Ist es möglich, die MFT einer NTFS-Partition nach einem Format wiederherzustellen?

23789
Ariadne Sousa

Ich habe mehrere Fragen durchgesehen, aber niemanden gefunden, der meine behandelt.

Ich habe also eine externe Festplatte mit 1 TB, die ich für Sicherungszwecke mit nur einer NTFS-Partition verwende. Heute habe DiskPartich diese Partition aus Versehen formatiert (wer hätte gedacht, dass die Anzahl der CDs mit 0 und nicht mit 1 begann). Der vollständige Befehl, den ich verwendete, war:

format recommended override quick label=Windows

Ich habe also ein schnelles Format erstellt und aus dem ich nach einem schnellen Format gelesen habe, ist es möglich, die dort gespeicherten Daten wiederherzustellen. Sobald ich merkte, dass es nicht die Partition war, wollte ich die Partition formatieren, die ich angegeben hatte. Ich habe den Zugriff auf mein externes Laufwerk entfernt, um mögliche Schäden zu minimieren.

Die MFT ist jetzt der Metadaten-Bereich, in dem Dateiname, Erstellungsdatum, Zugriffsberechtigungen und Inhalte registriert werden. und es ist auch gespiegelt (also irgendwo auf der Festplatte eine Kopie davon). Was ich nicht weiß ist, wenn ein schnelles Format auch diesen MFT-Spiegel löscht, hoffe ich nicht.

Ich führe ein Programm aus, um Dateien darauf wiederherzustellen, aber ich muss die Dateien an einem anderen Speicherort speichern (sobald der Scanvorgang abgeschlossen ist (ca. 12 Stunden)), und ich habe nicht mehr über 900 GB freien Speicherplatz, um ihn dort abzulegen die Daten.

Ich würde gerne wissen, ob es ein Programm oder eine Prozedur gibt, mit der ich die alte MFT an Ort und Stelle wiederherstellen kann und alle Daten, die sich dort befanden, wieder verfügbar haben.

Jede Hilfe oder jedes Licht, das Sie darüber erfahren könnten, wie Sie vorgehen oder welche Programme Sie verwenden sollen, wird sehr geschätzt.

4
Ein Forum wie dieses kann weitere Antworten haben ... http: //www.forensicfocus.com/index.php? Name = Forums & file = viewtopic & t = 6425 Moab vor 13 Jahren 0
@Ariadne - "Wer hätte gedacht, dass die Anzahl der CDs mit 0 und nicht mit 1 begann?". Eine Liste von Geräten, Zeichenketten usw. beginnt den Index oft bei Null und nicht bei Eins. In den meisten Fällen muss der Endbenutzer wie Sie nicht wissen oder sich nicht einmal darum kümmern. Tough Lektion zu lernen. Ich wünsche Ihnen viel Glück bei der Wiederherstellung Ihrer Daten. Mike Chess vor 13 Jahren 0
@Moab: Vielen Dank, dass Sie diesen Link veröffentlicht haben. In diesem Thread wurde in einem Beitrag von jaclaz klargestellt, dass es nicht möglich ist, das zu erreichen, was ich wissen wollte. Hauptsächlich, weil die Spiegel-MFT ebenfalls außer Kraft gesetzt wird und es nur eine Spiegelung für die ersten 4 Datensätze ist. Ariadne Sousa vor 13 Jahren 0
@ Mike Chess: Ja, harte Lektion, aber es gibt jetzt nichts anderes zu tun, als zu versuchen, diese Daten wiederherzustellen. Ich habe bereits eine neue Festplatte bestellt, auf der die wiederhergestellten Dateien wiederhergestellt werden können. Der Scan, den ich gestern ausgeführt habe, konnte die meisten darin enthaltenen Daten lokalisieren. Ariadne Sousa vor 13 Jahren 0
@Moab Da Sie derjenige waren, der die direkte Antwort auf die Frage gefunden hat, wenn Sie eine andere Antwort schreiben oder Ihre jetzige ändern und sagen, dass dies nicht möglich ist. Wenn Sie auf diesen Thread zeigen, werde ich ihn als akzeptiert markieren. Ariadne Sousa vor 13 Jahren 0

3 Antworten auf die Frage

2
Moab

chkdsk kann möglicherweise die MFT aus dem Spiegel wiederherstellen, Ihre Daten sichern, bevor Sie etwas tun, ein USB-Laufwerk kaufen, falls erforderlich, oder das Risiko eingehen, alles zu verlieren.

Niemand kann wissen, wie weit das schnelle Format vor der Trennung ging.

Ich habe diese Software nie benutzt, sieht aber interessant aus

http://dmitrybrant.com/ntfswalker

Laut Jaclaz ist es in diesem Forum nicht möglich

http://www.forensicfocus.com/index.php?name=Forums&file=viewtopic&t=6425

Im Gegensatz zu dem, was viele Leute anscheinend denken, ist $ MFTMirr ziemlich nutzlos, da es NUR aus den ersten 4 (vier) Datensätzen der $ MFT besteht. Wenn Sie das Format neu formatiert haben, stellt es offensichtlich die Spiegelung der ersten 4 Datensätze des NEW $ MFT dar, es sei denn, Sie haben die Partitionsgröße SIDIDERABLY geändert (wodurch der neue $ MFT und der neue $ MFTmirror "anderswo" sind) oder Sie haben eine NT-System, das einen anderen "Standard" für die Platzierung dieser Strukturen verwendet - wie Windows 2000. In diesem Fall wird die ALD-Dateisystemstruktur möglicherweise nicht überschrieben.

.

Vielen Dank, ich werde mir auf jeden Fall eine andere Festplatte kaufen, wenn ich einige Dinge wiederherstellen kann oder bevor Sie riskante Operationen durchlaufen. `Chkdsk` liest beispielsweise nicht nur. Ich habe gerade Ntfswalker ausprobiert, aber die MFT scheint leer zu sein, höchstwahrscheinlich aufgrund der Formatierungsoperation. Momentan habe ich eine Datenwiederherstellungssoftware, die die Festplatte scannt, aber es dauert 9 Stunden, bis der Vorgang abgeschlossen ist. Es gibt also nicht viel zu tun, aber warten. Ariadne Sousa vor 13 Jahren 0
chkdsk ohne Schalter wird im schreibgeschützten Modus ausgeführt. Moab vor 13 Jahren 1
1
glenneroo

Ich habe mehr oder weniger das getan, was Sie zuvor beschrieben haben. Eigentlich zweimal. Das zweite Mal auf einem 4 TB RAID-5 (nur zum Spaß;) Das erste Mal kaufte ich Restorer Ultimate . Es funktionierte beide Male, ganz zu schweigen von zahlreichen anderen Anlässen mit unterschiedlichen Schwierigkeitsgraden, wenn auch nicht immer zu 100%. Die Software läuft im Demo-Modus und zeigt an, welche Dateien wiederhergestellt werden können. In Ihrem Fall würde ich davon ausgehen, dass das alles ist.

Vielen Dank für die Antwort, der Scan, den ich gestern ausgeführt habe, konnte die meisten Dateien finden (es ist schwer zu sagen, ob sie beschädigt sind oder noch nicht ganz). Ich habe eine neue kostengünstige HD bestellt, wo die wiederhergestellten Daten gespeichert werden sollen. Ariadne Sousa vor 13 Jahren 0
0
therube

Als Start ...

"Schmerzlose Wiederherstellung der Partition

Partition Find & Mount implementiert ein neues Konzept der Wiederherstellung gelöschter oder verlorener Partitionen. Es funktioniert auf die bequemste Art und Weise - indem Sie Partitionen lokalisieren und in das System einbinden, wodurch Ihnen diese verlorenen Partitionen wie ein herkömmliches Festplatten-Volume zur Verfügung stehen. Partition Find & Mount funktioniert auch, wenn ein Boot-Record (einschließlich Master-Boot-Record) fehlt, beschädigt oder überschrieben ist. "

http://findandmount.com/

Ansonsten denke ich, dass Sie einige Dienstprogramme finden könnten, um den MBR wiederherzustellen.

Vielen Dank für die Antwort, die Partition wurde weder gelöscht noch die Partitionstabelle geändert oder der MBR. Ich habe diese Partition nur "schnell" formatiert. Ariadne Sousa vor 13 Jahren 0

Verwandte Probleme