เป็นไปได้ที่จะกู้คืน MFT ของพาร์ติชั่น NTFS หลังจากฟอร์แมตหรือไม่?


4

ฉันค้นหาคำถามหลายข้อแล้ว แต่ก็ไม่ค่อยพบใครที่ปฏิบัติต่อฉัน

ดังนั้นฉันมีฮาร์ดไดรฟ์ภายนอก 1TB ที่ฉันใช้เพื่อการสำรองข้อมูลด้วยพาร์ติชัน NTFS เพียง 1 ตัว วันนี้ใช้DiskPartฉันสร้างพาร์ติชันนั้นโดยไม่ได้ตั้งใจ (ใครจะคิดว่าจำนวนแผ่นดิสก์เริ่มต้นที่ 0 และไม่ใช่ใน 1) คำสั่งทั้งหมดที่ฉันใช้คือ:

format recommended override quick label=Windows

ดังนั้นฉันจึงทำการฟอร์แมตแบบรวดเร็วและจากที่ฉันได้อ่านหลังจากฟอร์แมตแบบรวดเร็วมันเป็นไปได้ที่จะกู้คืนข้อมูลที่เก็บไว้ที่นั่น อย่างไรก็ตามทันทีที่ฉันรู้ว่ามันไม่ใช่พาร์ติชันที่ฉันต้องการจัดรูปแบบที่ฉันระบุฉันได้ลบการเข้าถึงไดรฟ์ภายนอกของฉันเพื่อลดความเสียหายที่เป็นไปได้

ขณะนี้ MFT เป็นส่วนเมทาดาทาที่มีการลงทะเบียนชื่อไฟล์วันที่สร้างสิทธิ์การเข้าถึงและเนื้อหา และมันก็ทำมิรเรอร์ด้วย (มีสำเนาอยู่ในดิสก์) สิ่งที่ฉันไม่รู้คือถ้ารูปแบบที่รวดเร็วลบ MFT มิเรอร์เช่นกันฉันหวังว่าไม่

ฉันกำลังเรียกใช้โปรแกรมเพื่อกู้คืนไฟล์บน แต่ฉันจะต้องบันทึกไฟล์ไปยังตำแหน่งอื่น (เมื่อสแกนเสร็จประมาณ 12 ชั่วโมงจากนี้) และฉันไม่มีพื้นที่เก็บข้อมูลฟรีมากกว่า 900GB ข้อมูล.

ฉันต้องการทราบว่ามีโปรแกรมหรือขั้นตอนที่ฉันสามารถกู้คืน MFT เดิมได้หรือไม่และมีข้อมูลทั้งหมดที่เคยมีให้เข้าถึงได้อีกครั้ง

ความช่วยเหลือหรือแสงที่คุณสามารถหลั่งในวิธีการดำเนินการต่อหรือสิ่งที่โปรแกรมที่จะใช้ชื่นชมจริงๆ


ฟอรัมเช่นนี้อาจมีคำตอบเพิ่มเติม ... forensicfocus.com/
Moab

@Ariadne - "ใครจะคิดว่าจำนวนแผ่นดิสก์เริ่มต้นใน 0 และไม่ได้อยู่ใน 1" รายการของอุปกรณ์สตริงของตัวละคร ฯลฯ มักจะเริ่มดัชนีที่ศูนย์และไม่ใช่หนึ่งรายการ เวลาส่วนใหญ่ที่ผู้ใช้เช่นคุณไม่จำเป็นต้องรู้หรือสนใจ บทเรียนที่ยากที่จะเรียนรู้ ฉันขอให้คุณโชคดีที่สุดในการกู้คืนข้อมูลของคุณ
Mike Chess

@Moab: ขอบคุณมากสำหรับการโพสต์ลิงค์นั้นในกระทู้นั้นการโพสต์โดย jaclaz ชี้แจงว่ามันเป็นไปไม่ได้ที่จะบรรลุสิ่งที่ฉันอยากรู้ ส่วนใหญ่เป็นเพราะ mirror MFT จะถูกแทนที่ด้วยและเป็นเพียง mirror ของ 4 รายการแรกเท่านั้น
Ariadne Sousa

@ ไมค์หมากรุก: ใช่บทเรียนที่ยากลำบาก แต่ไม่มีอะไรให้ทำอีกแล้ว แต่พยายามกู้คืนข้อมูลนั้น ฉันได้รับคำสั่งฮาร์ดไดรฟ์ใหม่แล้วว่าจะคืนค่าไฟล์ที่กู้คืน การสแกนที่ฉันวิ่งเมื่อวานนี้สามารถค้นหาข้อมูลส่วนใหญ่ที่อยู่ภายในได้
Ariadne Sousa

@Moab เนื่องจากคุณเป็นคนหนึ่งที่พบคำตอบโดยตรงกับคำถามถ้าคุณเขียนคำตอบอื่นหรือแก้ไขคำตอบปัจจุบันของคุณโดยบอกว่ามันเป็นไปไม่ได้และชี้ไปที่หัวข้อนั้นฉันจะทำเครื่องหมายว่ายอมรับแล้ว
Ariadne Sousa

คำตอบ:


2

chkdsk สามารถกู้คืน MFT จากมิเรอร์สำรองข้อมูลของคุณก่อนที่จะทำอะไรซื้อไดรฟ์ usb หากจำเป็นหรือเสี่ยงต่อการสูญเสียข้อมูลทั้งหมด

ไม่มีทางที่ใคร ๆ จะได้รู้ว่ารูปแบบด่วนไปไกลแค่ไหนก่อนที่จะออก

ไม่เคยใช้ซอฟต์แวร์นี้ แต่ดูน่าสนใจ

http://dmitrybrant.com/ntfswalker

ตาม Jaclaz ในฟอรั่มนี้เป็นไปไม่ได้

http://www.forensicfocus.com/index.php?name=Forums&file=viewtopic&t=6425

สำหรับบันทึกนั้นไม่เหมือนที่คนส่วนใหญ่คิดว่า $ MFTMirr นั้นไร้ประโยชน์เพราะมันประกอบด้วยระเบียน 4 (สี่) ตัวแรกของ $ MFT เท่านั้น เห็นได้ชัดว่าเมื่อคุณฟอร์แมตใหม่จะเป็นการแสดงมิเรอร์ของระเบียน 4 $ แรกของ NEW $ MFT ยกเว้นว่าคุณเปลี่ยนขนาดพาร์ติชันอย่างต่อเนื่อง (ซึ่งจะทำให้ $ MFT ใหม่และ $ MFTmirror เป็น "ที่อื่น") หรือคุณใช้ ระบบ NT ที่ใช้ "ค่าเริ่มต้น" ที่แตกต่างกันสำหรับการจัดวางโครงสร้างเหล่านี้ - เช่น Windows 2000 ซึ่งในกรณีนี้โครงสร้างระบบไฟล์ OLD อาจไม่ถูกเขียนทับ

.


ขอบคุณฉันจะซื้อฮาร์ดไดรฟ์ตัวอื่นอย่างแน่นอนหากฉันสามารถกู้คืนบางสิ่งหรือก่อนดำเนินการที่มีความเสี่ยงchkdskตัวอย่างเช่นไม่เพียง แต่อ่าน ฉันเพิ่งลอง ntfswalker แต่ MFT ดูเหมือนจะว่างเปล่าส่วนใหญ่อาจเป็นเพราะการดำเนินการรูปแบบ ตอนนี้ฉันมีซอฟต์แวร์กู้คืนข้อมูลที่สแกนผ่านดิสก์ แต่จะใช้เวลา 9 ชั่วโมงกว่าจะเสร็จสิ้นดังนั้นจึงมีหลายสิ่งที่ต้องทำ แต่รอ
Ariadne Sousa

1
chkdsk ที่ไม่มีสวิตช์ใด ๆ จะทำงานในโหมดอ่านอย่างเดียว
Moab

1

ฉันทำสิ่งที่คุณอธิบายไปก่อนหน้านี้ไม่มากก็น้อย สองครั้งจริง เวลาครั้งที่ 2 4TB โวลุ่ม RAID-5 (เพียงเพื่อความสนุกสนาน;) ครั้งแรกรอบฉันจบลงด้วยการซื้อRestorer ที่ดีที่สุด มันใช้งานได้ทั้งสองครั้งไม่ต้องพูดถึงในโอกาสอื่น ๆ ที่มีระดับความยากต่างกันถึงแม้จะไม่ได้ 100% ก็ตาม ซอฟต์แวร์ทำงานในโหมดสาธิตซึ่งจะแจ้งให้คุณทราบว่าสามารถเรียกคืนไฟล์ใดได้บ้าง ในกรณีของคุณฉันคิดว่านั่นคือทุกอย่าง


ขอบคุณสำหรับคำตอบการสแกนที่ฉันรันเมื่อวานนี้สามารถพบไฟล์ส่วนใหญ่ได้ (เป็นการยากที่จะบอกว่าไฟล์นั้นเสียหายหรือยังไม่พอ); ฉันได้สั่ง HD ใหม่ที่คุ้มค่าสำหรับการวางข้อมูลที่ถูกกู้คืน
Ariadne Sousa

0

เป็นการเริ่มต้น ...

การกู้คืนพาร์ติชั่นแบบไม่เจ็บปวด

พาร์ติชัน Find & Mount ใช้แนวคิดใหม่ของการกู้คืนพาร์ทิชันที่ถูกลบหรือสูญหาย มันทำงานในวิธีที่สะดวกที่สุดเท่าที่จะเป็นไปได้ - โดยการค้นหาและติดตั้งพาร์ติชั่นในระบบจึงทำให้พาร์ติชั่นที่สูญหายเหล่านั้นพร้อมใช้งานสำหรับคุณเช่นดิสก์ไดรฟ์ทั่วไป Partition Find & Mount จะทำงานในกรณีที่บันทึกการบูต (รวมถึง Master Boot Record) สูญหายเสียหายหรือถูกเขียนทับ "

http://findandmount.com/

มิฉะนั้นฉันคิดว่าคุณสามารถหาสาธารณูปโภคเพื่อกู้คืน MBR - ไม่เป็นอันตราย


ขอบคุณสำหรับคำตอบพาร์ติชั่นนั้นไม่ถูกลบหรือการปรับเปลี่ยนตารางพาร์ติชั่นหรือ MBR ฉันเพิ่ง "จัดรูปแบบด่วน" พาร์ติชันนั้น
Ariadne Sousa
โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.