFT-t?

1. Testdisk parancssoros felületén nem igazodtam ki :D
2. GetDataBack for NTFS-sel részben visszanyerhetőek a fájlok csak sajnos a fájlnevek és a mappába tartozás információk elvesznek. Bár a semminél jobb

0x0C0000000-nál USBC után nullbájtok tengere és 0x0C0000200-nál már megjelenik egy FILE0 kezdetű rekord.

Másik normális partíciónál az 0x0C0000000 címen FILE0 kezdetű rekord van.

Cheoppy tanácsára megnéztem HDSentinellel a vinyót:

Fujitsu MHV2040AH:

Se a hőmérséklet, se a S.M.A.R.T. adatok nem elérhetőek. A vinyó egy USB-s rackben van, lehet ezért.

Információk: http://foofighter.pastebin.com/jjuiAKKi

NTFS-kötet felcsatolásának folyamata

Egy kötethez való első hozzáféréskor az NTFS-nek fel kell mountolnia azt - ez abban nyilvánul meg, hogy beolvassa a metadatát és a memóriában létrehozza a kezeléshez szükséges adatstruktúrákat. A mountoláskor az NTFS először a bootszektort tekinti meg, ahonnan megtudja, fizikailag hol helyezkedik el a lemezen az MFT. Az MFT legelső bejegyzése magára az MFT-re mutat, míg a második rekord egy mutató a kötet közepén elhelyezkedő MFT Mirrorra (tehát valóban fizikailag is távol van egymástól a két bejegyzés, növelve a fájlrendszer biztonságosságát). Az MFT Mirror nevéből adódóan az MFT első néhány bejegyzésének a másolata - ha valamely oknál fogva az eredeti nem olvasható, automatikusan a másolatot fogja használni a rendszer. Amint az NTFS hozzáfér az MFT-hez, egyben hozzáfér a VCN-LCN leképezési információkhoz, mely a fájl-bejegyzések adatmezőjében található, majd eltárolja a memóriában azokat.

Forrás:
[1] http://pcforum.hu/cikkek/104/Az+NTFS+fajlrendszer/oldal/6.html

Megvan a probléma: Az MFT-tábla kezdőcíme eltolódott 0xC000 0200-ra!

3 221 225 984 (0xC000 0200) / 8 / 512 = 786 432,125(!) kezdő klaszter száma .. He????

Két szektor közé esett az MFT tábla. Erre vajon mi a gyógyír?

Megoldási kísérletek

(1) 0x200 bájt törlése a képfájlon (37perc) (megszakadt)
(2) A partíciós tábla 0x200 bájttal hátrább helyezése

Azt hiszem meg kell követnem a GetDataBack for NTFS-t. Rengeteg fájlt vissza tudtam vele nyerni.

Hozzászólások

testdisk, getdataback, ...

(az ilyen visszanyeréssel mindig gond van, mert mi van ha hiba után még valami írás történt; tehát adatot kinyerni, újraformázni, aztán mehet az adat vissza; ezt persze lehet mft helyreállításával kezdeni, csak a folytatásra írtam :) )

meg persze NE próbálkozz, először ments, alap de mégis sokan elfelejtik :)

parancssoros felületen nem igazodsz ki: hát a winhexén sem, különben pedig meg tudnád javítani, ahhoz képest testdisk szájbarágós :)

most nem jut eszembe a neve de talán az ubcd-n láttam olyan ntfs babrálót ami ilyesmire jó (honlapján nevek köt találsz pár ntfs-es programot, azokat winen is ki lehet próbálni, kis ügyeskedéssel mind képfájlon is működik)

Nézz rá erre a topicra: http://hup.hu/node/76281 a hozzászólások közt van néhány link, én azokat elolvasva ghex-szel "megszereltem" a partíciómat és vígan működött utána. :)
Ha még nem volt dolgod kézi partíciószerkesztéssel, akkor olvasni kell egy ideig, de nem túl bonyolult dolog, viszont könnyen tönkre lehet tenni közben egyes adathalmazokat, szóval óvatosan állj neki.
A forráslemezen meg szerintem nézd meg a SMART adatokat, hogy nem döglődik-e a lemez (pl. hdsentinel free).

Partition table doctor
____________________________________
Az embert 2 éven át arra tanítják hogyan álljon meg a 2 lábán, és hogyan beszéljen... Aztán azt mondják neki: -"Ülj le és kuss legyen!"..

ez a C00.. jól értem hogy 3G-nál kezdődik a partíció?