Récupération de partitions V - Récupération d'une partition NTFS sur un disque MBR basique

Pour faire reparaitre une partition disparue, nous avons besoin de peu de chose pour faire cette recuperation:

• Le NTFS Boot Sector de backup
• Savoir retrouver la MFT pour être certain de récupérer la bonne partition

Nous allons voir comment récupérer une partition qui a disparu suite à une opération manuelle malencontreuse.

Windows étant un petit paresseux, nous savons que quand on supprime une partition, seule l’entrée dans la table de partition est supprimée.

Vérification: 

Dans les architectures récentes, les partitions NTFS commencent le plus souvent au secteur 2048 (les anciennes démarraient au secteur 63).

Si ce n’est pas le cas, il faut chercher sur le disque. Certains éditeurs hexa permettent de le faire, dskprobe le permet.

Dans notre cas, le secteur 2048 est bien un secteur d’amorçage NTFS :

Nous pouvons identifier facilement :

• Le OEM ID String "NTFS"
• Bytes par secteurs : 512
• Secteurs par cluster : 8
• Partition Size en secteurs : FF E7 DF 0F 00 00 00 00 --> FDFE7FF = 266332159 secteurs (à peu près 127 GB : 266332159*512/1024/1024/1024)

Donc le NTFS Boot Sector de backup devrait se trouver au secteur 266334207 ( = 2048 + 266332159 )

Allons voir :

Vérifions que nous retrouvons bien la MFT

• Clusters to MFT : 00 00 0C 00 00 00 00 00 = 0xC0000 = 786432 clusters = 6291456 secteurs. En ajoutant 2048 ça fait:  6293504
• Clusters to MFTMirr : 02 00 00 00 00 00 00 00 = 0x2 = 2 clusters = 16 secteurs. En ajoutant 2048 ça fait:  2064

Le secteur 6293504 ressemble bien au premier metafichier de la MFT

Le metafichier $Volume nous fournit bien le bon nom de volume (à vérifier avec l’administrateur)

Donc en résumer, même si la partition a été supprimée, les données sont toujours présentes :

• La partition est encadrée par les NTFS Boot Sector de début et de fin
• Le NTFS Boot Sector pointe vers une MFT qui semble valide

Ce qui reste à faire est donc la chose suivante :

1. Enregistrer le contenu du secteur 2048 avec l’outil de votre choix (dskprobe permet de le faire)
2. Recréer une nouvelle partition dans le gestionnaire de disque ou diskpart : Ne pas la formater.

1. Si on formate la partition, on réécrit la MFT et toute les références au contenu de la partition. Gardons en tête que Windows est un petit paresseux : La MFT sera refaite, mais les données sur le disque seront toujours présentes jusqu’à ce qu’elles soient écrasées. Certains outils pourront encore vous aider mais il faudra y mettre le prix.
2. En créant cette nouvelle partition
   1. Une nouvelle entrée est créée dans la table de partition
   2. Le secteur 2048 a été vidé

• La dernière opération consiste en réécrire le secteur sauvegardé sur le 2048 et replacer le FileSystem à l’offset 01C2 : écrire 07

Un rescan devrait faire reparaitre le disque.

Ces étapes en image :

1. Sauvegarde du contenu du secteur 2048 avec dskprobe2.exe

2. Création de la partition sans la formater

Suivant … Suivant … Jusqu’à l’option de formatage : Choisir l’option "Do not format this volume"

Nous obtenons une partition RAW :

3. Ecraser le NTFS Boot sector par celui sauvegarder

Dans DskProbe se placer sur le secteur 2048 du disque, et ouvrir le fichier que nous venons de sauvegarder

Ecrire le fichier sur le secteur 2048

Vérifier qu’on écrit bien 1 secteur sur le secteur 2048 et cliquer sur "Write"

Retourner au secteur 0 et remplacer le "06" à l’offset 1C2 par "07" : bien presser la touche 0 et la touche 7.

Puis faire un Write

Un Rescan Disk dans le Disk Manager fait reparaitre le disque

Serge Gourraud
55 AA

Comments

• Anonymous
  January 07, 2015
  Il arrive que les structures qui décrivent les partitions sur les disques soient perdues ou corrompues