Recovery Help! Manuelles Wiederherstellen von Partitionen?

[killermood]

Hallo

Mein neuster Fall:

Nachdem ich bei allen Desktop und Servermaschinen redundanz habe (meistens Raid 10)
und automatisches Backup auf externen Firewirefestplatten.(Nicht alle leisten sich teure Ultrium Streamer)

Ihr könnt euch denken was passiert ist?
Der Laptop ist abgekrazt. HD-Headcrash. Für Laptop gibt es meines Wissen noch keine
Redundanz-Möglichkeiten. Obschon diese ja eigentlich den meisten "Shocks" ausgesetzt sind.

Das wäre dann die 6 IBM/Hitachi Platte welche abliegt. Ich habe noch nicht das Handtuch geworfen.


Ich versuche seit einer Woche die HD zu recovern.

Steps:
**********
1. Sofort ausgebaut. (Vermutung Head-Crash)
2. In meinen Recovery-PC eingebaut und mit Knoppix und ddrescue (Diaz-version) ein
Disk-Image gezogen.
(dauerte 2 Tage, ca. 60% rausgespielt)
3. Die Platte ist nun in den Kühlschrank gewandert. ev. können so noch ein paar Megabytes
oder Kilobytes geholt werden.

4. Analyse auf einer Kopie des DiskImage welches auf meine "Recovery-Festplatte"
gespielt wurde mit dd in Knoppix. (Weil viele Tools können nicht mit Images arbeiten)
MBR weg, Partitionen weg

5. Partitionen recovern (Ultimate Boot-CD)
-Testdisk 5.8 oder 5.9 findet 2 von 4 NTFS-Partitionen,
mit Stufe 3 dauert über 5 Stunden werden einige mehr
gefunden allerdings chaotisch. HFS, Linux und NTFS (manche nur ein paar mega gross)
Bugs in Tesdisk?
-@Active Recovery findet 2 Logical Drives
-andere Tools finden ebenfalls nur 1-2 Partitionen

6. RAW-Tools finden ein paar Daten (GetdataBack)
und jede Menge NTFS-Filesysteme (ca. 30) in Step 4.
Aber in etwa lassen sich meine 4 Partitonen erkennen.
Die Filesysteme starten bei verschiedenen Sektoren, so +/- 100 Sektoren.
Was das wohl wieder zu bedeuten hat?????????????????
Woher kommt das?

7. Erste Versuche schlagen kläglich fehl die Partitionen wiederherzustellen.
Nach einiger Kombinatorik der ca. 30 Möglichkeiten habe ich eine der 4 Partitionen
wiederhergestellt. (Powerquest Partition Editor)
Leider habe ich kein Backup von der Partitonstabelle/MBR vom Laptop. DUMM!!
(habe nicht gedacht das der Laptop auch ein böser Computer ist ;-)
Daher konnte ich nur Spekulieren die ersten 3 Partitionen waren je 10 GB und
die 4. war der rest ca. 30 GB.
..........____________________________________________________
..........| 10 GB | 10 GB | 10 GB | 30 GB..................|
Label: | System | APP | PRIVAT | CUSTOMER..........|
..........|__________|__________|_________|____________________|

Ich kenne die Labels und die Grösse jedoch nicht die CHS oder LBA-Sektoren.
Ich habe festgestellt wenn ich die richtige Kombination von Start-Sektor und Sektorsize
im Partition Editor eingebe erscheint der Label (Bart's PE und A43-File Manager)

Frage: schreiben Tools wie Powerquest Partition Editor wirklich nur in der Partitionstabelle
im MBR?
oder werden auch Daten auf die Platte geschrieben Anfang/Ende Partition?
z.B. beim mounten oder beim Starten von Windows PE oder ähnliches?
Kann irgendwie anhand der Labels/Volume-ID die richtige Kombination gefunden
werden?
Warum sind die gefundenen Filesystem nicht nahtlos aneinader?
Manche Kombinantionen überlappen, andere haben viele Freie Sektoren
dazwischen?


Weiteres Vorgehen?
*********************
Ich bin ein wenig am Ende meines Lateins.

Wie finde ich den richtigen Anfang z.B. mit einem DiskEditor (HEX) und das richtige Ende der Partitionen?
MBR ist ebenfalls tot. (denke fdisk /MBR oder fixmbr wird da aber vermutlich helfen, doch vom booten bin ich noch weit entfernt..., denke sowiso das ich die Daten rette und dann neu aufsetzte, doch dazu muss ich booten, Preferences etc. sind bei XP ja gut verstreut)


Sektor:
0___________________________32____63_______________________
| MBR .............| leer bis 32 |.........|.......|.............................|
| leer bis auf |...................| *1 | *2 | *3.........................|
| Part.tabelle |...................|.........|.......|.............................|
_______________|_____________|______|____|___________________|


*1) da steht was von "Class modeSense" "ClassSetDevice"...
"Garbage" bis Sektor 63

*2) Sektor 63 ist leer (alles 0), da müsste doch die erste Partition beginnen bei XP?
respektive da dies die BootPartition war irgendwelche Boot Infos?

*3) dann sind einige Sektoren "Garbage" einige leer und so zieht sich das dahin....

Soviel ich mich mit NTFS auskenne sollte doch da:

1.Partition boot Sector (16 Sektoren)
2. MFT (Master File Table) (wieviele Sektoren?)
3, System files (wieviele Sektoren?)
4. File Area

MFT
******

hmm wo liegt bloss die Kopie??? wie finde ich diese?
Irgendwo in den KB's habe ich mal gelesen: früher in der Mitte bei neueren NTFS am ENDE.

Wie kann ich die MFT-Mirror auf die MFT bringen?



Keine Ahnung was da schief läuft bin kein eingefleischter "HEXer" kann desshalb auch
nicht erkennen ob da was richtiges steht oder falsches.
Fact ist alle partition recovery tools
haben versagt mein manuelles kombinieren hat eine Partition gerettet....

nun denke ich wäre auf dieser Partition ein chkdsk angesagt.
doch der macht dann wieder seine numerischen Files die man stundenlange ordnen kann..
hat jemand CHK-Mate ausprobiert? oder ähnliche Tools
http://www.diydatarecovery.nl/chkmate.htm
http://www.ericphelps.com/uncheck/

Dann wären da noch 3 andere Partitionen welche ich erobern muss....
....da stellt sich doch nur die Frage: WIE?



Cheers




http://www.pcmech.com/show/harddrive/664/2

 

[Fiona]

Viel zu lesen und schwierig zu verstehen.
Image ziehen?
Hattest du eine Sektorkopie erstellt.
Image-Software erfüllt nicht immer den Anforderungen.
Clone-Software wie HD Clone oder DTI Speed Clone sollten eigentlich dazu geignet sein.
Info hier;
https://www.computerbase.de/forum/t...sche-groesse-in-testdisk.145672/#post-1431035
Diese können auch mit bad sectors umgehen.

Du meinst bestimmt mit Powerquest Partition Editor Ptedit.
Dieses zeigt nur Infos über den MBR und der Partitionstabelle an.
Bei Bootsectorprobleme (Partitionssektor) ist es nicht hilfreich.

Ofmals reicht dazu Testdisk.

Für spezielle Diskeditoren wie Winhex oder ander brauchst du genaue Kenntnisse oder Anleitungen.
Gut dokumentiert ist zum Beispiel für Bootsektorrecovery von Microsoft ist "DiskProbe".
Ich weiß aber nicht ob du es benötigst oder machen mußt.
Ist auch auf jeder WinXP-CD unter der Vollinstallation der Support-Tools.

Wie kann ich die MFT-Mirror auf die MFT bringen?

Generell solltest du von diesen Sachen wie MFT wenn du nicht firm bist die Finger lassen.
Ist sehr gefährlich und kann Datenrettung unmöglich machen.
Der Bootsektor oder Partitionssektor speichert auch Infos über die Belegung des Speicherplatzes und auch über die MFT.
Daher ist es ratsam dort nichts zu machen und kann bei einem Fehler noch mehr zerstören.

Ich würde mich freuen, wenn ich mal einfache Infos bekommen würde.

Hattest du einen Headcrash und ein physikalischen Schaden?
Werden sectoren als bad erkannt?
Konntest du eine exakte Sektorkopie erstellen.
Deine Mitteilungen über ein Image etc. sind für mich nicht aussagefähig.
Ich brauche nur Infos über eine genaue Sektorkopie und ob du die hast.
Kann Datenrettungssoftware deine defekte Festplatte nicht mehr lesen?
Können Clone-Programme darauf zugreifen und ein volles Abbild erstellen?
Hattest du mit Testdisk eine tiefere Suche entweder auf den defekten Datenträger oder auf die exakte Sektorkopie ausführen könnnen.
Dort werden Infos über Partitionssektor (Bootsektor) ausgelesen.
Anhand dieser Infos könnte man eine Partition wiederherstellen.
Auch bietet sich evtl, eine Bootsektorwiederherstellung mit wenigen Tastendrücken an.
Dadurch wird die Partition aber für das Betriebssystem sichtbar.
Bei einem Fehler im Dateisystem besteht die Möglichkeit, das Testdisk dort nicht helfen kann.
Dann solltest du die Daten über Datenrettungssoftware auslesen.
Es gibt auch Datenrettungssoftware die ein Image auf ein anderes intaktes Laufwerk erstellt und du es dort scannen kannst.
Sind speziell Optionen die du testen kannst bei Probleme mit bad sectors oder Errors im Dateisystem.

Ansonsten wären deine Möglichkeiten eher in Tendenz zu einer Datenrettungsfirma die die Elektronik notfalls auswechseln oder auch die Daten manuell und physikalisch im Labor auslesen kann.

Ich denke das reicht erstmal.

Viele Grüße

Fiona

 

[killermood]

Hallo,
Danke für deine Antwort.


>>Hattest du einen Headcrash und ein physikalischen Schaden?
>>Werden sectoren als bad erkannt?
Ich denke es war ein Headcrash und somit physikalischer Schaden,
welches Bad-Sectors verursacht.

>>Können Clone-Programme darauf zugreifen und ein volles Abbild erstellen?
>>Konntest du eine exakte Sektorkopie erstellen.

1. Sektorkopie mit ddrescue *1)
defekte Disk------(ddrescue)----->diskimage.img

2. Auf andere Platte (viele Tools arbeiten nicht auf Images/Abbild/Clones)
diskimage.img--------(dd)----------->andereHarddisk

ich mache das immer so, so kann ich auf dieser "anderenHarddisk" Tools
ausprobieren ohne das ich damit schaden anrichte. wenns klappt ok.
sonst wird einfach nochmals Schritt 2 ausgeführt.

Image ist ca. 60-80%ig intakt.
d.h. 60-80% ist gute Sektoren 20-40% ist Bad.
Die Platte war aber nur etwa 70% voll und nicht alzustark fragmentiert,
ich errechne mir darum gute Recovery chancen.

Zwischen Image und Clone-Software sehe ich keinen Unterschied???
Es scheint aber: einige Tools sind für die Kopie guter HD's andere für
Forensic Zwecke gedacht.

>>Kann Datenrettungssoftware deine defekte Festplatte nicht mehr lesen?
Ich arbeite NIE mit Datenrettungssoftware auf der defekten Platte und rate dies
auch niemandem zu tun. Obschon die meisten Tools nur lesen, defekte Platten
leben meist nicht mehr lange und bevor man ihnen den letzten Atemzug nimmt, immer
ein Image ziehen und dies auf eine andere Platte spielen.So kann man dann wüten
mit den Datenrettungstools ohne es noch schlimmer zu machen.

>>Hattest du mit Testdisk eine tiefere Suche entweder auf den defekten Datenträger oder auf die exakte Sektorkopie ausführen könnnen.
Alle PartitionRecoveryTools haben versagt.
Testdisk hat 2 von 4 Partitionen gefunden.
In "Stufe 3" (3 mal search) dauert über 5 h. findet es wie schon beschrieben
massen an Partitionen HFS, Linux, etc. manche nur 2MB gross. Ich hatte nie
solche Partitionen drauf....(vielleicht ein Bug des Tools)



Also mein Ausgangssituation ist:
***********************************
-ich habe ein "Clone" der defekten Festplatte auf einer anderen Festplatte
-diese ist nun in meinem Recovery-PC (beim meinem HD-Abgang lohnt sich diese Maschine)
-MBR und Partitionstabellen sind leer
-ich weiss dass ich 4 Partitionen hatte (3x10GB und Rest 30GB)
-ich kenne die Labels der Partitionen
-alle ParitionRecovery Tools haben versagt (Testdisk etc)
-Getdataback hat ca. 30 Filesystems gefunden
diese Beschreiben in etwa die 4 Partitionen, allerdings hat es mit 30 Versionen
so viele Möglichkeiten das ich einfach die richtige Möglichkeiten erraten muss.
durch Sektorenrechnen (512*Sektorenanzahl/1024/1024/1024=Anzahl GB)
und geeignete Kombination (Filesysteme dürfen nicht überlappen)
-so konnte ich eine Partition erraten und mit ptedit *2) eingeben.
sobald das Label erscheint oder die Partition lesbar wird ist dies erreicht
(d.h. man kann auf der Platte browsen, sont kommt "blabla nicht formatiert
jetzt formatiern?")
-es fehlen mir also noch 3 Partition welche ich finden muss

Desshalb hier nochmals ein paar Fragen
******************************************
Kennt jemand das Hex-Layout von NTFS-Partitionen, Start Tag, End Tag? *3)
Gibt es unterschiede zwischen Logical und Primary im Layout?
Zerstören Tools wie PTedit wirklich nur die Partitionstabelle im MBR oder ist die folge beim neustart oder mounten der Partition das auch andere Sektoren auf der Platte
geschrieben werden? (WinXp versucht beim start ja sofort chkdsk)
Kann ich anhand der Lables die Partitionen wiederfinden im Hex-Editor?
Hat jemand sonst noch eine Idee wie man diese Partitionstabellen wieder hinkriegen könnte, ich denke die Daten ansich sind noch intakt.














*1) DDRESCUE von Antonio Diaz Diaz

ddrescue kann sehr schnell Images von defekten Platten ziehen.
Es liest Low-Level-Sektor (512) für Sektor ein und schreibt in eine Datei oder anderes Device.
Man kann genau einstellen wie oft es badsektors zu lesen versuchen
soll. Bei Misserfolg wird langsamer gelesen. Man kann jederzeit abbrechen
und am gleichen Ort wieder starten.
Diese badsectors werden im Image einfach mit "0" gefüllt".
So hat man 100%ig gleich grosses Image wie die Platte, ohne Sektorenverschiebung.
Es ist das meiner Meinung nach beste wie du dem sagst "CloneTool". Und es ist unter GNU GPL, kostenlos erhältlich.


*2) PTEdit von Powerquest

Mit diesem Tool kann man sehr wohl auch "boot record parameter tabellen" in jedem "boot sector" bearbeiten...
http://www.goodells.net/multiboot/ptedit.htm

Allerdings nutzt das nur was wenn du auch weisst, in welchem Sektor der sich befindet,
und das ist normalerweise eben der StartSektor einer Partition, und den Suche ich
gerade. grmpf.


*3) Das einzige was ich gefunden habe ist:
http://thestarman.dan123.com/asm/mbr/NTFSBR.htm (ein riesen Wirrwar aber seeehr aufschlussreich)
http://support.microsoft.com/default.aspx?scid=kb;EN-US;q153973
http://support.microsoft.com/default.aspx?scid=kb;en-us;Q121517
http://support.microsoft.com/default.aspx?scid=kb;en-us;Q229716
http://www.microsoft.com/windows200...=/windows2000/en/server/help/recovery_erd.htm
http://www.ntfs.com/ntfs_basics.htm, http://www.ntfs.com/ntfs-mft.htm
http://linux-ntfs.sourceforge.net/ntfs/
http://www.omnixray.com/Files/manual/disk.html#search

 

[Fiona]

Danke mal für die Info wegen DDRescue.
Will ich mir anschauen.

Nochmal zu Ptedit.
Ptedit gibt einen Aufschluß über den Bootsektor.
Um den zu editieren bräuchtest du genaue Info.
Speziell der freie Speicherplatz und auch MFT usw..
Dazu bietet zum Beispiel DiskProbe die Jump-Funktion.
Am Ende eines Volumens (Partition) wird vom Bootsektor ein Backup erstellt.
Zumeist wird es repariert indem der zurückkopiert wird.
Meistens wenn ein Bootsektor crashed, bleibt der Backup sector erhalten (daher sind die vielleicht noch da).
Den kannst du anzeigen und über den Bootsektor kopieren.
Damit ist das Problem oftmals behoben.
Siehe dein Link von Microssoft;
http://support.microsoft.com/default.aspx?scid=kb;EN-US;q153973
Dieses habe ich schon einige male getestet und funktioniert gut.
Auch könntest du die Infos aus dem Dateisystem über freien Speicher, MFT, MFT Mirror usw. beziehen.
Dieses siehst du auch im Template von ptedit.
Dazu solltest du aber die genauen Werte einer Partition haben (Partitionen sollten in Ptedit angezeigt werden).
Vielleicht sind die noch vorhanden.
Ich selber habe es noch nicht mit Ptedit versucht.

Speziell Infos von thestarman über die Dateien von NTFS-File System.
Diese kannst du mit Datenrettungssoftware normalerweise sehen und sichtbar herstellen.
Ich habe noch nicht mit einem Diskeditor die current Values aus einem Dateisystem ausgelesen und in einem Template von einem Bootsektor eingetragen.

Um aber herrauszubekommen wo Bootsektoren liegen usw. bräuchtest du Info über deine Partitionen wie groß die waren und wo die auf der Festplatte lagen.
Dazu ist normalerweise Testdisk gut.
Bei der tieferen Suche werden Partitionsinfo anhand von Bootsektoren und auch Backup Sektoren gelistet.
Anhand dieser Daten werden auch die Partitionen angezeigt.
Diese trägt Testdisk auf Tastendruck in der Partitionstabelle im MBR ein.
Testdisk kann auch den MBR schreiben.
Die ganze Prozedur mit dem Backupsector erledigt Testdisk via zwei Tastendrücke.
Funktioniert aber wahrscheinlich nur mit einem intakten Dateisystem.
Schaue mal ob du zumindest bei den angezeigten Partitionen die Werte der Partition aufschreiben kannst und dadurch den Backup Boot Sector im Editor findest.
Auch wird die Sektoranzahl der Partition rechts gelistet und könnte hilfreich sein.

Ich weiß aber nicht was Testdisk bei dir nach der Suche angezigt hat oder wo es Probleme gegeben hat.
Vielleicht zeigt es dir noch Partitionen anhand der gefundenen Bootsektoren an.

Auch zu dein Problem mit dem Image und GetDataBack mit ca. 30 Dateien.

Teile mal mit, ob du auch auf der defekten Platte ein Festplatten (RAW oder Sektor) - Scan ausgeführt hast.

In dem Fall kannst du auchmal den kostengünstigen Restorer2000 Pro testen.
Unter dem Menü Drive findest du die Option Create Image File.
Damit kannst du auch ein Sektorimage als Datei auf ein anderes Laufwerk erstellen.
Read Attempts usw. kannst du auch einstellen.
Dieses kannst du auch als Festplattenscan oder RAW-Scan scannen indem du das dritte Icon mit dem Fernrohr anklickst.
Kannst du dir vielleicht anschauen wieviel der findet.
Link zu Datenrettungssoftware gibt es hier;
https://www.computerbase.de/forum/threads/faq-datenrettung-testdisk-anleitung.110869/#post-1109338

Vielleicht hilfts

Viele Grüße

Fiona