☰

克隆 NTFS 磁盘

tag-icon • tag-icon linux ntfs clone forensics
克隆 NTFS 磁盘

我需要使用 Debian GNU/Linux 克隆一个包含 NTFS 分区的故障 2TB 磁盘。该磁盘有许多不可重定位的坏扇区，所以我知道部分数据已经丢失；但是我需要克隆该磁盘，以便尝试使用 恢复其余数据testdisk。

我发出的克隆它的命令是：

dd if=/dev/sdc of=/dev/md2 bs=512 conv=noerror status=progress

大约花了 2 天时间才完成，在此期间，它在 3GB、66GB 和 88GB 左右发现了坏扇区。故障磁盘相当旧，而且不是高级格式化，所以我肯定知道每个扇区都是 512 字节。

问题是尝试testdisk /dev/sdc读取目录（但由于坏扇区，无法恢复文件），而 tryngtestdisk /dev/md2甚至没有列出目录内容。磁盘仅包含 NTFS 分区，该分区跨越整个可用空间。为什么克隆与原始文件不同，至少在未损坏的扇区上不同？我克隆的方式是否不正确，我应该以其他方式克隆它，例如不同的命令或选项？

答案1

谢谢迈克尔·汉普顿建议，我发现myrescue，与类似dd_rescue，但有更好的记录（至少这是我的印象）。

我myrescue首先克隆磁盘，以相反的顺序读取它（从最后一个扇区到第一个扇区），然后以正常顺序再次读取丢失的扇区。所有操作都禁用了所有预读和缓存。我一尝试，就发现它需要 50 多天才能完成，所以我编写了一个脚本，myrescue在这么长的时间内很可能出现断电后，自动从中断的地方重新启动。

它恢复了我需要的一切，但要注意：YMMV 和磁盘故障对您的数据来说不是开玩笑，因此请阅读文档myrescue并在对您的磁盘进行任何操作之前三思，包括运行我的脚本。

如果您碰巧除了运行 myrescue 之外别无选择（或没有其他更好的选择），那么这里是我编写的脚本，以防有人感兴趣：

#!/bin/bash

SOURCE=/dev/disk/by-id/ata-ST2000DM001-1ER164_Z4Z4Z3EQ
DESTINATION=/dev/disk/by-id/ata-ST2000DM008-2FR102_WFL1GF5H

if [ "$1" == "bgrun" ] ; then
  hdparm -a 0 "$SOURCE"  # read-ahead del kernel a zero
  hdparm -A0 "$SOURCE" # read-ahead del disco disabilitato
  myrescue -b 512 -B /root/myrescue.bitmap -R -f 1 "$SOURCE" "$DESTINATION"
else
  if [ "$1" == "bgdebug" ] ; then
    touch /tmp/startrescuedebugflag.deleteme
  else
    set -x
    RUNNING=$(ps axu | grep myrescue | grep -v -e grep -e SCREEN | wc -l)
    if [ $RUNNING -lt 1 ] ; then
      screen -S bgrescue -d -m $0 bgrun
    else
      screen -S bgdebug -d -m $0 bgdebug
    fi    
  fi
fi

相关内容