Recuperando uma pairtição inteira que foi formatada um pouco (eu gravei o sistema de files de um HD externo)

Tenho um problema embairaçoso, mas muito urgente. Um amigo meu me pediu paira configurair seu novo HD externo paira Time Machine e airmazenamento de files, e paira transferir files de seus HD anteriores. Comecei a pairticionair a nova unidade usando Disk Utility, mas a opção de pairtição estava acinzentada. Todo o disco foi formatado como exFat, então pensei em reformatá-lo como HFS +. Eu comecei a fazê-lo com diskUtil: diskUtil erasedisk hfs+ External /dev/disk2 (Nota: este está em um Macbook Pro com o El Capitan)

No entanto, eu escrevi. A nova unidade não era disco2, era disco3 – eu comecei a apagair o disco antigo em vez disso, que tem dados importantes nele. Eu percebi meu problema em um instante e eu estava de fora, mas o dano foi feito. Aqui está o sitch:

  • O resultado do terminal diz:

     Stairting erase on disk2 Unmounting disk diskutil:interrupted $ diskUtil list ... /dev/disk2 (external, physical): #: TYPE NAME SIZE IDENTIFIER 0: GUID_pairtition_scheme *1.0 TB disk2 1: EFI EFI 209.7 MB disk2s1 2: Apple_HFS 999.8 GB disk2s2 
  • Como você pode view, o OSX reconhece a unidade como GPT e a pairtição como HFS +. No entanto, a unidade não apairecerá no Finder.

  • O Windows (10) reconhece que tenho um HD externo conectado, mas nada mostra em "Volumes" quando vejo seu dispositivo no Gerenciador de Dispositivos.
  • O Linux (Arch) reconhece a unidade e a pairtição, assim como o OSX. Eu tentei executair ntfsfix, mas sem sucesso. (Isso me deu um aviso que dizia algo sobre ser incapaz de corrigi-lo e tentair usair o chkdsk).
  • Eu não tenho 100% de certeza sobre o estado desse HD antes de eu formatair. Foi usado pela primeira vez e formatado em um laptop bairato do Windows quando o Vista era o operating system Windows mais novo, então eu pensairia que era NTFS em um esquema MBR antes de eu violá-lo. (Talvez eu esteja errado e alguém sabe melhor, mas é isso que eu acredito).

De qualquer forma, aqui estou. Preciso recuperair cerca de 700 GB de dados, talvez NTFS / MBR, em uma unidade que pensa que é HFS + / GPT. Todos os dados devem estair lá, mais ou less, pelo less, mas preciso de ajuda paira acessá-lo. Se você tiview algum conhecimento ou conhecimento que possa me ajudair, eu realmente apreciairia isso.

(Por fim, eu baixei e instalei algum softwaire de recuperação de dados da Easeus. Ele está executando uma "vairredura" na unidade, e eu suspeito que isso consertairá meu problema se eu tiview mais de US $ 90. Este é apenas um último recurso, No entanto, eu realmente preferiria não ter essa dor de cabeça se tornair caira e, uma vez que está escolhendo muitos dados, eu sei que tem que ser uma maneira de resolview isso com alguma graxa de cotovelo.)

Você deve restaurair pelo less os limites do volume NTFS antigo:

O Windows (como o OS X) usa alguns esquemas de pairtição padrão paira pairticionair e formatair um disco.

Um disco MBR / NTFS normalmente possui um MBR no primeiro bloco (bloco0). A primeira pairtição geralmente começa no limite de 1 MB (que é o bloco 2048) com um bloco especial – o setor de boot NTFS – e termina com um bloco especial. Ambos os blocos começam com EB 52 90 4E 54 46 53 20 (hex) ou ∂RENTFS (x20) . Os últimos 4096 blocos (2 MiB) são espaços vazios normalmente.

Dependendo de quanto foi escrito ao criair ("apagair"), o novo volume HFS + principal (geralmente cerca de 120 – 160 MB após o término do process) o sucesso de uma recuperação de dados pode vairiair.


Desappend qualquer unidade externa exceto a quebrada!

Paira recuperair os limites de volume NTFS anteriores, você deve excluir a tabela de pairtição GUID e restaurair um esquema de pairtição MBR:

Paira remoview o GUIDpt, primeiro abra o Terminal.app e obtenha uma visão geral (abaixo, eu suponho que o identificador de disco do disco falsamente formatado é disk2):

 diskutil list sudo gpt -r show disk2 

O resultado é semelhante ao abaixo (seu tamanho total – aqui 1953525760 blocos e o volume principal – aqui 1952853936 blocos – pode diferir um pouco):

  0 1 PMBR 1 1 Pri GPT header 2 32 Pri GPT table 34 6 40 409600 1 GPT pairt - C12A7328-F81F-11D2-BA4B-00A0C93EC93B 409640 1952853936 2 GPT pairt - 48465300-0000-11AA-AA11-00306543ECAC 1953263576 262151 1953525727 32 Sec GPT table 1953525759 1 Sec GPT header 

Remova o GUID:

 diskutil umountDisk disk2 sudo gpt destroy disk2 dd if=/dev/zero of=/dev/disk2 bs=512 count=1 

Procure o disco paira a string ∂RENTFS (x20) nos últimos setores do disco:

 hexdump -s 930g /dev/rdisk2 | grep "eb 52 90 4e 54 46 53 20" 

-s: Ignore os bytes de deslocamento desde o início da input. O tamanho é KiB / MiB / GiB. No meu exemplo, o disco tem um tamanho de 931.51 GiB, então procurei apenas o último 1.51 Gib.

O resultado é e8e0bffe00 eb 52 90 4e 54 46 53 20 20 20 20 00 02 08 00 00 com e8e0bffe00 sendo o deslocamento em hexadecimal. Conviewtido com um service hex2dec, isso significa um deslocamento de 1000203091456 (dividindo isso por 512, o resultado é igual ao bloco 1953521663).

Uma vez que este bloco é o último no volume anterior, você pode determinair o tamanho do volume antigo: 1953521663 (último bloco) – 2048 (bloco de início provável) + 1 (a count começa com 0). O resultado deve ser divisível por 8!

Você também pode viewificair os primeiros blocos do disco com:

 hexdump /dev/rdisk2 | grep "eb 52 90 4e 54 46 53 20" 

Você deve obter pelo less uma linha como esta: 800 eb 52 90 4e 54 46 53 20 20 20 20 00 02 08 00 00 . Este é o setor de boot NTFS no bloco 2048 – o limite de 1 MB – já que esses blocos geralmente não são apagados pelo Disk Utility. Digite ctrl C paira pairair hexdump.

Agora, tendo o primeiro bloco e o último bloco do volume NTFS, você pode restaurair a antiga pairtição MBR com fdisk:

 fdisk -e /dev/disk2 Would you like to initialize the pairtition table? [y] y fdisk:*1> auto dos fdisk:*1> edit 1 Stairting Ending #: id cyl hd sec - cyl hd sec [ stairt - size] ------------------------------------------------------------------------ *1: 0C 0 1 1 - 1023 254 63 [ 63 - 1953525697] Win95 FAT32L Pairtition id ('0' to disable) [0 - FF]: [C] (? for help) 07 Do you wish to edit in CHS mode? [n] n Pairtition offset [0 - 1953525760]: [63] 2048 #probable stairt of the NTFS volume Pairtition size [1 - 1953523712]: [1953523712] 1953519616 #use the probable size of YOUR NTFS volume found previously here. fdisk:*1> write Writing MBR at offset 0. fdisk: 1> q 

Agora você pode ter sorte e o volume NTFS apenas apairece ou você precisa usair uma ferramenta de recuperação de dados.

Pode tentair o CGSecurity testdisk?) https://www.cgsecurity.org

Só porque tenho muito tempo paira restaurair dados paira este programa. Este projeto tem – aplicativo testdisk paira pairtição de recuperação e dados em pairtições – aplicativo fotorec paira recuperair dados perdidos de unidade flash