A partição NTFS está perdida, mas os dados (devem estar) lá, como recuperar?

0

Pouco : tenho problemas com uma partição perdida e o Testdisk não consegue resolver o meu problema. Tudo me faz pensar que os arquivos estão no disco, mas não sei como recuperá-los. Além disso, eu não sou um falante nativo de inglês, então peço desculpas por eventualmente cometer alguns erros.

Detalhes

Eu tentei redimensionar uma partição NTFS na minha unidade com o gparted (o linux estava em execução), mas a operação falhou e perdi o sistema de arquivos.

Este foi o disco ANTES:

125 GB - primary - NTFS (windows)
3 GB - primary - linux swap
21 GB - primary - ext4 (linux)

Isso é o que eu pretendia fazer: reduzir a partição NTFS FROM THE LEFT para liberar espaço no início do disco. No gparted eu editei as partições assim:

60 (more or less) GB - unallocated
60 (more or less) GB - primary - NTFS (windows) (shrink)
swap and ext4 same as before (unchanged)

e clicou em "Aplicar". Durante o processo, eu estava lendo o que estava acontecendo: estava transferindo 30 GB de dados da primeira parte do HD para a nova partição NTFS menor. Esta parte foi bem sucedida (você sabe, o processo de encolhimento é feito de várias partes, e esta transferência de arquivos foi ok). Então eu acho que o gparted tentou criar a nova MFT e atualizar o MBR, mas falhou. Meu maior erro do dia foi que eu não salvei os logs (o gparted salva automaticamente os logs?), Mas até onde eu me lembro, o erro era algo como "clusters livres mais do que o esperado". Bem, o resultado é o seguinte:

67 GB - primary - NTFS (gparted says: "Failed to load runlist for $MFT/$DATA. highest_vcn = 0xc747, last_vcn - 1 = 0x1633b . Failed to load $MFT: Input/output error . NTFS is inconsistent")
57 GB - unallocated
swap and linux are unchanged

Eu executo o Testdisk a partir de um USB inicializável, fiz uma varredura rápida, mas não encontrei nada novo. Com a análise profunda, encontrou uma partição NTFS adicional:

NTFS 0 32 48 16305 55 6 261941233

mas quando eu digito "enter" ou "p" para ver os arquivos, ele diz "partição está corrompida".

Algumas notas:

1) é estranho que minhas instruções fossem criar espaço livre ANTES de NTFS, mas o que gparted vê agora é espaço não alocado APÓS NTFS. E o NTFS é inconsistente. Talvez o gparted tenha criado a nova MFT na primeira partição e não tenha copiado para a segunda?

2) pelo que eu li durante a operação, os arquivos devem estar todos no espaço não alocado ... como posso encontrá-los? Eu tentaria recuperá-los de uma forma ordenada, pois se eu usasse o PhotoRec perderia qualquer estrutura de diretórios.

O que devo fazer? por favor ajude ou minha namorada vai me matar! (é o computador dela ..: O)

    
por Attilio 21.11.2017 / 22:58

2 respostas

1

Foi assim que finalmente consegui recuperar alguns arquivos do disco. Eu sei que parte da resposta será off-topic (já que usei muitos programas do Windows), mas por questão de perfeição, gostaria de compartilhar minha experiência para futuros usuários.

A lição mais importante que aprendi é FAZER BACKUP DOS SEUS DADOS ANTES DE REDUZIR UMA PARTIÇÃO .

Como o TestDisk não estava me ajudando, mesmo com a verificação profunda, decidi usar o PhotoRec . Felizmente, eu tinha um backup em disco que tinha 3-4 meses de idade, então tentei recuperar todos os arquivos do disco e filtrar somente os úteis, os que foram criados depois do último backup.

A primeira verificação com o PhotoRec foi para todo o disco. Ele recuperou 5700 arquivos (2,12 GB), mas iniciou o looping e a contagem de setores estava retrocedendo.

Na segunda varredura, configurei para varrer apenas a metade do NTFS. Recuperou 56800 arquivos (40 GB).

Eu precisava varrer a segunda metade do disco, então eu iniciei uma nova varredura de disco novamente, parei e editei o arquivo de log da sessão. Eu inseri manualmente um número que era de alguns milhões de setores antes do final da peça que já estava pronto. Eu comecei novamente PhotoRec, eu disse para retomar a sessão e ... magicamente! Ele conseguiu varrer apenas a segunda metade do disco. 128400 arquivos foram encontrados (43,5 GB).

Eu copiei as 3 varreduras em uma pasta chamada "PR_scans" usando FreeFileSync .

Eu instalei o Cygwin. Eu criei outra pasta vazia chamada "Processing" que eu usei para pegar alguns arquivos úteis e compará-los com o backup.

Em Cygwin eu usei comandos como:

find PR_scans/ -iname '*.jpg' -size +250k -exec mv -vi {} Processing/ \;

para encontrar arquivos úteis. Eu achei 250k foi um bom tamanho de corte para separar fotos pessoais de arquivos de cache de internet. Para outros tipos de arquivos, não definimos tamanho mínimo:

find PR_scans/ -iname '*.docx' -exec mv -vi {} Processing/ \;

Repeti esta operação para todas as extensões de arquivo significativas (doc, xls, xlsx, pdf, png, mov, avi, etc.)

Eu finalmente usei o Duplicate Cleaner Free para remover todos os arquivos da pasta Processing que já estavam presentes no meu Backup antigo.

O criador do RecuperaBit entrou em contato comigo neste site, então decidi testar essa ferramenta que parece bastante mágica.

O RecuperaBit encontrou um total de 13772 arquivos (22,2 GB), contra 13500, 30,8 GB do tamanho do meu backup de 3 meses. Isso parece muito bom. Destes arquivos:

  • 8700 arquivos eram duplicatas exatas de arquivos no meu backup antigo
  • 4000+ arquivos tinham o mesmo nome, mas conteúdo diferente, porque foram modificados nesse meio tempo ou porque o RecuperaBit recuperou conteúdo danificado.
  • o mais interessante: 395 eram duplicatas de arquivos PhotoRec que não estavam no meu backup, isso significa que o PhotoRec recuperou o conteúdo, mas o RecuperaBit recuperou o nome de arquivo e o caminho !!
por 04.12.2017 / 00:38
0

Assumindo que a mudança realmente ocorreu conforme o esperado, os dados devem estar lá.

Embora eu não saiba como reconstruir a tabela de partições, recuperei dados com êxito de uma unidade com uma tabela de partição destruída usando:

link

Embora eu não possa prometer sucesso, a tentativa é gratuita - a versão demo é prejudicada apenas pela falta de capacidade de recuperar arquivos não-triviais. Você vê exatamente o que acha que está lá e você pode recuperar coisas pequenas para ver se está sendo normal.

Note que você precisará de outra unidade para usar essa abordagem.

Enquanto você está tentando isso, 20 chicotadas para brincar com um editor de partições sem um backup completo!

(Eu não tenho nenhuma conexão com a empresa além de estar muito feliz com os resultados quando todas as outras ferramentas que tentei não puderam fazer o agachamento porque uma situação de RAID colocou a tabela de partição em um local não padrão.)

    
por 22.11.2017 / 00:20