Partitionen verloren, Datenrettung per Testdisk

[inimicus]

Hrmpf!
Jetzt kommt "Target partition too small".

 

[Ernst@at]

Ach Du liebe Scheisse, kennt denn keiner der Programmierer den Unterschied zwischen grösser/grösser oder gleich in einer Abfrage?
Die Partitions waren gleich groß, jetzt ist genausoviel Platz wie die F allocated hatte.
Na gut, dann machen wir das Zeug eben kleiner: Entpacke die Datei aus dem Anhang

Spoiler: 5. Restore MBR intern mit verkleinerten Partitions

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)
========= Überprüfen fileseizechange-popup
Menü: Extras/Options... /General: Hier muss bei "confirm insertion/deletion of bytes" das Häkchen gesetzt sein.
- Menü: Extras/open disk/physical disk/hard disk 3 (Häkchen bei "open as readonly" diesmal schon entfernen)

Im Sektor 0 muss in der Zeile mit Offset 1B0(hex) folgendes (rot markiert) zu finden sein:

000000001B0 65 6D 00 00 00 63 7B 9A 49 4E 54 20 00 00 80 20 em...c{šINT ..€

falls nicht, abbrechen - falsche Platte!

========= Restore MBR interne
- Menü: File/Open... die entpackte Datei IntMBRnew2.bin aus dem Anhang
- Strg+A Markiert alles
- Strg+C (Kopiert in die Zwischenablage)
- Menü: File/Close
- Menü: Edit/select block/start-offset: 0 ; end-offset: 1FF , hex, OK

- Strg+V (Überträgt aus der Zwischenablage) Wenn Fenster Längenänderung aufpoppt, Abbrechen!
- Menü: File/Save (schreibt es auf die Platte zurück)
- Menü: File/Close
-HxD beenden

Danach in der Datenträgerverwaltung Menü: Aktion/Datenträger neu einlesen

Dann probier das Klonen nochmals F: auf den freien Bereich auf der Externen,

 

[inimicus]

Welche Datei? Kein Anhang vorhanden.

 

[Ernst@at]

aber jetzt

 

[inimicus]

Das ist zum verzweifeln! Er zeigt zwar die unterschiedlichen Größen an, aber es funktioniert trotzdem nicht ("Target partition too small")

 

[Ernst@at]

Jetzt habe ich erst mal die Schnauze voll von diesen Tools.
Ich werde das mal am Abend austesten, was die da für einen Scheiß treiben.

Am einfachsten, wir Klonen die gesamte physische Platte auf die Externe als Backup und ich mach dann die Wiederherstellung auf die Eingangs erwähnte andere Methode. Das müsste mit EASEUS (Drive Copy statt Partition Copy wählen) einfach zu bewerkstelligen sein.

 

[inimicus]

Das heißt ich werde einmal alle Partitionen auf der externen Platte löschen, und danach per Drive Copy die wiederherzustellende Platte auf die externe klonen?

 

[Ernst@at]

Ja.
Im Schlaf ist mir noch eine Idee gekommen - die beiden anderen Partitions wurden ja anstandslos von DriveimageXML kopiert, obwohl sie exakt gleiche Anzahl Sektoren groß sind. Der Unterschied bei den beiden zu vertauschenden Teilen der letzten Partition liegt darin, dass dort am Beginn kein vernünftiger NTFS-Header steht, der offenbar trotz sektorweiser Kopie geprüft wird. Auf dem kleinen Teil steht gar nichts, auf dem größeren Teil die nicht zutreffende Gesamtgröße beider Teile.

Da könnte man noch etwas nachhelfen, wenn Du noch etwas Lust am Basteln hast.
Gesichert sind diese Sektoren ja schon, ich müsste nur zwei formal richtige basteln, die Du da draufschreiben musst für einen letzten Versuch.

 

[inimicus]

Wenn du noch Zeit und Lust hast, dann bin ich dafür

 

[Ernst@at]

Nu denn, lass es uns versuchen:

- als Erstes müssen die Partitionierungsinformationen, durch unsere Experimente verändert, wieder richtiggestellt werden. Dazu den Step5 aus Post#24 wiederholen, jetzt steht allerdings für die Überprüfung der richtigen Platte als Kennung auf 1B0 was anderes drinnen:
für die interne
000000001B0 65 6D 00 00 00 63 7B 9A xx xx xx 20 00 00 80 20 em...c{šINT2..€
und für die externe
000000001B0 65 6D 00 00 00 63 7B 9A xx xx xx 20 00 00 80 20 em...c{šEXT ..€

Anschließend in der Datenträgerverwaltung
Menü: Aktion/Datenträger neu einlesen
und dann entfernst Du auf beiden Platten die Lw-Buchstaben der beiden hinteren Partitions (also F:,I:,R: und Q: )

Dann entpacke das aus dem Anhang hier

Spoiler: 6. Restore P3 Hdr

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)
========= Überprüfen fileseizechange-popup
Menü: Extras/Options... /General: Hier muss bei "confirm insertion/deletion of bytes" das Häkchen gesetzt sein.
- Menü: Extras/open disk/physical disk/hard disk 3 (Häkchen bei "open as readonly" diesmal schon entfernen)

Im Sektor 0 muss in der Zeile mit Offset 1B0(hex) folgendes (rot markiert) zu finden sein:

000000001B0 65 6D 00 00 00 63 7B 9A FC 57 93 20 00 00 80 20 em...c{šINT3..€

falls nicht, abbrechen - falsche Platte!

========= Restore P3 Hdr - Fettgedrucktes zur Tippfehlervermeidung mit copy&paste übertragen!
- Menü: File/Open... die entpackte Datei HdrP3exttest3.bin aus dem Anhang
- Strg+A Markiert alles
- Strg+C (Kopiert in die Zwischenablage)
- Menü: File/Close
- in das Sektoreingabefeld 1024002048 übertragen und Enter
da waren mal Nullen, wurden aber durch den früheren HdrP3exttest.bin ersetzt.

- Menü: Edit/select block/start-offset: 7A12100000 ; end-offset: 7A121001FF , hex, OK
- Strg+V (Überträgt aus der Zwischenablage) Wenn Fenster Längenänderung aufpoppt, Abbrechen!

========= Restore P3 Hdr Mirror
- in das Sektoreingabefeld 1228799999 übertragen und Enter
Am Beginn des angezeigten Sektors muss zu finden sein(rot markiert)
EB 52 90 4E 54 46 53 20 20 20 20 00 02 08 00 00 ëR.NTFS .......
00 00 00 00 00 F8 00 00 3F 00 FF 00 00 08 3E 49 .....ø..?.ÿ...>I..
00 00 00 00 80 00 80 00 FF 67 D7 AB 00 00 00 00 ....€.€.ÿg׫......
00 00 0C 00 00 00 00 00 02 00 00 00 00 00 00 00 .................
falls nicht, abbrechen

- Menü: Edit/select block/start-offset: 927BFFFE00 ; end-offset: 927BFFFFFF , hex, OK
- Strg+V (Überträgt aus der Zwischenablage) Wenn Fenster Längenänderung aufpoppt, Abbrechen!

- Menü: File/Save (schreibt Änderungen auf die Platte zurück)
- HxD beenden

Anschließend probier noch mal mit DriveImageXML; diesmal gibt es keine Laufwerksbuchstaben, daher
von DISK2#3 auf DISK0#4
Wenn er das jetzt schafft, dann poste ich noch die Änderungen für den anderen Teil der Partition3

 

[inimicus]

Sorry, aber kein Anhang (HdrP3exttest.bin) vorhanden

 

[Ernst@at]

Jetzt isser da. Und ich glaub, ich hab auch rausgekriegt, warum die verschwinden

 

[inimicus]

Will nur sicher gehen:
Für die Harddisk 3 (die interne HDD) die HdrP3exttest.bin (und nicht die HdrP3test.bin)?

Die ersten 4 Blöcke des Sektors 1228802047 sehen anders aus (grün =identisch, rot = unterschiedlich):
0927C0FFE00 EB 52 90 4E 54 46 53 20 20 20 20 00 02 08 00 00 ëR.NTFS .....
0927C0FFE10 00 00 00 00 00 F8 00 00 3F 00 FF 00 00 08 D4 30 .....ø..?.ÿ...Ô0
0927C0FFE20 00 00 00 00 80 00 80 00 FF FF 69 18 00 00 00 00 ....€.€.ÿÿi.....
0927C0FFE30 00 00 0C 00 00 00 00 00 02 00 00 00 00 00 00 00 ................

 

[Ernst@at]

Das ext heißt hier extension...

muss ich mal checken...

Seht interessant. Das ist das alte Ende der "Programs" Partition.
Hier sollte jetzt eigentlich das neue Ende der 3. Partition stehen.
Dann stimmt was mit der Erweiterung nicht, da muss Platz zwischen den Partitions freigelassen worden sein.

Mach mal: auf Hard disk 3, der internen:

- in das Sektoreingabefeld 1228802047 übertragen und Enter
- Menü/Search/Find/ search for: EB 52 90 4E 54 46 53 20 20 20 20 Datatyp: Hex-string, Backward, OK
Der erste Fund wird in diesem Sektor sein, mit F3 wiederholen
Er müsste unterhalb des Sektors 1228802047 recht schnell fündig werden, ich vermute, um 2048 weniger.
Dort sollte dann der von mir erwartete Inhalt stehen...

 

[inimicus]

Ja, er findet diese HEX-Values im Sektor 1228799999.
Die Blöcke stimmen auch überein:
0927BFFFE00 EB 52 90 4E 54 46 53 20 20 20 20 00 02 08 00 00 ëR.NTFS .....
0927BFFFE10 00 00 00 00 00 F8 00 00 3F 00 FF 00 00 08 3E 49 .....ø..?.ÿ...>I
0927BFFFE20 00 00 00 00 80 00 80 00 FF 67 D7 AB 00 00 00 00 ....€.€.ÿg׫....
0927BFFFE30 00 00 0C 00 00 00 00 00 02 00 00 00 00 00 00 00 ................

Was soll ich nun tun?

 

[Ernst@at]

Nun, dann treibt die Windows Datenträgerverwaltung da auch Scheiße(wenn Du die Erweiterung damit gemacht hast) und verletzt ein paar wichtige Spielregeln. Ist mir bei meinen früheren Tests nie aufgefallen, da wurde der freie Bereich komplett verwendet. Allerdings war das dyn. GPT
Jetzt ist ein 1MB Gap am Ende, vielleicht auch am Anfang des erweiterten Teils.
Ich muss neue Dateien für die Partitionierung und die Header erstellen.
Dauert etwas, so gegen 14:30 ...

Im Anhang befinden sich zwei neue MBRs im MBRnew3.zip . Dazu den Step5 aus Post#24 wiederholen, jetzt steht allerdings für die Überprüfung der richtigen Platte als Kennung auf 1B0 was anderes drinnen:
für die interne
000000001B0 65 6D 00 00 00 63 7B 9A xx xx xx 20 00 00 80 20 em...c{šINT ..€
und für die externe
000000001B0 65 6D 00 00 00 63 7B 9A xx xx xx 20 00 00 80 20 em...c{šEXT ..€
Jetzt verwendest Du aber die Dateien ExtMBR3.bin und IntMBR3.bin als Inhalt, der draufgeschrieben wird.

Anschließend in der Datenträgerverwaltung
Menü: Aktion/Datenträger neu einlesen
Er wird bei den beiden letzten Partitions wieder Laufwerksbuchstaben zuweisen, diese wieder entfernen.

Dann entpacke das P3Test3.zip aus dem Anhang, und führe den Step 6 durch (ich habe die Daten dort abgeändert)

 

[inimicus]

Anschließend probier noch mal mit DriveImageXML; diesmal gibt es keine Laufwerksbuchstaben, daher
von DISK2#3 auf DISK0#4

Dieser Punkt im Step 6 klappt nicht:
DriveImageXML zeigt mir nur Partitionen mit Laufwerksbuchstaben an, DISK2#3 und DISK0#4 werden nicht angezeigt.

 

[Ernst@at]

Nun, dann vergib denen eben wieder Buchstaben

 

[inimicus]

Kommt wieder die selbe Fehlermeldung wie im Post 27:
Target partition must be at least the size of the original source drive