[操作疑難] 變左raw，testdisk list唔到file

vinsai

隻碟放係qnap TR004，全部individual
唔知係咪關冇做safely remove hardware事(次次都話唔得，最尾關機)
隻碟變左raw
testdisk 睇得返個NTFS partition，但list唔到files

有呢堆error

1. file_win32_pread(588,14,buffer,5860533156(364801/80/52)) read err: read after end of file
   
2. 
   
3. Failed to open extent inode: Input/output error.
   
4. Failed to map extent inode: Input/output error.
   
5. Failed to open index allocation attribute. Directory inode 0x5 is corrupt or bug: Input/output error.
   
6. NTFS Volume is dirty.

複製代碼

用photorec_win可以讀得返D data，但就冇晒filename
試過用MiniTool Partition Wizard
list到files，但list唔晒全部

請問有咩方法recovery到全部data & filename?
testdisk試緊deep search(好慢)，但唔似有幫助

試chkdsk?

harryytm

最好用 dd 將隻碟 dump 做 raw image 先搞
應該係不正常斷電引致寫花 Master File Table
非企業版 HDD 無斷電保護好易出 C6 而有 data loss
最好睇下 SMART 嘅 C5 C6 有無問題

raylee

隻碟放係qnap TR004，全部individual
唁知係咪關冇做safely remove hardware事(次次都話唔得，最尾關機)
隻 ...
vinsai 發表於 2023-10-7 15:35

no backup ?

alan11abc

勿chkdsk

可以試下testdisk

via HKEPC IR 5.1.14 - Android(5.1.2F)

vinsai

用 dd 將隻碟 dump 做 raw image 先搞
應該係不正常斷電引致寫花 MFT
最好睇下 SMART 嘅 C5 C6 有無問題 ...
harryytm 發表於 2023-10-7 15:42

已用testdisk整左隻image.dd
SMART 05 07 C4 C5 C6都係0

harryytm

testdisk 嘅 deep search 係不停 scan 有無殘留嘅 Master File Record (MFR)
deep search 主要係比人用喺救錯誤 Format 嘅碟
對 Master File Table(MFT) 寫花咗係無幫助

vinsai

no backup ?
raylee 發表於 2023-10-7 15:44

有用snapraid
但問題係
1. 想做sync之前就出問題，有一隻碟好多files add/remove左
2. 另外有隻碟都係TR004度，都唔見左部分files，有D變左0 size
所以靠backup都係拎唔晒全部data

harryytm

NTFS 嘅主要結構係 Master File Table(MFT)
MFT 以檔名 $MFT 存在喺 NTFS 入面
每個 Cluster 都有 Logical Cluster Number(LCN) 作為位置地址

NTFS 嘅 Bootsector 以檔名 $Boot 存在喺 NTFS 入面
會同時存在喺 NTFS 嘅頭尾 8KiB
入面會記錄 MFT 開始嘅 LCN 同 Boostrap Code
Boostrap Code 係比 BIOS 執行嘅機器碼程式
用嚟指示部電腦點載入個 boot loader
即係 BOOTMGR 或 NTLDR (XP 年代 OS 用)

MFT 入面每 1KiB 為一個 MFT File Record(FR)
通常 MFT 嘅開始及頭 4 個 FR 係固定喺 LCN 786436
MFT 頭 4 個 FR 係記錄 NTFS 最重要嘅結構 data
當中包括 $MFT 本身同 $MFTMirror $LogFile $Volume 四個 NTFS 結構檔案
呢 4 個 FR 會 Mirror 咗喺 $MFTMirror 作為 backup

MFT File Record 記錄每個檔案或資料夾嘅 Metadata
如檔名同修改時間之類嘅資訊
當中包括稱為 data run 嘅資訊
用嚟記錄檔案嘅 data 放喺咩 LCN 同段 data 有幾長
一個檔案可以由多個 data run 組成
每個 data run 代表 HDD 磁頭要跳去另一個位置
defrag 工具嘅作用係將呢啲 data run 組合返一齊
減少個檔案嘅 data run 數目提升讀寫效能

如果個檔案嘅數據太細 FR 夠位放
會直接存放喺 FR 入面而唔用 data run 方式
呢類檔案叫 MFT resident file

Windows 解讀隻碟嘅時候
會先去 MBR 或 GPT 搵個分割區位置
分割區頭一個磁區固定係 bootsector
喺 bootsector 會搵到 $MFT 位置
$MFT 頭一個 FR 會搵到 $MFT 位置同長度
由 MBR/GPT 到 bootsector 到 MFT 每樣野都係有關連
中間少樣野讀唔到個 NTFS 就會變 RAW

如果你有興趣了解 NTFS 嘅結構
可以去下載 Active@ Disk Editor 嚟自已研究下
https://www.disk-editor.org/index.html

harryytm

PhotoRec 係靠認檔案 header 去 recover 檔案
完全無視任何檔案系統
只係用嚟救檔案唔係用嚟修復檔案系統
recover 出嚟嘅檔案唔包完唔完整
未出事前無做過 defrag 嘅話
recover 出嚟嘅檔案唔完整並唔出奇

vinsai

用MiniTool Partition Wizard之類軟件都係揾到38400 files，只係得全部files 嘅1/3 size
行CHKDSK (read only)就話154624 file records processed
同埋出好多error

1. Attribute list entry with type code 100 in file 5 is corrupt.
   
2. Attribute list entry with type code 80 in file 26 is corrupt.
   
3. 
   
4. File record segment A316 is an orphan.

複製代碼

依家可以做嘅係
係咪用PhotoRec 揾晒D files出嚟
用MiniTool Partition Wizard之類軟件recovery 返38400 files
再行CHKDSK睇下救唔救到就算?