Может ли HDD скрыть часть данных?

Question

[Игорь]

HDD стоял в ноуте, но ноут был залит чудесным напитком и отправился в теплые края греться. Перед тем как отправить ноут в отпуск HDD я вытащил. Когда я подключил HDD к другому пк обнаружил что учеток windows не столько, сколько их было. То есть когда HDD был в ноуте было 5 учеток, когда вставил его в другой комп их стало 2. На ноуте была лицензионная windows 8.1, а на пк пиратка (тоже windows 8.1) могло ли это как-то повлиять? Почему так могло произойти и реально ли восстановить данные? Знаю прекрасно про рекуву и подобный ей софт для восстановления данных, но нет желания HDD на 500gb сканировать ибо это очень долго.

Comments

[АртемЪ]

Что такое "шиндовс"?

[Игорь]

АртемЪ, Это Windows через Ш, Шindows. Если вам это режет глаз, исправлю

[АртемЪ]

Игорь, Ну так исправьте в вопросе ошибку.

[Игорь]

АртемЪ, Исправил, если это мешало вам ответить, то теперь можете смело отвечать)

Answer 1

[АртемЪ]

Такое может быть если учетные записи хранились на другом диске.
От наличия лицензии, активации и прочего это никак не зависит.
Посмотрите в Users - там ссылки будут на профили учеток.

Comments

[Игорь]

HDD был один, по крайней мере на сколько мне известно. Это был достаточно бюджетный ноут

[АртемЪ]

Игорь, Ну любой HDD можно разбить на несколько разделов, или использовать виртуальный диск.

[Игорь]

АртемЪ, что значит виртуальный диск? Он же по идеи тоже хранится на том же ЖД. К тому же я точно помню что ничего с ЖД не делал, никаких операций.

[АртемЪ]

Игорь,

что значит виртуальный диск? Он же по идеи тоже хранится на том же ЖД.

Виртуальный диск это файл с данными, с которым ОС работает как с диском.
Хранится может где угодно.

В папке Users что у вас?
И как вы подключили диск - просто подключили, или загрузились с него?

[Игорь]

АртемЪ, загружался с него. Но я пробовал и загружаться с него и подключать как второй, но все равно не нашел файлов учеток.

[Игорь]

АртемЪ,

В папке Users что у вас

сейчас я его подключу и точно скажу.

[Игорь]

АртемЪ, вы кстате не подскажите, возможно ли как-то сконфигурировать комп что бы можно было подключать HDD без отключения компа?

[АртемЪ]

Игорь,

вы кстате не подскажите, возможно ли как-то сконфигурировать комп что бы можно было подключать HDD без отключения компа?

Просто подключаете и все.
Если плата поддерживает горячее подключение - он определится в системе.
Если не поддерживает не определится.
Большинство современных мат. плат поддерживает горячее подключение, но зачастую это надо включать в BIOS.

[Игорь]

АртемЪ, А ЖД не повредит это? Нужно только что бы материнка это поддерживала, от ЖД это не зависит?

[Игорь]

АртемЪ,

В папке Users что у вас

в папке users 3 учетки и какие-то папки Temp, Public и Default.migrated, но одна это учетка admin и я думаю она отключена

[АртемЪ]

Игорь,

в папке users 3 учетки, но одна это admin и я думаю она отключена

Учетки с нужным вам именем нет?
Папка с учетной записью может называться по другому нежели учетная запись.
Зайдите в каждую учетку и посмотрите что там на рабочем столе например.

А ЖД не повредит это? Нужно только что бы материнка это поддерживала, от ЖД это не зависит?

Не повредит, не зависит.

[Игорь]

АртемЪ,

Учетки с нужным вам именем нет?

В том то и дело что нет, по этому я и не понял, куда они пропали вдруг. Я точно знаю что на ноуте был 1 жесткий и все папки в папке users я пролазил, но ничего, вообще.

[Ziptar]

Такое может быть если учетные записи хранились на другом диске.

Бред. Винде всё равно, где хранятся профили. Если профиль она не может найти - она или пересоздаст его, или будет злостно ругаться - по ситуации. Только сам пользователь с его SIDом никуда не денется из системы.

[Игорь]

Ziptar, Я ничего не понял, но звучит страшно.

[Ziptar]

Игорь, тащем-то почитал ветку, АртемЪ в этот раз по сути верно говорит, но в определениях неточен. На него не похоже, надо сказать - обычно наоборот. :F

[Игорь]

Ziptar, АртемЪ, То есть если учеток нету в папке Users значит их кто-то удалил? Я правильно понимаю?

[Ziptar]

Игорь,
1. Пуск -> Выполнить -> regedit
2. Выделяете пункт HKEY_LOCAL_MACHINE, нажимаете Файл -> загрузить куст
3. Выбираете файл "X:\Windows\System32\config\SOFTWARE", где X - буква диска ноубука. Задаете любое имя подгружаемому кусту.
4. Идете в загруженном кусте по пути SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\
Там будет несколько несколько папок. Папки с короткими именами относятся к системным учетным записям, папки с длинными именами относятся к пользовательским учетным записям. В каждой из таких папок есть запись ProfileImagePath, в которой и указан путь к профилю этого пользователя. Ищите по этим путям с поправкой на букву диска, разумеется.

[Игорь]

Ziptar, что такие куст? ʕ•ᴥ•ʔ

[vreitech]

Игорь, или переместил. возможно даже до того, как вы вынули жёсткий диск, и до того, как начали пользоваться данным компьютером/ноутбуком. папка Users - дефолтное расположение для папок с учётками, но не единственно возможное.
в реестре (regedit.exe) ОС по пути "Компьютер\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList" хранятся разделы для всех учёток, существующих в ней; в каждом из этих разделов есть ключ ProfileImagePath, в котором путь к каталогу соответствующей учётки.
кусты реестра неактивной ОС (т. е. не той, которая загружена в данный момент, а той, которая имеется на каком-либо подключённом к системе жёстком диске) в редакторе реестра regedit.exe можно подключить (смонтировать) на какой-либо пустой раздел реестра через меню "Файл - Загрузить куст". В частности, для подключения куста "Компьютер\HKEY_LOCAL_MACHINE\SOFTWARE" с жёсткого диска ноутбука найдите на системном разделе этого жёсткого диска файл \windows\System32\config\SOFTWARE (возможно вам потребуется выдать права текущему пользователю на каталог с этим файлом или стать его владельцем) и подключите его как куст реестра. Внутри этого куста перейдите в "Microsoft\Windows NT\CurrentVersion\ProfileList" и в SID'ах посмотрите пути в ProfileImagePath, может натолкнёт на какую-то мысль.
Не забывайте про то, что разделы жёсткого диска неактивной системы почти наверняка будут иметь другие буквенные обозначения, в случае, если бы эта система была активной. Ну и не запутайтесь во всём этом.

[Ziptar]

Игорь, У реестра есть ветки (папки), у веток листья (записи), ветки составляют куст. Это важно в данном случае? По моему нет.

[Игорь]

Ziptar, там их тоже 3( Похоже учетки удалил кто-то до того как я вытащил hdd из ноута((

[Ziptar]

vreitech, автор не загружается с диска с ноубука, поэтому ему придётся сначала загрузить кусок реестра ручками

[Ziptar]

Игорь, глухарь значит, дело можно убирать в архив.

[Игорь]

Ziptar,

У реестра есть ветки (папки), у веток листья (записи), ветки составляют куст. Это важно в данном случае? По моему нет.

нет, не важно, просто для общего развития)

[Игорь]

Ziptar, А винда не хранит лог удаления\создания учеток?

[Игорь]

Ziptar, если я удалю куст то это никак не повредит ЖД?

[Ziptar]

Игорь, хорошая идея.
Логи хранятся по пути X:\Windows\System32\winevt\Logs\
Нужен, по всей видимости, лог Security.evtx
И в нём искать event 4726

Куст выгрузите через меню файл через соотвествующий пункт. Удалять нельзя, надо именно выгрузить, то есть "отсоединить" от реестра файл, который Вы подгрузили с ноутбучного диска.

[Ziptar]

Забавная ветка получилась, похожа на чЯтик. Треть ответов не в попад по хронологии <З

[Игорь]

Ziptar,

Логи хранятся по пути X:\Windows\System32\winevt\Logs\
Нужен, по всей видимости, лог Security.evtx
И в нём искать event 4726

Мне выдает что в доступе отказано, как быть?


Изменено: нужно было с правами админа, сорян, туп как досочка я)

[Игорь]

Ziptar, 33 921 событие, я их до смерти искать буду

[Игорь]

Ziptar, разобрался, нудо использовать фильтр, но события 4726 нету, 0 результатов

[Игорь]

Ziptar, В общем я решил погуглить и нашел событие входа в систему 4624, и протыкав кучу события я нашел те учетки о которых я говорил, как я понимаю это не локальные учетки, потому что вместо названия mail (ну и там написано MicrosoftAccount еще), я мог их как то отключить или еще что либо сделать?

[Ziptar]

Игорь, вроде как мс учётки суть есть локальные с синхронизацией, но это не точно. 4726 это событие удаления учётной записи; может быть существуют ещё какие-то связанные события, которые могут навести на след, так сказать, но это я уж предлагаю погуглить самому. Ну и рядом, кстати, ответили, что действительно можно поиском попытаться найти все ntuser.dat, может потерянные профили всё-таки обнаружатся.

Answer 2

[Константин Цветков]

WHERE /R C:\ NTUSER.DAT найдёт все папки с профилями (если у вас был действительно один том). C:\Windows\ServiceProfiles — это папка с системными профилями. Хотя кто знает?

Comments

[Игорь]

C:\Windows\ServiceProfiles

там две папки LocalService и NetworkService, но у них у обоих одинаковая структура и все подпапки пустые

[Ziptar]

Игорь, ну, во-первых, делайте поправку на диск - целевой у вас таки не C. Во-вторых, в профилях системных учетных записей ловить нечего. Возможно, мой тезка имел в виду то, что потерянные профили могли бы онаружиться в расположении систмных профилей. Но маловероятно.

[Игорь]

Ziptar, я опять ничего не понял( вот что мне выдала команда WHERE /R D:\ NTUSER.DAT
У меня что 8 учеток, у меня не было столько

[Ziptar]

Игорь, ну, собственно, это значит, что тех двух (или трёх?) профилей, которые "потерялись", и правда нет.

[Игорь]

Ziptar, это нож в самое сердечко ʕ•̠͡•ʔ

[Ziptar]

Игорь, не виноватая я.
Есть ещё пара шансов:
1) собственно, попытать счастья с восстановлением данных - вдруг что найдется
2) учитывая, что те учетки были созданы через мс аккаунт - можно попытаться найти логины с паролями от них и заглянуть с ними в onedrive.

Answer 3

[Karpion]

Напишите модель ноутбука. Сдаётся мне, что там был неснимаемый SSD.

Comments

[Игорь]

Все решилось уже, спасибо. И SSD снимаемый был