Truecrypt - A newer version is required...

[Simpson474]

Wenn in WinHex am Sektor, der in GetDataBack angezeigt wird, der richtige Header der Datei zu sehen ist, so müsste die Angabe von GetDataBack schon passen. Der entschlüsselte Header ist von einem normalen Volume - liegen die Daten auch in einem normalen Volume, oder gibt es noch ein Hidden Volume?

 

[Harti2011]

Nein, das ist ein ganz normales Volume, also kein verstecktes.... Habs gestern garnicht nochmal probiert. Aber werds eventuell nacher nochmal anschmeißen (dauert nur immer so ewig bis die ganze Platte gescannt ist) - mich wundert dass das Programm auch die bestehenden Daten nicht fand. Die Werte sollten schon links in dem Fenster unter der Angabe der gescannten Platte erscheinen, oder??

 

[Simpson474]

Ja, die Ergebnisse sollten als Liste im linken Bereich erscheinen.

 

[Harti2011]

Hallo Simpson,

ich habe es jetzt nochmal mit einer definitiv existierenden avi Datei probiert und mich auch sicher nicht verrechnet Leider findet er auch diesmal keinen passenden Sektor.
Kann ich irgendwo den Inhalt eines bestimmten Sektors, den ich Angebe (auf der ganzen Platte), prüfen. Bei der bestehenden Datei weiß ich ja wie der Inhalt aussehen muss und wo auf der Platte er liegt. Somit könnte ich prüfen, wie groß der Offset sein müsste...

Oder hättest du noch eine andere Idee??

Danke & Grüße,
Harti

 

[Simpson474]

Nimm einfach mal zum Test den FAT32-Dateisystemmarker: öffne mit HxD mal das in TrueCrypt eingebundene Volume und schau die ersten Bytes an. Das Dateisystem sollte dabei mit EB 58 90 4D 53 44 4F 53 beginnen (nach EB 58 90 kann auch etwas anderes folgen, hängt vom Betriebssystem ab, welches das Laufwerk formatiert hat) - falls das der Fall ist, dann verwende diesen Anfang als Referenzdatei: beim Offset brauchst du dann nur 131072 eingeben.

 

[Harti2011]

war im urlaub, deshalb erst die späte antwort. bei mir fängt der container glaube ich mit EB 6C an, was aber Ja auch fat32 sein sollte... werde es dann nochmal testen und sehen in er etwas findet... vielen dank schonmal!

 

[Harti2011]

So, habe jetzt nur den Anfang des Containers mit Offset 131072 geprüft - er fängt mit "EB 3C 90 4D" an - und siehe da, diesmal kam der richtige Sektor heraus. Habe es dann nochmal mit dem Offset + 131072 einer bestehenden Datei geprüft, aber nichts gefunden. Irgendwas mache ich beim Offset wohl fasch. Wollte es nun mit HxD prüfen, aber dort kann ich leider den gemounteten Container nicht auswählen...
Weißt du, wie ich den Container mit HxD öffne? Kann es sein, dass der Offset Programmspezifisch anders aussieht?

 

[Simpson474]

Wenn HxD nicht funktioniert (scheint ein Bug in HxD zu sein, auf manchen Rechnern läuft es problemlos), so kannst du WinHex probieren - damit sollte es auf jeden Fall klappen. Pass aber auf, die von GetDataBack angezeigten Sektoren sind dezimal und nicht hexadezimal - die Hex-Editoren erwarten in der Standardeinstellung jedoch Hex-Offsets. Wenn es mit der Sektorangabe von GetDataBack nicht funktioniert, so kannst du auch mal die Cluster-Angaben probieren: diese scheinen im Gegensatz zu den Sektoren als hexadezimale Zahlen dargestellt zu werden und müssen mit 16384 oder 32768 (FAT32 Clustergröße) multipliziert werden.

 

[Harti2011]

Kaum macht man´s richtig funktionierts auch Also zumindest hab ich jetzt bestehende Daten gefunden.
Leider nichts von den fehlenden. Werde es aber noch weiter probieren, vermute aber, dass der Teil des mittleren Fragments mit meinem danach erstellten Container überschrieben worden ist... Ich probiere die nächsten Tage - je nach Zeit wieder weiter und lasse hören wenn sich was neues ergibt. Aber schonmal vielen vielen DANK!!