festplatten-Image/datenwiderherstellung bis sektor x?

[kenny33]

Ich habe eine im sterben liegende Platte nur bis zu einem bestimmten sektor koieren können.

nun macht es natürlich keinen sinn, daten widerherzustellen, die hinter dieser grenze lagen, zudem sollte ich Dateien, die teilweise dahinter lagen, genau prüfen - doch wie?

Ich habe mir gedacht, ein image bis zu diesem sektor nur zu erstellen - ein datenwiderherstellungstool kann ja dann über die grenze nicht hinaus - zumal ich eine solche "grenzeinstellung" bei keinem Tool finden konnte?!

danke

 

[Ernst@at]

Bestens geeignet dazu ist ddrescue
Anwendungsbeispiel siehe hier
überspringt fehlerhafte Sektoren; diese können in weiteren Durchgängen noch mehrfach zu lesen versucht werden.

 

[Patric_]

HDClone von Toolstar kann afair auch defekte Sektoren auslassen

 

[kenny33]

ihr versteht mich falsch. die quellfestplatte ist tot, wird inzwischen nichtmal mehr im BIOS erkannt. es gibt keine defekten sektoren in der kopie, ab sektor x sind alle sektoren nur das, was vorher auf der Festplatte war - Werte, die NICHTs mit den daten auf der Quellfestplatte zu tun haben

 

[Fiona]

Teile mal mit, wie groß deine Festplatte ist und wie weit du kopieren konntest?
Auch kann es passieren, das die Dateien teilweise nicht funktionieren?
Hat die Festplatte einen elektronischen oder physikalischen Defekt?
Bei einen elektronischen Defekt könnte ein Platinentausch vielleicht helfen?
Sollte aber selbe Modell und Revision sein.

Viele Grüße

Fiona

 

[kenny33]

knappe 180gb von einer ca 470GB partition.

da geräusche vorhanden waren, vermutlich physikalisch - aber in den 180gb sollte auch alles wichtige drin sein.

"Auch kann es passieren, das die Dateien teilweise nicht funktionieren?" - verstehe nicht, was du damit meinst?!

 

[Ernst@at]

"die quellfestplatte ist tot, wird inzwischen nichtmal mehr im BIOS erkannt" das hat im Erstpost gefehlt, damit wir nicht in die Irre laufen.
Schön wären konkrete Angaben,
. Größe der jetzt kaputten Platte und Anzahl/Größe der Partitions da drauf
- wo beim Kopieren abgebrochen wurde ("Sektor x") x=?, oder ist das unbekannt?
- welcher Partitiontyp? NTFS? wieviel % oder wieviele GB befüllt?
Bei NTFS wird im Normalfall, wenn kein boot-time Defrag der $MFT auf der Partition angewandt wurde, diese beim Format der Partition in der ersten Hälfte der Partition angelegt.

Für einen sinnvollen Rescue-Vorgang sollte daher zumindest mehr als die Hälfte der Partition kopiert worden sein.
Liegt der Punkt x dahinter, sind die Datei/Ordnernamen noch zuordenbar und es können alle beschädigten (auch nur partiell dahinterliegenden) Dateien identifiziert werden.
Ansonsten hat man keine Möglichkeit, die noch festzustellen und erhält nur willkürliche Namen in der Recovery ohne Ordnerstruktur.

Kennt man den Punkt x, so kann man die Rescue-Programme mit einem Trick daran hindern, den dahinterliegenden Teil einzubeziehen, indem man einen BootRec-Mirror an die Stelle X setzt, der behauptet, die Partition wäre nur bis dorthin gegangen (mit tatsächlichem Beginn und X als Ende) und diese erkannte verkürzte Partition dann beim Rescue auswählt.

 

[kenny33]

Ernst@at das mit dem BootRec-Mirror klingt interessant, wie funktioniert das?

ja, x ist bekannt ^^ - irgendwo notiert

 

[Ernst@at]

Dann rück doch die Infos zur Sourceplatte und x raus, damit man sehen kann, ob das Sinn macht. Ich hab erst am späten Nachmittag wieder Zeit, das genau zu erläutern

 

[kenny33]

knappe 180gb von einer ca 470GB partition.

......

 

[Mueli]

Beschreibe doch einfach mal was Du von wo / was kopieren / 'imagen' willst. Einmal schreibst Du von Image erstellen, das ist i. d. R. von einer Disk dann wieder von 'tot' also nicht mehr im Zugriff / auslesbar.
Mit DD(rescue) kann man auch eine bestimmte Anzahl von Blöcken auslesen (Parameter count=xyz), aber auch aus einem Image (File) kann man einen Block 'ausschneiden'.

 

[Ernst@at]

Hab leider das Post 6 übersehen wie ich das #7 geschrieben habe.
mit etwas Glück ist die MFT in den 180GB vollständig vorhanden.
Mehr dazu am Nachmittag

 

[kenny33]

Beschreibe doch einfach mal was Du von wo / was kopieren / 'imagen' willst. Einmal schreibst Du von Image erstellen, das ist i. d. R. von einer Disk dann wieder von 'tot' also nicht mehr im Zugriff / auslesbar.
Mit DD(rescue) kann man auch eine bestimmte Anzahl von Blöcken auslesen (Parameter count=xyz), aber auch aus einem Image (File) kann man einen Block 'ausschneiden'.

eigentlich denke ich, das meine formulierung klar ist - aber hier nochmal deutlich:

Die Quellfestplatte (die mit datenverlust) von 470GB habe ich 1:1 (also samt "leerer" sektoren) auf eine technisch einwandfreie Platte kopiert. nach knapp 180GB waren keine Sektoren der Quellplatte mehr lesbar.

Nun will ich entweder ein image erstellen (von der Kopie), dass nur bis zum sektor x geht
ODER
Ein Datenrettungstool haben, dass eben so eine Grenze selbst setzen kann - alles hinter der Grenze sind Mülldaten, alles was teilweise dahinter liegt beschädigt - das widerherstellungsprogramm soll das entsprechend mitbekommen können.

 

[Ernst@at]

Hat etwas länger gedauert heute, aber jetzt bin ich da.
Erstmal sollten wir den MBR lesen, um den Partitionbeginn zu erfahren.
Dann von dort den NTFS-Bootrec, der Auskunft über die Lage der $MFT gibt.

Installier Dir mal den Hex-Editor HxD von hier in der englischen Version.
Damit nicht herumexperimentieren, damit die Defaulteinstellungen erhalten bleiben.

Die folgenden Schritte mit dem Plattenklon machen

In der Datenträgerverwaltung zeigt sich
- die Klonplatte als "Datenträger #"

Diese # um 1 erhöht, ist im HxD die entsprechende physical disk
z.B Datenträger 2 ==> im HxD physical hard disk 3

HxD Aufruf unter User mit Administratorrechten

- Menü: Extras/open disk/physical disk/hard disk #+1 (Häkchen bei "open as readonly" NICHT entfernen)

- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- auf Reiter "harddisk #+1" klicken
in der Anzeige sollten die erste Zeilen so aussehen:

[FONT="Lucida Console"]Offset[COLOR="Magenta"](h)   00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F[/COLOR]
0000000000  33 C0 8E D0 BC 00 7C FB 50 07 50 1F FC BE 1B 7C  [COLOR="magenta"]3ÀŽÐ¼.|ûP.P.ü¾.|[/COLOR][/FONT] <== hier steht irgendwas

wenn nicht, dann

- Menü: View/bytes per row/16/OK
- Menü: View/offset base/hexadecimal
- Menü: View/visible columns/hex and text
- Menü: View/byte group size/1​

einstellen
========= extrahieren Sektor 0
- Menü: Edit/select block/start-offset: 0 , length: 200, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken und in das kleine punktierte Rechteck rechts unter ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- den Cursor an der Endposition belassen, nicht in der Anzeige herumklicken!
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "MBR.txt" speichern
- HxD beenden

Danach MBR.txt in den Anhang stellen.

 

[Mueli]

Unter Linux geht es wie folgt:
dd if=/tmp/470GBfile.img of= /tmp/180GB.img bs=1024k count=180000 (schreibt 180000 Blöcke a 1MB), man kann aber auch 1Gb-Blöcke wählen und entsprechend den count reduzieren, bei 512Bytes pro Block (=Sektor Size) , was natürlich auch ginge, wären es derart viele Blöcke, dass der Overhead stark ansteigen würde und die Copy-Aktion unnötig in die Länge gezogen würde.

 

[Ernst@at]

Von einem Plattenimage sehe ich keine Chance, die unbeschädigten Files (deren trotz Defragmentierung vollzählig alle im vorderen kopierten Bereich liegenden Datenblöcke) in Erfahrung zu bringen und vom sinnlosen Rest zu trennen.
Wenn der reservierte und benutzte $MFT-Extent vollständig auf dem Rettungsklon liegt, läßt sich das möglicherweise mit einem Tool in Erfahrung bringen, und diese könnten dann selektiv und fehlerfrei auch genausogut vom unveränderten 38%-Klon ausgelesen werden.

 

[Mueli]

Wenn es ein DD-Image wäre schon, denn dies könnte man per Loop-Option unter Linux mounten, nur bräuchte man u. U. ein Datenrettungstool für Linux, aber es böte sich auch ein zurückschreiben auf eine Disk an, um es dann unter Windows mit einem Datenrettungstool wie R-Studio zu versuchen. Letzteres ginge aber auch so schon, nur müsste man dien Scan des Datenrettungstools auf den 'vorderen' Teil beschränken, was ohne Probleme über die Optionen machbar ist (mit R-Studio bereits durchgeführt, nur das ich einen Teil in etwa der Mitte einer Disk ausschließen musste).