récup de partition après leur suppression pour install W7 Topic is solved

Comment utiliser TestDisk pour récupérer une partition perdue
Message
Author
User avatar
remy
Posts: 457
Joined: 25 Mar 2012, 10:21
Location: Strasbourg, France.
Contact:

Re: récup de partition après leur suppression pour install W

#11 Post by remy »

non, tu peux le stopper, et essayer de lister avec "P", en te plaçant sur la partition NTFS de 2Tio avant.

Ceci dit, il y a aussi la trace d'une partition HFS, je me demande donc si ta partition NTFS n'est pas détectée à cause d'un MBR protectif.

phil
Posts: 46
Joined: 06 Apr 2012, 11:37

Re: récup de partition après leur suppression pour install W

#12 Post by phil »

Heu, d'accord mais comment le stopper ? J'ai essayé Q mais ça continue. Je peux peut-être quiter testdisk et refaire le chemin parcouru ?

User avatar
remy
Posts: 457
Joined: 25 Mar 2012, 10:21
Location: Strasbourg, France.
Contact:

Re: récup de partition après leur suppression pour install W

#13 Post by remy »

normalement en bas de page il y a marqué "stop" et donc en appuyant sur "Entrée" ça devrait stopper l'opération en cours". Parfois il y a un peu de lag.

phil
Posts: 46
Joined: 06 Apr 2012, 11:37

Re: récup de partition après leur suppression pour install W

#14 Post by phil »

Pas de stop ici, juste une longue liste de lignes du style :
HFS 262208 3907017551 3906755344
HFS 381528 3907136871 3906755344
HFS 384008 3907139351 3906755344
HFS 387632 3907142975 3906755344
HFS 389400 3907144743 3906755344
HFS 389680 3907145023 3906755344

de haut en bas de la page...

User avatar
remy
Posts: 457
Joined: 25 Mar 2012, 10:21
Location: Strasbourg, France.
Contact:

Re: récup de partition après leur suppression pour install W

#15 Post by remy »

Je ne connais pas la version mac de testdisk, mais ça me semble surprenant que tu ne puisse pas stopper le processus avec "Entrée".

Voici ce que ça donne chez moi sur une partition linux au début du deepersearch, et après, quand les superblocs ont rempli aussi tout le terminal.

Image
Image

Et donc l'appui sur "Entrée" Stoppe le processus, puisque "STOP" est la seule option à cette étape. Est-ce que ce n'est pas le cas pour toi ? Ça continue de tourner ?

User avatar
remy
Posts: 457
Joined: 25 Mar 2012, 10:21
Location: Strasbourg, France.
Contact:

Re: récup de partition après leur suppression pour install W

#16 Post by remy »

Ceci dit, en passant, il me semble que ta partition HFS+ est plus que probable maintenant, vu les différentes traces que tu en trouves. Essaye quand même un scan avec une table GPT.

phil
Posts: 46
Joined: 06 Apr 2012, 11:37

Re: récup de partition après leur suppression pour install W

#17 Post by phil »

Merci pour les captures d'écran mais je n'avais aucun "Stop" d'affiché comme chez toi. En revanche j'ai tapé "Entrée" et le scan s'est arrêté avec maintenant l'affichage suivant (le "Stop" devait être hors affichage) :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1

The harddisk (2000 GB / 1863 GiB) seems too small! (< 15986603 TB / 14539730 TiB
Check the harddisk size: HD jumpers settings, BIOS detection...

The following partitions can't be recovered:
Partition Start End Size in sectors
> HFS 381528 3907136871 3906755344
HFS 384008 3907139351 3906755344
HFS 387632 3907142975 3906755344
HFS 389400 3907144743 3906755344
HFS 389680 3907145023 3906755344
HFS 391880 3907147223 3906755344
HFS 392176 3907147519 3906755344
HFS 394104 3907149447 3906755344
HFS 394896 3907150239 3906755344
HFS 396624 3907151967 3906755344

[ Continue ]
HFS+, 2000 GB / 1862 GiB


Je fais Q et j'obtiens :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1
Partition Start End Size in sectors
>D HPFS - NTFS 2048 206847 204800 [Rsrv u systm]
D HPFS - NTFS 206847 411646 204800
D HPFS - NTFS 206848 3907014655 3906807808
D HFS 262208 3907017551 3906755344
D HFS 29357169 1503102066 1473744898 [^C]
D FAT16 >32M 151342086 1120849894 969507809
D HFS 165029521 2428141458 2263111938
D FAT32 LBA 235498579 2159016581 1923518003
D FAT12 238738424 739908492 501170069
D FAT32 LBA 240719722 2649478074 2408758353
D FAT16 >32M 263659464 3463867046 3200207583
D FAT16 <32M 282417840 384743882 102326043
D FAT32 LBA 285835983 392278833 106442851
D FAT32 293776572 867343578 573567007
D FAT12 365678757 1838560216 1472881460
D HPFS - NTFS 370050889 3030708659 2660657771
D HPFS - NTFS 386779496 413960813 27181318
D FAT32 420601044 1018023745 597422702
D FAT32 LBA 420778846 2180914922 1760136077
D FAT16 <32M 434321444 3551905067 3117583624
D FAT32 LBA 459160908 2655366631 2196205724
D HFS 466498918 468372071 1873154
D HFS 468372068 470245221 1873154
D FAT32 LBA 470569893 2364315586 1893745694
D FAT12 476203944 1873335956 1397132013
D FAT32 LBA 536222440 3799433700 3263211261
D FAT16 >32M 553784433 2202518034 1648733602
D FAT12 560889635 800394308 239504674
D FAT16 <32M 583785483 949316466 365530984
D FAT12 615218060 627810443 12592384
D FAT12 616629876 2962690176 2346060301
D FAT32 627087168 1130403860 503316693
D FAT16 >32M 647550880 3556229291 2908678412
D FAT16 >32M 659635539 2488792308 1829156770
Structure: Ok. Use Up/Down Arrow keys to select partition.
Use Left/Right Arrow keys to CHANGE partition characteristics:
*=Primary bootable P=Primary L=Logical E=Extended D=Deleted
Keys A: add partition, L: load backup, T: change type, P: list files,
Enter: to continue
NTFS, 104 MB / 100 MiB


Je remonte la hiérarchie des menus avec plusieurs Q et je redescends sur une analyse avec table GPT. J'obtiens :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1
Current partition structure:
Partition Start End Size in sectors

Bad GPT partition, invalid signature.







P=Primary D=Deleted
>[Quick Search]
Try to locate partition


Je lance QuickSearch et j'obtiens :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1

The harddisk (2000 GB / 1863 GiB) seems too small! (< 4000 GB / 3725 GiB)
Check the harddisk size: HD jumpers settings, BIOS detection...

The following partition can't be recovered:
Partition Start End Size in sectors
> Mac HFS 3907017548 7813772891 3906755344










[ Continue ]
HFS+, 2000 GB / 1862 GiB


Je lance Continue, j'obtiens :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1
Partition Start End Size in sectors
>P MS Data 2048 206847 204800 [Rsrv u systm]
P MS Data 206848 3907014655 3906807808











Structure: Ok. Use Up/Down Arrow keys to select partition.
Use Left/Right Arrow keys to CHANGE partition characteristics:
P=Primary D=Deleted
Keys A: add partition, L: load backup, T: change type, P: list files,
Enter: to continue
NTFS, 104 MB / 100 MiB


Je tape Entrée, j'obtiens :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1

Partition Start End Size in sectors

1 P MS Data 2048 206847 204800 [Rsrv u systm]
2 P MS Data 206848 3907014655 3906807808










[ Quit ] >[Deeper Search] [ Write ]
Try to find more partitions


Je valide Deeper Search et je repart visiblement pour un autre très long scan...
Dois-je le laisser se dérouler jusqu'à son terme (estimé à dans 2 à 3 jours) ?
Ne voulais-tu pas avant que je vérifie quelquechose au niveau du "MBR protectif" dont tu as parlé ?
Et ne serait-il pas intéressant de "corriger" la Geometry détectée comme 1 et 1 par 255 et 63 ? Comme me l'a suggéré un des premiers messages ?

User avatar
remy
Posts: 457
Joined: 25 Mar 2012, 10:21
Location: Strasbourg, France.
Contact:

Re: récup de partition après leur suppression pour install W

#18 Post by remy »

POur le MBR protectif : tu viens de le vérifier, si il y avait eu un MBR protectif, il y aurait eu probablement une GPT derrière. Ce qui ne semble pas être le cas. Je pars donc du principe que tu avais bien une table intel. Si ça ne donne rien, on poursuivra.

Le fait d'avoir une géométrie curieuse peut être problématique, mais plutôt dans l'autre sens. Si tu as une détection avec un nombre de têtes par cylindres trop grand, tu risque de passer à côté de partitions qui ne seraient pas alignées sur des frontières de cylindres. Ici, ton scan est plus long car tu scannes en fait tous les secteurs 1 par 1, qu'ils soient frontières de cylindres ou pas. EN théorie, ça ne devrait pas diminuer la qualité du résultat.

Dans ton post précédent, après le deepersearch, ceci m'intéresse :

Code: Select all

D HPFS - NTFS 206848 3907014655 3906807808
D HFS 262208 3907017551 3906755344 
Ce sont les 3è et 4è lignes.

Relance pour comparer un scan en mettant type de table "none". Tu peux interrompre le quicksearch et passer directement au deepersearch. Si ces partitions apparaissent, tu peux stopper. Ensuite tu te déplaces sur ces partitions et tu tentes d'en lister le contenu avec la touche "P". Si "none" ne donne pas d'autre résultat (ni ceux-là), reviens sur "intel" et recommence de même juqu'à essayer de lister.


EDIT : Je vais sortir... la suite demain pour moi.

phil
Posts: 46
Joined: 06 Apr 2012, 11:37

Re: récup de partition après leur suppression pour install W

#19 Post by phil »

Donc j'ai suivi tes instructions et j'obtiens :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1
Partition Start End Size in sectors
P NTFS 2048 206847 204800 [Rsrv u systm]
P NTFS 206847 411646 204800
>P NTFS 206848 3907014655 3906807808
P HFS+ 262208 3907017551 3906755344








Structure: Ok.


Keys T: change type, P: list files,
Enter: to continue
NTFS, 2000 GB / 1862 GiB


en tapant P sur la ligne : P NTFS 206848 3907014655 3906807808 j'obtiens :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
P NTFS 206848 3907014655 3906807808
Directory /

>dr-xr-xr-x 0 0 0 1-Apr-2012 10:19 .
dr-xr-xr-x 0 0 0 1-Apr-2012 10:19 ..
dr-xr-xr-x 0 0 0 1-Apr-2012 10:19 $RECYCLE.BIN
dr-xr-xr-x 0 0 0 1-Apr-2012 10:18 System Volume Information











Use Right to change directory
q to quit, : to select the current file, a to select all files
C to copy the selected files, c to copy the current file


Ce qui ressemble à ce que je vois aujourd'hui en direct quand je regarde dans ce disque à partir de W7.
Si je surligne la partition suivante je n'ai pas la possibilité de taper P, j'obtiens :
TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1
Partition Start End Size in sectors
P NTFS 2048 206847 204800 [Rsrv u systm]
P NTFS 206847 411646 204800
P NTFS 206848 3907014655 3906807808
>P HFS+ 262208 3907017551 3906755344











Structure: Ok.


Keys T: change type,
Enter: to continue
HFS+, 2000 GB / 1862 GiB


Je tape Continue et j'obtiens :
TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1

Partition Start End Size in sectors

P NTFS 2048 206847 204800 [Rsrv u systm]
P NTFS 206847 411646 204800
P NTFS 206848 3907014655 3906807808
P HFS+ 262208 3907017551 3906755344

Write isn't available because the partition table type "None" has been selected.













>[ Quit ]
Return to main menu


Quand je ressort et retente une analyse en type de table Intel j'ai le warning suivant avant la Quick search :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1

Warning: the current number of heads per cylinder is 1
but the correct value may be 128.
You can use the Geometry menu to change this value.
It's something to try if
- some partitions are not found by TestDisk
- or the partition table can not be written because partitions overlaps.










[ Continue ]


Je tape Continue, j'obtiens :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1
Partition Start End Size in sectors
* HPFS - NTFS 2048 206847 204800 [Rsrv u systm]
>P HPFS - NTFS 206848 3907014655 3906807808












Structure: Ok. Use Up/Down Arrow keys to select partition.
Use Left/Right Arrow keys to CHANGE partition characteristics:
*=Primary bootable P=Primary L=Logical E=Extended D=Deleted
Keys A: add partition, L: load backup, T: change type, P: list files,
Enter: to continue
NTFS, 2000 GB / 1862 GiB


Je tape Continue puis Deeper Search, puis j'interrompt quand je vois apparaître les 2 partitions en question. Puis les mêmes résultats : la partition qui fini par 808 donne la même chose que en table "none", et quand je surligne la partition qui fini par 344 je n'ai pas la possibilité faire P. Je tape Entrée et jaboutis sur :

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/rdisk2 - 2000 GB / 1863 GiB - CHS 3907017568 1 1

Partition Start End Size in sectors


No partition found or selected for recovery













>[ Quit ]
Return to main menu


Et là je sèche...
A très bientôt j'espère !

User avatar
remy
Posts: 457
Joined: 25 Mar 2012, 10:21
Location: Strasbourg, France.
Contact:

Re: récup de partition après leur suppression pour install W

#20 Post by remy »

Bon, c'est pas super, mais ça donne au moins une information : la partition NTFS en question est vide, c'est probblement le résultat de ton partitionnement avant (ou au moment de) l'installation. Qu'elle soit vide est plutôt bon signe : il n'y a donc pas eu trop d'écriture sur ton disque à part la création des MFT pour le système de fichier NTFS. Du coup, la table intel actuellement présente (et la corruption d'une éventuelle table GPT) peut être aussi dûe à cette manipulation et cela remet en cause ma certitude précédente concernant la table intel.

Le fait que tu ne puisse pas lister les fichiers de la HFS retrouvée est probablement dû aux fonctionnalités de testdisk. C'est pareil chez moi, mais je pensais que c'était dû à l'OS support et je croyais que testdisk sous mac permettait éventuellement l'accès au HFS+

Si tu as la possibilité de booter ton ordi avec un liveCD ubuntu je peux te guider dans la réalisation de quelques lignes de commandes pour essayer de monter la partition HFS+ sans réaliser d'écritures sur ton disque. Je ne peux pas faire cela sous mac car, bien que la base soit unix, les commandes de montages ne permettent pas l'utilisation de loopdevice qui nous serait ici utile pour déterminer un ofset et une taille.

Seconde option : si tu as un autre disque de taille suffisante pour stocker l'image de la partition, on peut faire une image, la renommer en .dmg et essayer de la monter avec disk manager.

Troisième option : essayer de voir avec gdisk (aka GPT fdisk, pas le "gmail-disk") si tu peux trouver d'autres éléments. Voici une page de download mais attention, je ne connais pas la version mac( probablement pas très différente de la version gnu/linux) et un mauvais usage peut être destructeur.

Quatrième option : partir du principe que cette partition HFS+ est la bonne, faire une écriture du MBR et tenter de monter la partition HFS+ ou de la réparer via mac. Cela réalise des écritures sur le disque, et je conseille donc fortement la duplication préalable du disque pour conserver l'état initial. D'autant que je n'ai pas de certitude sur le fait qu'il s'agisse à l'origine d'une table intel ou GPT. Note que cela ne poserait pas de problème pour mac, qui reconnait les deux, si la partition est bonne.

Voilà, désolé pour tant de détails, mais il y a des choix que je ne peux faire pour toi, en fonction de ton matériel à dispo. Je reste par contre dispo pour t'aider dans toutes ces options.

Locked