@MSGID: 1@dont-email.me> f843fb26
@REPLY: <u61v94.nu4.1@ID-201911.user.individual.net>
17ceea37
@REPLYADDR Paul <nospam@needed.invalid>
@REPLYTO 2:5075/128 Paul
@CHRS: CP866 2
@RFC: 1 0
@RFC-Message-ID: 1@dont-email.me>
@RFC-References: 1@dont-email.me>
1@dont-email.me> 3@dont-email.me> 1@dont-email.me>
1@dont-email.me> 1@dont-email.me> 1@dont-email.me>
1@dont-email.me> <u4609h.10s0.1@ID-201911.user.individual.net> 1@dont-email.me>
<u48bqv.c2c.1@ID-201911.user.individual.net> 1@dont-email.me> <u5vvvl.i8.1@ID-201911.user.individual.net>
1@dont-email.me> <u61v94.nu4.1@ID-201911.user.individual.net>
@TZUTC: -0400
@PID: Ratcatcher/2.0.0.25 (Windows/20130802)
@TID: FIDOGATE-5.12-ge4e8b94
On 6/10/2023 7:53 AM, Frank Slootweg wrote:
> Paul <nospam@needed.invalid> wrote:
>> On 6/9/2023 2:01 PM, Frank Slootweg wrote:
>>> [Context kept because of age. Please skip to the end.]
> 
> [Lots deleted.]
> 
>>>     I finally re-made the (Macrium Reflect Free) Image backup of the three
>>> non-C: partitions.
>>>
>>>     I noticed that now the (image of the) Recovery Partition is (seems to
>>> be?) completely empty, i.e. I can mount it, but File Explorer, DIR and
>>> ATTRIB show no files or folders.
>>>
>>>     If my (02AUG2022, i.e pre-MAY2023) notes are correct, it used to
>>> contain a single folder `Recovery` with a single 3-byte file _CNBRP.FLG.
>>>
>>>     Why the difference and why is the partition empty/nearly-empty?
>>>
>>>     Should I worry?
>>>
>>>     FTR, Macrium says this about the partition:
>>>
>>> 4 -              (None) Primary - NTFS        603.5 MB  693.0 MB
>>>
>>>     The others (non-C:) are:
>>>
>>> 1 - SYSTEM       (None) Primary - FAT (LBA)    71.0 MB  260.0 MB
>>> (Contains folder `EFI` with subfolders.)
>>>
>>> 2 -              (None) Primary - Unformatted  16.0 MB   16.0 MB
>>>
>>> [...]
>>>
>>
>> (1) is EFS, the "system" partition used by UEFI. It can be
>>       as small as 100MB. Linux does not like it to be 100MB and has
>>       a different minimum size for it.
>>
>> (2) in your example, is Microsoft Reserved, it is quite small, and
>>       it has no file system inside it. Since it has no file system,
>>       some utilities are not prepared to even move such a partition.
>>       Macrium switches to "dd" mode to back that up. Macrium is not
>>       defeated by such "items". Linux GParted on the other hand...
>>
>> (4) is System Reserved and is sized to hold WinRE.wim.
>>
>> With an Admin terminal, try
>>
>>      reagentc /info
>>
>> and that will tell you whether the System Reserved is currently being
>> used for its WinRE.wim , or the WIM is coming from somewhere else.
>>
>> If you have several System Reserved, the one "nearest" the right-hand-end
>> of the C: partition, that could be the "real" one. The others may be
>> part of supporting Windows.old rollback procedures on a failure.
>>
>> If the C: partition is ever inaccessible (like, say, BitLocker issue
>> due to TPM resetting), that is when you want the WinRE.wim to be
>> somewhere other than C: . That can function as the Recovery Environment
>> when the OS can`t or won`t boot.
> 
>    This is what `reagentc /info` says:
> 
> Windows Recovery Environment (Windows RE) and system reset configuration
> Information:
> 
>      Windows RE status:         Enabled
 > Windows RE location:
\\?\\GLOBALROOT\\device\\harddisk0\\partition4\\Recovery\\WindowsRE
 > Boot Configuration Data (BCD) identifier:
78cb9cd9-c29d-11ed-8d0a-ffb519a0e260
>      Recovery image location:
>      Recovery image index:      0
>      Custom image location:
>      Custom image index:        0
> 
> REAGENTC.EXE: Operation Successful.
> 
>    The
> 
 > Windows RE location:
\\?\\GLOBALROOT\\device\\harddisk0\\partition4\\Recovery\\WindowsRE
> 
> part seems to imply that my Recovery Partition (4) is in use and should
> contain WindowsRE[.wim] in folder Recovery, but as I said, the partition
> does not contain/show any files or folders (at least not in File
> Explorer (with (Show) File name extensions and Hidden items ticked), nor
> with DIR and `ATTRIB *.*).
> 
>    So still:
> 
>>>     Should I worry?

 You should use TestDisk to look in the 0x27 Hidden NTFS "System
Reserved" partition.

https://www.cgsecurity.org/wiki/TestDisk_Download

The thing is, reagentc.exe cannot claim "Enabled", unless
it has checked that the file in question is present. We
suspect, with a high probability, that it is there, and
it`s just a matter of identifying the partition properly.
The diskpart.exe can list partitions. Compare that list
to Disk Management.

    [Picture]

     https://i.postimg.cc/cJ1p8BNX/fun-with-partitions-and-winre-wim.gif

   Paul
--- Ratcatcher/2.0.0.25 (Windows/20130802)
 * Origin: A noiseless patient Spider (2:5075/128)
SEEN-BY: 5005/49 5015/255 5019/40 5020/715 848 1042
4441 12000 5030/49 1081
SEEN-BY: 5075/128 6078/80
@PATH: 5075/128 5020/1042 4441