Partitionen nach falschem Jumpern weg

[Florenz]

Hallo zusammen,


ich habe eine 160 GB HD auf der sich zwei Partitionen befanden (NTFS) : 100 / 60 GB
Nach einem Umbau am PC habe ich diese Festplatte falsch gejumpert, d.h. sie war auf 32 GB begrenzt.
Nach dem Booten wurde mir die HD nicht mehr im Explorer (Windows XP) angezeigt.
In der Datenträgerveraltung tauchte die HD als unformatiert auf.
Nach dem ich auf den Fehler mit den falschen Jumpern wieder rückgängig gemacht hatte, waren die ursprünglichen Partitionen nicht mehr vorhanden.

TestDisk findet nur mit der genauen Analyse Methode eine HPFS - NTFS Partition mit 5371 MB.
Dateien können nicht angezeigt werden.

Hat jemand eine Idee ?

 

[Mueli]

Ohne Bilder kann man das immer schlecht beurteilen, mache mal eine Diagnose nach folgendem Schema:
Lade Dir dazu Testdisk 6.10.

Nach dem Start von Testdisk beantwortest Du die Frage nach einer Logdatei mit Y. Den Partitionstyp solltest Du mit Intel beantworten. Dann wird Analyse aus dem dann erscheinenden Menü gewählt. Mit Quick Search wird dann der Vorgang fortgeführt (bei Vista mit Y antworten, wenn die Partitionierung unter diesem OS gemacht wurde).

Wichtig:
Wenn jetzt Partitionen gefunden wurden, kannst Du sie jeweils mit den Pfeiltasten anwählen und mit P deren Inhalt sichtbar machen. Mit Q geht es zurück ins Menü. Sollten keine Partitionen in der ersten Suche gefunden worden sein, wird mit Enter weiter gemacht, hier ist dann im Menü [ Quit ] [ Deeper Search ] [ Write ], die tiefere Suche mit Deeper SEARCH auszuwählen (dieser Vorgang kann dann schon eine Weile dauern).

Wenn jetzt Partitionen (sie sollten jetzt u.U. grün dargestellt werden) gefunden werden, solltest Du sie wieder mit den Cursor Tasten auswählen und mittels P deren Inhalt kontrollieren, also ob alle Daten sichtbar werden. Mit den Cursor-Tasten kann gescrolled werden. Aus dem Menü, beim listen des Inhalts kann man mit c Files und ganze Partitionen kopieren.

Nach jedem elementaren Schritt (also nach der ersten Analyse, nach dem Quick Search mit der Abfrage ob die Disk unter Vista eingerichtet wurde oder nicht und nach dem deeper SEARCH) solltest Du einen Screendump (oder Photo) machen und hoch laden, alternativ kann auch die Logdatei gepostet werden.

Bilder und andere Dateien kannst Du unter Anhänge verwalten (unter dem Edit Feld) hochladen.

Der Weg einer Diagnose ist hier recht anschaulich beschrieben.

 

[Florenz]

Danke, aber einen Teil deiner Antwort habe ich ja in meinem ersten Posting ja schon beantwortet ;o)

Mittlerweile habe ich zwei Datenrettungsprogramme über die HD laufen lassen.
Zwei Partitionen wurden gefunden (5 GB + 100 GB).
Die dabei gefundenen Daten kann ich größtenteils nicht gebrauchen. Viele Windows System Dateien...

Bei zwei Dateien wurde ich etwas Aufmerksamer. Auf beiden Partitionen konnte eine Datei $MFT gefunden und kopiert werden. Kann man damit etwas anfangen ?

Gruß

Flo

 

[Mueli]

Die MFT sowie die MFTmirr sind die zentralen Dateien, in denen die Links zu den eigentlichen Dateien vorgehalten werden. Bei kleinen Dateien (bis etwa 1.5kB) befinden sich auch die eigentlichen Daten in der MFT. Es gibt aber auch noch weitere Dateien, mit denen erst die tatsächlichen und bes. aktuellen Daten wieder hergestellt werden könnten (z.B. das Journal). Mit anderen Worten, die MFT allein bringt Dich nicht wirklich weiter.

 

[Florenz]

Ergebnisse mit Testdisk 6.10:

1. Analyse : "Partition sector doesn´t have the endmark 0XAA55."
2. Quicksearch findet keine Partition
3. Deeper Search : Findet eine Partition, NTFS, 5 GB.
4. Versuch über [write] die Partition einzutragen schlug fehl.

Hat jemand eine Idee, was da los sein könnte ?

 

[Mueli]

Ohne PICs oder Log ist es immer schwer zu beurteilen, ist evtl. die Geometry eine falsche?

 

[Florenz]

Ok, danke. Anbei das testdisk logfile und ein screenshot.

 

[Mueli]

Weder das Testdisk-Log noch das PIC geben sonderlich viel her, dass man mit Testdisk etwas erreichen kann. Wenn jetzt ausgeschlossen ist, dass der Jumper immer noch falsch steckt, wirst Du wohl nur etwa mit Datenrettungstools erreichen können.

Einen Versuch könntest Du aber nochmal mit Testdisk durchführen und war an Stelle von Analyse auf Advanced und dort dann auf Boot gehen, hier können die Bootsektoren der Partitionen überprüft werden. Teile mal mit ob überhaupt Bootsektoren gefunden werden.

 

[Florenz]

Hab ich gemacht.
Testdisk -> "No partition available"

 

[Florenz]

Mittlerweile ist es mit gelungen mit einem Tool (Partition Tabel Doctor) die extended Partition (100GB) wiederherzustellen.
Das Tool kann auch die Dateien aus dem root bereich des Verzeichnisses anzeigen. Leider kann dieses Tool keine Dateien retten.

Trage ich unter Testdisk die vom Tool erkannten Partitionen manuel ein, so kann ich auch hier mit 'p' Dateien aus der extended Partition anzeigen.
Leider werden zwei Dateien (sehr groß, >5GB) dort nicht angezeigt, die mit dem anderen Tool gefunden wurden.
Grade die beiden Dateien sind mit aber sehr wichtig.

Woran kann es liegen, dass grade diese Dateien von Testdisk nicht erkannt werden ?

 

[Mueli]

FAT hat eine Beschränkung bei Dateien größer als 4GB bei NTFS liegt die grenze im TB-Bereich, könnte es also sein, dass das Filesystem nun als FAT erkannt wird?

 

[Florenz]

Wird in der Liste als NTFS angezeigt....

 

[Mueli]

Jetzt werden aber bereits zwei Partitionen gefunden?! Die zweite Partition fängt aber bei etwa 5GB an und endet bei etwa 110GB, der Rest ist unbelegt. Kann es sein, dass die 100/60GB Partitionierung eher eine 110/50GB Einteilung war? Wenn die letzte Partition nicht gefunden wird, könntest Du den Rest in eine neue Partition packen (manuell eingeben mittels A).

 

[Florenz]

Ok, da habe ich mich wohl nicht richtig ausgedrückt.

Die beiden Partitionen wurden so von der Software 'Partition Table Doctor' gefunden.
Diese konnte mir auch das root Verzeichnis der 2. Partition anzeigen.

Die Daten der gefundenen Partitionen habe ich unter TestDisk mit 'a' selber eingefügt.
Ergebnis, wie beschrieben: Über 'p' wurden mir ein kl. Teil der Dateien der 2. Partition angezeigt.

 

[Mueli]

Kannst Du Dich denn nicht erinnern, wie die Disk eingerichtet wurde. Die Screens lassen ja drei Partitionen vermuten?

 

[Florenz]

Die erste Partition hatte 5 GB - das stimmt soweit.
Die zweite mit 100 GB kommt auch hin.
Das der Rest unpartitioniert war, kann schon sein.

Die Daten sind definitiv noch auf der Festplatte. Habe mal mit einem Disk Explorer nach der großen Datei (95GB) im Hex Modus gesucht und den Anfang gefunden.

Partition Tabel Doctor kann die Bootsektoren nicht reparieren, findet aber die Einträge aus dem root Verzeichnis der 2. Partition.
Div. Datenrettungstools finden nur teilweise brauchbare Dateien.
Das ist alles sehr seltsam, oder ?

 

[Mueli]

Ja, den Istzustand kenne ich jetzt nicht wirklich.

Sind die Partitionen, die Du mit A eingetragen, auch geschrieben worden (Write)? Wie läuft die Analyse jetzt ab, bzw. wie sehen die Screens direkt nach Analyse, nach Quick Search und nach Deeper Search aktuell aus? Wie wird die Disk in der Datenträgerverwaltung angezeigt?

Im Testdisk Logfile kann man sehen, dass versucht wird auf Cylinder zuzugreifen, die nicht existieren, dies könnte bedeuten, dass der wert für die Max Address nicht stimmt. Überprüfen und berichtigen kann man es mit Hdat2, ist aber schon eine fortgeschrittene Funktion (ist hier im Forum schon beschrieben worden).

Hättest Du eigentlich den Platz, ein Image der suspekten Disk auf einer anderen Disk abzulegen, wenn bisher nur etwa 100GB belegt sind, würde das Image mit Kompression etwa 50GB benötigen, wenn von dem bisher partitionierten Bereich nur ein Teil für Daten verwendet wird, würde sich das Image weiter verkleinern.

 

[Florenz]

Istzustand ist folgender:

Die Analyse unter Testdisk findet keine Partition.
Wenn ich unter Testdisk die Partitionen manuell eintrage und mit [write] schreiben, werden diese nach einem Neustart des PC nicht erkannt.

Partition Table Doctor erkennt die 2 Partitionen, aber meldet mir bei dem Versuch, Fehler im Bootsektor zu beheben, einen unbekannten Fehler.

Danke, für den Tipp. Ich werde mal mit Hdat2 der Festplatte auf die Scheiben rücken...

Was hätte ich von einer Imagedatei ?
Auf die Dateien in dem Image könnte ich so doch auch nicht zugreifen, oder wozu ein Image?

 

[Mueli]

Dann könnte man mit der Disk gefahrlos 'experimentieren'. Wenn ein Image 1:1 also ohne Komprimierung erstellt wird, kann man damit schon arbeiten, z.B. unter Linux mounten und in Testdisk an Stelle einer physikalischen Disk damit arbeiten (in beiden Fällen müsste es aber ein Image der Partition(en) sein).

Ich kann es irgendwie nicht glauben, dass nach dem eintragen von Partitionen hinterher keine gefunden werden.
Man könnte ja beliebige Partitionen in die Tabelle eintragen, wenn sie zu den Strukturen auf der Disk (MFT etc.) nicht passen, sollten die Partitionen an sich zu sehen sein, nur die Daten wären natürlich unbrauchbar, weil der Zeiger (im Bootsektor) zur MFT nicht passt und dadurch keine Files gefunden werden (p sollte dann nicht das Filesystem einsehen können).

Kommt denn eine Fehlermeldung wenn die Partitionen geschrieben werden?

 

[Florenz]

So, erste Ergebnisse von HDat2. Leider kann ich damit keine Logdatei erzeugen, da auf die HDs nur Lesezugriff besteht oder ich nicht weiß, wie das geht ;o)

Im Infobild für alle Laufwerke wird für die betroffene HD mit Ausrufezeichen angezeigt :

- Firmwareversion : corrupted.
- $Set_Max : HPA_is_active

Die suche nach MBRs ergab :

Die Einträge für beide Partitionen sind falsch. (z.B. end 652 - is 268006).
Außerdem sind die "Partition entries not on head boundary".

Gibt es eine Möglichkeit screenshots oder Logdateien mit dem Tool zu speichern ?