NTFS Partition auf Linux verschoben ->Einige Ordner weg

[thedudey]

NTFS Partition auf Linux verschoben -> Abbruch -> Einige Ordner weg

Hallo,

mir ist ein Malheur passiert: Habe die Windows-NTFS-Datenpartition im Nautilus Explorer von Ubuntu auf dessen Desktop verschoben, obwohl ich eigentlich nur ne Verknüpfung anlegen wollte. Nach 2 Sek. abgebrochen, aber dann waren schon einige Ordner der NTFS Partition verschwunden ->gerade die wichtigen. Die Oberverzeichnisse der Windows-Partition sind noch da, aber darunter ist einiges weg :
Im Verzeichnis-Baum 3 Beiträge weiter unten sieht man dass vorher "Kerstins Ordner" ca. 5 Unterordner hatte, NACHHER nur noch einen. Der "FH" Ordner wiederum war vorher da, ist nun ganz weg.
Unter Ubuntu IST NICHTS ausser ein leerer Ordner.

Vermutung: Die Master File Table ist verändert /beschädigt, weil die Verknüpfung zu einigen Ordner jetzt fehlen. in 2 Sek verschieben kann Ubuntu ja nicht ganze Ordner verschoben haben.

Habe dann testdisk ausgeführt. Es findet die Dateien nicht, zeigt mir aber bei "Repair MFT" an, dass die beiden MFTs ok sind aber verschieden. Wie kann ich das MFT Backup aufspielen, wenn da evtl noch das Original ist?

Dann habe ich chkdsk \f \r ausgeführt. Ich weiss, das Tool ist gefährlich. Es hat dann einiges repariert, aber meine Ordner nicht gefunden.

Dann habe ich GetDataBack und Runtime Disk Explorer installiert.
GetDataBack findet auch nur gelöschte Dateien -> unwichtig.
Wenn ich den betroffenen Ordner dann mit Runtime Explorer durchsuche,
zeigt er mir lauter "invalid boot sectors" an.
Das Tool ist mir eh zu kompliziert, da es ja die Rohdaten in den Sektoren und Clustern anzeigt. Ich finde dann zwar Ausschnitte aus den wichtigen Textdateien, die ich verloren habe, aber halt nur in Bytedarstellung in den Sektoren.
Wie kann ich dort die einzelnen Word oder JPG Dateien extrahieren und neu speichern?

Habt ihr ne andere Idee?
Warum finde ich die Unterverzeichnisse nicht mehr, die müssten doch noch korrekt abgespeichert sein, wenn ich nur 2 Sek lang den Partitionsordner verschoben habe?

Verzweifelter Gruß,

Markus

 

[Mueli]

Wenn Du etwas verschoben hast, sollte zumindest der Teil unter Linux zu finden sein, ich geh mal davon aus, dass die Daten dann im $home des angemeldeten Users zu finden sind. Der Rest sollte noch unter dem Windows-Laufwerk zu finden sein. Da M$ seine NTFS nicht offen gelegt hat und die Treiber dafür per Reverse-Engineering entwickelt wurden, könnte das Windows Drive schon beschädigt worden sein, allerdings halte ich es eher für unwahrscheinlich, also solltest Du auf dem Laufwerk schon alles wiederfinden.

Da Testdisk primär ein Tool ist um verloren gegangene Partitionen zu finden und Bootsektoren zu restaurieren ist, wirst Du wahrscheinlich nichts mit diesem Tool werden. Evtl. zeigt Dir Testdisk gelöschte Dateien (was ja verschobene im Prinzip sind) rot an, dazu musst Du aber die gefundenen Partitionen mit den Cursor-Tasten auswählen und per Taste p (list files) den Inhalt listen, dann kannst Du Dich mit den Cursor-Tasten und Return im Dateisystem bewegen. Testdisk unterstützt hiebei auch viele Linux-Filesysteme.

Sollten tatsächlich Bootsektoren def. sein, was ich nicht wirklich glaube, könntest Du sie mit Testdisk möglicherweise über das Menü Advanced (Boot) wieder herstellen. Es wird Dir zuvor angezeigt ob der BS und sein Backup o.k. sind.

Ich sehe DEin Heil eher in Datenrettungssoftware und hier in Restorer2000, die Demo kann bereits kleine Dateien bis etwa128kB wieder herstellen. Du mußt die Disk dabei scannen und nicht einzelne Partitionen.

 

[thedudey]

Wenn Du etwas verschoben hast, sollte zumindest der Teil unter Linux zu finden sein,

wie gesagt, hab doch nur 2 sek. verschoben, dann abgebrochen. Da war also nur der Partittions-Ordner ohne Inhalt auf dem Ubuntu Desktop.

Und mit Testdisk habe ich wie erwähnt auch nichts gefunden. Der Boot-Sektor ist auch in Ordnung.

Ich sehe DEin Heil eher in Datenrettungssoftware und hier in Restorer2000, die Demo kann bereits kleine Dateien bis etwa128kB wieder herstellen. Du mußt die Disk dabei scannen und nicht einzelne Partitionen.

Habe wie erwähnt GetDataBack laufen lassen was ja auch ein gutes Tool sein soll. Der findet nichts. Die Freeware File Recovery findet viele unbrauchbare Einzelteile, darunter nicht lesbare Word Dokumente.

 

[Mueli]

Was fehlt denn definitiv von den verschobenen Daten?

Wenn etwas verschoben werden soll, wird erst kopiert und dann der Platz auf der Quelle wieder freigegeben (in der MFT oder FAT). Mir ist jetzt wirklich nicht ganz klar was nun verschwunden sein soll.

Führe mal eine Diagnose mit Testdisk wie folgt aus und poste die Bilder.

Nach dem Start von Testdisk beantwortest Du die Frage nach einer Logdatei mit Y. Den Partitionstyp solltest Du mit Intel beantworten. Dann wird Analyse aus dem dann erscheinenden Menü gewählt. Mit Quick Search wird dann der Vorgang fortgeführt (bei Vista mit Y antworten, wenn die Partitionierung unter diesem OS gemacht wurde).

Wichtig:
Wenn jetzt Partitionen gefunden wurden, kannst Du sie jeweils mit den Pfeiltasten anwählen und mit P deren Inhalt sichtbar machen. Mit Q geht es zurück ins Menü. Sollten keine Partitionen in der ersten Suche gefunden worden sein, wird mit Enter weiter gemacht, hier ist dann im Menü [ Quit ] [ Deeper Search ] [ Write ], die tiefere Suche mit Deeper SEARCH auszuwählen (dieser Vorgang kann dann schon eine Weile dauern).

Wenn jetzt Partitionen (sie sollten jetzt u.U. grün dargestellt werden) gefunden werden, solltest Du sie wieder mit den Cursor Tasten auswählen und mittels P deren Inhalt kontrollieren, also ob alle Daten sichtbar werden. Mit den Cursor-Tasten kann gescrolled werden. Aus dem Menü, beim listen des Inhalts kann man mit c Files und ganze Partitionen kopieren.

Nach jedem elementaren Schritt (also nach der ersten Analyse, nach dem Quick Search mit der Abfrage ob die Disk unter Vista eingerichtet wurde oder nicht und nach dem deeper SEARCH) solltest Du einen Screendump (oder Photo) machen und hoch laden, alternativ kann auch die Logdatei gepostet werden.

Der Weg einer Diagnose ist hier recht anschaulich beschrieben.

 

[thedudey]

Was fehlt denn definitiv von den verschobenen Daten?
Führe mal eine Diagnose mit Testdisk wie folgt aus und poste die Bilder.

sorry, aber mir kommts so vor, als hast du meine Beschreibung gar net durchgelesen.
habs doch genau erläutert. und testdisk hab ich genauso wie von euch beschrieben gemacht.

Gut, im folgenden Baum sieht man dass vorher "Kerstins Ordner" ca. 5 Unterordner hatte, NACHHER nur noch einen. Der "FH" Ordner wiederum war vorher da, ist nun ganz weg.
Unter Ubuntu IST NICHTS ausser ein leerer Ordner.

Also die Part. vorher:
E:
->Kerstins Ordner
---->Bilder
---->Musik
---->Uni
---->Volvo

->FH
---->usw.

->sonstiges
---->usw.

->Spiele
---->usw.
->usw.

Die Part.nachher::::::

E:
->Kerstins Ordner
---->Uni

->sonstiges
---->usw.

->Spiele
---->usw.
->usw.

Alles klar jetzt?

 

[Mueli]

Hehe, ich habe Deinen Text schon gelesen, aber Du hast meinen wohl nicht gelesen, denn anders kann ich mir das fehlen der Screendumps nicht erklären

Wenn Daten verschoben werden, wird auf dem Ziel erst ein Verzeichnis erstellt, dann die Daten hineinkopiert und letztendlich auf dem Quell-Laufwerk gelöscht, erst wenn alle Files kopiert wurden, wird auch das Verzeichnis auf der Quelle gelöscht. Wenn Du jetzt schreibst, Du hast es rel. schnell abgebrochen, sollten auf dem Ziel schon die Verzeichnisse erscheinen, aber die Dateien noch auf der Quelle liegen. Wenn dem nicht so ist, kann eigentlich nur das Filesystem auf dem Quell-Laufwerk geshreddert sein und hier hilft eigentlich nur Datenrettungssoftware. Datenrettungstools müssen etwas finden, denn die Daten werden nicht gelöscht sondern nur als gelöscht markiert, selbst wenn Du die Disk formatieren würdest, wären die Daten noch da. Evtl. hast Du beim scannen etwas falsch gemacht, es muss z.B. die Disk gescanned werden und nicht die Partition(en).

 

[thedudey]

erst wenn alle Files kopiert wurden, wird auch das Verzeichnis auf der Quelle gelöscht.

hast du auch die Erfahrung ob Ubuntu da nicht anders verfährt? ICH SCHON

Datenrettungstools müssen etwas finden, denn die Daten werden nicht gelöscht sondern nur als gelöscht markiert, selbst wenn Du die Disk formatieren würdest, wären die Daten noch da.

Ja hab aber schon 3 verschiedene Tools ausprobiert. Siehe meinen 1. Beitrag.
Habe auch schon Partition gescannt, dann ganze FP usw. testdisk und getDataBack findet GAR NICHTS von den verlorenen Ordnern. Diese beiden hochwertigen Tools sollten reichen oder?
Gibts keine Möglichkeit den MFT Backup aufzuspielen wenn der vom kaputten MFT verschieden ist laut Testdisk?

 

[Mueli]

Mir ist kein Weg bekannt den MFTMirror auf die MFT zu kopieren, dafür ist eigentlich chkdsk gedacht die MFT zu reparieren. Mit der Option /v kann man erst einmal prüfen, ob Fehler gefunden werden. Ich würde allerdings erst mal ein Image der Windows Partition machen um ein Backup zu haben. Wenn die Daten wirklich weg wären, müsste Linux den Platz der Files auf der Disk mit Pattern überschreiben, dies würde eine Verschiebeoperation ja unheimlich langsam machen. Dies könnte man, zwar etwas aufwendig aber dennoch möglich, mit einem Diskmonitor wie Winhex o.ä. testen (typischerweise würde wohl Hex 00, AA o.ä. zu finden sein).

 

[thedudey]

Hier ist der screenshot von Restorer2000. Das einzige was die verlorenen Daten sein könnte ist auf der rechten Seite zu sehen. Die Dateien haben aber keine Namen und Typen mehr, und es öffnet sich nur der Hex-Editor, der nicht lesbare Sachen ausgibt.
Auf allen anderen Partitionen und sonst nichts zu finden von meinen verlorenen Ordnern.
ALso kann ichs nun vergessen oder?
File Recovery findet immerhin noch ein paar verlorene Bilder und Word Dokumente an dieser Stelle. Zwar ohne Namen, aber die Bilder sind ok.

 

[Fiona]

Teile mal mit, ob du nur einen schnellen Dateisystemscan gemacht hast oder einen Sektorscan über die gesamte Festplatte mit em runden Icon.
Sektorscan ist viel genauer und bringt bei weitem bessere Ergebnisse.
Hattest du die Partition markiert und danndas runde Icon benutzt?
Dir wird dann Start und Size angezeigt.
Dabei solltest du die gesamte Partition scannen.

Teile es mal mit.

Viele Grüße

Fiona

//Danke fürs pushen, wede Post aber jetzt mal entfernen, da nicht mehr benötigt!

 

[thedudey]

es war der Scan mit dem runden Icon über die gesamte FP. Wo ist denn der andere Scan? Find ich gar nicht. Der Kollege Mueli meinte, ein Scan über die gesamte FP ist genauer als über die Partition. Doch nicht oder wie?
Hab jetzt beides gemacht, und er findet jedesmal nur diese Daten mit "?". Sind die noch zu retten oder nicht?
Würde jetzt nochmal gerne die Meinung vom Kollegen Mueli hören!

 

[Fiona]

Lade dir mal Scavenger in der Testversion und scanne deine Festplatte damit.
Link dazu auch hier;
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1793553
Hat sehr gute Ergebnisse bei NTFS im Gegensatz oft zu anderer Datenrettungssoftware.
Versuche mal den langen Scan.

Viele Grüße

Fiona

 

[thedudey]

HEy danke, der Scavenger hat tatsächlich noch einiges mehr gefunden, und auch mit richtiger Dateigröße und so! Ich denk dass die 2 wichtigen Dokumente jetzt wieder da sind!!
Gottseidank!!! Greez!

 

[Fiona]

Freut mich, das es soweit geklappt hat.

Viele Grüße

Fiona