Utrata danych i „pusta partycja”: przyczyny, ryzyko i metody odzyskiwania

Utrata danych i „pusta partycja”: przyczyny, ryzyko i metody odzyskiwania

Partycja, zwana też dyskiem logicznym, to w najprostszym przypadku wydzielony logicznie obszar dysku fizycznego. Zwykle na jednym dysku fizycznym możemy mieć jedną lub kilka partycji, z których niektóre mogą mieć specjalne znaczenie. Mogą to być partycje zarezerwowane na potrzeby systemu operacyjnego lub popularne w laptopach partycje odzyskiwania systemu (recovery). Możliwe są też sytuacje, kiedy jedna partycja będzie się znajdowała na kilku fizycznych nośnikach. Z takim rozwiązaniem najczęściej spotykamy się w przypadku macierzy RAID (Redundand Array of the Independent Discs).

Powodów zaginięcia partycji może być wiele. Do najczęstszych z nich należą błędy użytkownika takie, jak nieudane eksperymenty z logicznym podziałem dysków, przypadkowe sformatowanie nie tego dysku, co trzeba, podpięcie dysku zewnętrznego do telewizora. Drugą ważną grupą przyczyn utraty dostępu do partycji są wirusy i wszelkiego rodzaju złośliwe oprogramowanie. Błędy o charakterze fizycznym mogą być przypadkowe - jak np. nagły zanik zasilania w sieci elektrycznej podczas zapisywania danych, jednak najczęściej są one objawami lub zwiastunami awarii nośnika. Częstą przyczyną błędów zapisu na dyskach twardych są błędy namagnesowania powierzchni spowodowane niestabilnym zasilaniem.

Problem ten dotyczy zwłaszcza dysków w komputerach stacjonarnych, w których dyski są podpięte bezpośrednio do zasilacza. Jeśli zasilacz pracuje niestabilnie, podaje napięcia wahające się w szerokim zakresie lub znacznie odbiegające od nominalnych, awaria podłączonego do takiego zasilacza dysku jest kwestią czasu. W przypadku dysków zewnętrznych, podłączanych przez USB zaginięcie partycji, pojawienie się partycji RAW lub złożona przez system operacyjny propozycja sformatowania dysku może oznaczać naprawdę poważny problem.

Przejściówki USB - SATA często mają własny BIOS, który umożliwia zdetektowanie przez system operacyjny dysku pod nazwą wybraną przez producenta obudowy niezależnie od faktycznego modelu znajdującego się w tej obudowie napędu. Taka przejściówka potrafi się zgłosić w systemie także wtedy, kiedy podłączony przez nią dysk jest niesprawny, a nawet, gdy żaden dysk nie jest do niej podłączony. Wtedy właśnie najczęściej pojawia się problem z dostępem do partycji. Przejściówki USB-SATA czasami zawierają także klucze szyfrujące. Utrata takiej przejściówki może uniemożliwić odszyfrowanie znajdujących się na dysku danych. Trzeba pamiętać, że jeżeli przejściówka ma możliwość szyfrowania danych, to szyfruje je nawet wtedy, gdy na dysku nie jest założone hasło.

Co oznacza „pusta partycja” i dlaczego dane mogą nadal istnieć

Pierwszy sektor dysku (LBA 0 - bo sektory numerowane są począwszy od 0) jest sektorem rozruchowym. Często ten sektor jest też określany jako MBR - od angielskiej nazwy Master Boot Record. W sektorze tym zapisana jest tablica partycji - informacja o zapisanych na dysku partycjach.

Nie zawsze musi to być informacja o wszystkich partycjach znajdujących się na dysku i nie zawsze musi się bezpośrednio odnosić do każdej z nich. Zapis w tablicy partycji może np. Po odczytaniu zawartości sektora rozruchowego ustalane są i odczytywane pierwsze sektory poszczególnych partycji. Sektory te mają różne nazwy w zależności od typu systemu plików, np. Boot w przypadku partycji FAT i NTFS, Volume Header w partycjach HFS lub superblock w partycjach typu Ext, XFS, UFS, czy ReiserFS.

Na podstawie informacji zawartych w tych sektorach ustalane są podstawowe parametry partycji, jak np. rozmiar klastrów, oraz położenie pozostałych metadanych, jak np. tablice alokacji plików (File Allocation Table) i katalogi w partycjach FAT, rekordy MFT (Master File Table) w partycji NTFS, czy tablice węzłów indeksowych inode w partycjach Ext itd. W sytuacji, kiedy dochodzi do uszkodzenia któregokolwiek z elementów metadanych, zbudowanie poprawnego obrazu struktury logicznej dysku środkami systemu operacyjnego przeważnie staje się niemożliwe. Stosowane środki zapobiegawcze polegające zazwyczaj na duplikowaniu najważniejszych elementów metadanych przeważnie okazują się nieskuteczne.

Jednocześnie dla specjalisty odzyskującego dane nawet fragmenty uszkodzonych metadanych mogą być źródłem cennych informacji o strukturze logicznej systemu plików. Dlatego w sytuacji uszkodzeń o charakterze logicznym nie należy formatować dysków. Nawet wtedy, gdy proponują to co bardziej prymitywne programy do odzyskiwania danych lub tak doradzają amatorzy na forach internetowych. Nie należy także ufać programom do automatycznej naprawy systemu plików, jak np. chkdsk, scandisk, czy fsck.

Taki właśnie komunikat często widzi użytkownik zamiast swoich danych. Komunikat ten wskazuje, że partycja wprawdzie najprawdopodobniej istnieje, ale jej metadane są uszkodzone w sposób uniemożliwiający dostęp do znajdujących się na niej informacji. Żądanie sformatowania dysku może pojawić się w przypadku uszkodzenia lub utraty sektora rozruchowego partycji (np. boot). W takiej sytuacji można odszukać kopię boota, a jeżeli i ona jest uszkodzona - spróbować ręcznie odtworzyć parametry partycji korzystając z fragmentów obu kopii.

Oczywiście jeśli na takiej partycji znajdują się ważne dane w żadnym wypadku nie należy jej formatować. Formatowanie partycji wiąże się z utworzeniem nowych struktur logicznych, które nadpiszą stare i poważnie utrudnią dalsze odzyskiwanie danych.

Najczęstsze przyczyny utraty dostępu do partycji

W naszym artykule wymieniliśmy najczęstsze przyczyny awarii partycji dysku twardego i jak ich uniknąć. Czego nie należy robić to przede wszystkim działania, które powodują nadpisywanie metadanych i danych.

Przyczyna 1. Błąd tabeli partycji. Przyczyna 2. Ten system plików nie jest obsługiwany przez system operacyjny. Przyczyna 3. Przypadkowe usunięcie partycji. Przyczyna 4. Nieprawidłowa obsługa narzędzi dyskowych. Przyczyna 5. Formatowanie lub zmiana systemu plików. Przyczyna 6. Tworzenie lub usuwanie woluminów. Przyczyna 7. Złamane sektory i uszkodzenia fizyczne. Przyczyna 8. Awaria zasilania lub systemu operacyjnego. Przyczyna 9. Przy reinstalacji lub przejściu na nowy system operacyjny, banalne usunięcie woluminu logicznego, nieumiejętne użycie narzędzi dyskowych, fizyczne uszkodzenie nośnika, wystąpienie martwych sektorów itp.

To jest tylko mała lista możliwych przyczyn nieczytelnych partycji dyskowych. Tablica partycji to specjalny plik, który zawiera informacje o wszystkich logicznych partycjach na danym dysku twardym, w tym: rozmiar woluminu, tytuł, system plików oraz wskaźniki do początku i końca każdej partycji.

Gdy partycja staje się niedostępna, nie musi to oznaczać, że wszystkie przechowywane na niej pliki zostały usunięte. Kiedy dane są usuwane z dysku, nie są one usuwane, są one po prostu oznaczane jako usunięte przez system operacyjny i pozostają dokładnie tam, gdzie były. Powiedzmy, że znalazłyście się w sytuacji, w której jedna lub więcej partycji nie są już rozpoznawane przez system operacyjny, system operacyjny sugeruje ich sformatowanie lub ogólnie stały się one “nieprzydzieloną przestrzenią”. Nie powinieneście tworzyć nowych partycji na starych i nigdy nie powinieneście zapisywać nowych danych.

Jak nie pogorszyć sytuacji: błędy, których należy unikać

• Dlatego w sytuacji uszkodzeń o charakterze logicznym nie należy formatować dysków.
• Nawet wtedy, gdy proponują to co bardziej prymitywne programy do odzyskiwania danych lub tak doradzają amatorzy na forach internetowych.
• Nie należy także ufać programom do automatycznej naprawy systemu plików, jak np. chkdsk, scandisk, czy fsck.
• Oczywiście jeśli na takiej partycji znajdują się ważne dane w żadnym wypadku nie należy jej formatować.
• Dlatego w razie pomyłkowego sformatowania dysku nie należy niczego na nim zapisywać.
• Dlatego bez względu na komunikaty systemu operacyjnego i głupie porady na forach internetowych nigdy nie formatuj partycji, na jakich masz ważne dane, a przed przystąpieniem do odzyskiwania danych wyłącz obsługę funkcji TRIM w systemie operacyjnym.

Ponadto: Formatowanie partycji wiąże się z utworzeniem nowych struktur logicznych, które nadpiszą stare i poważnie utrudnią dalsze odzyskiwanie danych. Szybkie sformatowanie dysku polega na utworzeniu i zapisaniu na nim nowych metadanych odpowiadających zadanemu typowi i parametrom nowej partycji. W takich przypadkach można próbować odnaleźć pliki po sygnaturach.

W razie pomyłkowego sformatowania dysku nie należy niczego na nim zapisywać. W przeciwnym wypadku pozostaje ręczne przeglądanie często tysięcy plików z nazwami nadanymi automatycznie przez program odzyskujący dane (zazwyczaj jest to numer sektora LBA, w którym ten plik się zaczyna) posortowanych jedynie po ich rozszerzeniu.

Dlaczego TRIM może zniszczyć odzyskiwanie (SSD i SMR)

Dużo poważniejsze konsekwencje formatowania partycji mogą nas spotkać w przypadku dysków twardych wykorzystujących technologię SMR (Shingled Magnetic Recording) i dysków SSD. Większość z nich (na tyle znacząca, że najbezpieczniej przyjąć założenie, że wszystkie) obsługuje funkcję TRIM. Funkcja ta umożliwia systemowi operacyjnemu informowanie kontrolera dysku o obszarach zwolnionych w strukturach logicznych.

Dzięki tej informacji dysk nie musi fizycznie przechowywać zawartości tych sektorów, a w odpowiedzi na polecenie ich odczytania może zwrócić same zera. W ślad za taką informacją bardzo szybko dochodzi także do fizycznego zniszczenia danych, przez co ich odzyskanie staje się niemożliwe nawet w warunkach laboratoryjnych.

Dlatego bez względu na komunikaty systemu operacyjnego i głupie porady na forach internetowych nigdy nie formatuj partycji, na jakich masz ważne dane, a przed przystąpieniem do odzyskiwania danych wyłącz obsługę funkcji TRIM w systemie operacyjnym.

Gdzie szukać partycji i jej metadanych: MBR, GPT i szybkie skanowanie

W przypadku utraty lub uszkodzenia zawartości sektora rozruchowego MBR system operacyjny nie potrafi odnaleźć znajdujących się na dysku partycji. Zazwyczaj dysk jest widoczny w menedżerze urządzeń i w zarządzaniu dyskami jako pusty i niezainicjalizowany. W takiej sytuacji poszukiwanie partycji warto rozpocząć od sektorów, w których zazwyczaj się one zaczynają - np. LBA 63, LBA 2048. Można też sprawdzić kolejne potęgi dwójki - LBA 128, LBA 256, LBA 512 ...

Sprawdzając pierwsze sektory za MBR często można odnaleźć tablice GPT. Ponieważ zaadresowanie dysków większych niż 2 TB przy pomocy tablicy partycji MBR nie jest możliwe, w przypadku największych dysków jest niemal pewne, że używają one GPT. W dalszej kolejności warto sprawdzić obszary pod koniec dysku. Można tam odkryć np. Na podstawie odnalezionych w ten sposób metadanych często można ustalić rozmiar i położenie przynajmniej niektórych partycji.

W dalszej kolejności wyszukiwanie można w podobny sposób powtórzyć dla pozostałej "wolnej" przestrzeni dysku odnajdując kolejne metadane. W taki właśnie sposób programy do odzyskiwania danych przeprowadzają szybkie skanowanie. Metoda ta opiera się na fakcie, że metadane (w tym ich kopie) umieszczone są zazwyczaj na początku lub końcu dysku i poszczególnych partycji, a także na założeniu, że partycje zazwyczaj tworzone są po kolei, bez odstępów i zajmują praktycznie całą przestrzeń dysku.

Stosując takie podejście można skrócić czas odzyskiwania danych i od razu skupić się na przeszukiwaniu potencjalnie najważniejszych i najbardziej rokujących fragmentów dysku.

Odzyskiwanie po logicznym uszkodzeniu: metadane i odtwarzanie struktury

W takich sytuacjach można próbować odszukać kopię boota, a jeżeli i ona jest uszkodzona - spróbować ręcznie odtworzyć parametry partycji korzystając z fragmentów obu kopii. Oczywiście jeśli na takiej partycji znajdują się ważne dane w żadnym wypadku nie należy jej formatować.

Odnośnie metadanych: W sytuacji, kiedy dochodzi do uszkodzenia któregokolwiek z elementów metadanych, zbudowanie poprawnego obrazu struktury logicznej dysku środkami systemu operacyjnego przeważnie staje się niemożliwe. Jednak dla specjalisty odzyskującego dane nawet fragmenty uszkodzonych metadanych mogą być źródłem cennych informacji o strukturze logicznej systemu plików.

Żeby to wykorzystać, w ramach pracy analitycznej można odszukiwać i odtwarzać struktury po śladach kluczowych elementów. Odnalezienie fragmentów starych metadanych pozwala na przynajmniej częściową odbudowę struktury logicznej poprzedniej partycji.

Jeśli nowo utworzona partycja nie była używana, w wielu wypadkach można odnaleźć dostatecznie dużo metadanych starej partycji, by strukturę logiczną odtworzyć niemal w 100 %, jednak każdy zapis powoduje nadpisywanie i bezpowrotną utratę kolejnych fragmentów poprzedniej zawartości.

Odzyskiwanie po formacie: sygnatury plików i możliwe rekordy

Formatowanie partycji wiąże się z utworzeniem nowych struktur logicznych, które nadpiszą stare i poważnie utrudnią dalsze odzyskiwanie danych. Szybkie sformatowanie dysku polega na utworzeniu i zapisaniu na nim nowych metadanych odpowiadających zadanemu typowi i parametrom nowej partycji. W takich przypadkach można próbować odnaleźć pliki po sygnaturach.

Każdy typ plików zawiera charakterystyczne dla niego struktury, które pozwalają na jego zidentyfikowanie na powierzchni dysku nawet w sytuacji, kiedy informacja o jego nazwie, położeniu i innych atrybutach została utracona. Większość programów do odzyskiwania danych zawiera bazę predefiniowanych sygnatur najpopularniejszych plików.

Specjalistyczny program do odzyskiwania zdjęć od programu do odzyskiwania danych ogólnego przeznaczenia często różni się tym, że zawiera uboższą bazę sygnatur, pozwalającą jedynie na odzyskiwanie plików graficznych. Rezultatem odzyskiwania danych po sygnaturach mogą być nie tylko pliki, ale i fragmenty struktur logicznych, katalogi FAT, rekordy MFT, węzły indeksowe inode itp.

Odnośnie ryzyka: Dlatego w razie pomyłkowego sformatowania dysku nie należy niczego na nim zapisywać.

Przykład odzyskiwania: szybkie formatowanie i powrót danych

Zgłosił się do nas klient, który utracił cenne dla niego dane. Przypadkowo sformatował nie tę partycję co potrzeba. Do laptopa, z którego korzysta na co dzień, użytkownik podłączył kartę pamięci w celu sformatowania. Niestety przez brak odpowiedniej uwagi format odbył się na partycji z magazynem zdjęć zamiast na karcie.

W wyniku czego dane zostały utracone. Nie muszę podkreślać, że utrata ważnych plików z dysku to dość stresujące doświadczenie. Na szczęście było to szybkie formatowanie. Klient skontaktował się z nami, aby sprawdzić, czy możemy mu pomóc.

Odzyskiwanie danych z dysku po formacie czy to jest możliwe? Tak! Przynajmniej w większości przypadków…

Dysk przede wszystkim należy wymontować z laptopa. Następnie podłączam dysk do komputera stacjonarnego przez port SATA. Program do odzyskiwania danych - w tym przypadku DMDE DMDE to jedno z naszych najbardziej ulubionych programów do odzyskiwania. Program wspiera wiele systemów plików, potrafi odzyskać skasowane pliki wraz ze strukturą lub w trybie RAW, czyli według nagłówków plików. Laptop korzysta z systemu Windows 10 wraz ze standardowym systemem plików, czyli NTFS. DMDE posiada wszystko, aby przywrócić utracone dane.

Zanim zaczniemy należy wykonać kopie posektorową partycji programem DMDE. W serwisie zawsze przed rozpoczęciem prac w przypadkach logicznych jak skasowane dane, usunięta partycja czy właśnie po formacie zaczynamy od demontażu dysku z laptopa w celu wykonania kopii bezpieczeństwa.

Po utworzeniu kopii zapasowej można zacząć analizować przypadek. Niewiele zostało po sformatowaniu nośnika... Partycja jest pusta, widać tylko $Recycle.bin czyli kosz oraz System Volume Information, są to systemowe domyślne foldery w partycjach NTFS.

Uszkodzenie logiczne w tym przypadku nie jest skomplikowane, przy odrobinie szczęścia powinniśmy znaleźć stare wpisy w MFT, czyli listę folderów wraz z plikami. W tym celu wybieramy opcje 1 i potwierdzamy OK. Odbudowa listy folderów odbyła się bez problemów, łączna ilość znalezionych danych to ponad 130 GB danych.

Po upewnieniu się, że pliki w tym zdjęcia są sprawne, przekazaliśmy listę możliwych do odzyskania folderów i plików. Klient potwierdził, że to jest to, na czym mu zależy. Pozostało odzyskać wszystkie pliki i następnie skopiować na dysk z laptopa. Udało się nam odzyskać 100% danych, które klient utracił po sformatowaniu partycji.

DMDE i praca z widokiem partycji: praktyczne wskazówki

Po podłączeniu do PC tego dysku jako drugi uruchom DMDE (jeśli spod Windows odzyskujesz to użyj wersji GUI), wybierz ten dysk z urządzeń fizycznych (a nie z dysków logicznych), pojawi się okno partycje i w zależności od tego, czy używasz laptopa, czy stacjonarnego komputera wciśnij printscreen lub fn+printscreen (w niektórych laptopach) i wklej do paint.

Sprawdź na początek partycje Główny 107GB i Wojtek2 co na nich jest. Partycja Wojtek2 jest możliwa bezośrednio do wstawienia. Z trzecią partycją jest największy problem, ale i z niej może dać się odzyskać dane.

W takim razie jak będziesz miał miejsce na odzyskiwanie danych to napisz. Co do $Volume 06 to można użyć szukaj NTFS i przejrzeć znalezione partycje. Niestety wersja darmowa ma ograniczenia polegające na odzyskiwaniu max 4000 plików jednocześnie i tylko z aktualnie otwartego folderu.

Użytkownik skasował wszystkie partycje na dysku 1TB i zainstalował nowy system operacyjny. Zadał pytanie o możliwość odzysyskania danych z usuniętych partycji. Odpowiedzi sugerują użycie programu DMDE do analizy partycji oraz odzyskiwania danych. Wskazano, że nadpisane dane są nieodwracalne, a dalsze korzystanie z dysku może prowadzić do utraty danych. Użytkownik uzyskał pomoc w tworzeniu zrzutów ekranu z DMDE oraz w procesie odzyskiwania danych z partycji Wojtek2. Zauważono, że darmowa wersja DMDE ma ograniczenia w liczbie plików, które można odzyskać jednocześnie.

Uwaga operacyjna: Oczywiście nadpisanych danych (tych, które zostały nadpisane instalacją systemu) już nie odzyskasz.

To pomaga zrozumieć, dlaczego priorytetem w odzyskiwaniu jest kopiowanie i minimalizacja zmian na nośniku.

Co robić, gdy system pokazuje RAW lub nieprzydzieloną przestrzeń

Coraz częściej spotykamy się z sytuacjami, w których klienci zgłaszają, że ich dyski twarde widoczne są w systemie operacyjnym, ale partycja pokazuje się jako RAW lub wolumeny nie montują się w systemie Windows. Taka sytuacja jest niezwykle stresująca, ponieważ użytkownik traci dostęp do swoich danych, mimo że dysk fizycznie wydaje się sprawny.

Co oznacza status RAW? Partycja w stanie RAW oznacza, że system operacyjny nie potrafi odczytać struktury systemu plików. W praktyce oznacza to brak możliwości montowania dysku i dostępu do zapisanych na nim danych. Z punktu widzenia użytkownika to tak, jakby wszystkie dane „zniknęły”. W rzeczywistości, w większości przypadków, dane nadal znajdują się na nośniku, ale system operacyjny nie może ich poprawnie zinterpretować.

Co powoduje problem RAW? Najczęstszą przyczyną takich problemów jest uszkodzenie fizycznej struktury nośnika, w tym: Bad sektory - czyli uszkodzone sektory na talerzu dysku twardego lub w komórkach pamięci flash. Gdy system napotyka takie sektory podczas odczytu danych, nie otrzymuje odpowiedzi, co uniemożliwia prawidłowe rozpoznanie struktury systemu plików. Uszkodzenie głowic dysku - w przypadku dysków talerzowych uszkodzenie jednej lub kilku głowic może prowadzić do problemów z odczytem danych, a w efekcie do wyświetlenia partycji jako RAW. Błędy logiczne - np. uszkodzenie tablicy partycji, systemu plików lub kluczowych metadanych na dysku. Awarie oprogramowania układowego (firmware) - które wpływają na działanie dysku i mogą uniemożliwić poprawny dostęp do danych.

Dlaczego samodzielne próby naprawy są ryzykowne? Wielu użytkowników, chcąc odzyskać dostęp do swoich danych, podejmuje działania na własną rękę, korzystając z popularnych narzędzi do skanowania dysków lub naprawy systemów plików. Niestety, takie próby często przynoszą więcej szkody niż pożytku. Pogłębienie uszkodzeń - Próba wielokrotnego skanowania dysku z uszkodzonymi sektorami może prowadzić do ich dalszej degradacji. Utrata danych - Narzędzia używane przez amatorów mogą próbować naprawiać strukturę plików bez zabezpieczenia danych, co prowadzi do ich nadpisania lub trwałego usunięcia. Uszkodzenie mechaniczne - W przypadku dysków z uszkodzonymi głowicami próby wymuszenia ich działania mogą doprowadzić do poważnych uszkodzeń talerzy, co znacznie utrudnia lub wręcz uniemożliwia odzyskiwanie danych.

Jak działają profesjonaliści? Specjaliści od odzyskiwania danych podchodzą do problemu w zupełnie inny sposób. W pierwszej kolejności dysk poddawany jest diagnozie, która ma na celu ustalenie przyczyny problemu. W przypadku uszkodzeń mechanicznych lub fizycznych, nośnik jest otwierany w kontrolowanych warunkach, np. w laboratorium z komorą laminarnego przepływu powietrza, aby zapobiec dalszym uszkodzeniom. Dane odzyskiwane są za pomocą profesjonalnego sprzętu jak PC3000 i oprogramowania, które: Wykonuje kopię posektorową dysku - umożliwia to przeniesienie wszystkich odczytanych danych na inny nośnik, minimalizując ryzyko utraty danych. Pomija uszkodzone sektory - profesjonalne narzędzia potrafią pominąć problematyczne obszary dysku, zamiast obciążać je dodatkowymi operacjami. Analizuje system plików bez ingerencji - narzędzia do odzyskiwania danych są skoncentrowane na ochronie istniejących informacji, a nie na ich „naprawie”.

Odzyskiwanie bez zgadywania: kopia posektorowa i spokojna analiza

W serwisie zawsze przed rozpoczęciem prac w przypadkach logicznych jak skasowane dane, usunięta partycja czy właśnie po formacie zaczynamy od demontażu dysku z laptopa w celu wykonania kopii bezpieczeństwa (opis jak wykonać). Praca z nośnikiem bez ingerencji zmniejsza ryzyko pogorszenia sytuacji.

Proces jest stosunkowo prosty i każdy z dostępem do odpowiedniego oprogramowania może odzyskać dane samodzielnie (sprawdź naszym zdaniem, najlepsze programy do odzyskiwania danych). Formatowanie dysku czy partycji określamy jako logiczne uszkodzenie danych. Oczywiście proces wymaga uwagi, wiedzy, doświadczenia oraz odpowiednich przygotowań, które w tym wpisie przedstawię.

Tak długo jak jest to mechaniczny dysk twardy HDD (obojętny format 2.5" czy 3.5"), dane na dysku są oznaczone jako wolna przestrzeń do wykorzystania i można odzyskać ich zawartość. Jeśli ta sama sytuacja nastąpiłaby na dysku SSD - dane po formacie przepadają, tutaj wyjaśniamy dlaczego.

Jak wygląda dobór metody: metadane vs sygnatury

W uszkodzeniach logicznych często można znaleźć stare wpisy w MFT, czyli listę folderów wraz z plikami. W tym celu wybieramy opcje 1 i potwierdzamy OK. Odbudowa listy folderów odbyła się bez problemów, łączna ilość znalezionych danych to ponad 130 GB danych.

W przypadkach, gdy struktury zostały mocno naruszone, wchodzą w grę sygnatury: W takich przypadkach można próbować odnaleźć pliki po sygnaturach. Każdy typ plików zawiera charakterystyczne dla niego struktury, które pozwalają na jego zidentyfikowanie na powierzchni dysku nawet w sytuacji, kiedy informacja o jego nazwie, położeniu i innych atrybutach została utracona.

Rezultatem odzyskiwania danych po sygnaturach mogą być nie tylko pliki, ale i fragmenty struktur logicznych, katalogi FAT, rekordy MFT, węzły indeksowe inode itp. Odnalezienie fragmentów starych metadanych pozwala na przynajmniej częściową odbudowę struktury logicznej poprzedniej partycji.

Znaczenie schematu partycjonowania i systemów plików

Partycyjonowanie dysku na woluminy logiczne pomaga lepiej przechowywać pliki i zarządzać nimi. Zanim jednak zrobicie cokolwiek ze swoimi dyskami, pamiętajcie o utworzeniu kopii zapasowej najważniejszych plików, aby uchronić się przed ich utratą. I pamiętajcie, że nawet w najbardziej beznadziejnej sytuacji zawsze można znaleźć rozwiązanie.

Istnieje kilka struktur partycjonowania dysków - MBR, która jest używana niemal od czasu pojawienia się dysków twardych, oraz nowoczesny system - GPT. Niektóre systemy operacyjne używają innej struktury partycjonowania, na przykład MacOs może używać tablicy APM (Apple Partition Map). Dlatego też, jeśli weźmiecie dysk z tablicą partycji z jednego systemu operacyjnego i podłączycie go do komputera z innym systemem operacyjnym, informacje prawdopodobnie nie będą możliwe do odczytania.

Zmiana schematu partycji bez ponownego formatowania dysku jest również niemożliwa. Istnieje całkiem sporo różnych systemów plików, i różnią się one swoją wewnętrzną strukturą. Istnieją uniwersalne systemy plików, a większość systemów operacyjnych rozpozna je bez problemu. Istnieją również unikalne systemy plików, które są specyficzne dla poszczególnych systemów operacyjnych.

Na przykład, jeśli sformatujecie dysk z systemem plików Ext4 w systemie Linux, zapiszecie na nim dane, a następnie podłączycie go do komputera z systemem Windows, system nie rozpozna dysku i wyświetli monit o jego zainicjowanie, co spowoduje utratę informacji.

O co chodzi w praktyce: kiedy odzysk bywa prosty, a kiedy trudny

Możliwości odzyskania danych zależą od wielu czynników. Przede wszystkim jeśli dane są dla ciebie ważne, nie powinieneś działać pochopnie i lepiej to zlecić profesjonalistom.

Jeśli problemy z partycją wynikają z mechanicznego uszkodzenia dysku twardego, oprogramowanie do odzyskiwania jest bezużyteczne. W tym przypadku konieczna jest naprawa lub wymiana uszkodzonych elementów. Natomiast w przypadkach logicznych, przy odpowiednim podejściu, często możliwe jest odtworzenie listy folderów i odzyskanie dużej ilości danych.

W takich przypadkach można próbować odnaleźć stare wpisy, odtworzyć metadane albo korzystać z sygnatur. Wybór metody zależy od tego, ile struktur zostało nadpisanych oraz jak wygląda stan metadanych.

Podstawowe informacje o tym, jak działa odzyskiwanie: sygnatury jako „odcisk palca”

Wyobraź sobie analogię: w przypadku, gdy tablica partycji przestaje prowadzić do właściwych danych, pozostaje wyszukiwanie plików „po wzorcu”. Sygnatury plików to rozpoznawalne wzorce danych, które występują we wszystkich plikach określonego typu. Są jak odcisk palca do pliku, a nawet jak DNA pliku.

Większość popularnych typów plików ma sygnaturę na początku i na końcu pliku. Są to fragmenty kodu szesnastkowego, które zasadniczo mówią: "Rozpocznij dokument MS Word tutaj", a następnie "Zakończ dokument MS Word tutaj". Rozpoznając te wzorce danych, możemy zlokalizować i odzyskać pliki o znanym typie plików, nawet bez tabeli partycji pokazującej nam, gdzie i jak dane są przechowywane.

W praktyce takie wyszukiwanie wykonują narzędzia, które potrafią przeszukiwać nośnik pod kątem znanych typów plików. R-Studio to program do odzyskiwania plików, który pozwala na takie wyszukiwanie plików surowych w poszukiwaniu setek znanych typów plików. Co więcej, R-Studio obsługuje niestandardowe znane typy plików, co oznacza, że może uczyć się sygnatur plików i znajdować pliki na podstawie wzorców danych, które odkryłeś za pomocą potężnego edytora szesnastkowego R-Studio. R-Studio jest bardzo wydajny w znajdowaniu i odzyskiwaniu plików z dysku twardego z uszkodzoną tablicą partycji. Używając wyszukiwania plików surowych, R-Studio może odzyskać 100% odpowiednich danych z utraconego pliku.

Checklist przed odzyskiwaniem: co zrobić od razu

• Pierwszą rzeczą, którą należy zrobić, jest całkowite zatrzymanie wszelkiej aktywności na dysku, aby uniknąć dalszych błędów.
• Musicie dowiedzieć się, co spowodowało taką sytuację.
• W przypadkach logicznych: wykonaj kopię posektorową, zanim rozpoczniesz analizę.
• Nie należy niczego na dysku zapisywać po pomyłkowym sformatowaniu.
• Przed odzyskiwaniem wyłącz obsługę TRIM w systemie operacyjnym.

W wielu przypadkach, mimo komunikatów systemu, partycja nadal istnieje, ale jej metadane są uszkodzone w sposób uniemożliwiający dostęp do znajdujących się na niej informacji. Dlatego priorytetem jest ochrona nośnika i praca metodą analizy, a nie naprawy „w locie”.

tags: #utrata #danych #pusta #partycja

Popularne posty:

• Jak zebrać sterowniki dla Lenovo G50-30 na Windows 7 64-bit po usunięciu recovery
• Jak przeprowadzić pełny odzysk systemu Windows Server 2008 R2 z kopii zapasowej (WSB)
• INSTALACJA, KONFIGURACJA I ADMINISTRACJA: Windows 10 i Ubuntu 20.04 w INF.02
• Instrukcja naprawy błędu podczas instalacji systemu 64-bitowego
• Aktualne procesy CMD na komputerze