標題: [操作疑難] 變左raw，testdisk list唔到file [打印本頁]

---

作者: vinsai    時間: 2023-10-7 15:35     標題: 變左raw，testdisk list唔到file

本帖最後由 vinsai 於 2023-10-7 15:55 編輯

隻碟放係qnap TR004，全部individual
唔知係咪關冇做safely remove hardware事(次次都話唔得，最尾關機)
隻碟變左raw
testdisk 睇得返個NTFS partition，但list唔到files

有呢堆error用photorec_win可以讀得返D data，但就冇晒filename
試過用MiniTool Partition Wizard
list到files，但list唔晒全部

請問有咩方法recovery到全部data & filename?
testdisk試緊deep search(好慢)，但唔似有幫助
[attach]2391837[/attach]
試chkdsk?

---

作者: harryytm    時間: 2023-10-7 15:42

本帖最後由 harryytm 於 2023-10-7 15:46 編輯

最好用 dd 將隻碟 dump 做 raw image 先搞
應該係不正常斷電引致寫花 Master File Table
非企業版 HDD 無斷電保護好易出 C6 而有 data loss
最好睇下 SMART 嘅 C5 C6 有無問題

---

作者: raylee    時間: 2023-10-7 15:44



no backup ?

---

作者: alan11abc    時間: 2023-10-7 15:45

勿chkdsk

可以試下testdisk

via HKEPC IR 5.1.14 - Android(5.1.2F)

---

作者: vinsai    時間: 2023-10-7 15:45


已用testdisk整左隻image.dd
SMART 05 07 C4 C5 C6都係0

---

作者: harryytm    時間: 2023-10-7 15:51

testdisk 嘅 deep search 係不停 scan 有無殘留嘅 Master File Record (MFR)
deep search 主要係比人用喺救錯誤 Format 嘅碟
對 Master File Table(MFT) 寫花咗係無幫助

---

作者: vinsai    時間: 2023-10-7 15:52


有用snapraid
但問題係
1. 想做sync之前就出問題，有一隻碟好多files add/remove左
2. 另外有隻碟都係TR004度，都唔見左部分files，有D變左0 size
所以靠backup都係拎唔晒全部data

---

作者: harryytm    時間: 2023-10-7 16:21

本帖最後由 harryytm 於 2023-10-7 17:49 編輯

NTFS 嘅主要結構係 Master File Table(MFT)
MFT 以檔名 $MFT 存在喺 NTFS 入面
每個 Cluster 都有 Logical Cluster Number(LCN) 作為位置地址

NTFS 嘅 Bootsector 以檔名 $Boot 存在喺 NTFS 入面
會同時存在喺 NTFS 嘅頭尾 8KiB
入面會記錄 MFT 開始嘅 LCN 同 Boostrap Code
Boostrap Code 係比 BIOS 執行嘅機器碼程式
用嚟指示部電腦點載入個 boot loader
即係 BOOTMGR 或 NTLDR (XP 年代 OS 用)

MFT 入面每 1KiB 為一個 MFT File Record(FR)
通常 MFT 嘅開始及頭 4 個 FR 係固定喺 LCN 786436
MFT 頭 4 個 FR 係記錄 NTFS 最重要嘅結構 data
當中包括 $MFT 本身同 $MFTMirror $LogFile $Volume 四個 NTFS 結構檔案
呢 4 個 FR 會 Mirror 咗喺 $MFTMirror 作為 backup

MFT File Record 記錄每個檔案或資料夾嘅 Metadata
如檔名同修改時間之類嘅資訊
當中包括稱為 data run 嘅資訊
用嚟記錄檔案嘅 data 放喺咩 LCN 同段 data 有幾長
一個檔案可以由多個 data run 組成
每個 data run 代表 HDD 磁頭要跳去另一個位置
defrag 工具嘅作用係將呢啲 data run 組合返一齊
減少個檔案嘅 data run 數目提升讀寫效能

如果個檔案嘅數據太細 FR 夠位放
會直接存放喺 FR 入面而唔用 data run 方式
呢類檔案叫 MFT resident file

Windows 解讀隻碟嘅時候
會先去 MBR 或 GPT 搵個分割區位置
分割區頭一個磁區固定係 bootsector
喺 bootsector 會搵到 $MFT 位置
$MFT 頭一個 FR 會搵到 $MFT 位置同長度
由 MBR/GPT 到 bootsector 到 MFT 每樣野都係有關連
中間少樣野讀唔到個 NTFS 就會變 RAW

如果你有興趣了解 NTFS 嘅結構
可以去下載 Active@ Disk Editor 嚟自已研究下
https://www.disk-editor.org/index.html

---

作者: harryytm    時間: 2023-10-7 16:39

本帖最後由 harryytm 於 2023-10-7 17:50 編輯

PhotoRec 係靠認檔案 header 去 recover 檔案
完全無視任何檔案系統
只係用嚟救檔案唔係用嚟修復檔案系統
recover 出嚟嘅檔案唔包完唔完整
未出事前無做過 defrag 嘅話
recover 出嚟嘅檔案唔完整並唔出奇

---

作者: vinsai    時間: 2023-10-7 18:18

用MiniTool Partition Wizard之類軟件都係揾到38400 files，只係得全部files 嘅1/3 size
行CHKDSK (read only)就話154624 file records processed
同埋出好多error依家可以做嘅係
係咪用PhotoRec 揾晒D files出嚟
用MiniTool Partition Wizard之類軟件recovery 返38400 files
再行CHKDSK睇下救唔救到就算?

---

作者: harryytm    時間: 2023-10-7 18:47

本帖最後由 harryytm 於 2023-10-8 03:00 編輯

回覆 10# vinsai
如果已經 dump 咗成隻碟做 RAW image
可以試下用 chkdsk /f 睇下佢修唔修復到
因為隨時 restore 返個 RAW image 落隻碟
就咁睇似係 NTFS 有野寫花咗
PhotoRec 就唔建議因為好大可能啲檔案唔完整

Master File Table (MFT) 會隨檔案數量而增大
MFT 有 38400 個 MFT file records 只係代表個 MFT 而家嘅最大容量
每個 MFT file record 可以係 file 或 directory
視乎個 directory 嘅 flag bit 係 set 咗做咩
唔代表真係有咁多個 files
NTFS 入面 MFT file record 之間用 record ID 互相 link 成一個 tree
你個情況應該係 HDD 寫緊其中一個 directory 嘅 MFT file record 嘅時候斷電而 corrupt 咗
令到成個 directory tree 下面全部 files 斷 link 而消失咗

---

作者: supercooler    時間: 2023-10-7 22:52

試下testdisk

---

作者: vinsai    時間: 2023-10-8 12:25

chkdsk /f 之後隻碟變左access denied

試左getdataback 掃隻image.dd
佢有個同其他軟件唔同嘅地方係可以掃晒成隻碟揾晒D folder files出嚟先
掃完之後見返晒第一層D folder