Как вытащить данные из поврежденной виртуальной машины?

Question

[HighMan]

Здравствуйте, товарищи!
Есть хост система Debian, виртуализация qemu-kvm.
Опишу проблему.
Есть образ виртуальной машины Windows 2008 r2 (raw 60Гб). Этот образ поврежден. Судя по всему, затерто начало "диска". testdisk никаких разделов не находит. fdisk -l w2k8r2.img тоже ничего не показывает.
Но есть ранний рабочий бекап этого файла. Т.е. тот же самый файл, но полугодичной давности. В нем, к сожалению, отсутствуют нужные данные, но по идее можно из него выдрать затертое начало. Вот только как это сделать?
Или что вы посоветуете?

Comments

[d'Ivan]

Этот образ поврежден

это не достоверно. Нужно сначала попробовать примонтировать образ средствами Qemu.

Answer 1

[AUser0]

Под Линуксом? Скопировать XXX байт данных из одного файла в другой файл?

dd conv=notrunc iflag=count_bytes if=old_backup.img of=w2k8r2.img count=2k

Не знаю правда, достаточно ли 2-х килобайт (параметр count=2k) на копирование всей информации о NTFS-разделах на диске (то есть в образе).

Comments

[Karpion]

По идее, первый раздел начинается с первого логического трека. А нулевой трек по историческим причинам = 63 сектора.

Тут надо экспериментировать - скопировать сначала один сектор (512 байт) попробовать. Затем больше. Может, там и начало раздела затёрто.

[AUser0]

Может автор не заметил ответа, а может у него не получилось, поэтому дополню: в приведённой команде нужно заменить old_backup.img на имя реально существующего файла со старым бэкапом. Можно указывать в if/of файл с полным путём, типа какое-нибудь if=/home/qemu/images/old_backup.img.

P.S. Может хоть теперь автор вопроса увидит, да попробует... И скопировать можно не 2 килобайта, а сразу 1 мегабайт (count=1024k), что бы уж точно!

Answer 2

[Radjah]

"Начало" - это сколько?
Если пара секторов по 512 байт, то не особо страшно. Если пара гигов, то дальше будет мусор.
Можно попробовать прогнать образ с помощью R-STUDIO и надеяться, что программа найдёт куски и MFT и что-то по ним восстановит.