Dateisystem hinüber - was nun?

[FalscherHans]

Was bisher geschah:

Primäre NTFS Partition (OS) zeigt sich unter Windows vom Typ RAW. Chkdsk startet nicht/bricht sofort ab. Unter Linux vom Typ NTFS. Linux nftsresize sagt, ich soll chkdsk /f ausführen...

Testdisk sagt, die Partition sei nicht wiederherstellbar, zudem passe etwas mit der Plattengröße nicht (angezeigt werden richtig 120GB, Testdisk erwartet aber 167GB). Weiter: MBR und Backup MBR sind OK und identisch. MFT und MFT Mirror defekt. Zugriff auf Daten unter Testdisk nicht möglich.

R-Studio (Recovery für Windows) konnte 135185 von 136040 Dateien samt Verzeichnisstruktur und korrektem Namen wiederherstellen. So, und da beginnt bei mir das Fragen: Warum kann ich quasi die komplette Partition sichern (nicht, daß mir das nicht schon genug geholfen hätte), aber die Partition nicht wiederherstellen?

Gibt es noch andere Tools, mit denen ich die Partition retten kann? Der MBR scheint ja in Ordnung zu sein, aber die MFT/das Dateisystem nicht. Das muß man doch irgendwie reparieren können, wenn ein Tool noch an alle Dateien kommt, oder?

An $Mft und $MftMirr würd ich über R-Studio ja rankommen, aber wie könnte ich die verwenden, um an die Daten zu kommen? Neu Partition erstellen und $Mft und $MftMirr "drüberkopieren"?

 

[Fiona]

Nicht das in Testdisk eine verkehrte Partition angezeigt wurde und es wurde versucht die zu reparieren.
Da es ist normal nicht sinnvoll an einer Partition die über den physikalischen Speicherbereich hinausgeht was zu machen.
Zumeist sind diese Symptome nur wenn Festplatten durch Speicherbegrenzungen wie 32 GB oder ähnlich zu klein erkannt wird.
Dieses wird aber anhand der Jumperung und über den Versuch einer Reparatur der Firmware bei Hänger mit diesen Symptomen, zu lösen.
Ist aber ein anderes Problem.

Lade bitte Testdisk Version 6.9 beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige bei Quick Search und setze mir auch einen Screenshot (bestätige bei Vista-Check entweder mit y oder n).
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Wenn keine Partition mit Daten gefunden wurde;

Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] [Deeper Search] [Write] und gehe mit dem Pfeil im Fall auf [Deeper Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[FalscherHans]

Hallo und danke erstmal für deine Hilfe!

Hab den Test zwar gestern schon mal gemacht, aber da auch nicht genau hingesehen - sind nämlich seltsame Ergebnisse.

Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.

Betroffene OS Partition, Linux Boot-Partition, zwei weitere NTFS-Partitionen (letztere drei in einer erweiterten Partition).

Bestätige bei Quick Search und setze mir auch einen Screenshot (bestätige bei Vista-Check entweder mit y oder n).

Hier beginnt das Seltsame: Eine riesige Partition, die am Ende der Platte startet?

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.

Fehlermeldung: Can't open filesystem. Filesystem seems damaged.

Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] [Deeper Search] [Write] und gehe mit dem Pfeil im Fall auf [Deeper Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.

Nach der Suche kommt wiederum die Meldung, daß die Partition, die am Ende der Platte startet, nicht wiederhergestellt werden kann (Screen s.o.). Danach komm ich zu diesem Bildschrim:

Wieder verwirrend. Eine der ersten beiden sollte wohl die betreffende Partition sein, beide können nicht gelesen werden. Aber auch die letzte Partition kann nicht gelesen werden.

Ob da der Hund begraben liegt?

Logfile kannst du hier einsehen: http://ubuntuusers.de/paste/34635/

Gruß, FalscherHans

 

[Fiona]

Mache mal nichts mit den versteckten Meta-Dateien wie $MFT und $MFTMirr.
Wenn du die auf einer anderen Partition usw. kopierst, kann es ganz schön Probleme machen.
Lieber Finger weg.

Hattest du nach der tieferen Suche mal alle Partitionen der Reihe nach markiert und p gedrückt?
Teile mal mit, auf welchen Partitionen du deine Daten siehst.

Testdisk findet auch Partitionen anhand von Überbleibseln.
Wenn eine zu groß erkannt wird oder falsche Werte hat kannst du es ignorieren.
Auch hatte Testdisk die falsche Partition an dem Screen hinterher mit den Ergtebnissen ausgeklammert und diese wird auch nicht gelistet.

Alle Partitionen nach der tieferen Suche die andere Partitionen überlappen und als dritten Wert 2 oder 3 haben sind falsch.
Testdisk findet diese, und werden zumeist durch Bootmanager wie Grub verursacht, der den MBR und die Partitionstabelle selber verwaltet.
Ist somit normal und diese Partitionen zeigen Fehlermeldungen an.

Auf der anderen Seite werden deine Partitionen zumeist doppelt angezeigt.
Einmal mit der richtigen Struktur zweite und dritte Wert ist jeweils 1 und die anderen bei denen der dritte Wert 2 oder 3 ist sind nur durch Grub/Lilo verursacht.
Daher sind nur die richtigen Partitionen interessant.

Ich habe jetzt sämtliche Werte.

Deine Partitionstabelle sieht in Ordnung aus.
Alle ordnungsgemäßen Partitionen sind dort vorhanden.

Versuche dann mal folgendes;

Gehe mal ins Menü Advanced und wähle dort deine Partitionen der Reihe nach aus.
Gehe auf Boot und Bestätige mal bei Rebuild BS.
Wenn hinterher das Menü List angezeigt wird, gehe darauf und teile mit ob du Daten gesehen hast.
Macxhe erstmal nichts bei Write und nur bei betroffene Partitionen.
Wenn bei Rebuild BS nichts angezeigt wird, gehe mal bei den betroffenen Partitionen auf Repair MFT und teile mit was dort steht.
Ist aber nur ein Kompanion zu chkdsk, wenn chkdsk abbricht oder das Dateisystem nicht reparieren kann.
Infos dazu auch hier;
http://www.cgsecurity.org/wiki/Erweiterte_NTFS_Boot_und_MFT_Reparatur
Mache dort lerstmal nicht bei Write.
Wenn das Dateisystem beschädigt ist und du deine Daten gesichert hast, versuche es mit chkdsk zu reparieren.
Mache es über Start / Ausführen / cmd und chkdsk Laufwerksbuchstabe: /r für Windows-Partitionen.
Für Ext3-Partitionen und sparse Superblock, setze ich dir mal Infos aus einem anderen Thread;
https://www.computerbase.de/forum/t...-verschwunden-und-testdisk-findet-nix.316742/

Teile es erstmal mit.

Viele Grüße

Fiona

 

[FalscherHans]

Hattest du nach der tieferen Suche mal alle Partitionen der Reihe nach markiert und p gedrückt? Teile mal mit, auf welchen Partitionen du deine Daten siehst.

Bei den Partitionen 5, 6 und 7 so wie sie auf dem ersten Screenshot zu sehen sind. Also gerade bei der ersten geht es nicht.

Gehe mal ins Menü Advanced und wähle dort deine Partitionen der Reihe nach aus. Gehe auf Boot und Bestätige mal bei Rebuild BS.
Wenn hinterher das Menü List angezeigt wird, gehe darauf und teile mit ob du Daten gesehen hast.

Defekte NTFS-Partition: Bootsektor und Backup "OK" und identisch. Rebuild sucht nach der MFT und liefert am Ende folgende Meldung:

rebuild_NTFS_BS
mft at 16289888, seq=1, main=0 res=1
ntfs_find_mft: mft_lcn             2036236
ntfs_find_mft: mftmirr_lcn         3054402
ntfs_find_mft: sectors_per_cluster 8
ntfs_find_mft: mft_lcn             2036236
ntfs_find_mft: mftmirr_lcn         3054402
ntfs_find_mft: mft_record_size     1024
ntfs_find_mft: index_block_size    4096
             New / Current boot sector
filesystem size           48869667 48869665
sectors_per_cluster       8 8
mft_lcn                   2036236 758345
mftmirr_lcn               3054402 1585842
clusters_per_mft_record   -10 -10
clusters_per_index_record 1 1
Extrapolated boot sector and current boot sector are different.

"List" zeigt mir die Daten der betroffenen Partition.

Ist das ein gutes Zeichen? Ich möchte da vorerst sonst nichts mehr herumprobieren (MFT Reparatur hatte ich gestern schon mal probiert und das zeigte mir eben an, daß MFT und dessen Backup beschädigt seien) und auf deinen Rat warten.

 

[Fiona]

Der Bootsektor hängt sehr eng mit der MFT und den MFTMirr zusammen.
Wenn der Bootsektor keine gültigen Wert hat, wird die MFT nicht richtig gefunden und kann auch diesen Wert ausgeben.
Auch zeigt der neu erstellte Bootsektor zum jetzigen Bootsektor unterschiedliche Werte an.
Siehst du hier, das die different (unterschiedlich) sind;

Extrapolated boot sector and current boot sector are different.

Der Extrapolated boot sector ist der neu erstellte.
Teste es zumindest mal bei der einen Partition (ist für Testzwecke, da du mit R-Studio deine Daten sowieso schon gesichert hast) und boote auch neu und überprüfe das Ergebnis.
Kann dann mit der nächsten Partition weitergehen.
Gehe mal auf Write und bestätige mit Enter, y und Ok.

Beende Testdisk und starte den Computer neu.

Wenn chkdsk bei Systemstart kommen will, beende chkdsk erstmal.
Geht innerhalb von 10 Sekunden durch beliebigen Tastendruck.

Überprüfe das Ergebnis und teile es mit.

Sicherlich kann es immer problematisch sein, wenn jemand beim Datenretten etwas mit chkdsk oder Repair MFT oder ähnlich macht und direkt Änderungen an Daten vornimmt, obwohl es auch drastisch helfen kann.
Daher erstmal nur zum testen.
Eigentlich wenn Testdisk die Daten nach Rebuild BS bei List anzeigt sollte es klappen.

Viele Grüße

Fiona

 

[FalscherHans]

Soll ich nach dem Schreiben auch direkt "Repair MFT" ausführen?

 

[Fiona]

Nein nie auf Repair MFT gehen.
Nur wenn die Daten in Testdisk gelistet werden, aber in Windows nach der Reparatur nicht angezeigt werden.
Dann zuerst chkdsk, wenn chkdsk nicht hilft Repair MFT und wieder chkdsk versuchen.

Viele Grüße

Fiona

 

[FalscherHans]

Ich schreibe dieses Posting vom "kaputten" Windows aus!

Chkdsk wollte Windows beim Booten nicht ausführen, lief direkt. Sind jetzt meinerseits noch irgendwelche Schritte durchzuführen, oder war das eine erfolgreiche Wiederherstellung?

Ich hab hier einige Systeme herumstehen und diese Geschichte hat mir - trotz vorhandener Backups - einen kleinen Schrecken eingejagt. Etwaige (seltene) Probleme wurden bisher immer von Windows beseitigt und ich hab mich nicht weiter drum gekümmert. Gibt es irgendwelche präventiven Maßnahmen, um solche Katastrophen auf den anderen Systemen zu verhindern bzw. das Retten zu erleichtern (Partitionstabellen sichern, Bootsektoren sichern, etc.)?

 

[Fiona]

Wenn Autochk beim Systemstart nicht gekommen ist, sieht es gut aus.
Dennoch sollten wichtige Daten nach solch einem Vorfall regulär gesichert sein und die Partition mit chkdsk /r auf der Systempartition kontrolliert werden.
Infos darüber gibt es auch in der Ereignisanzeige.
Daten sollten ja regulär mit R-Studio gesichert sein.
Chkdsk ist ein Systemwartungstool, wie Backup und Defrag, das von Zeit zu Zeit ausgeführt werden sollte.
Defragmentierte Laufwerke sind beim Datenretten sehr hilfreich, da die Dateien dann nicht von Datenrettungssoftware aus den Dateifragmenten zusammengesetzt werden müssen und das Ergebnis ist für eine Wiederherstellung und Funktionalität der Dateien um einiges besser.
Aber Festplattentools wie chkdsk und Defrag niemals auf ein beschädigtes Laufwerk ohne Backup ausführen, das es den Schaden vergrößern kann.

Prüfe dann mal die anderen Partitionen, wie beschrieben und teile es mit.

Viele Grüße

Fiona

 

[FalscherHans]

Aber Festplattentools wie chkdsk und Defrag niemals auf ein beschädigtes Laufwerk ohne Backup ausführen, das es den Schaden vergrößern kann.

Da lob ich mir Ubuntu Linux. Da wird jede Partition nach x-maligem Einbinden automatisch überprüft. Eine Defaulteinstellung, die wohl Sinn macht.
Andererseits weiß ich nicht genau, ob ich Linux loben soll. Du sagst zu meinem letzten Screenshot, wo die Partitionen doppelt vorkommen:

und die anderen bei denen der dritte Wert 2 oder 3 ist sind nur durch Grub/Lilo verursacht.

Nun entspricht dieses "2 oder 3" aber genau der Anzahl an Sektoren, um die bei alle NTFS-Partitionen die berechnete (in Rebuild BS) Dateisystemgröße von der aktuellen Dateisystemgröße differiert. Ist da eventuell Linux Schuld, daß das Problem überhaupt erst aufgetaucht ist? Andererseits wär ich auch dann ratlos, wann wie und wo. Bei Computerproblemen gilt ja wie immer: "Ich hab nix gemacht."

Prüfe dann mal die anderen Partitionen, wie beschrieben und teile es mit.

Wie gesagt sind auch bei diesen nach "Advanced" - "Boot" - "Rebuild BS" die errechneten und aktuellen Bootsektoren unterschiedlich.

Habe für beide mit "Write" übernommen und werde jetzt neustarten.

 

[Fiona]

Bin mal gespannt und teile es mit.

Viele Grüße

Fiona

 

[FalscherHans]

Kein chkdsk beim Booten, "Rebuild BS" meldet nun bei allen drei NTFS-Partitionen einen identischen errechneten und aktuellen Bootsektor. Chkdsk (unter Windows) hat keinerlei Fehler auf den drei Partitionen gefunden. Ich sehe dieses Experiment damit als geglückt an.

Ein recht herzliches Dankeschön an dich für deine ausführlichen Hilfen!

 

[Fiona]

Freut mich das es geklappt hat!

Viele Grüße

Fiona