07/07/22 01:34:10 tU9J/2Mi0
今回、解析の途中でとても心強かったものが1つ。
ルートディレクトリで dir /s した結果のテキストファイルが残っていたこと。
クラッシュするよりも一ヶ月くらい前のものだったけど、
解析結果と比較して参考にするには十分だった。
今回、得た教訓は4つ。
◆1つ目 クラッシュしたらWindowsを再び起動してはいけない。
Windowsは起動時に接続された全HDDのNTFSらしきパーティションを自動的にマウントする。
このマウントの時に、「回復処理」といって、トランザクションログをもとに、
正常に完了していないMFTへの変更を、やり直す or 取り消す ということを行う。
いきなり電源を切ったり、ブルースクリーンで落ちた時には、これは適切に働くが、
HDDが壊れかけだと、この回復処理でのHDDへの書き込みがエラーになり、必要な情報を失ってしまう。
Windowsを再び起動する前に、NTFSの中身に触れない設定のLinux等で、HDDのイメージを別の場所にコピーすべき。
当然、Windows上で動作するサルベージ・ソフトは、Windowsを起動した後に動きだすので、使えない。
今回は、すでにWindowsを再起動して被害拡大してしまった後なのと、
プログラムを書くのが楽だという理由で、Windows上でサルベージした。