TestDisk шаг за шагом

From CGSecurity
Jump to: navigation, search

En.png English Cn.png 中文 De.png Deutsch Es.png Español Fr.png Français Ir.png فارسی It.png Italiano Pl.png Polski Ro.png Română Ru.png Русский


Этот пример проблемной (Пример восстановления) ситуации представляет собой пошаговые действия при работе с TestDisk, позволяющие восстановить и исправить поврежденные/ый раздел/ы.

Translation of this TestDisk manual to other languages are welcome.

Пример проблемы

Мы имеем жесткий диск объемом 36GB, содержащий 3 раздела. К сожалению:

  • загрузочный сектор на основном разделе NTFS был поврежден, и
  • логический раздел NTFS был случайно удален.

Этот пример восстановления покажет пошаговые действия использования TestDisk, чтобы восстановить эти 'потерянные' разделы:

  • перезапись поврежденного загрузочного сектора, и
  • восстановление случайно удаленного логического раздела NTFS.

Восстановление раздела FAT32 (вместо приведенного в данном руководстве NTFS раздела) может быть достигнуто, если проделывать такие же действия.
Также доступны для изучения другие примеры восстановления.
Для получения информации о FAT12, FAT16, ext2/ext3, HFS +, ReiserFS и других типов разделов, читайте Запуск TestDisk. Running the TestDisk Program.

Одним из условий при работе в программе является:

  • Запуск программы должен осуществляться с привилегиями / правами "администратора".

Важные моменты для использования TestDisk:

  • Чтобы перейти в TestDisk, используйте клавиши стрелки Вверх/Вниз и PageUp/PageDown.
  • Чтобы продолжить, подтвердите свой выбор нажатием клавиши Enter.
  • Чтобы вернуться к предыдущему дисплею или выйти TestDisk, используйте клавишу Q (выход).
  • Чтобы сохранить изменения в сделанные при работе TestDisk, вы должны подтвердить их клавишей Y (да) и / или Enter
  • Для записи данных в раздел MBR, вам необходимо выбрать "Write" посредством выбора с клавиатуры и нажмите клавишу Enter.

Признаки

1. Если на жестком диске первичный раздел содержит операционную систему, то, скорее всего, которая больше не загрузиться; из-за в первичном разделе загрузочного сектора.
2. Если жесткий диск содержит вторичные разделы, к которым невозможно получить доступ или вы можете подключаете свой диск на второй канал в другом компьютере (обычно там подключены CD / DVD привод),и наблюдаются следующие симптомы следующие симптомы бы отметил следующее:

  1. Проводник Windows или Дисковый менеджер отображает первый первичный раздел как raw неотформатированный и Windows показывает:
    The drive is not formatted, do you want to format it now? [Ваш диск неотформатирован. Отформатировать его сейчас?]
  2. Логический раздел отсутствует. В ПРОВОДНИКЕ Windows логический диск не доступен. В Оснастке Управление дисками отображает только "незанятое пространство", на месте где этот логический раздел был расположен.

Запуск TestDisk

Если TestDisk еще не установлен, он может быть загружен с TestDisk Download. Распакуйте все файлы из архива включая подпапки.

Чтобы восстановить потерянный раздел или восстановить файловую систему жесткого диска, USB накопителя, смарт-карты..., вы должны обладать необходимыми правами для доступа к устройству.

  • Dos.png для Dos, запустите TestDisk.exe
  • Win.png для Windows, запустите TestDisk (пример testdisk-6.9/win/testdisk_win.exe) с учетной записью которая входит в группу Администраторы. Для Vista, нажмите правую кнопку мыши и выберите "Запуск от имени администратора" чтобы запустить TestDisk.
  • Linux.png для Unix/Linux/BSD, вам необходимо иметь права root чтобы запустить TestDisk (пример sudo testdisk-6.9/linux/testdisk_static)
  • Macosx.png для MacOSX, если вы не имеет прав root, TestDisk (пример testdisk-6.9/darwin/TestDisk) перезупустит себя используя sudo после подтверждения с вашей стороны.
  • Os2.png для OS/2, TestDisk не работает с физическими устройствами, только с образами дисков, извините.

Чтобы восстановить раздел с образа устройства или восстановить файловую систему образа, запустите

  • testdisk image.dd чтобы разделить образ
  • testdisk image.E01 чтобы восстановить файлы с образа Encase EWF
  • testdisk 'image.???' если образ Encase разбит на несколько файлов.

Linux.png Macosx.png Чтобы восстановить файловую систему которая не отображается в TestDisk, запустите testdisk device, например

  • testdisk /dev/mapper/truecrypt0 или testdisk /dev/loop0 чтобы восстановить файлы загрузочных секторов NTFS или FAT32 с раздела TrueCrypt. Этот же метод работает с файловыми системами зашифрованными с помощью cryptsetup/dm-crypt/LUKS.
  • testdisk /dev/md0 чтобы восстановить файловую систему на Linux Raid устройстве.

Создание лога

menu create
  • Выберите Create если вы не хотите добавить новый лог к существующему и вы не запускаете TestDisk с накопителя только для чтения на котором невозможно создать лог.
  • Нажмите Enter для продолжения.

Выбор диска

Все жесткие диски должны быть определены TestDisk'ом и перечислены, их размер должен быть указан правильно:

disk selection
  • Пользуйтесь кнопками стрелок вниз/вверх для выбора "проблемного" жесткого диска.
  • Нажмите Ввод (Enter) для продолжения.

Macosx.png По возможности, выбирайте низкоуровневые (raw) /dev/rdisk* устройства вместо логических /dev/disk* для повышения скорости передачи данных.

Выбор типа Таблицы Разделов

TestDisk отображает типы Таблицы Разделов (Partition Table types).

menu partition table type
  • Выберите нужный тип Таблицы Разделов. Обычно правильное значение уже выбрано "по умолчанию", поскольку TestDisk при анализе определяет тип таблицы автоматически.
  • Нажмите Ввод (Enter) для продолжения.

Статус Таблицы Разделов текущего диска

TestDisk отображает следующее меню (см. также TestDisk Menu Items).

menus
  • Выберите пункт меню "Анализ" ("Analyse") для проверки структуры разделов текущего диска и поиска "потерянных" разделов.
  • Нажмите Enter для продолжения.

Далее будет отображена текущая структура разделов. Изучите её на предмет отсутствия разделов или ошибки.

Analyse

Первый раздел отображен в списке дважды, что указывает на поврежденный раздел или недействительную запись таблицы разделов,
сообщение Invalid NTFS boot указывает на неисправный загрузочный сектор NTFS, что говорит о неисправной файловой системе.
В расширенном разделе доступен только один логический раздел с меткой [Partition 2]. Второй логический раздел отсутствует.

  • Нажмите Quick Search (Быстрый поиск) для продолжения.

Быстрый поиск разделов

vista check
  • Ответьте на вопрос Should TestDisk search for partition created under Vista? (Производить поиск разделов созданных под ОС Vista?).

Если не знаете или не уверены рекомендуется ответить утвердительно. TestDisk отображает результаты поиска в режиме реального времени.

quick search

TestDisk нашел два раздела, включая потерянный логический с меткой Partition 3.

first results
  • Выберите этот раздел и нажмите p для отображения списка файлов (Для выхода из режима отображения списка файлов, нажмите q).

Все папки и файлы отображаются нормально. (Утилита не понимает русский язык, поэтому файлы с русскими именами будут отображены не корректно)

  • Нажмите Ввод (Enter) для продолжения.

Сохранить таблицу разделов или продолжить поиск?

menu search!
  • Когда все искомые разделы присутсвтуют и данные о них отображаются правильно, вам следует выбрать пункт Write в меню чтобы сохранить структуру разделов. Пункт меню Extd Part дает вам возможность решить будет ли расширенный раздел использовать все доступное дисковое пространство или только необходимое (минимальное).
  • Так как первый раздел все еще отсутствует, выберите пункт меню Deeper Search (если он не был выбран автоматически) и нажмите (Enter) для продолжения.

Раздел все еще отстутсвует: Deeper Search

Deeper Search так же ищет резервную копию загрузочного сектора FAT32, резервную копию суперблока загрузочного сектора NTFS , резервную копию суперблока ext2/ext3 чтобы найти больше разделов,

будет проверяться каждый цилиндр
quick search
(click on thumb).

После Deeper Search, результаты будут отображены как на рисунке ниже:
Первый раздел "Partition 1" был найден с помощью резервной копии загрузочного сектора. В нижней строке окна можно увидеть сообщение "NTFS found using backup sector!" и размер раздела. Второй раздел "Partition 2" отображен дважды с различными размерами.
Оба раздела помечены со статусом D для удаления, потому что они частично совпадают.

results deeper search!
  • Highlight the first partition Partition 2 and press p to list its data.
The file system of the upper logical partition (label Partition 2) is damaged
damaged file system
(click on thumb).
  • Press q for Quit to go back to the previous display.
  • Let this partition Partition 2 with a damaged file system marked as D(deleted).
  • Highlight the second partition Partition 2 below
  • Press p to list its files.
list files

It works, you have found the correct partition!

  • Use the left/right arrow to navigate into your folders and watch your files for more verification

Note: FAT directory listing is limited to 10 clusters, some files may not appears but it doesn't affect recovery.

  • Press q for Quit to go back to the previous display.
  • The available status are Primary, * bootable, Logical and Deleted.

Using the left/right arrow keys, change the status of the selected partition to L(ogical)

set partition to recover

Hint: read How to recognize primary and logical partitions?
Note: If a partition is listed *(bootable) but if you don't boot from this partition, you can change it to Primary partition.

  • Нажмите Ввод (Enter) для продолжения.

Partition table recovery

It's now possible to write the new partition structure.
Note: The extended partition is automatically set. TestDisk recognizes this using the different Partition structure.

menu write
  • Confirm at Write with Enter, y and and Ok.

Now, all partitions are registered in the partition table.

Восстановление загрузочного сектора NTFS

The boot sector of the first partition named Partition 1 is still damaged. It's time to fix it. The status of the NTFS boot sector is bad and the backup boot sector is valid. Boot sectors are not identical.

backup bs
  • To copy the backup of the boot sector over the boot sector, select Backup BS, validate with Enter, use y to confirm and next Ok.

More Information about repairing your boot sector under TestDisk Menu Items. The following message is displayed:

after backup bs

The boot sector and its backup are now both ok and identical: the NTFS boot sector has been successfully recovered.

  • Press Enter to quit.
reboot
  • TestDisk displays You have to restart your Computer to access your data so press Enter a last time and reboot your computer.

Восстановление удаленных файлов

TestDisk может восстанавливать

If it doesn't work or for other filesystem, try PhotoRec, a signature based file recovery utility.

Вернуться на основную страницу TestDisk