1) La 1ère chose à faire lorsqu’une partition a disparu ou que Windows demande "voulez-vous formater cette partition ?" est donc d'aller voir dans la gestion des disques (clic droit sur poste de travail > gérer > gestion des disques) si la partition est reconnue et de quelle manière.
Si c’est le disque dur entier qui n’est plus visible dans le poste de travail mais qu’il apparaît dans la gestion des disques, le traitement est le même que pour une partition disparue. Si, par contre, le disque dur "disparu" n’apparaît pas non plus dans la gestion des disques, il faut aller voir dans le BIOS s’il est reconnu, mais c’est un autre sujet que je n’aborderai pas ici.
A ce stade, et, avant toute chose, faire un CHKDSK /F /R qui peut, à lui seul, solutionner vos problèmes (soit en invite de commande sous XP : démarrer > exécuter > taper "cmd" > taper "chkdsk E: /F /R" où E: est la partition que vous voulez analyser, soit sous la console de récupération comme expliqué ICI en bootant sur le CD d'XP et qui permettra de tenter également fixboot et fixmbr). A noter cependant qu'il n'est pas rare que chkdsk n'arrive pas à analyser une partition RAW...
2) La 2ème étape consiste à télécharger PTEDIT32 ou ici ptedit32.zip qui va permettre d’analyser la table de partition du MBR et de voir si le secteur de boot de la partition disparue est encore accessible. (un conseil, téléchargez-le tout de suite car vous en aurez peut être besoin un jour et qu'il ne sera peut être plus disponible... Pour les possesseurs de Partition Magic le programme est installé par défaut et accessible dans le sous-répertoire C:\program files\powerquest\partition magic).
a) tout d'abord télécharger et installer PTEDIT sur le PC,
b) ensuite faire une impression d’écran de la gestion des disques, de manière à ne pas se tromper de partition sous PTEDIT32 (pour l’impression d’écran : ouvrir la gestion des disques > appuyer sur la touche "Impr écran" > ouvrir le logiciel "Paint" présent dans les programmes > cliquer sur "edition" > "coller" > reste plus qu’à imprimer...). Voilà comment se présente la gestion des disques et le détail des partitions :
c) ouvrir PTEDIT32 et analyser le descripteur de partition de la partition disparue :
* en haut dans "Hard Disk" cliquer sur la flèche noire pour sélectionner le disque dur sur lequel on veut travailler (s’aider de la gestion des disques pour sélectionner le bon DD si on en a plusieurs).
* Le tableau à 4 lignes dessous représente les 4 descripteurs de partition présents dans le MBR du DD sélectionné, la colonne "Type" montrant l’octet codant pour le système de fichiers de chacune des partitions :
* Les principaux codes de types que l’on peut trouver sont les suivants :
* Dans mon exemple, j’ai 2 partitions en NTFS codées "07" (correspondant à O: et K: dans la gestion des disques) et une partition étendue codée "0F" (comportant 5 partitions logiques L: H: Q: N: et P: visibles dans la gestion des disques sur l’image précédente).
- si c’est une partition principale qui a disparu (regarder dans la gestion des disques), celle ci figurera sur la 1ère fenêtre de PTEDIT.
- par contre si c’est une partition logique (au sein de la partition étendue) qui a disparu, il faudra cliquer sur "Goto EPBR" autant de fois qu’il sera nécessaire pour accéder à cette partition logique, chaque clic sur "Goto EPBR" affichant une des partition logique (théoriquement dans l’ordre de la gestion des disques) et une partition étendue codée "05" contenant les autres partitions logiques, jusqu’à ce que la dernière partition logique soit affichée (on le sait lorsqu’il n’y a plus de partition étendue "05" visible). On peut revenir à la partition précédente en cliquant sur "Goto Parent".
* à noter que ça fonctionne de la même manière avec les clés USB puisque PTEDIT32 les reconnaît de la même façon :
c’est en analysant le descripteur de la partition disparue qu’on peut commencer à raisonner :
1) le descripteur est rempli de 00 (sur toute la ligne) : dans ce cas le MBR est probablement corrompu, et il faut restaurer le MBR si on avait pensé à le sauvegarder (voir ce sujet) ou lancer testdisk (voir cet autre sujet) pour retrouver la partition disparue (menu analyse > proceed …).
si testdisk ne retrouve rien il faut vérifier avec EditHexa (voir ici) que le 1er secteur n'ait pas été complétement effacé, dans quel cas il faudra essayer de restaurer le MBR avec le menu "MBRcode" de Testdisk (avant de relancer analyse > proceed) ou en faisant un fixmbr sous la console de récupération ou un fdisk /mbr en bootant sur une disquette de win 98 (notez bien que ces commandes ne restaurent que le code exécutable du MBR, mais pas les descripteurs de partition : donc le problème n'est pas réglé pour autant)
2) le code de type semble faux (chiffre aberrant en début de ligne) : cliquer sur la case correspondante de la colonne Type > puis cliquer sur "Set Type" et une nouvelle fenêtre s’affiche montrant quels codes sont utilisables pour déterminer le système de fichiers :
dans cette nouvelle fenêtre il faut cliquer sur le code du type de fichier que l’on souhaite affecter à la partition (dans mon exemple "0B" pour avoir ma partition en FAT 32) > puis cliquer sur "Save Changes" > c’est terminé.
3) tout semble correct dans le descripteur de partition : ça signifie que le problème se situe non pas dans le MBR mais au niveau du secteur de boot de la partition : voir paragraphe suivant…
d) accéder au secteur de boot de la partition disparue :
Normalement lorsqu’on clique sur l'octet de type en début de ligne, on voit le bouton "boot record" qui devient noir (accessible), ce qui permet d'accéder au secteur de boot de la partition ou tout au moins au tableau représentant le Bios Parameter Block qui détaille les caractéristiques de la partition
(voir "MBR et secteur de boot" pour comparer vos données avec ce qui devrait apparaitre) :
Là encore différentes situations :
1) le bouton « boot record » reste grisé, inaccessible, et il est impossible d’accéder au secteur de boot : ça signifie que le secteur de boot est probablement corrompu et il faut lancer
TestDisk > sélectionner le DD à explorer > entrée > sélectionner « intel » > entrée > sélectionner « Analyse » > entrée :
* la partition est présente > il faut faire save > entrée > quit > menu advanced > boot… (voir ci-dessous)
* la partition est absente > il faut faire « Proceed » > entrée :
. partition retrouvée > faire entrée > write > quit > menu advanced > boot… (voir ci-dessous)
. partition toujours pas retrouvée > faire entrée > « Search » > entrée : dans la nouvelle fenêtre qui apparaitra (après 10 ou 20 minutes de scan, voire beaucoup plus pour les gros disques durs) il faut vérifier le statut de chaque partition (*, P, L, E, D) et éventuellement modifier par les flèches droite gauche les erreurs visibles : notamment pour la ou les partitions retrouvées qui ont souvent le statut "D" et qu'il faudra passer en "*" si partition principale bootable, "P" si partition principale non bootable, ou "L" si c'était une partition logique, mais à cette étape il faut également passer en revue toutes les autres partitions car d'anciennes partitions volontairement effacées peuvent réapparaitre or celles ci doivent rester en "D" pour ne pas interférer avec les partitions existantes... > entrée > "Write" > entrée > confirmer par "Y". Pour chaque partition retrouvée, un message d’alerte peut s’afficher du genre « Partition sector doesn't have the endmark 0xAA55 » ou « Boot sector bad »… en réalité, qu’il y ait ou non un message d’erreur, il faut toujours aller vérifier le menu advanced > boot pour s’assurer que les 2 secteurs de boot soient OK et identiques; si c’est le cas on quitte testdisk et c’est terminé, dans le cas contraire il faut utiliser « Backup boot sector » (si la copie de sauvegarde est OK), « Org. BS » si la copie de sauvegarde est mauvaise, ou « Rebuild BS » (si les 2 secteur de boot sont bad…) : voir testdisk pour plus de détails. Attention, en cas de "rebuild BS" il faut utiliser la fonction « List » avant de valider le changement de secteur de boot, ceci afin de s’assurer que les tous les fichiers que l’on veut récupérer sur la partition sont bien présents…
2) on peut accéder au secteur de boot, mais celui-ci renferme des anomalies (voir "MBR et secteur de boot" pour comparer vos données avec ce qui devrait apparaitre) : on peut essayer de faire les modifications que l’on croit bonne > puis cliquer sur write > fermer PTEDIT et redémarrer l’ordi pour voir si le problème venait bien de là et si on ne s’est pas trompé… sinon, l’autre solution là encore est de lancer testdisk.
3) tout semble correct dans le secteur de boot : ça signifie que le problème se situe en aval, notamment au niveau de la Table d’Allocation des Fichiers (FAT ou MFT). Là ça devient plus compliqué, et même si on peut bricoler un peu avec Edithexa, le plus simple est de lancer testdisk en faisant dans l’ordre :
* analyse > proceed (pour vérifier que la partition est bien présente) > write,
* puis advanced > boot (pour vérifier que les secteurs de boot soient OK et identiques),
* puis repair FAT ou repair MFT si tout le reste est correct…
*
mais dans certains cas la FAT (ou la MFT) est corrompue. Dans ce cas la commande "list" échoue en renvoyant un message d'erreur du genre "can't open filesystem. filessystem seems damaged", de même que le "repair FAT" (ou un repair MFT) renvoie un autre message d'erreur du genre "MFT and MFT mirror are bad, failed to repair them". dans ce cas on peut essayer de retrouver la bonne MFT (encore que j'y suis pas encore arrivé...) ou sinon reste plus qu'à essayer de récupérer les données grâce à un logiciel de récupération. voir les cas de zud et bok2000 ainsi que la solution qu'a trouvé FL04 avec getdataback...
* dans tous les cas pensez à bien regarder au préalable la géométrie du DD dans testdisk (capacité DD, descriptif CHS) car parfois le problème vient de là.
4) Si tout ça ne donne rien il faut vérifier l'intégrité du DD :
* un simple CHKDSK peut suffire (CHKDSK /F /R), que je recommande d'ailleurs de faire en 1ère intention avant toute autre manip (et qu'il ne faudra pas hésiter à répéter après manips avec testdisk par exemple),
* et si ça ne donne rien, il faut tester le DD avec HD-Tune ou ici ainsi que le logiciel constructeur (Powermax pour Maxtor, seatools pour Seagate, Drive Fitness pour Hitachi, Hutil ou DataAdvisor pour Samsung...), et en cas de secteur défectueux tenter une réparation par HDD-regenerator
5) Ultimes solutions pour récupérer vos données :
* utiliser un logiciel de récupération de données
* ou encore essayer de récupérer les données sous linux en bootant sur le liveCD de Slax-LFI : toutes les explications ici récupération de données sous linux
3) Quelques remarques supplémentaires concernant les passages en RAW :
Il semblerait qu’il s’agisse souvent d’une corruption du secteur de boot de la partition et que la solution passe par une reconstruction de ce secteur de boot dans le menu advanced de testdisk (préférer un backup BS si disponible plutôt qu’un rebuild BS, mais dans ce dernier cas attention de bien vérifier la présence des fichiers que l’on recherche par la commande "list" avant de valider les modifications par "write").
D’autre part, croisez quand même les doigts, car à l’issue de cette manip, il y a souvent un chkdsk qui s’exécute automatiquement au reboot et qui peut parfois effacer de nombreux "fichiers orphelins" (la récupération de tous les fichiers n'est donc pas garantie à 100 % : voir le cas de kalmouk...).
des cas particuliers ont pu être réglés autrement :
- en faisant simplement un simple CHKDSK /F /R de la partition corrompue ou du disque
- en changeant de prise USB lorsque le problème touche un périphérique USB
- en rétablissant les permissions d'accès par l'onglet sécurité ou la commande CACLS : explications ici
- en réparant des secteurs disques défectueux avec HDD-regenerator
- en remettant correctement le jumper à l'arrière du DD lorsque celui ci a été bougé
- en changeant une prise mollex (faux contact électrique)
L'hypothèse enfin d'une corruption de la base de registre dans certains cas n'est pas exclue (certaines clés contenant la signature disque et des informations importantes sur la structure des partitions) mais cette dernière piste reste à défricher... :
- si par hasard rien ne marche et que vous avez eu le nez de faire une sauvegarde de la BdR avec Erunt, vous pouvez toujours tenter une restauration de la BdR
- faute d'autre solution vous pouvez aussi tenter cette manip : faire démarrer > exécuter > taper "cmd" (> entrée) > taper "MountVol /E" (> entrée), et regarder ce que ça donne...
- ou encore tenter une nouvelle analyse de disque (qui va mettre à jour la BdR) : dans la gestion des disques, faire "action" > "analyser les disques de nouveau"
4) Appendice :
a) Si vous avez besoin d’aide commencez par faire une copie d’écran de la gestion des disques, de ce que montre PTEDIT32 ainsi que du secteur de boot si accessible par « boot record »).
b) certaines manips dans testdisk sont plus à risque que d’autres :
- le write dans le menu analyse (après proceed et/ou search) n’est pas dangereux car tout ce que fait ce menu analyse, c’est de modifier les descripteurs de partition du MBR, mais on peut toujours revenir en arrière en relançant l’analyse…
- le write du menu advanced me semble par contre plus délicat à manier car on modifie le secteur de boot (ou tout au moins son BPB) ou la table d’allocation des fichiers, et là une erreur risque de compromettre la récupération : c’est pourquoi dans le menu advanced la commande « list » est importante pour s’assurer que la « réparation » qu’on va faire est la bonne…
c) Il y a un autre service que PTEDIT32 peut vous rendre : le tableau à 4 lignes montre le descriptif exact de chaque partition (les descripteurs de partition), notamment à quel emplacement précis débute et se termine la partition ainsi que le nombre de secteurs constituant cette partition (x 532 = nombre d’octets de cette partition). Or ces informations sont indispensables à la bonne reconnaissance des partitions. Si un virus par exemple (ou autre bug) venait à modifier ce descripteur de partition, votre partition serait irrémédiablement perdue. D’où un conseil tant que votre ordinateur marche bien : faites une copie d’écran de chacun de vos descripteurs de partition sous PTEDIT32 et gardez précieusement les données chiffrées; vous serez peut être bien content un jour de pouvoir remettre ces données avec PTEDIT32 et ainsi retrouver votre partition intacte...
d) Pour les utilisateurs de Windows 98 et Millénium : il semble que PTEDIT32 ne puisse pas fonctionner sans un petit fichier de 19 Ko qui s’appelle PQVXD.vxd
Une solution pour le récupérer est de télécharger vfd_folders.exe et d’en extraire (avec WinZip) le petit fichier en question.
Utilisation de la console de récupération pour faire CHKDSK, FIXMBR et/ou FIXBOOT :
1. rentrer dans le BIOS au démarrage (touche "suppr") et mettre le lecteur CD en 1st boot > mettre le CD de Windows XP dans le lecteur et redémarrer le PC > à l’invite "presser une touche pour démarrer le CD-Rom", appuyez sur une touche quelconque > le CD se lance et le programme d’installation de Windows démarre > après 30 ou 40 secondes, l’écran de bienvenue apparaît : appuyer alors sur la touche R (Réparer) pour démarrer la console de récupération.
2. la liste des installations de Windows présentes sur le PC va alors s’afficher : à moins que vous ne disposiez de plusieurs Windows XP sur votre disque, un seul élément devrait apparaître sous la forme "1 : C:\WINDOWS". A la question "sur quelle installation de windows XP voulez-vous ouvrir une session ?", taper le chiffre correspondant à votre installation de Windows, généralement 1, puis Entrée
3. à la question "entrez le mot de passe administrateur", taper votre mot de passe si vous en avez créé un à la 1ère installation de windows (puis entrée), sinon appuyer simplement sur la touche entrée si vous n’en aviez pas mis. Attention si on tape un mot de passe incorrect 3 fois de suite, la console se ferme et il faut recommencer au début. Si vous ne vous souvenez plus de votre mot de passe, vous pourrez quand même accéder à la console de récupération après avoir modifié une clé de registre :
4. L’invite de commandes s’affiche alors sous la forme "C:\Windows>" > taper "map" pour voir les lettres de lecteur, les types de système de fichiers, les tailles de partition et les correspondances avec les différents volumes et périphériques de stockage (lecteur de disquette, clés usb, et lecteur CD ou DVD). Bien noter toutes ces caractéristiques car on en aura besoin plus loin.
5. Un secteur défectueux ou une erreur dans le système de fichier peut être la cause de vos problèmes. Pour vérifier le disque dur, rechercher les secteurs défectueux, récupérer les informations lisibles, et éventuellement réparer le système de fichier, saisir la commande suivante chkdsk x: /p /r puis Entrée (ou x: correspond à la partition qu’on veut réparer, identifiée grâce à la commande "map"). Si on veut vérifier le disque dur système entier il suffit de ne pas indiquer de lettre de lecteur). Lorsque la vérification est terminée, un rapport est affiché permettant de voir si des erreurs ont été détectées et réparées. vous noterez que sous windows c'est "/F /R", alors que sous la console de récupération c'est "/P /R".
6. Pour réparer le secteur de boot de la partition disparue (x:), taper la commande fixboot x: puis Entrée. La console vous demande si vous souhaitez vraiment écrire un nouveau secteur de démarrage : confirmer en saisissant la lettre o (pour oui) puis appuyer sur Entrée. Un nouveau secteur de démarrage est alors écrit au début de la partition x:
7. Pour réparer le MBR du disque dur inaccessible (secteur principal de démarrage), taper la commande fixmbr \device\harddisk3, puis Entrée (en remplaçant le 3 de \device\harddisk3 par le numéro qui apparait en regard du disque disparu dans la commande "map"). Si fixmbr détecte une table de partition non standard, il demandera la permission avant de remplacer le secteur principal de démarrage (il faut alors confirmer la commande). Si l’on veut réparer le MBR du disque principal (système) on peut se contenter de taper fixmbr.
Attention, cette commande ne doit pas être utilisé lorsqu’un gestionnaire de multi-boot est installé, si linux est installé sur le DD avec grub, ou encore lorsqu’on pense qu’un virus a pu infecter le MBR : dans ces 3 situations on risque de ne plus pouvoir accéder aux partitions.
8. Pour afficher la liste des commandes disponibles dans la console de récupération, tapez help, puis appuyez sur Entrée.
9. Pour plus d'informations sur une commande spécifique, tapez help Nom_commande, puis appuyez sur Entrée
10. Pour quitter la console de récupération et redémarrer l'ordinateur, tapez exit à l'invite de commandes, puis appuyez sur Entrée
1) certains logiciels gratuits peuvent être essayés en 1ère intention :
Photorec (qui, comme son nom ne l'indique pas, peut récupérer pleins d'autres fichiers que des photos...)
PC inspector File recovery 4.0
Partition Find and Mount
Recuva
Restoration ou sa version française et son tuto
Roadkil's undelete v1.2 (récupération de données sur DD sains)
Roadkil's Unstoppable Copier (récupération de données sur DD abîmés avec secteurs défectueux)
Smart Data Recovery
Drive rescue
Avira UnErase Personal
version gratuite de Handy Recovery
2) les autres logiciels sont payants, mais leurs versions d'évaluations (gratuites) permettent le plus souvent de voir s'ils retrouvent les données avant d'acheter le logiciel :
R-studio (La version d’évaluation peut récupèrer les fichiers < 64 Ko)
R-Undelete Recover File (La version d’évaluation peut récupèrer les fichiers < 64 Ko)
GetDataBack et son Tuto
Filerecovery professional 3.2 (le site ICI)
EasyRecovery personal edition 6.0 et EasyRecovery professional edition 6.0 (site et versions demo ICI)
Power Data Recovery (La version d’évaluation peut récupèrer les fichiers < 0,6 Mo)
Stellar Phoenix FAT & NTFS
O&O DiskRecovery V4, O&O UnErase V4, O&O FormatRecovery V4,
TuneUp Utilities 2006
File scavenger 3
VirtualLab Data Recovery
Recover My Files
Handy recovery et son Tuto
Disk expert 3
Davory
active uneraser
Data Recovery Wizard qui semble adapté aux problèmes de RAW (voir ici et là), dont la version demo permet de voir ce qui est récupérable (mais seulement voir...) et avec un tuto détaillé
3) Certains logiciels enfin sont plus particulièrement adaptés à la récupération de photos (ou autres) sur divers supports :
Photorec (gratuit)
Digital MediaRescue Professional
Digital ObjectRescue Professional
Power CD DVD Recovery (La version d’évaluation peut récupèrer les fichiers < 0,6 Mo)
Photo Recovery Genius (La version d’évaluation peut récupèrer les fichiers < 0,6 Mo)
O&O MediaRecovery V4
Pour modifier les permissions d’accès il faut accéder à l'onglet "Sécurité" des propriétés du disque dur. Sous XP pro cette fonction est présente et il suffit de l’activer, mais sous XP home il faut rajouter cette fonction qui n’existe pas :
sous XP pro : ouvrir le "Poste de Travail" > menu "Outils" > "Options des Dossiers..." > onglet "Affichage" > décocher l'option "Désactiver le partage de fichiers simple (recommandé)" dans la section "Paramètres avancés" > Valider les changements.
Sous XP home : il faut installer un utilitaire Windows NT4, Security Configuration Manager (SCM), téléchargeable ici ou ici > décompresser l’utilitaire (avec WinZip ou WinRAR) > sélectionner le fichier Setup.INF > clic droit et sélectionner "Installer" > une boîte de Dialogue propose de remplacer le fichier Esent.DLL : Il faut refuser en cliquant sur « Non pour tous » > Redémarrer le PC (explications ici ou là )
puis cliquer sur "Poste de Travail" > clic droit sur le disque dur RAW : option "Propriétés" > dans l'onglet "Sécurité", cliquer sur "Ajouter" > "Avancé" > "Rechercher" > cliquer sur le nom qui apparaît dans la colonne "Nom (RDN)" > valider en cliquant deux fois sur "OK" > toujours dans l'onglet "Sécurité", sélectionner le nom d'utilisateur > cocher "Autoriser" (en face de "Contrôle total" ) > "Paramètres avancés..." > cocher la case "Remplacer les entrées d'autorisations de tous les objets entrants par les entrées affichées ici et qui s'appliquent aux objets entrants" > valider en cliquant deux fois sur "OK" > redémarrer le PC et regarder si les données sont de nouveau accessibles…
NB : tout ceci ne marche que pour les partitions NTFS, pas pour les partitions FAT…
Il existe également la commande CACLS utilisable en ligne de commandes, qui permet de modifier les autorisations d'accès aux fichiers aussi bien dans l'édition familiale que professionnelle, et qui doit être essayé si la console de sécurité ne donne rien. Imaginons par exemple que la partition E: soit passée en RAW ; faire démarrer > exécuter > taper "cmd" > à l'invite taper "CACLS E: /T /P machin:F" (où "machin" est à remplacer par le nom d'utilisateur qu’on trouve en faisant Alt+Ctrl+Suppr > onglet processus > colonne nom d'utilisateur...). Après une confirmation, et avec un peu de chance, le lecteur sera de nouveau accessible… Les paramètres de la commande sont disponibles en saisissant CACLS /? à l'invite de commande.
On peut aussi se procurer l'utilitaire SubInACL disponible sur le site de Microsoft ici ou ici , peut être plus fiable que la commande CACLS native qui peut parfois affecter les droits dans un ordre incorrect et peut provoquer des erreurs, mais c’est en anglais...
Remerciement a romsk pour ce travail
discussion et problèmes pratiques de ce sujet ici
Voici d'autres pages que vous pouvez consulté :
