Ricostruire la FAT di un HD esterno (NTFS)

[gonZales]

Intanto buongiorno,
per me l'altro ieri non lo è stato purtroppo, dopo aver trasferito senza problemi un filmato da un HD esterno usb ad una chiavetta.. l'HD è diventato un fantasma
Non mi dilungherò inutilmente sul come, cosa e perchè ma ho fondati motivi per credere che:
1) L' HD non sia danneggiato
2) I dati in esso contenuti non siano stati cancellati
3) Siano stati corrotti l'MBR e la FAT non da un virus ma dal malfunzionamento del controller usb del pc.

Ho aperto questa nuova discussione perchè dalle ricerche effettuate non ho avuto nessun riscontro, ho tentato più o meno tutte le prove consigliate qua e la utilizzando svariati software sia free che demo per il recupero dei dati persi.
Nessuno di questi programmi ha dato esito positivo...

Questa la situazione:
Se lascio il disco collegato nel suo scatolotto via usb viene riconosciuta la capacità corretta e alcuni dei programmi trovano qualcosa durante la scansione dei cluster ma niente di riconducibile ai file originali..
Se collego l'HD alla piattina ide del pc il bios all'avvio lo riconosce correttamente ma windows no: lo vede come un disco da 128 GB (in realtà è da 300 GB) e con i programmi (ho provato: Stellar Phoenix NTFS Data Recovery, File Rescue Plus 4.0, NTFS data recovery software..) niente, lo vedono addirittura con un file system fat12.

Eppure sono convinto che il contenuto ci sia ancora tutto!!
..cosa posso tentare ancora?
(prima di spedirlo ad un centro di recupero?)

[pimez75]

Stesso tuto problema solo che mi è successo con una penna da 16gb, ti dirò or ora sto utilizzando testdisk-6.9.win.zip speriamo bene, c'è la mia vita su quella maledetta penna. Provalo anche te.

[gonZales]

Ok, scaricato.. stasera provo
ma sto programma ricostruisce anche la FAT?

[Angelus88]

Originariamente inviato da gonZales

Se collego l'HD alla piattina ide del pc il bios all'avvio lo riconosce correttamente ma windows no: lo vede come un disco da 128 GB (in realtà è da 300 GB) e con i programmi (ho provato: Stellar Phoenix NTFS Data Recovery, File Rescue Plus 4.0, NTFS data recovery software..) niente, lo vedono addirittura con un file system fat12.

Allora prima di tutto installa il SP2 così che l'hard disk venga rilevato da 300GB.
Fatto ciò collega l'hard disk internamente come hai fatto e usa Get Data Back

[gonZales]

Originariamente inviato da Angelus88

Allora prima di tutto installa il SP2 così che l'hard disk venga rilevato da 300GB.
Fatto ciò collega l'hard disk internamente come hai fatto e usa Get Data Back

..intendi SP2 di WinXP?
..io sto usando ancora Win2000 SP4, questa +\- la config del pc:
MB Abit KT133A, Athlon1900xp, 512MB ram, 2x80GB in RAID0, il disco incriminato su IDE1

[Angelus88]

Ti spiego... con Windows 2000 e con Windows XP senza SP2, gli hard disk superiori a 128GB non vengono riconosciuti se non appunto con il limite a 128GB. Ti consiglio quindi se puoi di fare la procedura di recupero con un pc con Windows XP+SP2

[gonZales]

...ecco perchè!!

Grazie per il suggerimento, ora devo solo vedere di procurarmi un pc più recente!

...e cmq il recupero via usb neanche a parlarne se ho ben capito, vero?
anche perchè immagino che tutti i programmi di recupero lavorino a "basso livello" sfruttando il totale controllo del canale ide..

[Angelus88]

Beh via USB lo puoi fare ma se lo colleghi direttamente è meglio così se il box ha problemi evitiamo di usarlo e inoltre il recupero avviene più velocemente

[CRL]

Anche con win2K puoi vedere dischi oltre 127GB, in teoria il sp4 dovrebbe bastare se non erro, comunque scarica questo:

http://storage.free-driver-download....s-2000-XP.html

funziona con tutti i dischi di qualsiasi produttore, e dovrebbe servirti a vedre tutta la dimensione, controlla anche che il bios sia aggiornato all'ultima versione, e che questa supporti il cosiddetto lba48 o 48bitlba, che è il supporto a dischi grandi. Se no, cambia pc da cui recuperare.

Precisazione di termini, l'NTFS non ha la FAT chiaramente, e la struttura indice non viene consultata dai programmi di recupero, almeno non necessariamente, per questo il recupero è operazione lenta, si cercano i dati direttamente sul disco.

- CRL -

[gonZales]

Originariamente inviato da CRL

Precisazione di termini, l'NTFS non ha la FAT chiaramente, e la struttura indice non viene consultata dai programmi di recupero, almeno non necessariamente, per questo il recupero è operazione lenta, si cercano i dati direttamente sul disco.

- CRL -

...quindi in NTFS la File Allocation Table (FAT) se ho ben capito diventa Master File Table (MFT).. in pratica c'è sempre una tabella di allocazione dei file, o no?

[CRL]

E' diversa la struttura. Nella FAT c'è la FAT vera e propria, che contiene i record di ogni file, con il puntatore al settore dove inizia, e poi c'è una struttura a parte che tiene la struttura delle directory.
La MFT è una struttura unica che condensa le due, ogni record contiene il nome, gli attributi del file, il posizionamento nell'albero della directory, e tutti i settori che sono occupati da quel file.
C'è anche una seconda copia della MFT per sicurezza, salvata in una porzione diversa del disco, ed in caso di discrepanze si fa il famoso controllo di coerenza che ogni tanto parte da solo quando stacchi l'alimentazione al pc, e al riavvio ricontrolla che ci sia coerenza tra le due strutture, cioè che nessuna operazione pendente sui dischi sia stata interrotta. Si può anche impostare che il numero di MFT di riserva sia più di uno, avendo maggiore sicurezza.
Ora sono un po' arrugginito sulla faccenda, forse non sono stato precisissimo, ma più o meno a memoria dovrebbe essere così, spero possa aiutarti.

In ogni caso questo modo di organizzare la struttura indice dei dati consente una percentuale di recuperabilità molto maggiore con l'NTFS rispetto alla FAT, in particolare per file frammentati o per file con dipendenze da altri file.

Uno dei migliori documenti free sulla rete a riguardo è questo:

http://www.runtime.org/recoverability.htm

- CRL -

[rеpne scasb]

Il problema "potrebbe" essere legato ad una rotazione (tipicamente di 32 byte) del settore 0 (MBR). Tale problema si presenta con alcuni USB2ATA/ATAPI converter chip (Cypress??), in particolari condizioni di sovrassaturazione dell'I/O da e per il bus USB (specialmente 2.0).

Il settore di boot se analizzato con Diskedit (da DOS), o da analogo software, presentera' la signature zone (0AA55h) non nella posizione 01FEh-01FFh, ma ruotata di 32 byte. Ossia: cio' che era nella posizione 1E0h-1FFh si trovera' nella posizione 0h-1Fh, cio' che era nella posizione 20h-1DFh, si trovera' nella posizione 1E0h-1FFh.

Un simile MBR, e del tutto illegibile, e sovente un sistema operativo che lo legga potrebbe riportare dimensioni e caratteristiche del disco rigido scorrette o impossibili.

Supponento che la rotazione sia di 'nn' byte, per ripristinare il corretto MBR, via diskedit si deve:

1) Copiare i byte da '0' a '511-nn' compresi, nel settore 1 (il successivo al MBR,e generalmente non utilizzato) nella posizione 'nn'.

2) Copiare i byte da '512-nn' a '511' compresi nel settore 1, nella posizione '0'

Se comunque posti un screenshoot dell'MBR del disco rigido sapro' esserti di maggir aiuto.

[CRL]

Grazie dell'intervento repne scasb, vedo che sei tornata al nick storico, è sempre un piacere.

- CRL -

[rеpne scasb]

Originariamente inviato da CRL

Grazie dell'intervento repne scasb, vedo che sei tornata al nick storico, è sempre un piacere.

- CRL -

Nick riesumato grazie all'alfabeto cirillico. Nel messaggio precedente mi sono dimenticata il punto:

3) Copiare il settore 1 sul settore 0.

[gonZales]

Intanto buongiorno.. e buon lunedì
questo fine settimana ho fatto alcune prove e.. credo di essere sulla buona strada
Ho installato il programmino della maxtor così anche il mio Win2k vede correttamente il disco da 300GB, dopo ho rifatto la scansione col Data Recovery della Stellar Phoenix (che avevo già scaricato) e stavolta mi trova praticamente tutto.. prima di procedere col recupero però (devo prima acquistare la licenza per abilitare il salvataggio dei file) vorrei tentare la soluzione proposta da rеpne scasb.
Se fosse veramente possibile riparare l'MBR che credo sia successo proprio quanto descritto:

Originariamente inviato da rеpne scasb

Il problema "potrebbe" essere legato ad una rotazione (tipicamente di 32 byte) del settore 0 (MBR). Tale problema si presenta con alcuni USB2ATA/ATAPI converter chip (Cypress??), in particolari condizioni di sovrassaturazione dell'I/O da e per il bus USB (specialmente 2.0).

..beh eviterei l'acquisto di un nuovo HD con la capacità necessaria al trasferimento di tutti i dati..
ho cercato Diskedit sulla rete ma nn ho trovato, ci sono altre utility adatte allo scopo? vorrei postare uno screenshoot dell'MBR come consigliatomi e vedere se si può fare..

intanto grazie a tutti!!

[rеpne scasb]

Originariamente inviato da gonZales

[CUT]...intanto grazie a tutti!!

1) Scaricati HDHacker da: http://dimio.altervista.org/ita/
2) Scaricati HexEdit da: http://www.physics.ohio-state.edu/~prewett/hexedit/
3) Esegui HDHacker
3a) Physical Drive [0,1,2....n]
3b) Read Sector from disk
3c) Save sector to file
3d) Chiudi HDHacker
4) Esegui HexEdit
4a) Carica il file contenente il settore MBR
5) Allega uno screenshoot del settore MBR in esadecimale

In alternativa, allega in un tuo post il file da 512 byte prodotto da HDHacker.

[gonZales]

Originariamente inviato da rеpne scasb

5) Allega uno screenshoot del settore MBR in esadecimale

In alternativa, allega in un tuo post il file da 512 byte prodotto da HDHacker.

Eccomi qua,
allego sia lo screen che il file .dat
(spero che l'upload funzioni..)

[rеpne scasb]

Originariamente inviato da gonZales

Eccomi qua,
allego sia lo screen che il file .dat
(spero che l'upload funzioni..)

Il settore MBR che hai allegato appartiene ad un hard-disk di circa 300Gb con un unica partizione NTFS primaria non bootabile e non presenta danneggiamenti. Un ultima accortezza: poiche' il file che hai allegato si chiama MBR_HardDisk0.dat sei sicuro di aver settato nel software HDHacker il disco fisico giusto?

[gonZales]

Sì, è quello giusto.. win si trova sui dischi collegati al controller RAID che sono visti come disco 1, mentre il disco in oggetto è collegato sul primo IDE ed è esattamente configurato come hai detto..
..scusa, che intendi che non presenta danneggiamenti?

[rеpne scasb]

Originariamente inviato da gonZales

che intendi che non presenta danneggiamenti?

Il settore MBR non presenta danneggiamenti, quindi la perdita dei tuoi dati non dipende da una corruzione del settore MBR ma da altre cause non dipendenti da cio' che io avevo supposto.