Dotaz: Obnova dat z flashky

[Vtipnéř]

Všechny zdravím.

Dcera přinesla od spolužáka ve škole flashku (30 GB), že Windows ji nepřipojí a chtějí ji přeformátovat, a jestli by z ní šlo něco zachránit.

Po zasunutí se objevilo zařízení /dev/sdb, ale fdisk nenašel žádný oddíl. Udělal jsem image, to proběhlo v pohodě, vadné sektory na ní asi nejsou, jen ze začátku se data přenášela velmi pomalu, odhadovaný čas byl 20 hodin. Ale asi po 5 hodinách jsem zjistil, že je hotovo, někde v průběhu se to zrychlilo.

Na image jsem vyzkoušel pár záchranných programů (testdisk, gpart,...), žádné zbytky oddílů se nepodařilo najít, jen photorec na ní našel soubory nebo jejich zbytky. řekl bych že víc z ní nevytáhnu.

Píšu ale z jiného důvodu. Začátek image (asi prvních 30 MB) je hodně zvláštní, každý bajt je zdvojený, jen občas je tam pár sektorů jiných. Jako ukázku uvádím první sektor hexadecimálně, ale podobná struktura je v celém úseku.

 63 63 C3 C3 | DA DA 79 79 | C2 C2 AE AE | 40 40 5D 5D | DD DD 1F 1F | 26 26 86 86 | 1A 1A CA CA
 2B 2B C1 C1 | EA EA B6 B6 | 5B 5B AC AC | 88 88 82 82 | 96 96 8A 8A | D1 D1 13 13 | 00 00 EA EA
 A3 A3 7A 7A | CE CE 33 33 | DB DB 70 70 | 98 98 A3 A3 | 9D 9D 9C 9C | 1B 1B BE BE | 08 08 FB FB
 91 91 ED ED | 5E 5E 40 40 | 3F 3F FC FC | 77 77 7A 7A | 5F 5F 8E 8E | 9A 9A AC AC | BD BD 8A 8A
 9D 9D B6 B6 | 51 51 4B 4B | 08 08 F0 F0 | D4 D4 65 65 | 86 86 2E 2E | A9 A9 45 45 | F3 F3 E6 E6
 E6 E6 63 63 | AB AB 1C 1C | 91 91 EC EC | 35 35 3B 3B | 5A 5A 7D 7D | 6F 6F 28 28 | AE AE 3D 3D
 B1 B1 B8 B8 | 3B 3B E0 E0 | E1 E1 A0 A0 | 91 91 01 01 | 80 80 93 93 | 4D 4D 47 47 | E3 E3 84 84
 67 67 DF DF | 4C 4C A3 A3 | 0C 0C 21 21 | 5A 5A 62 62 | 2D 2D D2 D2 | 5C 5C 7A 7A | 17 17 E5 E5
 6F 6F 92 92 | 32 32 F2 F2 | 87 87 E0 E0 | 0C 0C 15 15 | 39 39 16 16 | BA BA 1F 1F | E1 E1 79 79
 00 00 64 64 | 7C 7C E8 E8 | 8D 8D 18 18 | CE CE 9D 9D | 89 89 BE BE | C4 C4 88 88 | FE FE 9E 9E
 0C 0C A5 A5 | 42 42 59 59 | 71 71 F2 F2 | B3 B3 83 83 | 78 78 82 82 | F4 F4 AB AB | B9 B9 4F 4F
 D3 D3 CE CE | 7A 7A DB DB | 96 96 A1 A1 | F0 F0 9D 9D | 65 65 60 60 | 17 17 FA FA | 45 45 0A 0A
 1B 1B 58 58 | 31 31 A8 A8 | 58 58 67 67 | EA EA 44 44 | AC AC FE FE | 6D 6D FF FF | 33 33 8C 8C
 0D 0D 08 08 | AD AD 1A 1A | 82 82 5A 5A | F9 F9 77 77 | 13 13 F2 F2 | 1D 1D D1 D1 | B6 B6 DE DE
 BB BB 37 37 | 7D 7D 7A 7A | 8D 8D D4 D4 | BD BD 3B 3B | 89 89 4C 4C | 33 33 DA DA | 1B 1B E3 E3
 84 84 49 49 | 4F 4F BB BB | 5F 5F BB BB | 92 92 A3 A3 | 4F 4F C6 C6 | 3C 3C 29 29 | 3C 3C 3D 3D

Díval jsem se na různé filesystémy, ale na nic podobného jsem nenarazil. Předpokládám, že se to tam dostalo při tom, když flashka přestala fungovat. Pokud by někdo věděl, co to způsobilo, třeba by to mohlo pomoci při obnově dat.

Jirka

Odpovědi

[ewew]

Link na nejaké informácie.

Toto vyzerá na porušenú FAT tabulku. Síce FAT má možnosť používať viacnásobne kópie ale nepredpokladám, že je to tento prípad. Ak chceš nejaké data získať použi nástroje spomenuté v blogu. Nevýhoda týchto nástrojov je, že fungujú na princípe hlavičiek súborov. Taktiež je obnova súboru závisla na tom, či boli súbory uložené v celku a nie fragmentované po dátovom priestore.

Iná možnosť je nechať obnoviť data v špecializovanej firme ale to má aj svoju cenu.

[Vtipnéř]

Díky za tipy, foremost a scalpel jsem neznal. Foremost našel daleko víc souborů než photorec, teď zkouším scalpel, ale žere hrozně moc místa na disku, několikanásobně víc, než měla původní flashka.

FAT tabulka je porušená určitě, mate mě, že je poničený i úplně první sektor, kde bývá zaváděcí sektor nebo tabulka oddílů. Navíc je tu ta zvláštní struktura poškozené oblasti. Čekal bych, že při vytažení neodpojené flashky, což bývá nejčastější zdroj chyb, se něco podobného nestane. Spíš bych řekl, že poškození zavinil nějaký program či virus.

Dalo by se nějak zjistit, jak velká byla FAT tabulka a kde by měla začínat data? Někde jsem četl, že délka tabulky není pevně určena a pro 30 GB flashku by mohla být kolem 0.5 GB.

Jirka

[Vtipnéř]

Scalpel ukončil činnost hlášením

Scalpel was unable to write output files and will abort.
This error generally indicates that disk space is exhausted.
Error carving file Scalpel was unable to write output files and will abort.
This error generally indicates that disk space is exhausted.

Přitom měl ještě 95GB volného místa (sežral 255 GB).

Podívám se na výsledek.

Jirka

[Max]

Na opravdu poškozené FAT32 a NTFS se mi nejlépe osvědčil Active@ Partition Recovery. Je to bohužel komerční win app, ale zvládá to lépe, než třeba photorec nebo getdataback.
Zdar Max