Mach mal einen Scrrenshot der Datenträgerverwaltung,
Hole Dir den Hex-Editor HxD von
hier in der englischen Version. Damit nicht herumexperimentieren, damit die Defaulteinstellungen erhalten bleiben.
Im HxD sind die physical hard disk Nummern um 1 höher als in der Datenträgerverwaltung angezeigt.( wenn diA4ger 5 uangezeigt wird, dann ist es im HxD physical disk 6 )
HxD Aufruf unter User mit Administratorrechten (oder per rechtklick - Ausführen als ...)
- Menü: Extras/open disk/physical disk/
hard disk x (Häkchen bei "open as readonly" NICHT entfernen)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- auf Reiter "
harddisk x" klicken
in der Anzeige sollten die erste Zeilen
so aussehen:
Code:
[FONT="Lucida Console"]Offset[COLOR="Magenta"](h) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F[/COLOR]
0000000000 33 C0 8E D0 BC 00 7C FB 50 07 50 1F FC BE 1B 7C [COLOR="magenta"]<hier steht irgendwas>[/COLOR][/FONT]
wenn nicht, dann
- Menü: View/bytes per row/16/OK
- Menü: View/offset base/hexadecimal
- Menü: View/visible columns/hex and text
- Menü: View/byte group size/1
einstellen
========= extrahieren Sektor 0-3 (MBR/GPT)
- Menü: Edit/select block/start-offset:
0 , length:
800, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken und in das kleine punktierte Rechteck rechts unter ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- den Cursor an der Endposition belassen, nicht in der Anzeige herumklicken!
========= extrahieren maxLBA-4 (GPT-Mirror)
- auf Reiter "
harddisk x" klicken
- in der Menüzeile rechts auf den Button "
>|" anklicken, danach auf "
<" drei Mal klicken (Positionierung auf letzten Sektor und dann drei Sektoren nach vorne)
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length:
800, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "
harddiskx.txt" /speichern
- HxD beenden
.txt file gezippt in den Anhang
Damit kann man schon mal abklären, ob Volume oder Partition encrypted war