Как найти файл по сектору

При обнаружении bad-секторов программами типа Victoria будет весьма полезно узнать, какие именно файлы записаны в поврежденных секторах. Сопоставление принадлежности проблемного сектора конкретному объекту файловой системы также может пригодится при поиске содержащего строку файла, обнаруженную в секторе в процессе анализа дампа диска. Задача кажется сложной, на самом деле всё очень даже просто, если под рукой у вас имеется утилита NFI, входящая в состав пакета Sysinternals Suite.

Предположим, что при сканировании диска той же Victoria вы обнаружили bad-блок. Чтобы получить его номер, наведите на него мышку.

В нашем примере это 14822144. Теперь это значение нужно скормить утилите NFI, правда, здесь есть одна маленькая проблема. Помимо номера блока в качестве обязательного аргумента нужно указать еще и букву логического раздела, а Victoria прямо не сообщает, в каком томе был обнаружен проблемный сектор. Зато она показывает начальные и конечные номера секторов, и это будет нашей подсказкой.

Переключитесь в Victoria в раздел «Редактор» и нажмите кнопку «Таблица разделов». Слева тут же появится таблица, в которой будут перечислены все логические разделы на сканируемом диске. Букву тома определяем по его размеру или имени, если Victoria его покажет.

Смотрим и видим следующую картину. Первый загрузочный том у нас начинается с сектора 2048 и заканчивается сектором 1126399. Следующий том, определенный как системный, начинается с сектора 1126400 и заканчивается сектором 63895551. Битый сектор же у нас имеет номер 14822144.

Выполнив простейший арифметический подсчет, определяем, что блок находится на системном томе C.

Запустив командную строку от имени администратора переходим в папку с утилитой NFI.EXE и выполняем команду nfi.exe C 14822144.

В результате получаем лежащий в проблемном секторе файл — pagefile.sys.

Как видите, ничего запредельно сложного, сомнения насчет расположения файла в данном секторе могут возникнуть, если только размер обнаруженного файла сопоставим с размером сектора. А всё потому, что Victoria работает с секторами всего диска, а утилита NFI.EXE — с секторами томов. Поэтому знать границы разделов не помешает.

Что касается сопоставления известного файла сектору, то тут еще всё проще, номер блока в два счета определит бесплатный шестнадцатеричный редактор WinHex.

Запустив приложение, выберите в меню «Tools» опцию «Open Disk».

И укажите в открывшемся окне том, в котором лежит файл.

Вот и всё, осталось только найти во встроенном файловом менеджере нужный файл, выделить его и посмотреть в левый нижний угол рабочего окна редактора.

Там, в строке состояния будет указан порядковый номер сектора, содержащего интересующий вас объект.

Утилита NFI отдельно: yadi.sk/d/iy7DlmD_Gqmwqg

Скажите, мне очень интересно, а можно установить какой именно файл в операционной системе лежит на бэд-блоке или другими словами, как сопоставить принадлежность сбойного участка (бэд-блока) конкретному файлу в Windows?

Как сопоставить принадлежность сбойного сектора (бэд-блока) конкретному файлу в Windows?

Привет друзья, узнать, какой именно файл операционной системы лежит на сбойном секторе очень просто. 

Один знакомый блоггер Александр подсказал мне ответ.

Вообще на эту тему у меня был интересный случай, и я Вам его расскажу.

D:nfi.exe D: 156371386, где D:nfi.exe — точное расположение утилиты, а буква D: 156371386 точное расположение сбойного сектора и жму Enter. Почему я решил, что сбойный сектор у меня на диске D:, потому что всё пространство жёсткого диска имеет одну букву D:.

Результат, сбойный сектор 156371386 принадлежит файлу NewVirtualDisk1.vdi и данный файл активно используется виртуальной машиной, поэтому при запуске виртуальной машины операционная система и зависала, она просто не могла прочитать информацию в файле NewVirtualDisk1.vdi. 

В линуксе можно использовать следующее решение:

filename=d.img
logname=d.log
clsz=$(sudo ntfsinfo -m -f $filename 2>/dev/null | grep 'Cluster Size' | 
sed -r "s/.*:/obase=16;/" | bc)
for r in $(cat $logname | grep '-' | grep -v 'ddrescue' | 
sed -r "s/0x(w+)s+0x(w+)s+.*/1/$clsz; (1+2)/$clsz/;1s/^/ibase=16n" | 
bc | tr 'n' '-' | sed -r 's/(w+-w+)-/1n/g' | uniq | tr 'n' ' ' | 
sed -r 's/-(w+) 1b//g' | sed -r 's/ /n/g' | 
sed -r 's/(w+)-(w+)/1;2;2+1;/' | bc | tr 'n' '-' | 
sed -r 's/(w+-w+-w+)-/1 /g' | sed -r 's/-w+-(w+) 1//g' | 
sed -r 's/(-w+)-w+/1/g'); 
do sudo ntfscluster -f -c $r $filename 2>/dev/null; done

Замечу, что надо предварительно выполнить любую команду sudo, чтобы последняя команда не съелась в качестве пароля. Тогда на остальные команды пароль запрашиваться не будет и всё будет работать.

Существенный минус этого решения — то, что для каждого диапазона кластеров снова сканируется файловая система, т. е. работает очень медленно.

Теперь поясню, что же здесь происходит.

Сначала определим размер кластера

Информацию о диске можно получить при помощи ntfsinfo.
Опция -f нужна чтобы образ не ставился на проверку с просьбой перезагрузиться дважды.
Перенаправление ошибок в /dev/null чтобы избавиться от WARNING: Dirty volume mount was forced by the 'force' mount option.

sudo ntfsinfo -m -f d.img 2>/dev/null

Выберем отсюда строку с информацией о размере кластера:

... | grep 'Cluster Size'

Достанем из неё число и переведём в 16ричную систему счисления:

... | sed -r "s/.*:/obase=16;/" | bc

Сохраним в переменную:

clsz=$(...)

Команда целиком:

clsz=$(sudo ntfsinfo -m -f d.img 2>/dev/null | grep 'Cluster Size' | 
sed -r "s/.*:/obase=16;/" | bc)

Вероятно, получится значение 1000.

Теперь определим диапазоны кластеров

Выберем из карты все плохие куски (содержат - и не являются строкой с самой командой):

cat d.log | grep '-' | grep -v 'ddrescue'

Получится нечто такое:

0x52C15CAC00  0x00000400  -
0x52C15DC600  0x00000200  -
0xA74593D600  0x00000200  -
0xA74593DA00  0x00000600  -
0xA74593E600  0x00000200  -
0xA745945000  0x00000400  -
0xA745945600  0x00000200  -
0xA745945C00  0x00000400  -
0xA745947600  0x00000200  -
0xA7459C3200  0x00000C00  -
0xA7459CB000  0x00000200  -
0xA7459CB400  0x00000200  -
0xA7459CB800  0x00000400  -

Преобразуем в формулы для вычисления номеров кластеров в 16ричной системе счисления:

... | sed -r "s/0x(w+)s+0x(w+)s+.*/1/$clsz; (1+2)/$clsz/;1s/^/ibase=16n/"

ibase=16; 52C15CAC00/1000; (52C15CAC00+00000400)/1000; ibase=A;
ibase=16; 52C15DC600/1000; (52C15DC600+00000200)/1000; ibase=A;
ibase=16; A74593D600/1000; (A74593D600+00000200)/1000; ibase=A;
ibase=16; A74593DA00/1000; (A74593DA00+00000600)/1000; ibase=A;
ibase=16; A74593E600/1000; (A74593E600+00000200)/1000; ibase=A;
ibase=16; A745945000/1000; (A745945000+00000400)/1000; ibase=A;
ibase=16; A745945600/1000; (A745945600+00000200)/1000; ibase=A;
ibase=16; A745945C00/1000; (A745945C00+00000400)/1000; ibase=A;
ibase=16; A745947600/1000; (A745947600+00000200)/1000; ibase=A;
ibase=16; A7459C3200/1000; (A7459C3200+00000C00)/1000; ibase=A;
ibase=16; A7459CB000/1000; (A7459CB000+00000200)/1000; ibase=A;
ibase=16; A7459CB400/1000; (A7459CB400+00000200)/1000; ibase=A;
ibase=16; A7459CB800/1000; (A7459CB800+00000400)/1000; ibase=A;

И вычислим

... | bc

86775242
86775243
86775260
86775260
175397181
175397181
175397181
175397182
175397182
175397182
175397189
175397189
175397189
175397189
175397189
175397190
175397191
175397191
175397315
175397315
175397323
175397323
175397323
175397323
175397323
175397323

К сожалению, числа получились на разных строках — объединяем их через дефис, затем каждый второй дефис заменяем переводом строки, затем уберём дубликаты строк:

... | tr 'n' '-' | sed -r 's/(w+-w+)-/1n/g' | uniq

86775242-86775243
86775260-86775260
175397181-175397181
175397181-175397182
175397182-175397182
175397189-175397189
175397189-175397190
175397191-175397191
175397315-175397315
175397323-175397323

Объединим последовательные цепочки, если конечный кластер первой совпадает с начальным следующей. Для этого объединим строки через пробел и поудаляем -число такое-же-числоb. У меня sed не съел d, поэтому я использовал w. После замены вернём на место переводы строк.

... | tr 'n' ' ' | sed -r 's/-(w+) 1b//g' | sed -r 's/ /n/g'

86775242-86775243
86775260-86775260
175397181-175397182
175397189-175397190
175397191-175397191
175397315-175397315
175397323-175397323

Приготовимся посчитать номер следующего за концом кластера:

... | sed -r 's/(w+)-(w+)/1;2;2+1;/'

86775242;86775243;86775243+1;
86775260;86775260;86775260+1;
175397181;175397182;175397182+1;
175397189;175397190;175397190+1;
175397191;175397191;175397191+1;
175397315;175397315;175397315+1;
175397323;175397323;175397323+1;

И вычислим это:

... | bc

86775242
86775243
86775244
86775260
86775260
86775261
175397181
175397182
175397183
175397189
175397190
175397191
175397191
175397191
175397192
175397315
175397315
175397316
175397323
175397323
175397324

По аналогии с прошлым разом, объединяем строки через дефис, а каждый третий дефоис заменяем пробелом:

... | tr 'n' '-' | sed -r 's/(w+-w+-w+)-/1 /g'

Объединяем цепочки, где начальный кластер следующий совпадает со следующим за конечным кластером предыдущей:

... | sed -r 's/-w+-(w+) 1//g'

86775242-86775243-86775244 86775260-86775260-86775261 175397181-175397182-175397183 175397189-175397191-175397192 175397315-175397315-175397316 175397323-175397323-175397324 

Убираем лишнюю информацию о следующем кластере:

... | sed -r 's/(-w+)-w+/1/g'

86775242-86775243 86775260-86775260 175397181-175397182 175397189-175397191 175397315-175397315 175397323-175397323

Команда целиком:

cat d.log | grep '-' | grep -v 'ddrescue' | 
sed -r "s/0x(w+)s+0x(w+)s+.*/1/$clsz; (1+2)/$clsz/;1s/^ibase=16n/" | 
bc | tr 'n' '-' | sed -r 's/(w+-w+)-/1n/g' | uniq | tr 'n' ' ' | 
sed -r 's/-(w+) 1b//g' | sed -r 's/ /n/g' | 
sed -r 's/(w+)-(w+)/1;2;2+1;/' | bc | tr 'n' '-' | 
sed -r 's/(w+-w+-w+)-/1 /g' | sed -r 's/-w+-(w+) 1//g' | 
sed -r 's/(-w+)-w+/1/g'

Используем список для поиска файлов:

Оборачиваем получившуюся выше конструкцию в качестве набора для цикла for:

for r in $(...); do echo $r; done

Ну и наконец меняем echo $r на нечто полезное:

sudo ntfscluster -f -c $r d.img 2>/dev/null

В итоге получается интересующий нас список файлов вместе с указанием кластеров.

yurik11,
Вы не путайте сектор с кластером. Сектор (логический) — это то, что минимально можно прочесть с диска «снаружи» (через интерфейс). Например, если диск имеет физический сектор 4096, а логический — 512, то свой размер (число LBA) диск указывает в 512-байтных секторах. И тогда все _секторные_ смещения (например, смещение начала раздела и длина раздела в таблице) будут указаны именно в 512-байтовых секторах. Отсюда и проблемы с производительностью при невыравнивании разделов по границе физического сектора, — диск-то всё равно отдаст или запишет то, что надо вам, с 512-байтовой дискретностью, но вот для этого ему при невыровненности придётся прочесть или записать два физических сектора. но это лирика. А файловая система оперирует значением кластера, размер которого прописывается в загрузочной записи файловой системы (т.е. у линуксовых систем — суперблок), и все операции и все значения, касающиеся файлов, указываются в кластерах. То есть кластер есть некое количество _логических_ секторов, ну обычно 8, хотя всякое бывает. А с тем, чему равен физический сектор диска, размер кластера никак не связан.