DCPP+Norton Disc Doctor+Testdisk=Kann nicht mehr booten

[Fiona]

Schaue dir mal dd (disk dump wie du es erwähnt hast) in Knoppix an.
Kann auch ein Image erstellen.
Infos dazu hier;
http://www.cgsecurity.org/wiki/Beschädigte_Festplatte

Viele Grüße

Fiona

 

[Plattenplaetter]

Ja, daran dachte ich auch. Das Problem ist nur, daß ich die Festplatte, auf die das draufkommen soll, mit NTFS formatiert habe, womit Knopiix so seine Probleme hat.

Möglicherweise klappt es, wenn ich Knoppix unter VMWare boote. Aber ich weiß nicht, ob man einem OS unter VMWare direkten zugriff auf eine Festplatte gewähren kann.

Gruslige Grüße

Plattenplaetter

 

[Mueli]

Acronis True Image bietet mir leider nur an, die Festplatte zu klonen, jedoch nicht als Datei, sondern direkt auf eine andere Festplatte.)

Es geht definitiv beides und ich habe ein rel. alte Version, man stolpert via Assistent recht leicht vorbei, ich mache seit Jahren Images ins Filesystem ..... probier es einfach nochmal. Trueimage erlaubt ja schließlich auch das Wiederherstellen von einzelnen Files, wie sollte das sonst gehen?

 

[Plattenplaetter]

Ich hab eben nochmal nachgeschaut. Mit Acronis True Image Home 10.0 geht es nicht....

Viele Grüße

Plattenplaetter

 

[Mueli]

@Plattenplaetter

RTFM

Auszug aus dem Handbuch der Home-Edition (von der Home-Page geladen da ich eine ältere Version nutze!):


Sichern
Beträchtlich große Archive können in mehrere Dateien geteilt werden, die
zusammen das Originalarchiv bilden. Ein einzelnes Archiv kann z.B. auch
für das Brennen auf einen Wechseldatenträger geteilt werden.
Die Standardeinstellung für die Aufteilung des Archivs ist Automatisch.
Mit dieser Einstellung wird Acronis True Image beim Backup auf eine
Festplatte wie folgt arbeiten:
• Wenn die ausgewählte Festplatte über ausreichend Platz verfügt und
das Dateisystem die geschätzte Dateigröße ermöglicht, erstellt das
Programm eine einzelne Archivdatei.
• Wenn die ausgewählte Festplatte zwar über ausreichend Platz verfügt,
aber das Dateisystem die geschätzte Dateigröße nicht erlaubt, wird
Acronis True Image die Archivdatei automatisch in mehrere Dateien
splitten.
• Wenn nicht genügend Platz ist, wird das Programm warnen und Ihre
Entscheidung abwarten. Sie können versuchen, Speicherplatz freizugeben
oder einen anderen Speicherort mit ausreichend Platz wählen.

Restore
• Im Schritt Auswahl des Archivs wählen Sie den Speicherort und den
Dateinamen des Abbildarchivs aus, das Sie wiederherstellen möchten.
Falls sich das Abbildarchiv in der Acronis Secure Zone befindet, klicken
Sie auf diesen Bereich und wählen Sie das wiederherzustellende Archiv
im nächsten Schritt

 

[Fiona]

Normal ist Backup-Imagesoftware für Datenretten nicht so gegeignet.
Bei bad sectors oder ähnliche Speicherfehler sollte zum Datenretten ein direktes Sektor-Image erstellt werden oder die Festplatte direkt geklont werden.
Daher Infos zu dd und anderen Linux-spezifischen Möglichkeiten oder auch kommerzielle oder auch als Freeware eingeschränkte Software in diesem Post weiter unten;
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553
Gibt auch noch eine Freeware PC Inspector Clone maxx.
Hatten aber bereits Leute berichtet das es Probleme mit großen Festplatten (größer als 137 GB) oder ähnlich geben sollte.
Wurde von mir nicht getestet.
Link bei PC Inspector File Recovery auch zu Clone maxx.
Inwieweit sich da aber was geändert hat weiß ich nicht.

Viele Grüße

Fiona

 

[Plattenplaetter]

An Mueli:

I did RTFM

Nirgendwo in dem von dir zitierten Text wird erwähnt wie man ein Image (jedes einzelne Byte) einer Festplatte erstellt. Weiterhin wird da über "Dateisystem" geredet. Nur falls du den Thread nicht gelesen hast: Es geht um eine zirka 54 GB große verschlüsselte Partition einer 74,5 GiB-Festplatte, deren MBR ich zerschossen habe. Da wird keine Software der Welt je ein Dateisystem finden, solange ich die Partition nicht entschlüsselt habe. Das geht nur, wenn das Verschlüsselungsprogramm die Partition "sieht", was wiederum nur geht, wenn der MBR (den ich zerschossen habe) wieder die korrekten Informationen über jene Partition enthält. Dazu muß ich ihn wohl oder übel verändern. Und um zu vermeiden, daß ich (bei meiner experimentierfreudigkeit) noch mehr zerschieße, will ich vorher ein Image der kompletten Festplatte erstellen. Acronis True Image Home 10.0 kann das nicht. Es kann ein Backup der ersten, bereits entschlüsselten Partition erstellen. Acronis True Image Home 10.0 könnte ein Image der zweiten Partition erstellen, wenn diese bereits entschlüsselt wäre. Dann jedoch bräuchte ich keine Image... Freilich mag es sein, daß eine ältere Version als 10.0 genau das kann, was ich tun will. 10.0 jedoch nicht. Da bin ich mir sehr sicher. (Dennoch bin ich nicht unfehlbar...)

Ein weiterer Auszug aus dem Handbuch:

Festplatten klonen

Sie könnten bei einem Update der installierten Programme oder des Betriebssystems feststellen, dass die Festplatte nicht mehr ausreichend Platz dafür bietet. In diesen Fällen müssen Sie das System auf eine Festplatte mit mehr Speicherplatz übertragen.Acronis True Image Home macht die Prozedur zum Übertragen der Daten von einer Festplatte auf die andere (Klonen einer Festplatte) einfach und überschaubar.So klonen Sie eine Festplatte:
• Klicken Sie auf das Symbol Festplatte klonen im Programmhauptfenster oder wählen Sie den Befehl Aktionen -> Festplatte klonen im Hauptmenü.
• Folgen Sie den Schritten des Assistenten zum Klonen von Festplatten:

Modus für das Klonen wählen
Auswahl der Quellfestplatte
Auswahl der Zielfestplatte
Partitionierte Zielfestplatten
Festplattenstruktur
Manuelles Layout
Auswahl der Partition
Größe und Position
Daten der alten Festplatte
Zerstörung der Daten auf der alten Festplatte
Auswahl der Partitionstransfermethode
Zusammenfassung (Festplatte klonen)

Ja, man kann eine Festplatte klonen, aber tatsächlich nur auf eine andere Festplatte. Das ist nicht das was ich möchte und auch nicht das was ich brauche.

An Fiona:

Klingt interessant, das schau ich mir mal an.


Viele Grüße

Plattenplaetter

 

[Plattenplaetter]

Keines der empfohlenen Programme kann ein Image der Festplatte erstellen. Traurig, aber wahr. Ich versuche es mit VMWare und Knoppix.


Viele Grüße

Plattenplaetter


Edit:

Jaja, VMWare würde zwar Reale CD/DVD-Laufwerke für den virtuellen PC nehmen, jedoch keine realen Festplatten. Toll. Also nun Plan B:

Dateien der bereits entschlüsselten 120er Platte auf die neue 320er Platte kopieren, 120er neu formatieren, in anderen PC im LAN einbauen, da freigeben. Meine Kiste mit Knoppix booten, mit DiskDump Platteninhalt auf die 120er Platte im anderen PC kopieren. Warum einfach, wenns auch kompliziert geht. Also 80er erst mal wieder raus und 120er rein.

Nein. Vorher schau ich mal, ob DiskDump die 80er überhaupt "mag"...

 

[Mueli]

@Plattenplaetter
Ich habe nicht von Acronis angefangen, vielleicht ist auch nur der Assi das Problem bei Dir. Das Tool würde sonst keinen Sinn machen.
Acronis liest auch Sektor für Sektor, also quasi physikalisch oder wie DD, um Hardware-Fehlern bzw. deren Folgen (dem Abbruch des DD) zu begegnen gibt es ein ganz spezielles DD (mit einem Zusatz im Namen - komm grad net drauf , mal googlen).

Nachtrag: Hatte es doch auf der Disk - > ddrescue

GNU ddrescue is a data recovery tool. It copies data from one file or
block device (hard disc, cdrom, etc) to another, trying hard to rescue
data in case of read errors.

 

[Fiona]

Kurze Infos zu dd, dd_rescue und ddrescue hatte ich dir bereits im Post weiter oben gesetzt.
http://www.cgsecurity.org/wiki/Beschädigte_Festplatte

Viele Grüße

Fiona

 

[Plattenplaetter]

Argh....

An Mueli:

Soeben ging mir ein Licht auf: Natürlich kann man ein Image einer ganzen Festplatte machen. Allerdings ist die Vorraussetzung, daß die Platte komplett formatiert ist. Wenn ich von der betroffenen Platte ein Backup machen will, bietet Acronis mir nur die 20GiB an, die ich schon entschlüsselt und "ausgeschlachtet" habe. Den Rest (54,5GiB), um den es mir geht, scheint das Programm nicht zu interessieren...


Viele Grüße

Plattenplaetter

 

[Plattenplaetter]

Hallo

Erfreulich: Diskdump gibts auch für Windows:
http://www.chrysocome.net/dd
Unerfreulich: Diese Version kennt die Option "noerror" nicht, und so war nach 4 MB Schluß mit dem Backup. Nun ja, ich fand dann noch diese Seite:
http://users.erols.com/gmgarner/forensics/
Hier gibts ein Paket zum download welches ebenfalls ein an Windows angepaßtes Diskdump enthält. Sogar mit "noerror"-Option. (Diese Option bewirkt, daß bei einem Fehler der Kopievorgang nicht abgebrochen wird.) Vorsicht: Die Syntax der beiden Programme ist unterschiedlich. Nun ja, jedenfalls habe ich mit letzterer mein Backup versucht. Das Logfile:

Forensic Acquisition Utilities, 1, 0, 0, 1036
dd, 3, 16, 2, 1036
Copyright (C) 2002-2004 George M. Garner Jr.

Command Line: dd bs=1024 conv=noerror if=\\.\G: of=E:\XXXXX\80erRAW.img --lockout --log=log.txt
Based on original version developed by Paul Rubin, David MacKenzie, and Stuart Kemp
Microsoft Windows: Version 5.1 (Build 2600.Professional Service Pack 2)

27/11/2006 00:19:13 (UTC)
27/11/2006 01:19:13 (local time)

Current User: XXXXX\XXXXX

Disk: ST380020 A (S/N )
Geometry:
Cylinders: 9729
Tracks per Cylinder: 255
Sectors per Track: 63
Bytes per Sector: 512
Total Size: 78150744 KB
Media Type: Fixed hard disk media

Partition Information:
Partition Count: 4
Style: MBR
Signature: B206B206

Partition: 1
Starting Offset: 0000000000007e00
Length: 0000021476173824
Type: IFS
Bootable? Yes

Copying \\.\G: to E:\XXXXX\80erRAW.img...
D:\Programme\forensic acquisition utilities-1.0.0.1036 (beta1)\UnicodeRelease\dd.exe:
\\.\G: (offset 0x408800): Invalid argument
File data in the range 0x00408800-0x00408c00 could not be read.
D:\Programme\forensic acquisition utilities-1.0.0.1036 (beta1)\UnicodeRelease\dd.exe:
\\.\G: (offset 0x500146800): Invalid argument
D:\Programme\forensic acquisition utilities-1.0.0.1036 (beta1)\UnicodeRelease\dd.exe:
read operation returning error for EOF condition at offset 0x12a1f16000.
: Invalid argument
File data in the range 0x500146800-0x12a1f16400 could not be read.

Output E:\XXXXX\80erRAW.img 80026361856/80026361856 bytes (compressed/uncompressed)
20972825+0 records in
78150744+0 records out

Also, so wie ich das sehe, wurden nur knapp 20 GiB kopiert. und zwar die ersten 20 GiB, auf die ich eigentlich eh verzichten kann...
Ich hab jetzt noch 2 Ansätze:
1. Mit Knoppix versuchen, nur um zu schauen ob es geht.
2. Wenn ichs recht bedenke, dann muß ich nach dem Backup auch "nur" die Partitionstabelle editieren. Andere Optionen sehe ich da zur Zeit nicht. Es sollte also eigentlich genügen, ein Backup des MBR(, welcher ja die Partitionstabelle enthält,) anzufertigen. Sehe ich das richtig oder liegt da irgendwoe ein Denkfehler vor?



Viele Grüße

Plattenplaetter



P.S.:

Im Log steht:
Starting Offset: 0000000000007e00

Also wurden die ersten 63 Sektoren gar nicht mitkopiert... Ich muß wohl auf das Original-dd auf Knoppix zurückgreifen.

 

[Mueli]

Man sollte die Disks immer partitionsweise kopieren auch mit dd, ich muss zu meiner Schande allerdings gestehen, dass ich zwar unter Linux damit keine Erfahrung habe, es aber unter HP-UX sehr häufig angewendet habe.
Wenn ich Deinen Post richtig überflogen habe (ich bin zur Zeit privat etwas unter Stress - bis Freitag noch - versuch aber dennoch zumindest in Threads reinzusehen, bei denen ich beteiligt bin) wurde die ganze Disk als Source angegeben und dann macht das mit der ersten 20GB Partition auch Sinn. Man gibt beim DD eines Block-Devices kein count an, weil es durch ein EOF bendet wird, was mit einem Partitionsende gegeben ist.
Ich hätte bei Deinem Log eigentlich erwartet, dass mit 20GB Schluss ist?

 

[Plattenplaetter]

Hurra!

Ich fand doch tatsächlich (eher zufällig) ein Programm mit dem ich ein Image der *kompletten* Festplatte erstellen konnte. (- Naja, fast, ein Sektor ist nicht mehr lesbar.)
Und zwar WinHex. MBR-Sicherung mit dem Knoppix(5.1.1)-dd ging auch. Geht aber auch mit WinHex. Also WinHex kopiert wahlweise logische Laufwerke oder auch komplette physische Geräte, was, wie in meinem Fall, sinnvoll ist, wenn das logische Laufwerk mehr oder weniger zerschossen ist. Weiteres in Bälde.



Euphorische Grüße

Plattenplaetter

 

[Plattenplaetter]

Weiterhin: Mit Winhex kann man sowohl logische Laufwerke als auch physische Geräte direkt öffnen. Links im Programmfenster wird unter anderem die Postion angezeigt, auf welcher sich der Cursor im Hexeditor befindet. Mit Angabe von Zylinder-Nr., Kopf-Nr., Sektor-Nr., Partition(snummer) und relativer Sektor-Nr.
Ich habe mir Start- und Endposition der verlorenen Partition notiert. Es gibt ein MBR-Template, in dem man eigentlich nur noch diese Werte eintragen muß...

 

[Fiona]

Bei Diskeditoren werden die Speicherbereiche nach 2 Kategorien dargestellt.
Absolute Speicheradresse und die relative (Offset).
Der absolute Sektorwert am Anfang einer Partition am Festplattenanfang ist 63 was einen relativen Sektorwert von 1 entspricht.
Die Sektoren davor sind reserviert.
Bei jeder folgende Partition wird der absolute Sektorwert angezeigt und die Partition fängt relative bei Cylinder Nummer xxx? Kopf 0 (bei logische Laufwerke 1) und relative Sektorwert 1 an.

Dieses ist in Testdisk bereits in der Routine enthalten und diese Speicherbereiche werden untersucht.
Wenn keine Partition gefunden wurde, kann die manuell eingegeben werden.
Testdisk kann dann den Bootsektor wiederherstellen der dann vollen Zugriff auf die Daten gewährt.
Das Dateisystem muß intakt sein, sonst ist es sinnlos.

Viele Grüße

Fiona

 

[Plattenplaetter]

Ich habe wieder den kompletten Zugriff auf alle Daten!


Vielen Dank an alle Mitwirkenden :-)

Ja, ich werde noch eine Dokumentation posten, damit auch alle was davon haben ;-)


Viele Grüße

Plattenplaetter

 

[Plattenplaetter]

Also, hier die versprochene Dokumentation:

Zunächst wird das physische Laufwerk in WinHex geöffnet.



Oben sieht man die 5 relevanten Bereiche der Festplatte. Klickt man auf einen, so wird die zugehörige erste Adresse angezeigt. Links wird zudem die Zylinder-Nr., die Kopf-Nr., die Sektor-Nr., die Partition und die relative Sektor-Nr. angezeigt. Unten im Rahmen auch noch die absolute Sektornummer. Somit kann man sich Start- und Endsektoren notieren sowie die Sektorenanzahl. Das ist wichtig um den MBR danach zu editieren. WinHex hat dafür eine Schablone (Template) mit an Bord.



Ich wollte dann brav die Werte eintragen für die zweite Partition. Aber: Fehlermeldung!



Lösung: http://de.wikipedia.org/wiki/Partitionstabelle

Dort ist zu lesen:

Da bei modernen Festplatten die Adressierung durch CHS (255 Heads × 63 Sektoren × 1023 Zylinder × 512 Bytes = ca. 8 GiB) nicht ausreicht, wird ab dieser Größe immer 255, 63 und 1023 für die CHS-Werte angegeben und Position und Größe werden dann ausschließlich durch die Sektorangaben festgelegt. Somit ergibt sich auch die maximale Größe von 2 TiB für eine Partition und 4 TiB für eine Festplatte. (232-1 × 512 Bytes = ca. 2 TiB)

Ok, also nochmal in die Tabelle geschaut. Head 0 zählt auch mit, also habe ich bei den Head-Werten 254 eingetragen. Die Sektorenanzahl bei Zeile 1DA auch eingetragen. Noch ein Fehler: bei Zeile 1D6 hatte ich zunächst 63 eingetragen - die Sektorgröße der Partitionslücke (welche vor der zweiten Partition liegt). Meinen Irrtum bemerkte ich nachdem ich mir die Platte dann mit Testdisk anschauen wollte. (Meldung, daß die zweite Partition sich mit der ersten überdeckt.) Also korrigiert. Testdisk meckerte nicht mehr. Aber das Laufwerk war noch nicht da.
Ich mußte erst rebooten... Danach war das Laufwerk da. Drivecrypt akzeptierte die gerettete Schlüsseldatei und mein Paßwort und erkannte die Partition als verschlüsselt an.
Und ab dem Zeitpunkt habe ich wieder vollen Zugriff auf meine Daten.


Abschließend bedanke ich mich recht herzlich bei allen Mitwirkenden.

Ich hatte nicht wirklich damit gerechnet, daß ich jemals wieder an den Platteninhalt rankomme. Einige Stolpersteine gab es ja... Der Kauf einer größeren Platte, ein BIOS-Update, damit mein PC sie auch frißt, der Irrglaube, die Schlüsseldatei sei beschädigt gewesen (durch unterschiedliche Drivecrypt-Versionen), die Probleme beim erstellen des Backups (Faszinierend: keines der von mir ausprobierten Backupprogramme wollte die *komplette* Festplatte sichern, aber die Funktion entdeckte ich eher zufällig in einem Hexeditor...) und das Unwissen um das Editieren des MBR.Letztendlich hat es dann doch geklappt, dank eurer Hilfe :-)

Ich hoffe die Dokumentation ist ausreichend. Falls nicht, meckern ;-)


So, und irgendwann kümmere ich mich dan um die defekte externe Festplatte, mit der der ganze Spaß ja angefangen hatte...


Viele liebe Grüße

Plattenplaetter