- •Прежде всего... Меры предосторожности
- •Пожар в здании, где находится компьютер или стихийные бедствия. Общие принципы восстановления информации
- •С чего начать
- •Проверка параметров bios
- •Тип и параметры диска
- •Расширенные параметры bios
- •Установка параметров bios по умолчанию
- •Структура файловой системы
- •Восстановление partition table
- •Восстановление данных вручную
- •Формат записи значений цилиндра и сектора (10 и 6 бит соответственно)
- •Значение "относительного сектора"
- •Восстановление винчестера, разбитого на несколько логических дисков.
- •Восстановление загрузочного сектора fat Простейший случай. Разрушен только Boot Sector
- •Непростой случай. Разрушен не только Boot Sector
- •Как восстановить Boot Sector вручную
- •Восстановление загрузочного сектора ntfs
- •Восстановление загрузочного сектора первого раздела
- •Восстановление резервного загрузочного сектора, если первичный сектор отсутствует, поврежден или содержит неверные данные
- •Восстановление загрузочных секторов в Extended partitions
- •Восстановление самой fat Резервная копия
- •Файл подкачки
- •Проверка состояния файловой системы fat
- •Проверка параметров bios
- •Тип и параметры диска
- •Расширенные параметры bios
- •Установка параметров bios по умолчанию
- •Анализ главной загрузочной записи mbr и таблицы разделов
- •Описание формата таблицы разделов
- •Прослеживание списка разделов диска
- •Проверка таблицы разделов при помощи программы diskedit
- •Сохранение параметров диска и таблицы разделов диска
- •Исследование расширенного раздела диска
- •Сохранение содержимого таблиц логических дисков
- •Исследование логических дисков fat
- •Проверка загрузочного сектора
- •Анализ зарезервированных секторов
- •Формат таблицы fat
- •Просмотр таблицы fat
- •Формат каталогов
- •Просмотр каталогов
- •Каталоги в файловой системе vfat
- •Область данных
- •Поиск и восстановление файлов в разделах fat
- •Поиск с помощью программы Norton File Find
- •Поиск с помощью программы diskedit
- •Поиск разделов
- •Поиск таблиц fat
- •Поиск потерянных каталогов
- •Восстановление потерянных каталогов и файлов
- •Один из алгоритмов восстановления области данных
- •Приступим
- •А если Root Directory восстановить не удалось?
- •Этот способ применим как для каталогов, так и для отдельных файлов. Восстановление данных в разделах ntfs (с) Александр Фролов, 2002, http://www.Frolov.Pp.Ru/, http://www.Datarecovery.Ru/
- •Файловая система нового поколения для Microsoft Windows nt/2000
- •Поиск основных внутренних структур ntfs
- •Загрузочный сектор раздела ntfs
- •Определение геометрии раздела ntfs
- •Размер сектора
- •Размер кластера
- •Начало таблицы mft и копии ее первых записей
- •Размер записи таблицы mft
- •Поиск главной таблицы файлов mft
- •Атрибуты файла
- •Поиск атрибутов в записях mft
- •Массив корректировки секторов записи mft
- •Прослеживание списка атрибутов
- •Формат атрибутов файла
- •Заголовок атрибута файла
- •Проблемы с оборудованием
- •Термокалибровка
- •Отказ модуля диагностики
- •Мультисекторные операции
- •Вычисление зон предкомпенсации
- •Потеря сигнала готовности
- •Ошибка чтения сектора
- •Восстановление 0-й дорожки
Поиск таблиц fat
Теперь выберите из меню Tools строку Find Object и затем строку FAT. Программа DISKEDIT выполнит поиск первой копии таблицы размещения файлов FAT, и отобразит ее дамп, выделив в нем первые три байта.
Если теперь сместить текстовый курсор вниз или нажать клавишу PgDn, а затем выбрать из меню Tools/Find Object строку FAT еще раз, будет найдена вторая копия таблицы размещения файлов FAT.
Учтите, что поиск таблиц FAT в данном случае сводится к поиску последовательности байт "F8 FF FF", поэтому выполнив поиск в третий раз, Вы сможете найти еще одну, ненастоящую "таблицу FAT". Дело в том, что наверняка на диске имеется какой-нибудь файл, содержащий указанную выше последовательность байт, поэтому будьте внимательны.
Поиск потерянных каталогов
Теперь займемся поиском потерянных каталогов. На такие каталоги нет ссылок из других каталогов.
Для поиска Вы можете воспользоваться строкой Subdirectory меню Tools/Find Object. Программа DISKEDIT просматривает секторы диска в поисках такого, в начале которого находится последовательность байт "2E 20 20 20 20 20 20 20 20 20 20". Эта последовательность соответствует дескриптору, содержащему ссылку каталога на себя самого.
Нажимая комбинацию клавиш Ctrl+G, Вы можете продолжить поиск нужного каталога, пока не найдете тот, который содержит интересующие Вас файлы. Можно выполнять поиск и по имени файла, если Вы его знаете.
Как только нужный каталог найден, необходимо записать физический адрес сектора диска, содержащего каталог, а затем найти либо вычислить номер кластера, соответствующего каталогу.
Для поиска номера кластера, в котором располагается найденный каталог, перейдите в режим форматированного просмотра каталога, выбрав из меню View строку as Directory. Затем в меню link выберите строку Cluster chain (fat). На экране появится содержимое таблицы FAT в режиме форматированного просмотра, при этом искомый номер кластера будет выделен.
Восстановление потерянных каталогов и файлов
Зная номер кластера потерянного каталога, Вы можете создать новый дескриптор каталога, например, в корневом каталоге диска, и сделать в этом дескрипторе ссылку на найденный каталог. После этого потерянный каталог вновь станет доступным.
Учтите, что для файловой системы VFAT необходимо правильно заполнять поле контрольной суммы имени в расширенном дескрипторе, а также указывать 32-разрядный номер первого кластера, распределенного файлу.
Аналогично можно вручную восстановить ссылки на потерянные файлы и даже собрать файлы из отдельных кластеров.
Можно предложить следующий алгоритм восстановления файла:
выполнить контекстный поиск секторов файла с помощью строки Files из меню Tools, а также последовательным просмотром секторов диска;
определить номер кластеров, соответствующих найденным секторам, пользуясь приведенной выше формулой или средствами программы DISKEDIT;
восстановить цепочку номеров кластеров для файла в таблице размещения файлов FAT, отметив в ней последний кластер специальным значением (таким как 0xFFFF для FAT-16);
создать в любом каталоге (например, в корневом) дескриптор файла;
указать в созданном дескрипторе ссылку на первый кластер восстановленного файла и размер файла.
Если Вы восстановили файл документа, созданный текстовым процессором Microsoft Word for Windows или процессором таблиц Microsoft Excel, загрузите его в соответствующее приложение и затем сохраните его под другим именем. При этом будет восстановлена правильная длина файла.
Простой текстовый файл можно загрузить в текстовый редактор и "отрезать" лишние данные в конце файла. Затем сохраните файл под другим именем.
Если Вы знаете точную длину файла, ее можно установить при помощи программы DISKEDIT в режиме редактирования дескриптора файла (рис. 9).