TestDisk auf DD-Kopie oder original anwenden?

[Fravec]

Moin,

beim Schreibvorgang auf eine 1TB große externe Festplatte ist mir der Rechner crashed, weshalb sie nun nicht mehr von Windows und Ubuntu erkannt wird. Sie wird unter Windows als RAW angezeigt.
Mittels TestDisk habe ich dann eine DD-Kopie auf eine andere externe Festplatte gelegt. Sollte ich nun die folgenden Wiederherstellversuche auf der Kopie oder dem Original machen?
Falls die Empfehlung ist, auf dem Image zu arbeiten, wo stelle ich das in TestDisk ein?

Vielen Dank im Voraus!

 

[kieleich]

also die Platte ist nicht defekt? dann könntest du direkt darauf rumwurschteln aber wenn du es in Datenretter Manier machen willst. Dann Grundregel alles read-only. Experimente auf der Kopie der Kopie bzw. auf einem Snapshot

mit losetup --read-only könntest du ein Readonly Device erzeugen aber mit Loop Devices kann man sich auch schnell so ein Image File verhauen. Writes gehen durch, Discards auch

 

[BFF]

Mittels TestDisk habe ich dann eine DD-Kopie auf eine andere externe Festplatte gelegt. Sollte ich nun die folgenden Wiederherstellversuche auf der Kopie oder dem Original machen?

Wenn funktionsfaehiger Datentraeger mach ich immer ein Image. Allerdings nicht mit DD(rescue). In bin da seit Jahren bei den EWF-Tools oder den FEX Imager. Vortail davon ist, das diese Image nicht die Groesse des originalen Datentragers haben sonder nur beschriebene Sektoren beinhalten, zusaetzlich komprimiert und das Image gesplittet sein kann. Also weitaus leichter zu kopieren.

Die 250GB HDD waere als DD 250 GB. Als Encase-File mit den EWF-Tools ist das Image unter 4 GB, was etwa den vorhandenen Daten plus das Vermisste (weil geloescht) entspricht.

Draufschauen was damit los ist halt mit dem Tool was das Image einlesen kann. Testdisk/PhotoRec, DMDE, R-Studio, Autopsy und einige andere mehr koennen Encase.

 

[kieleich]

ddrescue kann auch sparse dann nehmen getrimte/genulte Bereiche auch keinen Platz ein

für alles weitere muss man eben ein Dateisystem mit transparenter Komprimierung verwenden

dann braucht man auch nicht splitten (wozu, eher hinderlich)

 

[Evil E-Lex]

Falls die Empfehlung ist, auf dem Image zu arbeiten, wo stelle ich das in TestDisk ein?

Warum solltest du ein Image machen, wenn du nicht damit arbeiten wiilst? Damit du mit Testdisk auf ein Image zugreifen kannst, musst du Testdisk über die Kommandozeile mit dem Namen und ggf. Pfad des Images als Parameter aufrufen. Also:
testdisk C:\meinPfad\zum\image.img

 

[Fravec]

Ich habe mal Testdisk über die Komandozeile mit dem Pfad zum Image versorgt. Das klappt an und für sich ganz gut, doch anscheinend unterscheidet sich die Erkennung der Partitionstabelle von physischer Platte und Image. Auf der physischen Platte wird eine "Intel/PC partition" erkannt, auf dem Image keine. Kann ich ruhigen Gewissens "Intel/PC partition" angeben?

 

[Evil E-Lex]

Nicht fragen, machen! 🙂 Dadurch kann nichts kaputt gehen.

 

[Fravec]

Mit dem Image komme ich irgendwie einfach nicht weiter, es unterscheidet sich gravierend von der physischen Platte. Ich habe mal sowohl aufs Image als auch auf die Platte Testdisk einfach nur gestartet und "Advanced" geöffnet. Das Resultat ist dem Anhang zu entnehmen:
die physische Platte hat eine Partition, das Image nicht (Vor dem Crash hatte die Platte auch tatsächlich nur eine einzige Partition). Die CHS stimmen aber überein und auch die sector size (512) im Hauptmenü sind identisch.

Habe ich etwas falsch gemacht bei der Erstellung des Image? Habt ihr Vorschläge, wie ich von hier aus vorangehen könnte?

 

[recu]

Nicht fragen, machen! 🙂 Dadurch kann nichts kaputt gehen.

Unsinn!

Habe ich etwas falsch gemacht bei der Erstellung des Image? Habt ihr Vorschläge, wie ich von hier aus vorangehen könnte?

Ja. Hättest Du das Handbuch von Testdisk befragt, hättest Du Deine Festplatte mit ddrescue geklont, wie dort empfohlen. ddrescue ist auch die richtige Lösung, wenn Du nicht weißt, ob Deine Festplatte physische Schäden aufweist.

TestDisk erlaupt Dir, Partitionen zu kopieren, keine kompletten Festplatten.

Du musst TestDisk jetzt mitteilen, dass es keine Partitionstabelle gibt.

 

[Fravec]

Danke, das ist tatsächlich genau das was gefehlt hat, jetzt sehen die physische Platte und ihr DD-Image (also das der ersten Partition ) wieder identisch aus.
Ich kann mittels Testdisk sogar die Ordner und Dateien im Image einsehen. Doch Testdisk vermeldet: Unusual drive number (0x08!=0x80) - wie im Bild zu sehen.

Welche Herangehensweise würdet ihr mir nun empfehlen, um die Daten zu retten? Lieber auf der Originalplatte arbeiten oder die Dateien einfach aus dem Image kopieren oder auf dem Image arbeiten, Platte formatieren und dann Image rüberkopieren?

 

[recu]

1. Daten aus dem Image extrahieren
2. extrahierte Daten prüfen
3. mit Image herumspielen

 

[Fravec]

Check. Ich habe über Nacht alle Dateien aus dem Image extrahiert und vermisse keine; bei einer Stichprobe fanden sich auch keine beschädigten Dateien. Nun habe ich auf dem Image den Bootsektor nach Vorschlag von testdisk neuschreiben lassen und seitdem kann ich das Image mittels OSFMount mounten und sehe alle Dateien und Ordner darauf.
Mein nächster Schritt wäre es nun auf der Originalplatte zu arbeiten; dort den Bootsektor nach Vorschlag von testdisk neuschreiben zu lassen. Sollte ich vorher noch ein neues Image anlegen oder noch etwas beachten?

Besten Dank bisher und auch im Voraus

 

[recu]

Sie können den Bootsektor neuschreiben lassen und gucken, was passiert. Da Sie noch das Partitionsimage und die extrahierten Dateien haben, können Sie darauf immer noch zurückgreifen, wenn etwas schiefläuft.

 

[Fravec]

Ich wollte mich nochmal für all die Hilfe bedanken. Die Festplatte ist wiederhergestellt und klappt nun wieder einwandfrei. Es reichte in meinem Fall den Bootsektor nach Vorschlag von testdisk neuschreiben zu lassen.