Mehrere Partitionen weg

[Ernst@at]

auch der Vormittag war Wunschdenken...

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)

- Menü: Extras/open disk/physical disk/hard disk 1 (Häkchen bei "open as readonly" NICHT entfernen)

========= extrahieren EBR Play
- rechts in der Menüzeile im Sektorfeld den Wert 422778163 eintragen (zur Tippfehlervermeisung mit Copy&Paste) und die Eingabetaste drücken, damit dieser Sektor auch in der Anzeige erscheint
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen), length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in "untitled1" in das kleine punktierte Rechteck rechts unter der Überschriftszeile 'Offset(h) ... 0E 0F" klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- den Cursor an der Endposition belassen, nicht in der Anzeige herumklicken!
- auf Reiter "hard disk 1" klicken

========= extrahieren EBR Images

- rechts in der Menüzeile im Sektorfeld den Wert 632488371 eintragen (zur Tippfehlervermeisung mit Copy&Paste) und die Eingabetaste drücken, damit dieser Sektor auch in der Anzeige erscheint
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- auf Reiter "hard disk 1" klicken

========= extrahieren EBR Musik

- rechts in der Menüzeile im Sektorfeld den Wert 972453395 eintragen (zur Tippfehlervermeisung mit Copy&Paste) und die Eingabetaste drücken, damit dieser Sektor auch in der Anzeige erscheint
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- auf Reiter "hard disk 1" klicken

========= extrahieren EBR Mak

- rechts in der Menüzeile im Sektorfeld den Wert 1119906771 eintragen (zur Tippfehlervermeisung mit Copy&Paste) und die Eingabetaste drücken, damit dieser Sektor auch in der Anzeige erscheint
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- auf Reiter "hard disk 1" klicken

========= extrahieren EBR DVD

- rechts in der Menüzeile im Sektorfeld den Wert 1329616915 eintragen (zur Tippfehlervermeisung mit Copy&Paste) und die Eingabetaste drücken, damit dieser Sektor auch in der Anzeige erscheint
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- auf Reiter "hard disk 1" klicken

========= extrahieren EBR freespace

- rechts in der Menüzeile im Sektorfeld den Wert 1953520960 eintragen (zur Tippfehlervermeisung mit Copy&Paste) und die Eingabetaste drücken, damit dieser Sektor auch in der Anzeige erscheint
- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 8000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK

- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "XPD3.txt" /speichern
- HxD beenden

Die Datei XPD3.txt gezippt in den Anhang...

 

[-Chaos-]

@ Fiona:

Danke für den Hinweis.
Die Bilder poste ich, wenn die zweite Phase abgeschlossen ist, da die erste keine verwertbaren Ergebnisse (mit den veränderten Geometrie-Werten) geliefert hat.

@ Ernst@at:

Hat auch bei mir etwas länger gedauert - anbei die benötigen Daten / Informationen.

 

[Ernst@at]

Danke, Auswertung folgt bis zum Abend...

 

[-Chaos-]

@ Fiona:

Anbei die Screenshots - folgende Anmerkungen:

- Alle sichtbaren und momentan funktionierenden Partition wurden gelistet, Dateien werden gelistet
- Zwei Mal "Work", bei beiden können die Datei gelistet werden
- "Musik" wird angezeigt, Dateiliste ist vollkommen leer, keine Fehlermeldung o.ä

@ Ernst@at:

Hört sich gut, danke.

 

[Ernst@at]

Die Nuss ist seeehr hart.
In den Bereichen, in denen ich mir die restlichen verketteten EBR's der logischen Partitions erwartet hätte, ist keine Spur davon zu finden. Der EBR für "Play" liegt jedenfalls innerhalb von "Work" und wurde überschrieben.
Welche Version des Partition Wizard Home Edition hast Du im Einsatz? 5.0, 4.2.2, 4.0?
Es bleibt mir nichts anderes übrig, als das seltsame Verhalten am lebenden Objekt zu studieren...

 

[-Chaos-]

Dann hoffe ich mal das du die Nuss knacken kannst.

Für die Änderungen habe ich "Partition Wizard Home Edition" in der Version 5.0 genutzt.

 

[Ernst@at]

Wenn Du dringend an die Daten musst, könnte ich einstweilen zur Umgehung eines kostenpflichtigen Datenrettungstools(mit dem alle Daten rettbar sind) mittels einer Adaption des MBRs einzelne der logischen Partitions für stinknormalen Windows-Zugriff zum rauskopieren freischalten.
Meine Forschung dient eigentlich dem Zweck, die möglicherweise beschädigte Datei in jeder Partition zu identifizieren. Dazu muss ich aber die Position finden, an welche Stelle in jeder logischen Partition vom Partitioning-Tool der EBR fälschlich hingesetzt wurde. Nachdem der nur vorwärtsverkettet ist und an der Stelle der "Play" unterbrochen ist, stehe ich etwas im Dunklen.
Die einzige Möglichkeit, die Fortsetzung der Verkettung wieder aufzuspüren, wäre ein etwas länger(max ca 20min) dauernder Scan:

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)

- Menü: Extras/open disk/physical disk/hard disk 1 (Häkchen bei "open as readonly" NICHT entfernen)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in "untitled1" in das kleine punktierte Rechteck rechts unter der Überschriftszeile 'Offset(h) ... 0E 0F" klicken
- auf Reiter "hard disk 1" klicken

========= Suche EBR Images
- Menü: Edit/select block/Start 4B6603E600 ,length: 1, hex, OK (zur Tippfehlervermeisung mit Copy&Paste)
- Menü: Search/Find
Search for: (Die nächste Zeile mit Copy&Paste hineinübertragen)
000000000000000000000000000000000000000000000000000000000000000055AA
Datatype: Hex-values
Search direction: Backward
OK

Der erste Fund wird am Ende des Sektors 632488411 erfolgen - weitersuchen mit F3-Taste
alle weiteren Funde am Ende eines Sektors wären interressant, wenn sie genau so aussehen - bis auf die letzten 5 Zeilen im Sektor alles 00 (x steht für beliebiges Zeichen, schwarz: Bereich der Markierung):

Offset(h)   00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F
[COLOR="Silver"]xxxxxxxx00  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................  Sector xxxxxxxxx
xxxxxxxx10  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx20  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx30  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx40  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx50  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx60  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx70  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx80  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx90  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxxA0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxxB0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxxC0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxxD0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxxE0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxxF0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx00  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx10  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx20  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx30  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx40  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx50  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx60  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx70  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx80  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxx90  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxxA0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
xxxxxxxxB0  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 xx  ...............x
xxxxxxxxC0  xx xx xx xx xx xx xx xx xx xx xx xx xx xx xx xx  xxxxxxxxxxxxxxxx
xxxxxxxxD0  xx xx xx xx xx xx xx xx xx xx xx xx xx xx[/COLOR] 00 00  [COLOR="Silver"]xxxxxxxxxxxxxx[/COLOR]..
[COLOR="silver"]xxxxxxxxE0[/COLOR]  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
[COLOR="silver"]xxxxxxxxF0[/COLOR]  00 00 00 00 00 00 00 00 00 00 00 00 00 00 55 AA  ..............Uª
[COLOR="Silver"]________________________________________________________________________________________________
                                                                                Sector xxxxxxxxx+1[/COLOR]

zum justieren der Ansicht im HxD, damit Du den gesamten Sektor einsehen kannst, mach das Fenster groß genug.
Die Ansicht nicht mit dem Schieberegler feinjustieren, sondern mit den Pfeilbuttons am oberen/unteren Ende des Schiebereglerbereiches!
Ist die Sektornummer 4227728291 422778291 erreicht oder kleiner, kannst Du mit der Suche aufhören
ansonsten markiere bei jedem Fund, der so wie oben aussieht, den gesamten Sektorinhalt mit der Maus; dann
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- auf Reiter "hard disk 1" klicken
- mit Taste F3 weitersuchen


Ist die Sektornummer 4227728291 422778291 zur Beendigung der Suche erreicht, dann
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "ScanEBR.txt" /speichern
- HxD beenden

ScanEBR.txt zippen und in den Anhang

 

[-Chaos-]

Ernst@at, wenn du mir das Datenrettungstool zur Verfügung stellen könntest und ich damit alle Daten retten kann - wäre ich sehr erfreut darüber. Momentan hätte ich auch die Möglichkeit eine recht große externe Festplatte (mit eSATA-Anschluss) zu bekommen, um die Daten schnell und einfach zu retten / kopieren.

Wobei bei mir die Frage aufgekommen ist, ob wirklich auf jeder Partition Daten beschädigt sein müssen oder nur z.B. auf "Work" und / oder "Play" usw?
Außerdem bin ich mir nicht sicher ob ein komplettes Backup der Daten (inkl. der Datenrettung) sinnvoll ist - anschließend eine vollständige Formatierung der Festplatte besser wäre, um Problemen aus dem Weg zu gehen, die durch das Frickeltool entstanden sein können bzw. noch im Hintergrund schlummern. Ich würde die "funktionierenden" Partitionen (wenigstens die Boot- und die System-Partitionen) mittels Image-Datei sichern und nach der Formatierung wieder herstellen. Was ist deine Meinung dazu?

Ich stelle dir gerne die Informationen zur Verfügung, wenn du die Situation analysieren möchtest. Wenn jedoch die Möglichkeit besteht, dass nur eine Datei auf einer Partition beschädigt ist und ich in der Lage bin mit dem Datenrettungstool sämtliche Daten zu sichern, dann brauchst du dir die Arbeit nicht zu machen - außer du bist der Meinung es wäre besser!?

Ich warte mit der Erstellung der Daten bis ich eine Rückmeldung von dir habe.

 

[Ernst@at]

Es kann je Partition eine Datei beschädigt sein. Um genau das festzustellen, muss ich die genaue Position, wo das Tool hingeschrieben hat, eruieren.
Zu diesem Zweck dient der Scan - wenn das Ende des gerissenen Fadens damit aufgenommen werden kann, haben wir die genauen Fehlerstellen in allen anderen vermissten Partitions. Dann muss nur noch festgestellt werden, ob und welche Datei davon betroffen ist - das macht ein kleines Tool aber ohne Frickelei

 

[-Chaos-]

Die benötigten Informationen werde ich dir demnächst erstellen und zur Verfügung stellen.

Ist eine vollständige Formatierung, deiner Meinung nach, denn sinnvoll?

 

[Ernst@at]

Eine vollständige Formatierung löscht unter Win7/Vista sämtliche Sektoren der Partition auf 00.
Das hat bestenfalls Sinn, wenn sensible Daten damit vernichtet werden sollen, die sonst möglicherweise später wieder rekonstruiert werden könnten.

 

[-Chaos-]

Es ist eher unwahrscheinlich, dass ich die Festplatte in absehbarer Zeit verkaufe o.ä. und mir somit gedanken machen muss, ob jemand sensible Daten wiederherstellen kann.

Mir geht es hauptsächlich um das "Durcheinander", dass das Frickeltool, angerichtet hat und ob es nach der Datenrettung / -sicherung sinnvoll ist alles zu formatieren oder ob der "leere Speicherplatz" einfach wieder verwendet werden kann, um Partitionen daraus zu erstellen.

Ergänzung (5. August 2010)

- Menü: Edit/select block/Start 4B6603E600 ,length: 1, hex, OK (zur Tippfehlervermeisung mit Copy&Paste)

Wenn ich "4B6603E600" bei "Start-offset" sowie den Rest bei "Select block" eintrage und auf OK klicke kommt die Fehlermeldung "The specified offsets result in an empty selection."!?

Keine Ahnung was ich falsch mache, aber die Fehlermeldung kommt auch beim erneuten Versuchen.

 

[Ernst@at]

Dann Poste doch mal den betreffenden Screen, wenn folgendes nicht hilft:

Nach übertragen des Wertes mit copy&paste in den Start-Bereich klickst Du den
Length-Button, dort steht schon 1 im Längenfeld, diese 1 markierst Du und tippst 1
Damit macht er ein Update des End-Wertes, und dann klickst Du OK

 

[-Chaos-]

Danke, mit deinem Hinweis klappt es.
Jedoch dauert die Suche sehr lang (ca. 2 Stunden und ~20 Minuten).

Ich aktualisiere diesen Beitrag, wenn ich mit dem Suchen und Finden durch bin.

 

[Ernst@at]

Mir ist bei der Angabe der Sektornummer für den Endwert ein Fehler passiert - habe das ausgebessert, war eine Ziffer zuviel.
Die angezeigten 2:20 würden vom Sektor 632488435 (wo die Suche beginnt) bis zurück zum Sektor 0 dauern. Da wir die Suchergebnisse aber nur bis zum Sektor 422778291 (das ist der korrekte Wert) brauchen, sollte es bis zu einem weiteren Fund max 1 Stunde brauchen

 

[-Chaos-]

Der Suchvorgang ist abgeschlossen jedoch wurde der Suchbegriff nur genau 1x gefunden!
Nach den Vorgaben des Aussehens passt dieser nicht - ich habe trotzdem mal ein Screenshot von erstellt.

Ich werde den Suchvorgang, mit den neuen / korrigierten Werten, wiederholen, wenn ich genügend Zeit habe!

 

[Ernst@at]

Ich hatte oben in der Anleitung zuerst einen viel zu großen Wert für die Beendigung angegeben gehabt - 10x größer als der Startwert, von dem wir die Suche begonnen hatten. Nachdem die Suche rückwärts läuft, können die Sektoradressen gefundener Ergebnisse natürlich nur kleiner werden, was Dich beim ersten Fund nach Befolgung der Anleitung sofort zur Beendigung des Suchlaufes bringt.

Danke für den Screenshot - der zeigt nämlich, was Du falsch gemacht hast.
Was hier gefunden wurde, liegt der Sektoradresse nach schon viel zu weit vorne in der Systempartition, und das ist ein temp-file des Browsers mit dem Inhalt meiner Anweisung, die Du am Bildschirm gesehen hast

Die Suche nach diesem spezifischen Inhalt sollte eigentlich alle Beginn-und Endemarker einer Partition und auch die diese Partition beschreibenden EBR's zutage bringen.
Das hat deswegen nicht geklappt, weil Du in der Anweisung

- Menü: Search/Find
Search for: (Die nächste Zeile mit Copy&Paste hineinübertragen)
000000000000000000000000000000000000000000000000000000000000000055AA
[B]Datatype: [COLOR="Red"]Hex-values[/COLOR][/B]
Search direction: Backward
OK

die Einstellung "Datatype: Text-String" eingestellt gelassen hast, die sich defaultmäßig dort findet. Da sollte aber "Hex-values" gewählt werden.

Die Suche geht von Sektor 632488435 rückwärts
Wenn Du das nochmal richtiggestellt probierst, sollte nach dem Bruchteil einer Sekunde schon das Ende der Partition Play gefunden werden, welche auf Sektor 632488411 liegt.
Die hat aber vorne im Sektor allerlei Daten stehen, die nicht 00 sind, beginnend mit "...NTFS" am Sektoranfang. Erst danach, mit drücken von F3, geht die Suche nach einem EBR los, der so aussieht, wie oben in der Anweisung gezeigt ist. Vorne vom Sektorbeginn an alles 00, nur in den letzten 5 Zeilen steht was anderes, und ganz am Ende das, was als Suchbegriff eingegeben wurde.
Es sollte nur ein einziger Sektor dieser Art gefunden werden, danach ist der nächste Treffer nach spätestens 1 Stunde der Partitionbeginn von Play in Sektor 422778291, wo die Suche auch schon zu Ende ist.

Ich beginne jetzt mit den Experimenten mit dem Partitioning-Tool V5.0, mal sehen, was dabei rauskommt...

 

[-Chaos-]

Nun, je schneller der Suchlauf abgeschlossen desto besser.

Hatte mich schon gewundert das genau (die Anleitung) gefunden wurde...

Jetzt zum eigentlichen Problem und der daraus resultierenden späten Rückmeldung:

Auch durch die neuen Werte ist der Suchvorgang eine recht lange Sache - bei der ich aber zu keinem Ergebnis gekommen bin! Ich habe den Suchvorgang extra zwei Mal durchlaufen lassen, um auszuschließen, dass ich entweder was falsch gemacht oder schlicht weg etwas übersehen habe.

Etwas, was genau wie in der Anleitung aussieht, finde ich nur in den "zu überspringenden" Bereichen. Zu Beginn finde ich wie angegeben "...NTFS"-Daten, aber danach finde ich nichts passendes.

Ich bin ein wenig ratlos.

 

[Ernst@at]

Das macht mich auch etwas ratlos, denn da müsste was zu finden sein.
Was Du noch probieren kannst, ob in der anderen Richtung(Direction: forward) bis zum Ende der Platte Sektoren mit dem gesuchten Inhalt zu finden sind, denn auch für die Partitions Images, Musik, Mak und DVD muss ein solcher EBR angelegt sein. Dazwischen immer die "...NTFS" der Partitionbeginns- und -ende-Marker. Wenn länger als 1 min nichts gefunden wird, kannst Du ruhig was anderes machen, denn dann wird der nächste Fund eine halbe Stunde auf sich warten lassen. Man muss ja nicht ständig danebensitzen.

Meine Experimente zur Rettung hab ich jetzt abgeschlossen; es wäre recht einfach, jeweils drei der Verschollenen
zuerst Work/Play/Images
dann Musik/Mak/Play
auf der Platte neben dem System als 3 weitere Primäre Paritions zur Verfügung zu stellen, damit Du die Inhalte per Windows-Copy auf eine andere Platte kopieren kannst. Anschließend kann man die Erweiterte Partition mit allen logischen neu anlegen, formatieren und den Inhalt zurückkopieren.

Zum Nachstellen des Fehlers des "Partition Masters" hatte ich noch keine Zeit, um das Fehlverhalten zu dokumentieren und denen um die Ohren zu hauen, aber das ist zweitrangig.

 

[-Chaos-]

Ich werde das mit der Vorwärtsuche ausprobieren - werde aber sehr wahrscheinlich erst am Sonntag dazu kommen.

Hört sich gut an, wenn ich die Daten einfach mittels Windows-Copy sichern / "wiederherstellen" kann.

Wobei alle logische auch die momentan vorhandenen einschließt?

Wenn da eine Rückmeldung nach dem "um die Ohren hauen" kommt würde mich das auch interessieren.