Antech
Silver Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Serjione
ОК, спасибо за дампы.
Итак, что видно на дампах.
В MBR вроде нормально, хотя CHS координаты раздела можно было бы задать, но это не важно.
В начале второго раздела - только Ваша (неполная) реконструкция бутсектора. Дальше - нули. Так что номер начального сектора второго раздела - под вопросом, хотя он и правильный, если по MBR смотрить (начально первого раздела + размер первого раздела). Чего нехватает в Вашей реконструкции бутсектора:
1. Hidden Sectors должно быть равно начальному сектору раздела (а у Вас 2048). Это не критично, но тем не менее.
2. INDX Buffer Size Indicator в данном случае должно быть 1 (один кластер), а у Вас там ноль.
3. Для приличия желательно ненулевой серийник раздела.
4. Желательно загрузчик (можно и без него).
5. Нужна сигнатура 55 AA в последних двух байтах, а у Вас там нули.
Вы несколько не так бутсектор делаете. Не делайте его с нуля. Возьмите от нормального раздела, и изменяйте значения.
Вот моя версия бутсектора
В конце второго раздела (если смотреть по MBR) копии бутсектора нет. Но, как я понял, в таблицу раздел Вы сами записали, так что это не удивительно (граница наверняка неточно определена, точно-то ее неоткуда взять).
В начале дампа MFT не начало MFT, а запись №7449 (вернее, второй сектор записи 7448). MFT начинается, таким образом, в секторе 69781504 (что подтверждается показаниями DMDE). Это может означать два варианта:
1. Начало первого раздела (63504945) определено неправильно. На самом деле раздел начинался в секторе 63490048.
2. Смещение MFT нестандартное (не 6291456 секторов, как при формате Виндой Xp/Vista/7) и равно 6276559 секторов. Но это невозможно при стандартном кластере 8 секторов (начальный кластер MFT дробный - 784569.875), а другие размеры кластеров на NTFS разделах встречаются очень редко.
Так что наиболее вероятно, что начало первого раздела определено неверно. Верните исходное состояние сектора 63504945, куда Вы записали реконструкцию бутсектора (у Вас должен быть бэкап изменяемых фрагментов). Если там были нули, просто впишите нули (WinHex - выделить сектор и Ctrl+L). И покажите, пожалуйста, дампы по 50 секторов, начиная с сектора 63490048 (кандидат на начало раздела) и 69781504 (начало MFT, где можно будет точно посмотреть смещение MFT и MFT Mirror в кластерх, и мы точно узнаем, где начинался раздел, а также, если бутсектор не сохранился, у нас будет MFT Mirror Start Cluster для бутсектора).
Вполне возможно, что Вы просто неправильно определили номер конечного сектора первого раздела (а поэтому и начало второго раздела), отсюда и непонятки. Ждем дампы, в них - истина  .
Цитата:| Ответьте пожалуйста чем вызвана разница в показаниях Акрониса и ДМДЕ ? |
Сорри, я не знаю (да и лень в это втыкать). Это не имеет сейчас никакого значения. Нам сейчас от DMDE и WinHex нужны только функции дискового редактора, а на Акронис вообще можно забить, т.к. он нам нафиг не нужен, когда есть WinHex . |
Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 19:14 08-08-2009 | Исправлено: Antech, 19:39 08-08-2009 |
|
