Alternative? Ja, abkürzen kann man das schon.
Die Positionen der Partitions sind uns ja schon bekannt.
Code:
[U]Part Start Size End trail Gap[/U]
1 2048 204799 206847 0 System Reserved Microsoft
2 206848 125614079 125820927 216 System
3 125821144 40958720 166779864 26 System2
4 166779891 255998376 422778267 23 Work
5 422778291 209710120 632488411 23 Play
6 632488435 339965000 972453435 23 Images
7 972453459 147453352 1119906811 23 Musik
8 1119906835 209710120 1329616955 23 Mak
9 1329616979 623904040 1953521019 4148 DVD
10 1953525168 (=maxLBA)
Was gesucht wird, sollte eigentlich in den Zwischenräume zwischen den Partitions liegen und könnte fälschlicherweise vom Partitionierungtool innerhalb der vorherigen Partition(aber im hinteren Teil) geschrieben worden sein, so wie bewiesenermaßen in der "Work".
Setzt man jetzt eine Suche jeweils am Partitionbeginn einer dieser Partitions auf und sucht rückwärts, dann muss gleich das Ende der vorigen Partition gefunden werden, und wenn ein EBR vorhanden ist, dieser beim weitersuchen innerhalb von einer Minute gefunden werden. Kommt da keine Übereinstimmung, kannst Du diese Suche abbrechen und am nächsten Partitionbeginn weitermachen.
Auch Sektoren, die gefunden werden und an den x-Stellen lauter Nullen haben, sind interessant und sollten in die Ausgabedatei kopiert werden. Die geben einen Hinweis darauf, dass an dieser Stelle mal eine Partitionierungsinformation stand, die gelöscht wurde...
HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)
- Menü: Extras/open disk/physical disk/
hard disk 1 (Häkchen bei "open as readonly" NICHT entfernen)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in "untitled1"
in das kleine punktierte Rechteck rechts unter der Überschriftszeile 'Offset(h) ... 0E 0F" klicken
- auf Reiter "
hard disk 1" klicken
========= Suche EBR Images
- Eingabe von einem der folgenden Werte in der Menüzeile im Sektorfeld (zur Tippfehlervermeidung mit Copy&Paste)
1329616979
1119906835
972453459
632488435
Anschließend die Eingabetaste betätigen ! (erst damit wird an den Sektor positioniert)
- Menü: Search/Find
Search for: (Die nächste Zeile mit Copy&Paste hineinübertragen)
000000000000000000000000000000000000000000000000000000000000000055AA
Datatype: Hex-values
Search direction: Backward
OK
Der erste Fund (am Sektorbeginn "...NTFS") vom Ende der davorliegenden Partition erfolgt in Sekundenbruchteilen; danach mit F3 weitersuchen.
Wird in den nächsten 1-2 Minuten nichts gefunden, Suche abbrechen und oben mit nächster Sektornummer fortsetzen
ansonsten
markiere bei jedem Fund, der so wie in Post#47 aussieht,
den gesamten Sektorinhalt mit der Maus; dann
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- auf Reiter "
hard disk 1" klicken
- mit Taste F3 weitersuchen, wird nach 1-2 Minuten nichts gefunden, abbrechen und oben die nächste Sektornummer probieren
sind alle Sektornummern durch, dann
- Reiter "untitled1" anklicken (aber nicht im Anzeigefenster herumklicken!)
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "
ScanEBR.txt" /speichern
- HxD beenden
Ich hoffe, dass da wenigstens irgendwo ein EBR auftaucht.
ScanEBR.txt zippen und in den Anhang
