Восстановление данных на диске после частичного форматирования - TestDisk и PhotoRec ничего не нашли

491
Ward D.S.

Поэтому я пытался создать загрузочный USB для переустановки Windows для друга, но по ошибке начал разбивать неправильный диск (вероятно, самая глупая ошибка, которую я мог сделать).

Этот диск представляет собой WD Black объемом 1 ТБ в формате NTFS, подключенный как мой диск D: к Windows для различных фотографий, документов, фильмов и установок игр - базовых домашних вещей. На диске было около 400 ГБ файлов (то есть было заполнено примерно на 40%).

Произошла следующая последовательность событий:

diskpart select disk 1 // wrong disk number clean create partition primary select partition 1 active format fs=ntfs // note the missing 'quick' argument 

Затем я достиг 3%, когда осознал свою ошибку. Поэтому я нажал Ctrl+, Cчтобы отменить форматирование.

В средстве управления дисками Windows диск теперь отображается как исправный активный активный основной раздел NTFS, который свободен на 100% и имеет емкость 931 ГБ.

Поэтому после некоторого поиска я скачал TestDisk . Я попытался проанализировать, а затем провести более глубокий анализ диска, который только что вернулся с 1 доступным разделом, который полностью пуст. Единственные найденные файлы были в папке «System Volume Information». Похоже, он не смог восстановить какие-либо копии MFT или потерянные разделы, но я не являюсь экспертом в этих вопросах, поэтому, возможно, я сделал что-то не так - я не был уверен, какие именно инструкции и шаги следует предпринять, поскольку я сделал больше чем простой diskpart clean.

После всего, что мне не удалось, я попытался запустить PhotoRec, чтобы посмотреть, можно ли найти какие-либо файлы. Это также не удалось с 0 найденных файлов.

Сейчас у меня нет идей, но, насколько я знаю (ограниченно), не более 3% дисков было перезаписано в формате, поэтому на остальных дисках должны быть целые данные, которые можно восстановить. Что еще я могу попробовать?

Обновление: при использовании шестнадцатеричного редактора Frhed для загрузки раздела было выдано сообщение «Произошла ошибка чтения диска ... BOOTMGR сжат» (изображение ниже). При попытке прокрутки секторов все показывает 0 - но без загрузочного сектора его невозможно прочитать, так ли это надежно?

Обновление 2: в соответствии с этим вопросом на форуме Tom's Hardware использование Ctrl+ Cдля прерывания команды фактически не останавливает форматирование, а запускается в отдельном процессе в фоновом режиме. Поскольку я не сразу перезагрузил свой компьютер, он действительно перезаписал весь диск. Спасибо за всю помощь, мне не нужно было бы задавать этот вопрос, если бы я знал это раньше.

Hex editor output

0
(1) Одно из основных правил восстановления информации из поврежденного / скомпрометированного тома хранения (например, диска) - *** не записывайте в него **, пока не закончите, и вы не готовы сдаться и просто удалите его. * (Я удивлен, что связанный поток не упоминает об этом.) Поэтому я считаю, что повторное выполнение команды `diskpart`, такой как` clean`, имеет очень небольшой шанс быть полезным и высокую вероятность быть вредным , … (Продолжение) Scott 5 лет назад 0
(Продолжение)… (2) В случае, если [комментарий Xen2050 (к их ответу)] (https://superuser.com/q/1368631/150988#comment2059490_1368655) неясен - «произошла ошибка чтения диска» текст, который вы видите, является частью * данных в секторе 0 * - это *** не *** сообщение об ошибке от Frhed. Я удалил его из вашего названия, потому что это очень вводит в заблуждение. … (Продолжение) Scott 5 лет назад 0
(Продолжение)… (3) Вам не нужен загрузочный сектор, чтобы читать с диска. Но, на самом деле, я считаю, что скриншот, который вы показываете ***, является *** загрузочным сектором. В любом случае, тот факт, что вы могли читать, говорит о том, что вы успешно читаете с диска (и, к сожалению, на диске много нулей). Как предполагает Xen2050 (несколько неясно), если вы перейдете к сектору 86000000 (≈ 44 ГБ; т.е. примерно 4% пути к диску), вы должны начать видеть некоторые реальные данные. Scott 5 лет назад 0
Спасибо за это, Скотт. Я на самом деле не могу понять, что я сделал, что перезаписало мои данные, но вроде было предложено, что я пропустил и перешел на разные части диска с помощью «Фрэш», и все равно 0. Единственное, о чем я могу думать, это то, что команда форматирования никогда не заканчивалась, а скорее продолжал в фоновом режиме, или одна из вещей, которые я сделал с TestDisk, была полностью неправильной и перезаписала мои данные? Я на самом деле в тупике, потому что «не пиши в это» было для меня тоже очень очевидно, и я поначалу очень надеялся, что верну свои файлы - пока все рекомендованные инструменты не подведут меня ... Ward D.S. 5 лет назад 0

1 ответ на вопрос

1
Xen2050

Как перегородки могли быть изначально там? Если только один, то его размер, возможно, не изменился, и testdisk не нашел бы других разделов (но он мог бы найти некоторые файлы для восстановления - вы проверяли файлы?).

PhotoRec определенно должен был найти некоторые файлы для восстановления, если только они не были очень маленькими, и все они могли быть перезаписаны в эти первые 3% ... это определенно считывалось правильный диск, и он искал все типы файлов? Если нет, возможно, вы искали только 1 или 2 типа файлов, а он просто не нашел ни одного.

TestDisk и PhotoRec имеют отличные веб-страницы с документацией, такой как TestDisk, шаг за шагом, чтобы восстановить потерянные разделы и восстановить поврежденный загрузочный сектор FAT / NTFS .

(Мне нравится использовать графический интерфейс, например, gpartedсначала посмотреть, что будет перезаписано, и постараться держать другие диски отключенными или хотя бы спящими, чтобы избежать подобных проблем, а резервное копирование также важно)

Эй, там был только один раздел, поэтому вы правы, что размер раздела не изменился. Я продолжу сканирование с помощью Testdisk и PhotoRec. На диске было около 400 ГБ файлов. Как вы думаете, имеет ли смысл снова «очистить диск», чтобы у TestDisk был нераспределенный диск для работы? Ward D.S. 5 лет назад 0
Если раздел находится в том же месте, что и оригинал, он не должен ничего менять или помогать, очищая и создавая его заново или оставляя его очищенным. Photorec должен что-то найти, вы можете сами взглянуть на диск с помощью шестнадцатеричного редактора (мне нравится «благослови», он быстро «прокручивает» большое устройство / файл) или прочитать случайные места с помощью `dd ... skip = ... | HD | меньше и посмотрим, что там на самом деле, как и все нули, везде было бы необычно. Перезапись всего диска должна была быть такой же медленной, как запись на весь диск Xen2050 5 лет назад 0
Добавлен комментарий с выводом гекседитора. Я поищу в этом Google и посмотрю, смогу ли я это исправить и позволит ли инструмент найти больше с диска. Ward D.S. 5 лет назад 0
Сообщение «Произошла ошибка чтения диска ...» отображается только в текстовом / ASCII-выводе при чтении диска, верно? Так что это просто то, что там написано, если нет других системных сообщений / сообщений об ошибках? Должно быть больше читаемых данных (что-то кроме нулей) на 10%, 25% или 50% на диск, если там PhotoRec должен был что-то найти ... Xen2050 5 лет назад 0
Да, поэтому hexeditor просто дает мне 0, везде, которые не находятся в начале или в самом конце (последний и первый секторы похожи, с сообщением об ошибке из моего screencap в выводе ASCII). То, как мне удалось переписать все с нулями, мне не под силу. Ctrl-C должен был отменить форматирование, и я был осторожен с TestDisk, чтобы не делать ничего, что записывало бы на диск, единственными долгосрочными операциями, которые выполнялись, были анализ и более глубокий анализ. Я надеялся, что эти инструменты будут работать, но, видимо, я испортил достаточно сильно, чтобы полностью перезаписать мои данные. Спасибо вам за помощь. Ward D.S. 5 лет назад 0