Eigentlich alles falsch gemacht, was man falsch machen kann... TestDisk?

[matt2.9]

@Fiona: vielen Dank für den Hinweis!

@Fiona & Ernst (und eigentlich auch allen anderen Foren-Mitgliedern): Vielen Dank! Ich bin wirklich beeindruckt, mit welcher Mühe hier im Forum versucht wird zu helfen!

Zurück zur Problematik:
Ich habe gerade noch einmal TestDisk angeworfen. Als Dateisystem ist auch direkt das von Dir (Fiona) genannte EFI-GPT ausgewählt gewesen. Dies hatte ich sonst immer auf "Apple Mac Partition" geändert (da ich mit EFI-GPT nichts anfangen konnte). Nun wird die Disk als

/dev/disk2 - 1000 GB / 931 GiB - CHS 1954525168 1 1

angezeigt, und TestDisk analysiert gerade in der Quicksearch die Cylinder, ohne vorher eine Fehler-Ansage a la "ungewöhnliche Zylinderanzahl" (o.ä.) ausgespuckt zu haben. TestDisk sucht jetzt wie wild und findet (Im Moment jedenfalls) jede Menge "Mac HFS" Partitionen, die aber, wie auch schon in vorigen Analysen, Unsinn sein müssen, da das Ende der Partition jeweils hinter der physischen Grenze der Festplatte liegt (siehe Beitrag #37).

Da ich über das lange Wochenende unterwegs sein werde, fürchte ich jedoch, dass ich die Analyse erstmal abbrechen muss und am Sonntagabend damit weitermachen werde. Für 1 TB benötigt TestDisk dann doch schonmal ne Nacht, was ja durchaus nachvollziehbar ist.

Nebenher läuft ne Log-Datei, die ich dann hier gerne posten will (wie gesagt dann wahrscheinlich erst am Montag, wenn die Analyse durchgelaufen ist)

Soll ich dann an die Quicksearch auch direkt die Deeper Search anschließen?

Grüße,
Mathis

 

[Ernst@at]

bei Einstellung 1 1 ist das quick search schon das deeper, weil jeder Sektor untersucht wird (1 Sekor je Cyl )

 

[matt2.9]

Oh man, den Projekttitel "Gefährliches Halbwissen" hab ich wohlüberlegt gewählt wie's aussieht... also dann...

Ergänzung (12. Mai 2010)

Ich nochmal flink.

Wie zu erwarten war, konnte ich die Analyse aus Zeitmangel jetzt nicht bis zuletzt durchlaufen lassen. TestDisk hat nach Abbruch der Analyse aber dennoch bereits direkt wieder gesagt

Disk /dev/disk2 - 1000 GB / 931 GiB - CHS 1953525168 1 1
Check the harddisk size: HD jumpers settings, BIOS detection...
The harddisk (1000 GB / 931 GiB) seems too small! (< 1000 GB / 931 GiB)

Wobei hingegen bei allen anderen Analyse-durchläufen bisher in der ersten Klammer ein weit geringerer Wert stand (eben diese 2.9GB). 1TB würde ja hinkommen...

Ich hänge die Logdatei mal an
Hilfts was?

Ergänzung (13. Mai 2010)

OK also hab die Platte übers WE einfach mitgenommen. Wenn Ihr also noch konstruktive Einfälle habt, wie die Platte noch zu retten ist, einfach her damit :-)

 

[Ernst@at]

Kommt Zeit, kommt Rat...
Leider haben alle Hex-Editors, welche direkt auf die physische Platte zugreifen können, keine großartige Suchfunktion. Was man hier brauchen würde, um in kurzer Zeit auf einen grünen Zweig zu kommen, wären Forensiktools wie zB EnCase, die sind aber schweineteuer.
Mal sehen, mir fällt da sicher noch was ein, was zumindest einen Versuch wert wäre.

 

[matt2.9]

hm, also mit Programmen wie EnCase könnte man herausfinden, wie die Struktur der Partition früher ausgesehen hat oder wie? Oder würde man so ein Programm eher dafür benutzen um an die Daten an sich zu gelangen?

Bisher habe ich noch nichts weiter unternommen. Wie auch, ich hab ja leider nicht die leiseste Ahnung, was ich tun könnte. Und ich werd mich hüten, weiter halbherzige Mausklicks zu "begehen"... ;-)

 

[Ernst@at]

Mit dem EnCase kann man dank ausgefeilter frei wählbarer Suchalgorithmen gezielt nach irgendwas suchen, anstatt sich mit HxD den F3-Finger wundzuklopfen und dabei was zu übersehen. Um das zu bedienen, braucht man 'nen 3tägigen Kurs

bin gerade eben über folgendes (zufällig auf der Suche nach etwas anderem) gestolpert, hab aber im Moment keine Zeit zu prüfen, ob das für diesen Fall hilfreiche Infos enthält

 

[matt2.9]

Hallo!
So, nun hab ich die Platte mal wieder dran...

Habe mir Deinen Link mal angeschaut Ernst. Im Moment scanne ich die Platte mit StellarPhoenix (siehe auch Dein Link). Das Programm hatte gerade 4 Partitionen gefunden, da hab ich den Scan erstmal abgebrochen, um zu sehen, was er da gefunden hat (da das Programm 4 gefundene Volumes angezeigt hat, bevor überhaupt die Anzeige von Sektor 0 auf Sektor 1 von 1mio etc. gesprungen ist). Die Ergebnisse "bis dahin":

Lost Volume 1 196.93 MB FAT32
Lost Volume 2 2.57 GB HFS+
Lost Volume 3 931.38 GB HFS+
Lost Volume 4 931.38 GB HFS+

Die physische Festplatte an sich wurde mit 941&einpaarzerquetschte GB angezeigt (oder so ähnlich), was zumindest schonmal bestätigen würde, warum der letzte Sektor, in dem etwas geschrieben ist, so weit vor dem eigentlichen (physischen) Ende der Platte liegt (was Du anhand des HxD-Programmes ja bereits herausgefunden hattest) - war dann wohl dämlich eingerichtet damals... das kann ich ja dann ändern, sobald ich die Daten wieder habe (die Hoffnung stirbt zuletzt;-) )

So, Bei StellarPhoenix habe ich nun das "Lost Volume 3" markiert und "Advanced Recovery" ausgewählt. Ich bin gespannt, was dabei herauskommt.

Was mich verwirrt: wieso werden 2 "Lost Volumes" mit 931.38GB gefunden?!

Der Scan wird nun wieder die ganze Nacht andauern.
Schon irgendwelche Gedanken dazu?

 

[Ernst@at]

Naja, all diese Programme suchen nach bestimmten Markern, welche am Partitionbeginn und am Ende als Mirror vorhanden sind. Möglicherweise beim durchforsten der Struktur stoßen sie auch auf backward-pointer, welche auf die Partitiongrenzen schließen lassen.
So kann es sein, dass mehrere Wege zu einer gleichartigen Partition-Lage führen, welche dann extra angezeigt werden, aber dieselbe Größe und Position haben.

Da kann dann ein Unterschied im angezeigten Inhalt auftreten, wenn irgendwo eine interne Verkettung zerstört wurde oder bei Plattenfehlern nicht mehr gelesen werden kann

 

[matt2.9]

OK... prima, vielen Dank für die Erklärung!

Also wenn ich die Beschreibung auf der Seite richtig verstanden hab, kann es sein, dass von dem Program zwar keine Daten gefunden werden, ich käme aber zumindest an die Partitionsgrenzen und hätte somit dann schonmal sozusagen Randdaten, mit denen ich dann in TestDisk / pdisk weiterarbeiten könnte. Sehe ich das richtig?

Ergänzung (17. Mai 2010)

Tja hmm leider Fehlanzeige - Das Programm findet weder irgendwelche Daten, noch zeigt es irgendwelche Partitionsgrenzen an, wie es eigentlich beschrieben war... also sind wir wieder an dem Punkt, an dem wir vorher waren.

Die Beschreibung bei dem Link hätte mir meine Daten gerettet, wenn ich vorher geschaltet hätte und nicht Datenrettungssysteme noch mehr hätte zerstören lassen... ich stecke also noch ein Stück tiefer im Dreck... :-(

 

[matt2.9]

Hallo lieber Ernst, Fiona und all diejenigen, die sonst noch so mitlesen... aaaalso: ich bin immer noch nicht viel weiter, da ich nach wie vor unter Wissensmangel leide, was Festplatten, deren Partitionstabellen und was sonst noch so anfällt angeht. Aber:

Ich habe die Platte nun mal mit einem Programm unter Windows XP "analysiert", was auch sage und schreibe nur 11 Stunden gedauert hat... wie das halt so ist bei großen Platten. Das besagte Programm nennt sich R-Studio. Die Ergebnisse im Programm könnt Ihr Euch im Anhang anschauen.

Im Bild zu sehen: Die Partitions-Infos, die insgesamt auf der Platte gefunden wurden. Darunter auch wieder die HFS+-Partition, die aber leider durch DiskWarrior nicht mehr als 1TB, sondern als 2.58GB angezeigt wird (hätte ich das "damals" im Programm nicht bestätigt, könnte ich jetzt mit TestDisk und pdisk schon wesentlich weiter sein..). Kann man mit den Infos auf der rechten Seite etwas anfangen?

Ach ja, und das mit der physikalischen Festplattengröße hatte ich wohl auch durcheinandergekriegt - Die Platte ist 931.51GB groß, die Partition betrug 931.39GB... heieiei...

So, und dann kann ich mir die gefundenen Daten noch anzeigen lassen - dort werden meine ganzen alten Ordner auch noch angezeigt. Unter anderem ist dort auch ein Ordner mit dem Namen "Metafiles", in dem Dateien mit folgenden Dateinamen sind:
$allocationFile
$altVolumeHeader
$attributesFile
$bootBlocks
$catalogueFile
$extentsFile
$reservedSec
$startupFile
$volumeHeader

Die Dateien sind alle sehr klein (0 oder 1KB), bis auf die $catalogueFile und die $extentsFile, die haben einige MB... könnte man darin irgendwas von Belang sehen???

Ergänzung (18. Mai 2010)

P.S.: Anhang vergessen

 

[Ernst@at]

Der Krieger hat ein Schlachtfeld hinterlassen und seinem Namen alle Ehre gemacht

Ich habe mit HFS+ keine Praxis, vielleicht gibt es noch andere Tools, welche in der Lage sind, anhand von Markern die Dateien selbst rauszufischen, ohne einen funktionierenden Index zur Verfügung zu haben.

Im NTFS arbeiten die meisten Rettungstools nach dieser Methode, HFS ist dem nicht so unähnlich von der Struktur; vielleicht gibt es da ja was, das mit den Trümmern besser umgehen kann. Man soll die Hoffnung nie aufgeben.

Rettungstools auch für HFS gibt es ja viele, probier die mal der Reihe nach durch.
Wenn die Daten wirklich wichtig sind, solltest Du die Platte vorher 1:1 klonen, damit da nicht noch mehr zerstört wird...

 

[matt2.9]

Hallo! Ich wollte mich noch einmal zurückmelden.

Nun, die Nummer ist endgültig gelaufen, ich habe es aufgegeben zu versuchen, mit TestDisk oder pdisk die Partitionstabelle zu retten o.Ä.

Aber: ich habe 2/3 meiner Daten zurückbekommen. Mit der Vollversion des Programms "R-Studio" konnte ich den Großteil meiner Daten tatsächlich retten. Das Programm läuft unter Windows, hat eine Nacht lang analysiert, danach wurde vieles gefunden, eigentlich alle Einträge, jedoch sind einige Dateien nun 0KB groß. So weiß ich zumindest, was ich mal hatte... Die Daten, die mir doch sehr am Herzen lagen, konnte ich aber retten.

Wie gesagt, hätte ich unter Windows "nur" initialisiert, somit also die Apple Partitionstabelle überschrieben, wäre das alles noch machbar gewesen (siehe auch den Link, den Ernst gepostet hat). Da ich aber mit versch. Rescue-Programmen und noch unter "Schock" herumgepfuscht habe, wurde noch einiges mehr zerstört, zum Beispiel auch die Informationen der alten Partitionsgröße (Start, End, Sectors), die zur Wiederherstellung unter TestDisk/ pdisk, soweit ich das verstanden habe, unumgänglich sind.

So habe ich nun viele der Daten wieder und habe die Festplatte neu formatiert, sie ist wieder 1TB groß und ich habe aus der Nummer 2 Dinge (in erster Linie) gelernt:

a) Mac-Partitionen NICHT unter Windows initialisieren!!!!
b) Ruhe bewahren und nicht gleich völlig hysterisch drauflos-versuchen-zu-retten...

Noch einmal vielen vielen Dank an Ernst, der wirklich mühevoll und ausdauernd versucht hat, mir in meiner Lage beizustehen

 

[matt2.9]

Hallo,
da es sich mal wieder um die selbe Festplatte wie damals handelt, lediglich das Problem ein anderes ist, schreibe ich mal in diesem Thread weiter. Bei Bedarf bitte ich darum, das Thema einfach zu verschieben.

Nun, Daten zu retten gibt es zum Glück nicht, aber:

Meine externe Festplatte von Iomega, 1TB groß, Model "minimax", USB2.0 und Firewire 400-fähig, mit USB- und Firewire-Hub direkt am Gehäuse, wird von meinem Mac OS X (Snow Leopard, neueste Updates sind installiert) jedes mal nicht erkannt bzw. als fehlerhaft beschrieben, nachdem ich die festplatte unter meinem in Bootcamp installierten Windows 7 64bit laufen hatte.

Mache ich die Festplatte dann einmal aus und wieder an, läuft wieder alles ohne jedes weitere Problem.

Zum besseren Verständnis: würde ich noch unter Windows 7 die Platte ausmachen, das Macbook unter Mac OS X wieder hochfahren und dann die Festplatte anschmeißen, wäre das kein Problem!

Heißt: was macht Windows 7 da mit der Platte?! Vielen Dank im Voraus.

P.S.: Ach ja, die Platte läuft auf einer GUID Partitionstabelle und ist in FAT32 formatiert.

 

[Fetter Fettsack]

So, ich habe passend zum Thema auch eine Frage: was sollte man tun, wenn eine Mac-Platte unter Win7 als MBR initialisiert wurde und dann nur mehr als unformatierter Bereich angezeigt wird?