У меня есть один большой NTFS-раздел на внешнем диске, который больше "не работает", и я пытаюсь восстановить с него данные. Когда я пытаюсь использовать его (используя GNU / Linux), мне говорят, что раздел не содержит файловой системы NTFS (например, ntfsresize говорит мне NTFS signature is missing).
Глядя на байты в разделе, я действительно нахожу "характерные" начальные байты, описанные в https://en.wikipedia.org/wiki/NTFS (т.е. 0xEB 0x52 0x90, за которым следует NTFS и 4 пробела), но им предшествуют 4 нулевых байта. Я также вижу, что обычный «конечный маркер» загрузочного сектора раздела (в виде 0x55 0xaa) также сдвинут на 4 байта (т.е. эти 2 байта находятся по смещению 514 вместо 510).
Есть идеи, что может вызвать такую ситуацию (это не мой диск, и, насколько я понимаю, он использовался в основном с Windows, хотя, возможно, он также использовался из системы GNU / Linux Ubuntu)?
Я думаю о «несмещении» заголовка раздела, но я не уверен, насколько далеко зашло это смещение: очевидно, что оно влияет как минимум на первые 516 байтов (т.е. как минимум на весь первый сектор и часть второго), но я не знаю, как определить, зашло ли оно дальше, и если да, то как далеко.
Я отменил сдвиг байтов в первом секторе (т.е. удалил «ложные» 4 нулевых байта в начале и записал полученные 512 байтов в первый сектор, таким образом оставив байты 512-516 как «явно неправильные»), что действительно меня немного дальше, но теперь я получаю ошибку
ntfs_mst_post_read_fixup_warn: magic: 0x04510000 size: 1024 usa_ofs: 18758 usa_count: 17739: Invalid argument
Record 0 has no FILE magic (0x4510000)
Failed to load $MFT: Input/output error
Failed to mount '/dev/sdb1': Input/output error
Что я обычно могу ожидать найти в байтах 512-1024? Или, как вариант, где я могу найти эту информацию?