Médecine légale :-)

Le
Yves Lambert
Bonsoir, ou plutôt bonjour,

je suis en train de tenter de récupérer des données d'une partition ntfs
(windows XP Pro) qui a méchamment planté. J'emploie les outils de
«médecine légale» gnu/linux notamment ntfsnclone (beaucoup plus rapide que
dd : 16h (**)) et dd.

Après une première tentative :
ntfsclone --rescue qui a produit un fichier de la taille de la partition
mais qui a fini avec un statut 1 (mauvais signe, non ?), le fichier produit
étant inexploitable(*), je recommence avec dd, histoire de travailler sur
*tout* ce que j'aurai pu récupérer seulement, ça semble bien parti pour
mettre plus d'une semaine à copier tout, et ça remplit les journaux systèmes
de la machine (**).

Bon voila :

Contexte : le disque dur linux est sur le même contrôleur IDE en maître, il
est apparemment sain, quant à lui. Le type d'erreurs que j'ai est le suivant :

hdb: task_in_intr: status=0x59 { DriveReady SeekComplete DataRequest Error }
hdb: task_in_intr: error=0x10 { SectorIdNotFound }, LBAsectb75088, sectorb75
088
ide: failed opcode was: unknown
ide0: reset: success

plutôt que du médium, par hasard l'erreur ne peut-elle pas venir de :
cause possible (doute)
- du bus processeur (pas d'erreur proc)
- du north bridge (pas d'erreur mémoire)
- du bus pci (pas de problème avec d'autres composants PCI, par contre
l'autre contrôleur IDE fait de temps en temps la tronche)
- du south bridge (le disque maître fonctionne normalement apparemment)
- Le contrôleur IDE ("" "" "" "" ""
"" )
- du câble IDE ( " ")
- de l'électronique du disque (le secteur de boot est sain semble-t-il,
windows commence à booter, mais au bout d'un (long) temps, il se plaint de
l'absence d'un fichier) (***)
d'autre chose que j'ai oublié de lister ?

Si le problème vient de l'électronique du disque, c'est vrai, ou c'est une
légende urbaine qu'on peut faire un échange standard avec un disque
identique dans la plupart des cas ?

(*) Pas moyen de me rappeler si j'ai mis ou non le flag -s et je n'ai pas la
commande dans l'historique), si j'essaie -r :
(ntfsclone -r -o windowsraw.img windows.img
ntfsclone me répond, et si j'essaie 'ntfsinfo -m' ou 'ntfs-3g.probe
--readonly' j'ai comme résultat respectivement !505'NTFS signature is
missing' ou "The device 'windows.img' doesn't have a valid NTFS." - il est
vrai que le statut était non zéro)

(au fait j'y pense c'est peut-être du fat32, du coup ntfsclone en a fait de
la bouillie pour chat, non ?)

(**) pour l'anecdote, la machine est à 2h30^W 6h de train^W tortillard
(j'avais lancé ntfsclone avant de partir, et il a fini sur un statut 1,
juste à mon retour, soit 16h plus tard), j'ai lancé :
nohup dd if=/dev/hdb1 of=windowsraw conv=noerror,fsync,notrunc &
et perdu 2 fois la connexion depuis mais nohup.out continue à se remplir de :

dd: lecture de `/dev/hdb1': Erreur d'entrée/sortie
6278304+0 enregistrements lus
6278304+0 enregistrements écrits
3214491648 bytes (3,2 GB) copied, 63046,8 s, 51,0 kB/s

(exactement 8 jours restant, si 1kB/s24Bps et si la vitesse reste
constante)(***)

et les journaulx de :

end_request: I/O error, dev hdb, sector 6279666
Buffer I/O error on device hdb1, logical block 6279603
hdb: task_in_intr: status=0x59 { DriveReady SeekComplete DataRequest Error }
hdb: task_in_intr: error=0x01 { AddrMarkNotFound }, LBAsectb79663,
sectorb79663
ide: failed opcode was: unknown

(***) au fait, ls -l windowsraw
donne : -rw-r--r-- 1 root root 3214491648 mai 7 04:32 windowsraw (et il
grandira, car il est espagnol (mais ça va mettre plus d'une semaine :(((
file windowsraw
donne windowsraw: x86 boot sector


--
http://www.madeinfrance.org/superdupont/
Vidéos High-Tech et Jeu Vidéo
Téléchargements
Vos réponses Page 1 / 2
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
JKB
Le #6567261
Le 07-05-2008, à propos de
Médecine légale :-),
Yves Lambert écrivait dans fr.comp.stockage :
Bonsoir, ou plutôt bonjour,


Bonjour,

je suis en train de tenter de récupérer des données d'une partition ntfs
(windows XP Pro) qui a méchamment planté. J'emploie les outils de
«médecine légale» gnu/linux notamment ntfsnclone (beaucoup plus rapide que
dd : 16h (**)) et dd.

Après une première tentative :
ntfsclone --rescue qui a produit un fichier de la taille de la partition
mais qui a fini avec un statut 1 (mauvais signe, non ?), le fichier produit
étant inexploitable(*), je recommence avec dd, histoire de travailler sur
*tout* ce que j'aurai pu récupérer... seulement, ça semble bien parti pour
mettre plus d'une semaine à copier tout, et ça remplit les journaux systèmes
de la machine (**).

Bon voila :

Contexte : le disque dur linux est sur le même contrôleur IDE en maître, il
est apparemment sain, quant à lui. Le type d'erreurs que j'ai est le suivant :

hdb: task_in_intr: status=0x59 { DriveReady SeekComplete DataRequest Error }
hdb: task_in_intr: error=0x10 { SectorIdNotFound }, LBAsectb75088, sectorb75
088
ide: failed opcode was: unknown
ide0: reset: success

plutôt que du médium, par hasard l'erreur ne peut-elle pas venir de :
cause possible (doute)
- du bus processeur (pas d'erreur proc)
- du north bridge (pas d'erreur mémoire)
- du bus pci (pas de problème avec d'autres composants PCI, par contre
l'autre contrôleur IDE fait de temps en temps la tronche)
- du south bridge (le disque maître fonctionne normalement apparemment)
- Le contrôleur IDE ("" "" "" "" ""
"" )
- du câble IDE ( " ")
- de l'électronique du disque (le secteur de boot est sain semble-t-il,
windows commence à booter, mais au bout d'un (long) temps, il se plaint de
l'absence d'un fichier) (***)
d'autre chose que j'ai oublié de lister ?

Si le problème vient de l'électronique du disque, c'est vrai, ou c'est une
légende urbaine qu'on peut faire un échange standard avec un disque
identique dans la plupart des cas ?

(*) Pas moyen de me rappeler si j'ai mis ou non le flag -s et je n'ai pas la
commande dans l'historique), si j'essaie -r :
(ntfsclone -r -o windowsraw.img windows.img
ntfsclone me répond, et si j'essaie 'ntfsinfo -m' ou 'ntfs-3g.probe
--readonly' j'ai comme résultat respectivement !505'NTFS signature is
missing' ou "The device 'windows.img' doesn't have a valid NTFS." - il est
vrai que le statut était non zéro...)

(au fait j'y pense c'est peut-être du fat32, du coup ntfsclone en a fait de
la bouillie pour chat, non ?)

(**) pour l'anecdote, la machine est à 2h30^W 6h de train^W tortillard
(j'avais lancé ntfsclone avant de partir, et il a fini sur un statut 1,
juste à mon retour, soit 16h plus tard), j'ai lancé :
nohup dd if=/dev/hdb1 of=windowsraw conv=noerror,fsync,notrunc &
et perdu 2 fois la connexion depuis... mais nohup.out continue à se remplir de :

dd: lecture de `/dev/hdb1': Erreur d'entrée/sortie
6278304+0 enregistrements lus
6278304+0 enregistrements écrits
3214491648 bytes (3,2 GB) copied, 63046,8 s, 51,0 kB/s

(exactement 8 jours restant, si 1kB/s24Bps et si la vitesse reste
constante)(***)

et les journaulx de :

end_request: I/O error, dev hdb, sector 6279666
Buffer I/O error on device hdb1, logical block 6279603
hdb: task_in_intr: status=0x59 { DriveReady SeekComplete DataRequest Error }
hdb: task_in_intr: error=0x01 { AddrMarkNotFound }, LBAsectb79663,
sectorb79663
ide: failed opcode was: unknown

(***) au fait, ls -l windowsraw
donne : -rw-r--r-- 1 root root 3214491648 mai 7 04:32 windowsraw (et il
grandira, car il est espagnol (mais ça va mettre plus d'une semaine :(((
file windowsraw
donne windowsraw: x86 boot sector


Je penche pour un roblème matériel du disque (électronique). J'ai eu
ce gag avec plusieurs WD. Certaines cartes mères provoquent aussi ce
genre de désagrément (en particulier les Asus en Pata de base).

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

georges j-m
Le #6567571
Bonsoir, ou plutôt bonjour,


Si le problème vient de l'électronique du disque, c'est vrai, ou c'est
une légende urbaine qu'on peut faire un échange standard avec un disque
identique dans la plupart des cas ?

Bonjour,
En complément de la réponse de JKB que je partage.

Il est possible de changer la carte électronique d'un disque à condition
d'avoir un deuxième disque identique. Il faut agir avec soin, la nappe
de liaison est très fragile.
--
Georges

Yves Lambert
Le #6568861
JKB wrote:


Je penche pour un roblème matériel du disque (électronique). J'ai eu
ce gag avec plusieurs WD.


Je continue quand même le dd (à ce rythme, d'après le dernier relevé, ce
sera fini le 18 mai à 15h30 environ... :/)
(HC)Par contre, je ne sais pas trop comment faire, sans un accès physique à
la machine comment déterminer le modèle précis du disque dur (ce qui serait
utile pour chercher un modèle identique en attendant que dd finisse).
J'(essaie d')installer hwinfo qui me semble plus probant que discover, mais
chez moi, par exemple, ça donne :

Model: "HDS722516VLAT80"
Device: "HDS722516VLAT80"
Revision: "V34OA60A"
Serial ID: "VNR43EC4C338RK"

rien n'indique le constructeur, du moins il n'est pas nommé. Est-ce qu'avec
le modèle, le serial-id et la révision, j'aurai une chance de trouver la
référence complète ? (une fois que j'aurai réussi à installer hwinfo, bien
sûr...)

Certaines cartes mères provoquent aussi ce
genre de désagrément (en particulier les Asus en Pata de base).


D'après discover le constructeur est Via... donc ça ne l'explique pas, et de
fait vu que linux tourne comme une horloge avec son disque sur le même
contrôleur IDE j'exclue un peu cette cause.



--
http://www.madeinfrance.org/superdupont/

pxg
Le #6569281
Yves Lambert wrote:
JKB wrote:


Hitatchi
attendant que dd finisse). J'(essaie d')installer hwinfo qui me
semble plus probant que discover, mais chez moi, par exemple, ça
donne :
Model: "HDS722516VLAT80"
Device: "HDS722516VLAT80"


Hitatchi 160 GB peut-être.

cordialement

pxg

Simplet né sous X
Le #6569541
On Wed, 07 May 2008 12:06:41 +0200, Yves Lambert

Model: "HDS722516VLAT80"
Device: "HDS722516VLAT80"
Revision: "V34OA60A"
Serial ID: "VNR43EC4C338RK"

rien n'indique le constructeur, du moins il n'est pas nommé. Est-ce qu'avec
le modèle, le serial-id et la révision, j'aurai une chance de trouver la
référence complète ? (une fois que j'aurai réussi à installer hwinfo, bien
sûr...)



http://www.google.fr/search?q=HDS722516VLAT80&ie=UTF-8&oe=UTF-8

--
Ne pas laisser au monde des affaires le soin de s'occuper des affaires du monde

Simplet né sous X
Le #6569531
On Wed, 07 May 2008 05:04:01 +0200, Yves Lambert


je suis en train de tenter de récupérer des données d'une partition ntfs
(windows XP Pro) qui a méchamment planté. J'emploie les outils de
«médecine légale» gnu/linux notamment ntfsnclone (beaucoup plus rapide que
dd : 16h (**)) et dd.


Essaye easy recovery pro.
--
Ne pas laisser au monde des affaires le soin de s'occuper des affaires du monde

Yves Lambert
Le #6572471
pxg wrote:

attendant que dd finisse).



Dernier rapport (en date)
7562576+0 enregistrements lus
7562576+0 enregistrements écrits
3872038912 bytes (3,9 GB) copied, 121080 s, 32,0 kB/s

ça sera peut-être fini le 21 juin...


[...] chez moi, par exemple, ça
donne :
Model: "HDS722516VLAT80"
Device: "HDS722516VLAT80"


Hitatchi 160 GB peut-être.


Exact. De l'autre côté c'est bel et bien un Western Digital Caviar mais une
chose me chagrine :
la référence que donne hwinfo est
Model: "WDC WD400BB-32CCB0"
storage.serial = 'WD-WMA9T1272684'
or une recherche google sur
"WDC WD400BB-32CCB0" donne très peu de résultats. L'alternative proposée par
google est WD400BB-32CLB0" qui donne une foultitude de résultats mais
s'agit-il bien du même modèle ? (une typo dans la base de donner de HAL ?)

à part ça, il faut quels outils pour échanger les cartes ? Trouver son clone
me fait moins peur... si ça se trouve je l'ai déjà, d'ailleurs (mort aussi,
j'ai peur, mais j'ai pu récupérer les données sans trop de douleur)


--
http://www.madeinfrance.org/superdupont/


Yves Lambert
Le #6572461
Simplet né sous X wrote:

Essaye easy recovery pro.


Reste à trouver une distribution live windows avec serveur ssh pour faire
tourner ce machin. De toute façon, tant que je n'aurai pas récupéré l'image
du disque, je ne vois pas trop ce que je pourrai faire.

--
http://www.madeinfrance.org/superdupont/

Ascadix
Le #6573911
JKB wrote:


Je penche pour un roblème matériel du disque (électronique). J'ai eu
ce gag avec plusieurs WD.


Je continue quand même le dd (à ce rythme, d'après le dernier relevé, ce
sera fini le 18 mai à 15h30 environ... :/)
(HC)Par contre, je ne sais pas trop comment faire, sans un accès
physique à la machine comment déterminer le modèle précis du disque dur
(ce qui serait utile pour chercher un modèle identique en attendant que
dd finisse). J'(essaie d')installer hwinfo qui me semble plus probant
que discover, mais chez moi, par exemple, ça donne :

Model: "HDS722516VLAT80"


--> Hitachi Deskstar

Device: "HDS722516VLAT80"
Revision: "V34OA60A"
Serial ID: "VNR43EC4C338RK"

rien n'indique le constructeur, du moins il n'est pas nommé. Est-ce
qu'avec le modèle, le serial-id et la révision, j'aurai une chance de
trouver la référence complète ? (une fois que j'aurai réussi à installer
hwinfo, bien sûr...)

Certaines cartes mères provoquent aussi ce
genre de désagrément (en particulier les Asus en Pata de base).



Déjà vu itou ..mais toujours sur des MSI, jamais sur d'autres marques,
les ports IDE lâchent "doucement" en qq semaines en te faisant tous les
symptômes d'un DD qui lâche ... mais en fait ce sont les ports IDE qui
lâchent.

D'après discover le constructeur est Via... donc ça ne l'explique pas,


Les Via ..c'est pas performants, ça à divers pbs de compatibilité, mais
j'ai connaissance que ça vieillisse plus mal que d'autres.

et de fait vu que linux tourne comme une horloge avec son disque sur le
même contrôleur IDE j'exclue un peu cette cause.


ça semble assez raisonnable.

--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça
arrive.


pxg
Le #6576091
Yves Lambert wrote:
à part ça, il faut quels outils pour échanger les cartes ? Trouver
son clone me fait moins peur... si ça se trouve je l'ai déjà,
d'ailleurs (mort aussi, j'ai peur, mais j'ai pu récupérer les données
sans trop de douleur)


En général il faut des petits tournevis torx. C'est fragile mais pas très
difficile à faire, la plupart du temps la platine ne communique qu'avec des
contacts tant avec le moteur qu'avec les têtes et il n'y a pas à manipuler
des nappes très fragiles. Il faut exactement la même platine même s'il m'est
arrivé d'essayer - avec succès - avec un très léger décalage de version.

Tu peux essayer des outils de réparation de firmware avant de procéder car
le problème peut venir d'une corruption (repair station n'est pas onéreux -
au regard de la concurence - et te permet de vérifier que la manipulation
peut marcher avant de sortir la moindre monnaie). Je n'ai pas eu de bol avec
les maxtor que j'ai analysé avec ce logiciel car le firmware n'était pas
réparable.

Cordialement

pxg

Publicité
Poster une réponse
Anonyme