Gör en diskimage av diskens innehåll och spara undan på annan lagring ifall du vill ge dig på dataräddning senare, innan du formaterar om den skadade disken.
Man bör alltid göra en diskimage innan man ger sig på den skadade disken med olika diskräddnings-program, gör de bort sig på den skadade disken så har du diskimagen kvar och kan lägga tillbaka innehållet i den skick som disken var innan man började rota med de olika räddningsprogrammen.
---
Ibland går det att fiska up headern till NTFS på en diskimage eller direkt på den skadade hårddisken, räkna tillbaka ett antal byte och sedan sätta det som startadress för tex. loopback-volymer under linux eller montera den med en offset till en mapp och sedan kan hämta ut filerna den vägen.
taget ur #18525450 - som jag skrev för flertal år sedan där början handlar om att först göra diskimagebackupper och allt görs under linux.
och bra långt ned senare och för att försöka hitta en NTFS-header som försvunnit
Citat:
"
Är partitionen borta eller det hela är förskjutet i någon ytterligare partitions-kapsling för den virtuella filsystemet och man vet att ntfs förhoppningsvis finns där någonstans - så kan man försöka leta efter starten på ntfs-filsystemet
då kan man med cat och grep försöka hitta ett magic number "NTFS " - observera att 4 mellanslag ingår i magick number efter NTFS (försvinner i forum-visningen)
cat /mnt/diskimage_av_sdc | grep -a -o -b "NTFS "
första träffen bruka gå ganska fort och ser liknande:
524291:NTFS
126677916:NTFS
314879600:NTFS
535166206:NTFS
535226276:NTFS
1174170136:NTFS
ser man på tex https://en.wikipedia.org/wiki/NTFS en bit ned under rubriken "Partition Boot Sector (VBR)"
så ser man att 'N' i "NTFS " är på position 0x03. - alltså fjärde positionen från starten av NTFS-filsystemet och skall backas 3 steg för position 1 (0x00)
det betyder att "524291:NTFS" som var den första raden som spottades så skall dess byte-värde minskas 3
dvs 524291 - 3 = 524288 - en siffra vi känner igen från tidigare i texten och kan då monteras med
mount -t ntfs /mnt/diskimage_av_sdc /mnt -o loop,offset=524288,ro
precis som innan.
hittar man inte någon alls xxxxxx:NTFS rad utrapporterat när man kör
cat /mnt/diskimage_av_sdc | grep -a -o -b "NTFS "
trots att man kört igenom hela diskimagen så är prognosen extremt låg att hitta någon duglig NTFS-filsystem i diskimagen och då likaså med någon kommersiell diskräddningsprogram.
dock kan man prova med lite program liknande
https://eforensicsmag.com/extracting-data-damaged-ntfs-drives...
https://www.caine-live.net/
bara tagen hur högen när det gäller forensic-paket när man skall gräva på diskar - de flesta ligger på linux och att skriva olika kommandon i terminal... vill man klicka och dra i gui i windows så är det kommersiella diskräddningsprogram som gäller och det är ingen garanti att de lyckas bättre heller - det finns många med olika kvalitet och att prova och betala för var och en blir lätt dyrt...
när det är klart så kan man avmontera filerna med umount /mnt och umount /mnt1
och sedan stänga av datorn och ta ut sin USB-bootsticka - koppla in de vanliga diskarna och radera diskimagefilerna när man bedömer att det inte behövs längre
"
Och till sist NTFS är en väldig skör filsystem som lätt kan få destruktiva skador - som systemdisk på en dators fasta lagring så klarar det sig relativt väl även vid relativt ofta förekommande strömavbrott under körning, men när det lagras på externa USB-diskar så fins det för många 'glitchar' i olika scenarion under användning, glapp i USB-sladd men framförallt i momentet när de avmonteras - att i just momentet när den avmonteras så får man skadan som gör att disken inte hittas senare, trots att man följer alla regler med avmontering och avtstängning av USB-lagringen i OS menyer etc. etc.
- eller snarare för att man just gör det och inte i stället väntar tills det inte längre skriver och läser på disken och sedan brutalt rycker ur USB-sladden...
Betrakta NTFS som en 'flytt-filsytem' mellan olika OS-miljöer för temporär data precis som FAT, ExFAT där data kan förloras utan förvarning. Ha inte orginaldata på NTFS i arkivförvaring utan att det fins dubbletter på datat - använd mer robusta filsystem som både apple och Linux erbjuder och i Linux fall ext4 och för min del BTRFS av flera olika orsaker, men även i det fallet skall viktig data finnas på helst på minst 2 olika fysiska diskar och om möjligt en på en molntjänst om det inte är känsligt - är det känsligt så kryptera det hårt först med egen nyckel som tex. veracrypt som volymimage eller för enskilda filer kan man använda gocryptfs.
vill man ha filerna ifred även på linuxdiskar så kan man först formatera disken med LUKS-crypt och sedan på den placera valfri filsystem - typ ext4 eller BTRFS - och man efter det får 'låsa upp' disken var gång man vill in och läsa eller skriva i disken. - i linux brukar en frågeruta för password komma automagiskt så fort USB-disken ansluts till datorn.
Tänker man använda den krypterade disken mellan olika miljöer som att kunna kopplas in till windows så är veracrypt och i denna NTFS-filsystem bättre alternativ (enda alternativet om det skall fungera mot windows... har inte koll om veracrypt fungerar under MAC) och i denna 'inkapsling' i veracrypt verkar det också mindre risk att NTFS havererar av okänd orsak i jämförelse med att det är direktinkopplad som USB-disk till datorn...
