Imaginando um NTFS corrompido

Question

Eu tenho um ext. dirigir com um NTFS corrompido (no sentido de que o NTFS-3G se recusa a montá-lo).

Eu realmente quero apenas tirar uma imagem da unidade, guardar isso em algum lugar para depois, e reformatar a unidade para que eu possa usá-la normalmente. Não quero perder nenhum dos meus arquivos na unidade.

Pergunta: Existe uma maneira de tirar uma imagem (compactada?) da unidade que a preservará bit por bit e permitir que eu faça a análise forense depois?

    

Answer 1

Apenas copiando o dispositivo em algum lugar deve funcionar:

dd if=/dev/whatever of=/some/file/to/save

O sinalizador padrão de tamanho do bloco ( bs=... ) deve estar bom, em qualquer caso, defini-lo errado irá, no máximo, diminuir a velocidade.

Se o sistema de arquivos puder ser quebrado devido a problemas de hardware, experimente primeiro outros sistemas de arquivos e verifique se bs é um múltiplo do tamanho do bloco de hardware. Quando os discos começam a se comportar de forma irregular, eles geralmente têm mais horas de vida neles.

    

Answer 2

Você deve poder usar raw para ligar o dispositivo de bloco da partição a um dispositivo de caractere bruto e, em seguida, usar dd para ler a imagem da partição. Certifique-se de que bs seja o tamanho real do setor do disco ou algum múltiplo dele. (O padrão deve funcionar, acredito.)