GPT Schutzpartition gelöscht...Daten retten?

[Son1c]

So, habe den Wert nur einmal am Sektoranfang gefunden, als ich von hinten gesucht habe.
Die .txt Datei ist im Anhang.

 

[Ernst@at]

Naja, das ist genau das Gleiche, was wir schon früher mal gefunden haben.
Da war ich der Meinung, das sei ein Relikt von irgendwas altem:

[SIZE="3"][FONT="Lucida Console"]Analyzing: \\Pc10\shareddocs\son1c 3TB\SearchBS.txt

===== NTFS INFORMATION ===== at LBA=5858969752
2BA719131FE 55AA             Boot signature='55AA'... valid
2BA71913000 EB5290           jump around... OK
2BA71913003 4E54465320202020 NTFS ID... OK
2BA7191300B 0010             Bytes per sector: 4096
2BA7191300D 01               Sectors per cluster: 1 ==> Clustersize=0.5K
2BA7191300E 0000             reserved sectors: 0
2BA71913010 000000           always zero...OK
2BA71913013 0000             not used...OK
2BA71913015 F8               <Media descriptor>
2BA71913016 0000             always zero...OK
2BA71913018 3F00             Sectors per track: 63
2BA7191301A FF00             # heads: 255
2BA7191301C 3F000000         # hidden sectors: 63
2BA71913020 00000000         <not used by NTFS>
2BA71913024 80008000         <not used by NTFS>
2BA71913028 D418A72B00000000 Total Sectors: 732371156
.                            ==> Size: 357603MB 349.22GB
.                            ==> NTFS Origin at sector: 63 *** SECTOR MISPLACEMENT *** +5126598533 Sectors
2BA71913030 00000C0000000000 Cluster# of $MFT: 786432
.                            ==> $MFT at sector: 6291519
2BA71913038 6A8CD31500000000 Cluster# of $MFTmirr: 366185578
.                            ==> $MFTmirr at sector: 2929484687
2BA71913040 01000000         Clusters/File Record Segment: 1
2BA71913044 01000000         Clusters/Index Block: 1
2BA71913048 65A7930CF5930CFE Volume Serial #
2BA71913050 00000000         checksum
[/FONT][/SIZE]

Sowas findet sich hinten auf einer Platte bestenfalls, wenn es sich als logisches Laufwerk in einer Erweiterten Partition befindet. Das ist aber bei GPT schwer möglich. Als Startsector ist 63 angegeben, knappe 350GiB Größe.
Endet an 0x2BA719131FF, das ist Sektor 5858969752, was nicht an einer 1MB-Boundary liegt, wie man es von Win7 gewohnt wäre.
Aber mir solls reicht sein, schauen wir mal, ob da was ist.
5858969753-732371156= 5126598597

Also wirf HxD an, öffne die physical hard disk
- gib in der Menüzeile in das Sektorfeld 5126598600 ein /Enter
und mach dann die Suche rückwärts nach Werten wie vorhin.
Es müsste gleich darauf ein NTFS-Eintrag kommen, und nach Weitersuchen kurz darauf der Mirror am Ende der davorliegenden Partition.
Die beiden Einträge stell mir wie gewohnt in einen .txt file

 

[Son1c]

5126598600 kann er nicht finden, weil nur 732387446 Sektoren vorhanden sind...

 

[Ernst@at]

sehr lustig. 732387446*512=374.982.372.352
Eine 374GB Platte gibts nicht. Hast Du vielleicht irrtümlich ein logisches Laufwerk, deine C-Platte, ausgewählt? Die wäre etwa so groß, meine ich: 349,33GiB
Ich korrigiere: die hatte leider nur 149,irgendwas

 

[Son1c]

Also die C ist es nicht (meine hat 232,88GB) , hab physical hard disk 2 gewählt. In der Datenträgerverwaltung ist es ja 1.
Komisch...

Meinst du es hat Sinn weiter zu machen oder ist die Partition nicht mehr zu retten?

 

[Ernst@at]

Bis jetzt hab ich noch keinen Anhaltspunkt gefunden, nach dem man sagen könnte, die Daten sind nicht mehr zu retten. Solange also nicht das Gegenteil bewiesen ist, gehe ich davon aus, sie sind noch da.

Bis jetzt war es doch immer hard disk 7 , in einem der ersten Posts wurde sie als Datenträger 6 ausgewiesen.
Hat sich das seither geändert?

 

[Son1c]

Am Anfang hatte ich die Platte an meinem Windows XP Rechner angeschlossen. Da war es die 6.

Jetzt bin ich aber an meinem Windows Vista Rechner.
Hier ist es die 2.

 

[Ernst@at]

im Vista musst Du (im Gegensatz zu XP) Ausführen als Administrator beim HxD machen. Du wirst logical disk 2 (weil Du nur logicals siehst im non-Admin mode) gewählt haben

 

[Son1c]

Nein, ich führe HxD immer als Admin aus, da er mir sonst einen Fehler anzeigt.
Daran liegt es also nicht.

 

[Ernst@at]

Mach einfach mal nach öffnen der physical disk in der Menüleiste einen Klick auf das ">|" Symbol. damit geht er zum letzten Sektor. Wie da dann 732.387.446 stehen kann, verstehe ich nicht, da Du ja gestern um 18:49 einen Auszug der Platte geliefert hast(SearchBS.txt), wo von hinten durchsucht an Adresse
0x2BA71913000=Byte 2.999.792.513.024/512= Sektor 5.858.969.752 der NTFS-Record gefunden wurde.

 

[Son1c]

Hmm, habe nochmal nach dem Eintrag gesucht und rechts daneben steht der Sektor.
Kannste im Anhang auch sehen.
Hab dann nochmal die SearchBS.txt erstellt, aber ist genau die gleiche wie die von gestern...

 

[Ernst@at]

Huch - des Rätsels Lösung. HxD scheint mit der Platte in Sektorgrößen von 4096 Bytes arbeiten zu wollen.

Also lautet die Anweisung

Also wirf HxD an, öffne die physical hard disk
- gib in der Menüzeile in das Sektorfeld 640824825 ein /Enter (mit copy&paste übertragen)
und mach dann die Suche rückwärts nach Werten wie vorhin.
Es müsste gleich darauf ein NTFS-Eintrag kommen, und nach Weitersuchen kurz darauf der Mirror am Ende der davorliegenden Partition.
Die beiden Einträge stell mir wie gewohnt in einen .txt file

 

[Son1c]

Ich habe 640824825 in das Sektorfeld eingetragen. Wenn ich jetzt aber auf Search > Find > Search for gehe, und nach "EB 52 90 4E 54 46 53 20 20 20 20 00" suche (Hex values) sucht er mehrere Minuten ohne Erfolg.
Ich denke nicht, dass es so lange dauern müsste, oder?

 

[Ernst@at]

Bin ein Esel; mein Analyze-Tool zeigt es auch tw falsch an.
Im NTFS-Header steht auch Sector size: 4096, Sectors/clusters: 1
also ist die angegebene Größe auch 8-fach so groß und vom Ende die Anzahl Sektoren abzuziehen.

Fundort: 5858969752/8=732371219 (4Ksectors)
732371219-732371156= 63

also sollte auf Sector 63 ebenfalls ein NTFS-Header zu finden sein
also auf Offset(h) 00000003F000.
Ist da sowas?

 

[Son1c]

Also bei Sektor 63 sind nur lauter Nullen.

 

[Ernst@at]

und am Sektor danach, auf 64?

 

[Son1c]

auch nur Nullen

 

[Ernst@at]

Dann such mal von dort aus nach 80 , hex, forward
mal sehen, wie weit da gelöscht wurde

 

[Son1c]

Da kommt dann das hier:

 

[Ernst@at]

OK, ich muss die völlig neue Lage erst mal überdenken.
Neue Versuchs-Vorschläge frühestens um 18:00

Ergänzung (18. Dezember 2011)

Nun - Es ist so, dass der Bridgechip im Externen Gehäuse die 3TB Platte als eine mit Sektorgröße 4K darstellt. Wie es scheint, können die Datenrettungstools wie GetDataBack und Testdisk nicht richtig damit umgehen, und ich hätte eigentlich auch schon früher draufkommen können, wenn ich mir meine Erstanalyse richtig angesehen hätte...

So wie es scheint, hat auch das liebe diskpart nicht so recht damit umgehen können, weil es offenbar was falsches ausgerechnet und die 8-fache Sektoranzahl dessen, was es löschen wollte, durchgeführt.
An welchem der Systeme hast Du denn ursprünglich die Platte initialisiert und formatiert?
wird wohl Dein Vista gewesen sein(XP ist ja auszuschließen), oder war das an noch einem anderen Rechner?
Denn Vista (außer ohne SP1 glaub ich) hätte die Partition auf Sektor 2048 begonnen oder bei 4K auf Sektor 256, und nicht auf 63. Oder war das gar keine GPT, sondern eine stinknormale 3TB MBR-Partition im XP erstellt? Oder war die schon beim Kauf drauf?

Mach mal mit ">|" den Gang zum letzten Sektor
- Steht dort am Beginn des Sektors 732387445 auf Offset 2BA75875000 "EFI PART" ?
Dann war mein erster Fischfang schon ein völliger Fehlwurf des Netzes im Post#21 auf Seite2