cgsecurity.org

Posted: **03 Nov 2016, 14:04**

Bonjour à tous,

Tout d'abord, merci pour ce super logiciel TestDisk, je ne connaissais pas.
Je vous explique mon soucis.
J'ai un RAID 5 Intel de trois disques de 3TB utilisé pour stocker de la donnée sur une seule grande partition, l'OS Windows se trouve sur un SSD à part.
Il y a quelques semaines, je commence à entendre un des disques du RAID faisant des cliquetis symbole d'une perte de disque imminente.
Je commande donc un nouveau disque de même marque et même modèle.
Je reçois le disque et entre temps, mon RAID a détecté un soucis sur le disque ID 1. Les disques ID 0 et 2 vont bien.

Je regarde le statut du RAID, il est en mode dégradé avec:
ID 0 - OK
ID 1 - Smart Event
ID 2 - OK
Spare - Vide

Là commence mon erreur.... j'ai pas réfléchis, je me suis précipité...
Je décide bêtement de changer le disque du milieu physiquement, hors il se trouve que c'était le disque ID 2 que j'ai remplacé.
Situation du Volume RAID Dégradé avec:
ID 0 - OK
ID 1 - Smart
ID 2 - Non RAID (Vide)
Spare - ex ID 2 en mode RAID avec Datas
Bien entendu à partir de ce moment là, aucune écriture sur le volume RAID est effectué afin de garder l'intégrité des données.

Je décide de revenir en arrière en replaçant le disque ID 2 qui va bien:
ID 0 - OK
ID 1 - Smart
ID 2 - RAID non-member disk (datas OK)
Spare - Non RAID (vide)
Le disque ID 2 est identifié par le contrôleur RAID comme faisant parti d'un volume RAID mais il ne fait plus parti de celui présent...

J'ai vu les posts permettant de recréer le volume RAID en retirant les disques du volume RAID et en le recréant avec les mêmes paramètres (Volume 1 et Stripe 64KB) étant donné que j'ai un disque OK (ID 0), un disque OK niveau datas mais RAID no-member (ID 2) et un disque vide que j'utilise en ID 1 pour remplacer le disque en erreur Smart.
J'ai souhaité au préalable recréer le RAID avec l'ID 1 en Smart mais impossible car un disque Smart ne peut pas être injecté dans un volume RAID.... à moins de reprogrammer le disque pour réinitialiser le Smart mais je ne suis pas équipé pour ça.

J'ai maintenant un RAID Group suivant:
ID 0 - OK (avec les datas)
ID 1 - OK (mais vide) - ex disque de spare
ID 2 - OK (avec les datas) - ex RAID non-member disk
Je retire par la suite le disque ID 1 car vide de données pour le remettre à nouveau afin que ce disque part en status rebuild. Le rebuild a j'espère fait que du readonly sur les disques ID 0 et 2 sains.
Je me retrouve enfin avec:
ID 0 - OK (avec les datas)
ID 1 - OK (avec les datas suite au rebuild)
ID 2 - OK (avec les datas)

Côté Windows maintenant, j'ai bien un volume RAID identifié mais sans aucune partition identifié. Le contrôleur Intel ayant écrasé les métadatas à la création du nouveau volume.
Donc j'utilise TestDisk par la suite en mode Analyze - EFI GPT mais après un quick search qui trouve que des petites partitions. Je lance un deeper search qui dure très longtemps et qui ne trouve pas mon unique et grosse partition de données sur ce volume RAID mais seulement des petites.

Je peux relancer TestDisk demain et vous fournir les logs si ça peut aider.
Je sais que ma situation est un peu délicate, j'ai un avis mitigé pour récupérer mes données. Si vous avez des pistes, ou si l'un d'entre vous à déjà vu ce genre de situation, je suis preneur.

J'ai pensé à utiliser Photorec juste pour voir si les fichiers sont toujours présents sur le RAID mais je ne sais pas si il faut une partition ou si on peut le lancer sur le volume sans partition tel quel.

C'est quand ce genre de chose arrive qu'on se dit pourquoi je n'ai pas fait de backup plus tôt.....

Posted: **03 Nov 2016, 21:39**

Oui, vous pouvez utilisé photorec directement. Si vous ne retrouvez que des fichiers inexploitables (fragment de fichier texte/page html/...) ou de très petits fichiers, c'est que l'ordre des disques ou le paramétrage du Raid 5 est mauvais mais vu que la parité a été reconstruite, je ne suis pas sur que vous ayez droit à d'autres tentatives...

Posted: **04 Nov 2016, 08:11**

Bonjour Monsieur Grenier,
Merci encore pour vos applications.

Je suis en train de lancer un scan Photorec sur le volume en sélectionnant seulement le format.jpg.
Bonne nouvelle, il commence à me récupérer des photos que je reconnais avoir de présent sur le volume.

Je lance donc un Testdisk pour vous fournir les logs.
J'ai annulé le quicksearch pour un scan en deepersearch d'environ 10 minutes.

Code: Select all

Fri Nov 04 07:57:27 2016
Command line: TestDisk

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Windows 7 (7601) SP1
Compiler: GCC 4.9, MinGW 3.11
Compilation date: Apr 18 2015 13:02:07
ext2fs lib: none, ntfs lib: 10:0:0, reiserfs lib: none, ewf lib: 20120504, curses lib: pdcurses build  3401
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=256060514304
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=6001143054336
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C:)=255820038144
Hard disk list
Disk \\.\PhysicalDrive0 - 256 GB / 238 GiB - CHS 31130 255 63, sector size=512
Disk \\.\PhysicalDrive1 - 6001 GB / 5589 GiB - CHS 729597 255 63, sector size=512
Drive C: - 255 GB / 238 GiB - CHS 31101 255 63, sector size=512

Partition table type default to EFI GPT
Disk \\.\PhysicalDrive1 - 6001 GB / 5589 GiB
Partition table type: EFI GPT

Analyse Disk \\.\PhysicalDrive1 - 6001 GB / 5589 GiB - CHS 729597 255 63
Bad GPT partition, invalid signature.
Trying alternate GPT
Bad GPT partition, invalid signature.
Current partition structure:
Bad GPT partition, invalid signature.
Trying alternate GPT
Bad GPT partition, invalid signature.

search_part()
Disk \\.\PhysicalDrive1 - 6001 GB / 5589 GiB - CHS 729597 255 63
FAT32 at 0/34/35
FAT1 : 6654-7422
FAT2 : 7423-8191
start_rootdir : 8192 root cluster : 2
Data : 8192-204799
sectors : 204800
cluster_size : 2
no_of_cluster : 98304 (2 - 98305)
fat_length 769 calculated 769
FAT differs, FAT sectors=0-16/769
set_FAT_info: name from BS used

FAT32 at 0/34/35
     MS Data                     2176     206975     204800 [NO NAME]
     FAT32, blocksize=1024, 104 MB / 100 MiB
NTFS at 22/209/28
heads/cylinder 16 (NTFS) != 255 (HD)
sect/track 2 (NTFS) != 63 (HD)
filesystem size           6174
sectors_per_cluster       1
mft_lcn                   2058
mftmirr_lcn               5162
clusters_per_mft_record   2
clusters_per_index_record 8
     MS Data                   360451     366624       6174
     NTFS found using backup sector, blocksize=512, 3161 KB / 3087 KiB
NTFS at 22/209/28
heads/cylinder 16 (NTFS) != 255 (HD)
sect/track 2 (NTFS) != 63 (HD)
filesystem size           6174
sectors_per_cluster       1
mft_lcn                   2058
mftmirr_lcn               5162
clusters_per_mft_record   2
clusters_per_index_record 8
     MS Data                   366624     372797       6174
     NTFS, blocksize=512, 3161 KB / 3087 KiB

HFS magic value at 92/7/16
part_size 8388610
     Mac HFS                  1478436    9867045    8388610 [ÿÿÿºD]
     HFS blocksize=16777216, 4294 MB / 4096 MiB

LVM magic value at 618/247/24
Search for partition aborted

Results
   P MS Data                     2176     206975     204800 [NO NAME]
     FAT32, blocksize=1024, 104 MB / 100 MiB
     MS Data                   360451     366624       6174
     NTFS found using backup sector, blocksize=512, 3161 KB / 3087 KiB
     MS Data                   366624     372797       6174
     NTFS, blocksize=512, 3161 KB / 3087 KiB
   P Mac HFS                  1478436    9867045    8388610 [ÿÿÿºD]
     HFS blocksize=16777216, 4294 MB / 4096 MiB

   P Mac HFS                  1478436    9867045    8388610 [ÿÿÿºD]
     HFS blocksize=16777216, 4294 MB / 4096 MiB
Support for this filesystem hasn't been implemented.

interface_write()
 1 P MS Data                     2176     206975     204800 [NO NAME]
 2 P Mac HFS                  1478436    9867045    8388610 [ÿÿÿºD]

search_part()
Disk \\.\PhysicalDrive1 - 6001 GB / 5589 GiB - CHS 729597 255 63
FAT32 at 0/34/35
FAT1 : 6654-7422
FAT2 : 7423-8191
start_rootdir : 8192 root cluster : 2
Data : 8192-204799
sectors : 204800
cluster_size : 2
no_of_cluster : 98304 (2 - 98305)
fat_length 769 calculated 769
FAT differs, FAT sectors=0-16/769
set_FAT_info: name from BS used

FAT32 at 0/34/35
     MS Data                     2176     206975     204800 [NO NAME]
     FAT32, blocksize=1024, 104 MB / 100 MiB
FAT32 at 0/34/41
FAT1 : 6654-7422
FAT2 : 7423-8191
start_rootdir : 8192 root cluster : 2
Data : 8192-204799
sectors : 204800
cluster_size : 2
no_of_cluster : 98304 (2 - 98305)
fat_length 769 calculated 769
FAT differs, FAT sectors=112-128/769
set_FAT_info: name from BS used

FAT32 at 0/34/41
     MS Data                     2182     206981     204800 [NO NAME]
     FAT32, blocksize=1024, 104 MB / 100 MiB
NTFS at 22/209/28
heads/cylinder 16 (NTFS) != 255 (HD)
sect/track 2 (NTFS) != 63 (HD)
filesystem size           6174
sectors_per_cluster       1
mft_lcn                   2058
mftmirr_lcn               5162
clusters_per_mft_record   2
clusters_per_index_record 8
     MS Data                   360451     366624       6174
     NTFS found using backup sector, blocksize=512, 3161 KB / 3087 KiB
NTFS at 22/209/28
heads/cylinder 16 (NTFS) != 255 (HD)
sect/track 2 (NTFS) != 63 (HD)
filesystem size           6174
sectors_per_cluster       1
mft_lcn                   2058
mftmirr_lcn               5162
clusters_per_mft_record   2
clusters_per_index_record 8
     MS Data                   366624     372797       6174
     NTFS, blocksize=512, 3161 KB / 3087 KiB
NTFS at 22/211/30
heads/cylinder 16 (NTFS) != 255 (HD)
sect/track 2 (NTFS) != 63 (HD)
filesystem size           6174
sectors_per_cluster       1
mft_lcn                   2058
mftmirr_lcn               5162
clusters_per_mft_record   2
clusters_per_index_record 8
     MS Data                   360579     366752       6174
     NTFS found using backup sector, blocksize=512, 3161 KB / 3087 KiB
NTFS at 22/211/30
heads/cylinder 16 (NTFS) != 255 (HD)
sect/track 2 (NTFS) != 63 (HD)
filesystem size           6174
sectors_per_cluster       1
mft_lcn                   2058
mftmirr_lcn               5162
clusters_per_mft_record   2
clusters_per_index_record 8
     MS Data                   366752     372925       6174
     NTFS, blocksize=512, 3161 KB / 3087 KiB

HFS magic value at 92/7/16
part_size 8388610
     Mac HFS                  1478436    9867045    8388610 [ÿÿÿºD]
     HFS blocksize=16777216, 4294 MB / 4096 MiB

HFS magic value at 92/7/18

LVM magic value at 454/158/43

LVM magic value at 618/247/24

LVM magic value at 824/182/25

HFS magic value at 1792/134/20
part_size 33554438
     Mac HFS                 28796941   62351378   33554438
     HFS blocksize=16777216, 17 GB / 16 GiB

HFS magic value at 1792/134/22

HFS magic value at 1795/220/18
part_size 515
     Mac HFS                 28850552   28851066        515
     HFS blocksize=65536, 263 KB / 257 KiB

HFS magic value at 1795/220/20
part_size 515
     Mac HFS                 28850041   28850555        515
     HFS found using backup sector!, 263 KB / 257 KiB

HFS magic value at 1812/58/4
part_size 33554438
     Mac HFS                 29113437   62667874   33554438
     HFS blocksize=16777216, 17 GB / 16 GiB

HFS magic value at 1812/58/6
check_FAT: Bad number of sectors per cluster
check_FAT: Bad number of sectors per cluster

LVM magic value at 3485/218/24
FAT12 at 5529/87/31
FAT1 : 1-9
FAT2 : 10-18
start_rootdir : 19
Data : 33-2879
sectors : 2880
cluster_size : 1
no_of_cluster : 2847 (2 - 2848)
fat_length 9 calculated 9
heads/cylinder 2 (FAT) != 255 (HD)
sect/track 18 (FAT) != 63 (HD)

Si vous avez une piste, je suis preneur car normalement d'après les informations que j'ai vu sur la récupération d'une partition suite à une reconstruction d'un volume Raid 5 Intel, la partition à récupérer devrait apparaître rapidement lors du scan deeper search.

Posted: **12 Nov 2016, 12:21**

Bonjour à tous,

J'ai eu des difficultés pour faire obtenir un deeper scan complet du volume Raid à cause des mises à jour systèmes qui ont rédémarré plusieurs fois le PC durant le scan.

Voici le log, la taille de celui-ci est trop long pour être embarqué dans le forum:
http://textup.fr/181019Jd
Je ne retrouve pas la partition. Si vous avez une piste je suis preneur.

De plus j'ai effectué un photorec pour essayer de récupérer l'ensemble des photos. Le problème est que je récupère uniquement des photos de la taille d'une miniature et non le format original. J'ai essayé avec les paramètre paranoid yes bruteforce disabled et paranoid yes bruteforce enabled.
Très peu de photos sont récupérés au format d'origine.
Vous avez déjà rencontré cette problématique?

Posted: **13 Nov 2016, 22:18**

J'ai effectué un autre test aujourd'hui en faisant un reset du volume RAID et en changeant la taille du stripe de 64KB à 128KB.

TestDisk réussit à détécter la partition nommé Data mais elle indique Harddisk seems too small.

Code: Select all

NTFS at 5560/54/15
heads/cylinder 16 (NTFS) != 255 (HD)
sect/track 2 (NTFS) != 63 (HD)
filesystem size           6174
sectors_per_cluster       1
mft_lcn                   2058
mftmirr_lcn               5162
clusters_per_mft_record   2
clusters_per_index_record 8
Disk /dev/sdb - 6001 GB / 5589 GiB - CHS 729597 255 63
Check the harddisk size: HD jumper settings, BIOS detection...
The harddisk (6001 GB / 5589 GiB) seems too small! (< 6001 GB / 5589 GiB)
The following partition can't be recovered:
     MS Data                629614592 11721052159 11091437568 [Data]
     NTFS, blocksize=4096, 5678 GB / 5288 GiB

J'ai du mal à comprendre pourquoi la partition est trouvée par Testdisk mais seulement avec le mauvais type de stripe.

Vous avez une piste à me fournir? J'ai essayé photorec avec le stripe à 128KB mais il me sort encore majoritairement des miniatures des photos.

Merci pour votre aide.
Vous trouverez sur le lien qui suit les logs du scan testdisk avec stripes à 128KB.
http://textup.fr/181205x0

cgsecurity.org

(Très) Mauvaise manipulation RAID 5 Intel

(Très) Mauvaise manipulation RAID 5 Intel

Re: (Très) Mauvaise manipulation RAID 5 Intel

Re: (Très) Mauvaise manipulation RAID 5 Intel

Re: (Très) Mauvaise manipulation RAID 5 Intel

Re: (Très) Mauvaise manipulation RAID 5 Intel