Clonezilla: težave s rekonstrukcijo slike diska

Disk image (slike diska) večinoma delam s Clonezillo in skoraj vedno zadeva deluje brez težav. Tokrat pa je očitno prišlo do neke napake (ne vem katere, morda se je računalnik zaradi pregrevanja samodejno ugasnil sredi procesa) in datoteke, ki sem jih dobil kot rezultat kloniranja diska, niso popolne. Kar hočem povedati je, da v mapi, ki sem jo ustvaril, niso vse datoteke, ki bi morale nastati pri kloniranju. Notri ni recimo datoteke s končnico .parted, ki je precej pomembna. Zdaj pa me zanima ali je mogoče ostale datoteke (razvidne iz priloge) nekako pretvoriti v surov format (raw) in jih sestaviti skupaj tako, da bi prišel do delne slike diska ali vsaj do nekaterih datotek? Težava je v tem, da je bilo na tistem računalniku medtem eden čez drugega nameščenih več operacijskih sistemov, tako da datoteke, ki jo iščem, s forenzično rekonstrukcijo (vsaj s pomočjo zastonjskih programov tipa Recuva) najbrž ne bi več dobil, pa tudi dostopa nimam več do tiste mašine.



Skratka, kako iz tega delnega imidža diska narediti nekaj uporabnega, če ne nov delujoč imidž, pa vsaj dostop do shranjenih datotek.

Hvala za morebitno pomoč.

RejZoR je 11. jul 2011 ob 12:41 izjavil:

Ne. Naredi image še enkrat. Sej izvorni disk imaš še vedno. Neki obnavljat ne moreš niti nočeš nekaj napol, ker pri takih zadevah kjer gre za byte correct copy ne moreš neki na približno obnavljat (kar lahko počneš na file system nivoju kjer lahko pogrešiš kakšno fuč datoteko). Če pa ti manjka ravno del kjer je bil MFT ali folder structure pa je konec.

Saj prav to je težava, izvornega diska nimam več. Pa tudi če bi lahko dobil dostop do njega, je zdaj že prepozno, ker je bil čez nameščen najprej Ubuntu, potem formatiran, pa na novo Windows 7.

Zato, ker sem vmes (med kloniranjem) šel za dve uri stran od PCja, ko sem se vrnil, je bil že ugasnjen, nisem pa naknadno preveril vsebine fajlov. Po toči zvonit je prepozno, bom za drugič vedel - prej nisem imel težav s kloniranjem, zato pač nisem pomislil, da lahko gre takole spontano kaj narobe. Potem misliš, da iz teh podatkov, ki so neposrečeno klonirani, ni mogoče pridobiti nazaj dela datotek?

Ja, res gre samo za eno ntfs particijo, na kateri je bil nameščen tako OS kot tudi vse datoteke. In kako bi zadevo "na roke" restavriral?

Sem upal, da za to obstaja kakšna že utečena in dobro znana pot, ki bi mi prihranila odkrivanje tople vode:)

Zato je pametno vedno primerjat predvideno velikost imagea in nato še dejansko. Še posebej v primeru če ne veš ali je bilo uspešno ali ne.

How to Mount Clonezilla Images

1. Prepare a large disk in Linux
2. Say if your image is /home/partimag/YOURIMAGE/, and the image is /home/partimag/YOURIMAGE/hda1.ntfs-img.aa, hda1.ntfs-img.ab...
run
"file /home/partimag/YOURIMAGE/hda1.ntfs-img.aa"
to see it's gzip, bzip or lzop image.

Tukaj se je pojavila prva težava. Ukaz "/media/57E072FD319D2C57/clone# file sda1.ntfs-ptcl-img.gz.ab" vrže ven tole informacijo "ntfs-ptcl-img.gz.ab: data", tako da ne vem za katero vrsto datoteke sploh gre.

/media/57E072FD319D2C57/clone$ cat sda1.ntfs-ptcl-img.gz* | gzip -d -c | ntfsclone --restore-image -o sda1.img -
ntfsclone v2.0.0 (libntfs 10:0:0)

gzip: stdin: not in gzip format

Napiše, da ni gzip format. Datoteke .aa pa ni notri, kaže, da gre za nepopoln klon (najbrž se je proces ustavil). Od .ab do .av so, sem jih dal v scrshoot nekaj postov višje.

B, zunanji disk, na katerem imam te fajle, zdaj melje, v konzoli seveda ne kaže ničesar. Se bo proces samodejno prekinil, če zmanjka prostora na disku? Prav tako me zanima kaj si misli pod skrivanjem končnic fajlov (kolikor vem, so tisto celotna imena datotek) ... če je kakšen ukaz za to, se priporočam, ker sem novinec v svetu linuxa.

Tudi jaz ne vem kaj je "answered wizard file":) Sem malo brskal po netu, nisem našel nič uporabnega.

Ja, zadeva se je ustavila, na disku zmanjkalo prostora. Ni problema, bom vzel večji disk, vrgel tiste fajle gor in tam še enkrat ponovil vse skupaj. Poročam o rezultatih.

amigo_no1 je 16. jul 2011 ob 19:12 izjavil:

Ja, če bo zmanjkalo prostora, se bo zadeva 100% ustavila :)

Hja, pri usb ključkih s fake kapaciteto piše dalje vsebino (in zraven prepiše obstoječe podatke ).

Drži, ampak ni ravno povezano s to temo...

@misek: nisem napisal tega. .* se ne expanda nujno po abecednem redu, zato je treba bit bolj natančen. [a-z] bo zmeraj po vrsti.

Še vedno težave z mountanjem, pa sem poizkusil že več možnosti. Skrbi me tudi, ker tisti velik fajl (sda1.img) ukaz "file" prikaže kot "data". Sem mislil, da bo image ali kaj takšnega.

file /media/0DFD96802D6AEB49/clone/sda1.img
/media/0DFD96802D6AEB49/clone/sda1.img: data

Sicer pa tole:

ntfs-3g /media/0DFD96802D6AEB49/clone/sda1.img mnt/
NTFS signature is missing.
Failed to mount '/media/0DFD96802D6AEB49/clone/sda1.img': Invalid argument
The device '/media/0DFD96802D6AEB49/clone/sda1.img' doesn't seem to have a valid NTFS.
Maybe the wrong device is used? Or the whole disk instead of a
partition (e.g. /dev/sda, not /dev/sda1)? Or the other way around?

in še enkrat:

/media/0DFD96802D6AEB49/clone# mount -o -loop -t ntfs sda1.img /mnt
NTFS signature is missing.
Failed to mount '/media/0DFD96802D6AEB49/clone/sda1.img': Invalid argument
The device '/media/0DFD96802D6AEB49/clone/sda1.img' doesn't seem to have a valid NTFS.
Maybe the wrong device is used? Or the whole disk instead of a
partition (e.g. /dev/sda, not /dev/sda1)? Or the other way around?

Verjetno je kar particija, ker je image poimenoval clonezilla po dejanskem imenu - hdb1. Po mojem je problem, ker manjka prvi od razrezanih delov - tisti s končnico .aa. (zcat bo kljub temu opravil svoje, ga ne moti pretirano, ker je gzip stream compressor)

Kako recoverat NTFS, kateremu manjka lep kos od začetka fs-ja... je pa above my paygrade :)

Po moje ima b prav ko pravi da manjka prvi del vsaj glede na problem tukaj. V tem primeru sta dve datoteki - aa in ab. Če bi potreboval samo datoteke bi tole img datoteko odprl z recovery programom RStudio in restavriral podatke (datoteke).

Počasi se boste naučili, spremembe v sistemu clonirati tako, da je vsak popravek slika zase in če je zadnji pokvarjen, vzameš pač enega prej in izgubiš samo zadnje podatke. Če vsakokrat prepišeš celotno sliko diska in gre kaj narobe, ti ne ostane nič. Na pol clonirano sliko boš težko povrnil, ker zgleda približno tako kot p2p, ko sestavlja paketke in na koncu formira celotno sliko iz katere pa lahko potem vlečeš posamezne datoteke.
Problem je tudi, če slučajno pobereš zlobno kodo, slike ne boš uspešno posnel, ko jo boš hotel obnoviti, bo napisalo, da slika ni vredu.

OK, za recovery priporočam photorec, ki je del paketa testdisk.

Torej:
sudo su
apt-get install testdisk
photorec imefajla.img

Potem ti naredi nov direktorij (recup.1 ali nekaj takega) in notri nameče najdene datoteke.

Ni nujno. Sam sem rekonstruiral tudi podatke iz diska, ki je bil formatiran (quick format) in nato gor nameščen drug OS.

Ne bo ravno držalo, solatko.

Če je slika diska oz. particije 1:1 (brez kompresije in brez izpuščanja "praznih" delov), potem je čisto vseeno, ali poskusiš prebrati bit z diska ali iz slike - dobil boš isto.

Če pa program za kloniranje/backupiranje/whatever pozna datotečni sistem na disku, potem ne bo brezveze v image pisal delov diska, ki so po njegovem prazni. V tem primeru pa drži to kar si rekel, da ni več mogoče prebrati raznih pobrisanih datotek.

V primeru clonezilla je tako, če delaš image z uporabo ntfsclone, ki prebere NTFS in naredi image velik približno toliko, kolikor je podatkov. Če pa uporabiš dd, potem se naredi image celotnega diska.

Anyway, to s težavo OP-ja nima neposredne povezave, hotel sem samo dopolnit, kar je napisal solatko.

Precej se ukvarjam z obnavljanji pobrisanih datotek in vam povem, da slika true image, je kompresirana in, če ni o.k. ne moreš nič prebrat. Za Clonezillo ne vem, ker še nisem probaval, vendar, bi jaz poiskusil s programom, ki obnavlja particije, tako, da bi dobil prejšnjo in morda bi se dalo večino slik in dokumentov rešit, tudi če je bilo formatirano.

Jaz uporabljam drugo orodje.
Verjetno bi se dalo, morda tudi kdaj poizkusimo, samo je treba pregledat, kako kompresira in kako dekompresira, če ni v Acronisu preveč skrito.

Hja, proces sem večkrat ponovil in vselej dobil iste rezultate. Približno 25 datotek v velikosti 18,9 GB, žal vse precej neuporabne. Razen če ima še kdo kakšen predlog/nasvet. Je mogoče kakšna opcija, da se iz teh velikih datotek dobi kaj pametnega?

Plamenjak, poskusi z različnimi programi. Katerega jaz preferiram sem že napisal.

NTFS ima dve tabeli Master File Table (MFT) - ena je redundantna. Zato mi je čudno, da si uspel dobiti tako malo število datotek.