Acidentalmente gravou uma pequena imagem inicializável em um HD externo, apagou-a e agora tem uma grande 'partição não alocada'. Quais são minhas opções?

Question

Eu estava tentando obter uma imagem inicializável de 65MB (Nook Manager, para fazer o root do meu leitor de ebook Nook) para gravar em um cartão SD no Win32 Disk Imager. De alguma forma, ele deve ter selecionado meu HD externo e escrito a imagem para isso. Porque eu estava tendo problemas com a escrita para o cartão SD, abri o painel de controle de gerenciamento de disco para excluir a partição do que eu pensava que era o cartão SD. Somente depois que eu fiz isso, vi que o HD externo de 1 TB estava aparecendo como ~ 930 GB de espaço não alocado.

Eu executei o EaseUS Partition Master e ele não pareceu encontrar nada (supondo que eu o executei corretamente). Agora estou executando o MiniTool Partition Recovery. Mesmo em um escaneamento rápido, ele está sendo executado muito lentamente (demora cerca de meia hora para chegar a 3% de progresso). Posso ver que foi encontrada uma partição FAT16 para o Nook Manager com o Starting LBA 32 e o Ending LBA 131071.

Estou certo em assumir que, se uma nova partição, por menor que seja, é gravada no HD externo (que era uma partição única), a partição antiga é completamente destruída? No entanto, eu também estou supondo que há uma grande parte dos meus dados (cerca de 400 GB) que ainda está lá - é apenas inacessível. Isso está correto?

Desde que percebi meu erro, não fiz nada para gravar ou configurar o disco. Eu estou querendo saber quais são minhas opções nessas circunstâncias. Existe algum software específico que possa extrair os dados inacessíveis restantes ou restaurar o restante da partição antiga?

    

Answer 1

Qualquer parte do disco que tenha sido sobrescrita, por qualquer método, não será recuperável. A parte que não foi sobrescrita ainda existe.

Alterar tabelas de partição ainda não exclui os dados nos setores.
Formatação rápida não exclui os dados.
Formatação completa no win7 zera todos os dados.
Diferentes softwares simples de recuperação de disco rígido serão confundidos pela presença de um tipo diferente de sistema de arquivos (NTFS). O tamanho do cluster sendo o mesmo seria muito importante.

Nesse caso, é provável que a MFT seja sobrescrita, de modo que não há mais indicadores diretos simples e fáceis sobre os dados. Os programas do tipo de recuperação forense tentam então montar os dados a partir de cabeçalhos conhecidos, dados sequenciais (consulte a ajuda de desfragmentação) e também podem usar a observação humana para determinar o que acontece em conjunto. Qualquer recuperação de Terrabytes de dados leva muito tempo, quando não há tabelas, ainda mais. Enquanto o software de digitalização ainda estiver em execução, você precisará dar o tempo necessário, já que você sabe que a primeira parte substituída levará tempo para superá-la.

Observação: existem MFTs espelhadas e MFTs de backup, dependendo do estilo de particionamento que pode não ser substituído.

Eu só fiz recuperação usando ferramentas simples, então o que eu faria poderia não ser o melhor método.
  Eu gostaria de re-parititon o disco da mesma maneira que era quando os dados foram armazenados nele. Isso inclui:
O tipo de partições, incluindo dinâmico, lógico básico, se for distribuído (raid) etc.
O tamanho exato do cluster usado.
o tamanho da partição de extact utilizado.
O sistema de arquivos exato usado e no mesmo sistema operacional e programa que o particionou e formatou.

Formatar a partição com o formato Rápido e, em seguida, proceder à recuperação usando um software que verificará os setores e reunirá o que observar.

Esta não é uma resposta, e eu não tenho nenhum software para sugerir, apenas algumas ideias ao longo das linhas do que você está lidando. Você já perdeu, há coisas que você já conhece, então essas são algumas coisas que podem ser importantes.

    

Answer 2

Eu principalmente faço recuperação de dados de discos com falha física, mas as ferramentas são as mesmas e cerca de duas vezes por ano. Eu recebo um cliente que acidentalmente forneceu uma unidade com dados importantes e preciso recuperar tudo o que não foi sobrescrito. Pela experiência, posso afirmar:

- Sim, existem softwares que podem ajudar você e outras pessoas em situações semelhantes.  - Seus dados no espaço não alocado ainda estão lá, assim como alguns dos seus dados antigos na nova partição FAT. (Embora este último seja muito corrupto para ser usado fora de um tribunal de justiça ;-))  - Você não precisa reparticionar o disco para recuperar seus arquivos e, na verdade, NÃO deve reparticioná-lo antes de usar o procedimento a seguir com sucesso ou você poderá perder dados!

Este link entra em maiores detalhes sobre o processo do que este formato permite. link O que se segue são destaques sobre como escolher quais comandos nesse artigo usar e, dependendo da sua experiência, talvez seja necessário usar o Google para entender alguns termos. Isto não pretende ser rude, apenas um ponto de partida eficiente.

Se não estiver claro, vou editar conforme necessário.

Você precisará de acesso a uma instalação do Linux ou a um CD ao vivo que permita instalar programas no ambiente ao vivo para que as informações a seguir funcionem. Eu uso um Ubuntu 14.04 live USB porque a recuperação leva um tempo e, desta forma, o computador ainda pode ser usado como um computador. Provavelmente há uma distribuição diferente que tem os pacotes de chaves "ntfs-3g" "gddrrescue" e "first" instalados por padrão, mas eu costumo instalar as versões mais recentes dos repositórios depois de inicializar no ambiente ao vivo.

Eu inicio toda a recuperação de dados usando o ddrescue para copiar a unidade inteira para uma imagem FILE em outra unidade maior. A unidade maior deve ter pelo menos 1,5 TB de espaço livre no seu caso, de preferência 2 TB +. No seu caso e ao contrário de alguns tutoriais, você não pode usar '/ dev / sdb2' como entrada, já que o número 2 denota uma partição e seus arquivos estão em espaço não alocado. Use '/ dev / sdb', pois isso aponta para a unidade inteira. Substitua sdb pelo identificador da unidade formatada acidentalmente em questão.

Para a unidade que conterá a imagem de saída, monte uma partição NTFS em um DISCO FÍSICO SEPARADO usando ntfs-3g, pois ele tem melhor suporte de gravação do que o método de montagem padrão. Você então usará um arquivo nesse ponto de montagem como o argumento de saída para ddrescue. Por exemplo, se montado em '/ mnt / largeDrive' você usaria algo como '/mnt/largeDrive/myRecoveredImage.img' como o outfile. Observe o '.img', que ajuda a dizer que tipo de arquivo é. O Ddrescue criará o arquivo se ele ainda não existir.

Não use uma partição FAT para o outfile, pois ele será maior que o tamanho máximo de arquivo do FAT.

A criação de imagens de uma unidade demora muito (algumas vezes, se a unidade for grande o suficiente ou tiver muitos setores defeituosos), mas descobri que a segurança extra dos dados é útil. O Ddrescue está disponível como liveCD, mas eu não o recomendo porque você não poderá usar o seu computador enquanto o processo estiver rodando, e ainda assim precisará inicializar o linux completo para usar as ferramentas de recuperação forense.

Todas as operações de recuperação subseqüentes são aplicadas à imagem, não à unidade real. Portanto, quaisquer erros (além de executar o próprio ddrescue incorretamente) não danificam os dados subjacentes e você pode tentar novamente com um método de recuperação diferente.

Depois de ter a imagem, há muitas ferramentas para recuperar arquivos individuais ou até mesmo sistemas de arquivos inteiros, mas as ferramentas que uso com mais frequência são "principais" e, ocasionalmente, "sleuthkit" se estou procurando arquivos que foram marcados para exclusão . O link acima tem uma seção sobre como recuperar arquivos individuais com essas ferramentas, além de alguns outros. Para o registro e para salvar o google-time, você NÃO precisa "montar a imagem de backup como um loop" para usá-la.

    

Answer 3

Vá para o gerenciamento de disco. Clique com o botão direito na partição desejada, clique em estender - use as configurações padrão e ele preencherá o espaço.