Eigentlich alles falsch gemacht, was man falsch machen kann... TestDisk?

[matt2.9]

Projekttitel: Gefährliches Halbwissen

Hallo!
Wo fang ich an? Nachdem ich nun alle Fehler gemacht habe, die man so machen kann, mein Stolz eindringlich gebrochen ist und ich am Rande der Verzweiflung stehe, wende ich mich nun vertrauensvoll ans ComputerBase-Forum. Hier habe ich in den letzten Tagen schon einige interessante Beiträge zu ähnlichen Problemen gelesen, also los. Ich schäme mich...

@Fiona: Ist die PN bei Dir eingegangen? Der Stand ist derselbe, hier noch mal von vorne

Also:
Externe Festplatte, 1TB, auf HFS+ formatiert, fast voll...

Ich arbeite mit einem MacBook Pro (gekauft im August 2009, Intel-Prozessor, Snow Leopard, neueste Updates installiert) und habe über Bootcamp Windows 7 (x64) installiert, da ich Windows für einige Programme benötige, die unter Mac nicht laufen (Musikbearbeitung, nebensächlich...)

Unter Windows habe ich MacDrive installiert, um auch von dort aus auf die Daten auf der externen Festplatte Zugriff zu haben.

Funktionierte erst ganz gut, dann plötzlich nicht mehr.
nach einigem Hin- und Her dann unter Windows in die Geräteverwaltung:
"Die Festplatte muss zunächst initialisiert werden..." (oder so ähnlich)

FEHLER: Hirn aus, und bestätigt, dass eine MBR-Tabelle geschrieben werden soll. Festplatte wird unter Windows als unpartitioniert angezeigt.

Zurück in Mac OS X: Daten werden noch angezeigt, aber sind nicht mehr aufrufbar - Musik wird nicht mehr abgespielt, Filme laufen nicht mehr etc. pp.

Daraufhin: Verschiedene Datenrettungsprogramme ausprobiert (u.a. DiskWarrior), hat alles nichts geholfen, im Gegenteil: schlimmer, unter Mac OS X wird mir die einst 1TB große Festplatte nun als 2.9GB angezeigt.

So, dann irgendwann endlich auf Testdisk aufmerksam geworden und mich eingelesen (hier im Forum und auf http://www.cgsecurity.org/wiki/OS_Notes#OS_X_.28Intel.29)

HOFFNUNG...

Aber: Ich weiß nicht so ganz, wie ich damit umzugehen habe.

Habe schon einige Analysen durchlaufen lassen, Cylinder-, Heads- und Sector-Größen verstellt, allerdings mit keinen wirklichen Ergebnissen (geschrieben wurde nichts, also ich habe nix mit "write" bestätigt oder so.)

U.a.:
"The harddisk (171 GB / 159 GiB) seems too small! (< 1000 GB / 931 GiB)
Check the harddisk size: HD jumpers settings, BIOS detection..."

Diese Nachricht kam, nachdem ich den "H" und den "S" Wert auf 1 gestellt habe, woraufhin sich Testdisk 335228928 als Cylinder ausgesucht hat... Diese Analyse hat dann eine Nacht gedauert und danach kam folgender Bericht von Testdisk:

TestDisk 6.11.3, Data Recovery Utility, May 2009
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/disk1 - 171 GB / 159 GiB - CHS 335228928 1 1

The harddisk (171 GB / 159 GiB) seems too small! (< 1000 GB / 931 GiB)
Check the harddisk size: HD jumpers settings, BIOS detection...

The following partitions can't be recovered:
Partition Start End Size in sectors
HFS 415800 1953678743 1953262944
HFS 425088 1953688031 1953262944
HFS 436584 1953699527 1953262944
HFS 448288 1953711231 1953262944
HFS 459832 1953722775 1953262944
HFS 471648 1953734591 1953262944
HFS 473352 1953736295 1953262944
HFS 474280 1953737223 1953262944
HFS 475592 1953738535 1953262944
HFS 477176 1953740119 1953262944

[ Continue ]
HFS+, 1000 GB / 931 GiB

Ich hatte auch schon pdisk mal gestartet und die Daten der obersten Zeile aus o.g. Bericht verwendet, da wurde mir dann aber folgende Fehlermeldung angezeigt:

'requested base and length is not within an existing free partition'.

Darum habe ich nicht "w" bestätigt, sondern dies lieber erstmal gelassen, und warte nun hoffnungsvoll auf konstruktive Vorschläge Eurerseits...

Nun, ist da denn noch IRGENDETWAS zu machen?! Werden weiterführende Informationen benötigt?

Vielen Dank im Voraus,
Mathis

 

[Ernst@at]

bestätigt, dass eine MBR-Tabelle geschrieben werden soll. Festplatte wird unter Windows als unpartitioniert angezeigt.

Das hat mal nichts wesentliches mehr kaputtgemacht, weil der MBR vorher schon hinüber war.

Verschiedene Datenrettungsprogramme ausprobiert

Das kann schon mehr angerichtet haben - Einige geistesgestörte Programmierer solcher Tools finden es schick, gegen alle Datenrettungsregeln auf der betroffenen Platte verschlimmbessernd herumzuschreiben.
Kannst Du noch alle dieser Tools benennen?

Abgesehen davon, kann die Zerstörung des Filesystemes schon vorher mit der Mörderung des MBR einhergegangen sein.
Es gilt also, erstmal im MBR wieder die Partitionierungsinfos richtigzustellen, wenn danach auch noch nichts zu holen ist, nach einem vernünftigen Datenrettungstool für HFS Ausschau zu halten. Dazu brauchst Du aber zumindest einen weiteren Datenträger der Kapazität von 1TB, falls das eine Rekonstruktionsmöglichkeit verspricht.

 

[matt2.9]

Hmm, ok, das einzige Datenrettungstool, das wirklich etwas geschrieben hat, ist DiskWarrior... alle anderen haben nur die Platte gescannt, konnten aber keine Daten finden.

"Es gilt also, erstmal im MBR wieder die Partitionierungsinfos richtigzustellen" - Mmmmmh ok, da wär' ich dabei ;-)

Kannst Du mir denn zufällig auch sagen, wie ich das hinbekomme?

Ergänzung (7. Mai 2010)

Kurzer Nachtrag noch: Die Festplatte ist von Iomega - hab schon auf der Homepage geschaut, finde dort aber keine Tools, um die Platte zu überprüfen...

 

[matt2.9]

85 Hits aber keiner weiß rat?!

Ich würd's gern wenigstens versuchen... aber nicht ohne Eure Hilfe!

Ach ja, und ein 1TB Datenträger wäre in der Tat zur Hand... aber eins nach dem anderen...

 

[Ernst@at]

Nun, dann mach mal auf der "zur Hand" 1TB (nicht auf Deiner zerstörten!) mal eine Partition mit einem schönen HFS+ am Macbook drauf. Mal sehen, wo er die hinlegt...

 

[matt2.9]

*Hüstel* alles klar, Partition ist erstellt.

Nur grad um sicher zu gehen: HFS+ = Mac OS Extended (Journaled), richtig?

Wie lauten nun die nächsten Schritte? Bzw. wo genau sehe ich, "wo er die hinlegt..."? testdisk? Dann analyse - quicksearch - start, end & size in sectors?

Das wäre dann:
Disk /dev/disk2 - 1000 GB / 931 GiB - CHS 1953525168 1 1
Partition Start End Size in sectors
P DOS_FAT_32 40 409639 409600 [EFI]
P HFS 409640 1953262983 1952853344










Structure: Ok. Use Up/Down Arrow keys to select partition.
Use Left/Right Arrow keys to CHANGE partition characteristics:
P=Primary D=Deleted
Keys A: add partition, L: load backup, T: change type,
Enter: to continue
HFS+, 999 GB / 931 GiB



Vielen Dank Ernst@at!!!

 

[Ernst@at]

Damit ist mal klar, warum diese Partition erst so weit hinten anfängt.
Was daraus nicht ganz hervorgeht (oder hab ich testdisk da nicht durchschaut), ob die Platte jetzt ein GPT-Datenträger ist - das müsste sich aber in der Win7-Datenträgerverwaltung herausfinden lassen, ob die als Basis oder GPT initialisiert wurde.
Im Falle von GPT ist da möglicherweise einiges mehr zu korrigieren als nur die Partitionierung im MBR.

 

[matt2.9]

Hmm... Moment, der letzte testdisk-Bericht ist ja jetzt der von der "heilen" 1TB Festplatte, um zu sehen, wo Mac OS X die Partition "hinlegt"

Was heißt nu Basis oder GPT?! Mein Gott, scheint ja doch nochmal um einiges tiefgründiger und koplizierter, als ich gedacht hatte... also ich erinnere mich daran, dass ich beim "initialisieren" (was ja die Probleme im Prinzip erst ausgelöst hat) gefragt wurde, ob ich GUID oder MBR wählen möchte - sind das Synonyme für Basis- und GPT?

 

[Ernst@at]

genau so ist es.
Wenn die kaputte als GUID(GPT) statt MBR(Basis) initialisiert wurde, müsste sich das noch auf der Platte anhand des Inhalts an bestimmten Stellen nachweisen lassen lassen.
Oder erinnerst Du Dich noch, wie Du die damals initialisiert hast?

 

[matt2.9]

Na ich meine mich zu erinnern, dass ich dort MBR ausgewählt habe. Ich kann die Platte aber auch grad mal ans Windows 7 klemmen und in der Datenträgerverwaltung nachschauen, ob ich dort Informationen finde...

 

[Ernst@at]

Diese Information ist durch das erneute initialisieren, welches Dich ja hierher ins Forum gebracht hat, überschrieben worden.
Jetzt zuletzt wurde sie ja MBR-initialisiert, wenn man dem Glauben schenkt, was Du im ersten Post geschrieben hast.
Also müssten sich die Überreste einer früheren GUID-Initialisierung noch auf sektor 1-32 und den letzten 32 Sektoren der Platte(GPT-mirror) auffinden lassen.

 

[matt2.9]

OK, also ich hatte Windows 7 kurz an und hab die "defekte" Platte mal drangehängt. In der Datenträgerverwaltung nachgeschaut, danach kam dann von Windows 7 die Ansage, ich müsse die Festplatte formatieren, bevor ich sie benutzen könnte, was ich natürlich abgebrochen habe.

In den Eigenschaften steht:
Partition Style" GUID Partition Table (GPT)
Capacity: 955870 MB
Unallocated Space: 951228 MB
Reserved Space: 201

Unter "volumes" steht dann noch die eine 2.9GB-Partition...

 

[Ernst@at]

Naja, schauen wir doch mal nach, wie es auf der Platte aussieht...
Ich schreib' eine Anleitung, um das Zeug auszulesen unter Win7
dauert ein bisschen...

 

[matt2.9]

Wunderbar! Ich danke Dir!!!

 

[Ernst@at]

hier die Anleitung:

Für die Diagnose zu installieren:
- den Hex-Editor HxD von hier in der englischen Version. Damit nicht herumexperimentieren, damit die Defaulteinstellungen erhalten bleiben.

Alle auf Anforderung erzeugten Dateien dann am Schluss in einen zip-File und den in den Post-Anhang stellen
Snapshots von Fenstern mit ALT+Druck in die Zwischenablage, in Paint o.ä. mit Strg+V einfügen, Menü: Datei /sichern als.../ in einen beliebigen Ordner, beliebiger Name, Typ: JPEG /Speichern und dann in den Post Anhang stellen
(Das geht so: Post Antwort/ Erweitert /Anhänge verwalten/Durchsuchen, den Ordner und Namen einstellen - bis zu 4 Dateien oder Bilder gleichzeitig möglich/ Hochladen)

Vergewissere Dich in der Datenträgerverwaltung, dass die Platte als Datenträger1 aufscheint
Im HxD sind die physical hard disk Nummern um 1 höher als im Disk Management angezeigt

HxD Aufruf unter User mit Administratorrechten (oder rechtklick/ausführen als... Administrator)

- Menü: Extras/open disk/physical disk/hard disk 2 (Häkchen bei "open as readonly" NICHT entfernen)

========= extrahieren MBR+GPT-Info
- Menü: Edit/select block/start: 0 , length: 800, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in dieser Anzeige in das kleine punktierte Rechteck rechts unter den Zeichen "... 0E 0F" klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
========= extrahieren Mirror-GPT-Info
- auf Reiter "hard disk 2" klicken
- Menü: Edit/select block/start: E8E0DB1C00 , length: 4200, hex, OK

(mit copy&paste übertragen hilft Tippfehler vermeiden)​

- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- auf Reiter "untitled1" klicken - aber nicht sonstwo ins Anzeigefenster
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "MBRGPT.txt" /speichern
- HxD beenden

Die Datei zippen und in den Anhang - Auswertung folgt dann

 

[matt2.9]

Hi!
OK, also hab das jetzt mal so gemacht, wie Du mir das in der Anleitung beschrieben hast... im Anhang findest Du die gezippte .txt-Datei.

Screenshots brauchte ich jetzt aber keine machen, oder? Denn das hattest Du am Anfang erwähnt, dann im text aber nicht mehr.

Oder hätte ich zwischen
========= extrahieren MBR+GPT-Info
(... siehe Deine Anleitung)
und
========= extrahieren Mirror-GPT-Info

noch irgendetwas anderes als .txt speichern sollen?

Ich bin gespannt!
Vielen Dank

Mathis

 

[Ernst@at]

was sich da findet:

Analyzing: \\Pc10\shareddocs\Matt HFS\MBRGPT.txt

===== MBR INFORMATION ===== at LBA=0
00000001FE 55AA              Boot signature='55AA'... valid
.                            ... Partition Table entry 1 ...
00000001C2 EE                Partition Type: GUID Partition
00000001BE 00                Boot indicator: inactive
00000001BF FEFFFF            Start CC-HH-SS: 1023-255-63 (not CHS addressable)
00000001C3 FEFFFF            End   CC-HH-SS: 1023-255-63 (not CHS addressable)
00000001C6 01000000          Start    (LBA):           1 0-0-1
00000001CA 418A5600          Size  (Blocks):     5671489 353-8-40    2769MiB    2.70GiB
.                            ... Partition Table entry 2 ...
00000001D2 00                Partition Type: unused partition entry
.                            ... Partition Table entry 3 ...
00000001E2 00                Partition Type: unused partition entry
.                            ... Partition Table entry 4 ...
00000001F2 00                Partition Type: unused partition entry

===== GPT INFORMATION =====   (at LBA= 1)
. Header info
0000000200 4546492050415254  Signature: 'EFI PART'
0000000208 00000100          Version: 1.0
000000020C 5C000000          Hdrlength: 92
0000000210 FCD74E57          Header CRC32: crc verification not yet coded
0000000214 00000000          (reserved)
0000000218 0100000000000000  current LBA: 1
0000000220 AF6D707400000000  backup  LBA: 1953525167
0000000228 2200000000000000  firstuse LBA: 34
0000000230 8E6D707400000000  lastuse  LBA: 1953525134
0000000238 4EF80ECF51A86449  . Disk
0000000240 92B2FA57C920DDA2  .. GUID: CF0EF84E-A851-4964-92B2-FA57C920DDA2
0000000248 0200000000000000  PE start LBA: 2
0000000250 80000000          Number of PEs: 128
0000000254 80000000          Size of PE: 128
0000000258 727BB7E4          PE CRC32: crc verification not yet coded
000000025C 00..              start of reserved area ..
00000003FF     ..00          .. end of reserved area

===== PE INFORMATION =====   (start LBA= 2)
. Partition entry 1
0000000400 28732AC11FF8D211  . partition type
0000000408 BA4B00A0C93EC93B  .. GUID: C12A7328-F81F-11D2-BA4B-00A0C93EC93B
0000000410 6A31C97F98ED2D4D  . unique partition
0000000418 9C044A4C148CD679  .. GUID: 7FC9316A-ED98-4D2D-9C04-4A4C148CD679
0000000420 2800000000000000  Part first LBA: 40
0000000428 2740060000000000  Part last  LBA: 409639
0000000430 0000000000000000  Attribute flags:
0000000438 4500460049002000  . Partition Name:
0000000440 5300790073007400  ..
0000000448 65006D0020005000  ...
0000000450 6100720074006900  ....
0000000458 740069006F006E00  .....
0000000460 0000000000000000  ......
0000000468 0000000000000000  .......
0000000470 0000000000000000  ........
0000000478 0000000000000000  .........'EFI System Partition................'
. Partition entry 2
0000000480 005346480000AA11  . partition type
0000000488 AA1100306543ECAC  .. GUID: 48465300-0000-11AA-AA11-00306543ECAC
0000000490 B09EDA1878553240  . unique partition
0000000498 853AC24CACA71FA1  .. GUID: 18DA9EB0-5578-4032-853A-C24CACA71FA1
00000004A0 2840060000000000  Part first LBA: 409640
00000004A8 1F8A520000000000  Part last  LBA: 5409311
00000004B0 0000000000000000  Attribute flags:
00000004B8 55006E0074006900  . Partition Name:
00000004C0 74006C0065006400  ..
00000004C8 0000000000000000  ...
00000004D0 0000000000000000  ....
00000004D8 0000000000000000  .....
00000004E0 0000000000000000  ......
00000004E8 0000000000000000  .......
00000004F0 0000000000000000  ........
00000004F8 0000000000000000  .........'Untitled............................'
. Partition entry 3-128  *** unused ***

nur eine Partition mit 2,38GB ist eingetragen - das, was sich in der Datenträgerverwaltung als E: zeigt und sicher nicht die gesuchte Partition darstellt...
Unüblich auch, dass im MBR nicht die gesamte Platte geschützt wird, sondern nur der definierte Bereich. Wo das herkommt?

 

[matt2.9]

Also wie gesagt, in der Datenträgerverwaltung wird mir die externe Festplatte, die insgesamt eigentlich 1TB umfasst ja auch wie folgt angezeigt:

Windows XP Professional (deutsch):
Datenträger 1:
2.70 GB Fehlerfrei (GPT-Schutzpartition)
928,81 GB Nicht zugeordnet.

Windows 7 (englisch):
Disk 1:
200MB Healthy (EFI System)
2.38 GB (Healthy Primary Partition)
928.93 GB Unallocated

Wie bereits zuvor erwähnt, hat das Programm "DiskWarrior" da irgendetwas geschrieben, was ich aber nicht mehr rekonstruieren kann... vielleicht liegt es daran?

Was kann ich weiteres tun?

 

[Ernst@at]

der zweite Partrtioneintrag GUID: 48465300-0000-11AA-AA11-00306543ECAC bedeutet eine MAC-OS HFS+ Partititon, woher sollte die sonst herkommen - und der unübliche MBR-Eintrag... Da scheint wieder mal wer was programmiert zu haben, wovon er keine Ahnung hatte.

Das Auslesen w.o. aber von der neu formatierten Platte wird die gleiche Struktur, aber eben eine wesentlich größerer GPT-Partition und einen vollständigen (2**32-1 Sektoren) Schutz-MBR zeigen.

Nun, es wird wohl nichts übrigbleiben, als mal in die Tiefen des HFS+ Filesystems abzutauchen. Ich schau mal, was ich dazu finde. Kann aber auch einige Tage dauern.
Es gilt den Beginn und das Ende der HFS-Partiton zu verifizieren, ob die wirklich da liegen, wo wir vermuten. Dann kann man den GPT-Eintrag dafür zusammenbasteln, oder alternativ einen Basis-MBR mit einer einfachen primären Partition.
Vielleicht kann da irgendein anderer Leser noch was dazu beisteuern? Die Hoffnung stirbt bekanntlich zuletzt.
Bislang hab ich bloß unter XP per HFSExplorer auf intakte HFS+ Filesysteme zugegriffen

 

[matt2.9]

Alles klar, ok. Kann ich von meiner Seite aus noch etwas tun?

Wie gesagt - die Möglichkeit Windows XP zu verwenden besteht. Aber ich vermute mal, dass sich Deine Anmerkung mit dem HFSExplorer vor allem auf intakt bezieht, was?

Zumindest bin ich nun ein wenig erleichtert, dass ich Hilfe von jemandem bekomme, der sich damit auskennt! Und vielleicht kann ja tatsächlich noch jemand anderes aus dem Forum etwas dazu beisteuern.

Vielen Dank nochmals! Mit viel Geduld warte ich also auf weitere Lösungsvorschläge...