Wollen wir also mal zusammenfassen, was wir da alles haben:
Wie es im Normalfall sein sollte:
Code:
Übliche Partitiongrenzen
[U]Platte maxLBA HPA MBRstart MBRsize MBRend endGAP System [/U]
1TB 1953525167 0 2048 1953519616 1953521663 3504 <== Vista, Win7
63 1953520002 1953520064 5103 <== XP
was wir vorfinden:
Code:
[U]Platte maxLBA HPA MBRstart MBRsize MBRend endGAP HxDstart HxDend HxDsize[/U]
gut [COLOR="Red"]1953519095[/COLOR] [COLOR="Silver"]6072[/COLOR] 2048 1953519616 [COLOR="Silver"]1953521663 -2568[/COLOR] 2048 [COLOR="red"]1953521663[/COLOR] [COLOR="silver"]1953519616[/COLOR]
bad [COLOR="red"]1953519489[/COLOR] [COLOR="silver"]5678[/COLOR] 2048 1953519616 [COLOR="silver"]1953521663 -2174[/COLOR] [COLOR="red"]319[/COLOR] [COLOR="red"]1953519808[/COLOR] [COLOR="silver"]1953517761[/COLOR]
bad2 ??? ??? 2048 1953519616 [COLOR="Silver"]1953521663[/COLOR] ??? [COLOR="red"]62[/COLOR] 1953520064 [COLOR="silver"]1953520003[/COLOR]
Legende: erhoben(OK)=schwarz; erhoben(zweifelhaft)=rot; errechnet=grau;
Der Inhalt der MBR's
Code:
Analyzing: \\Pc10\shareddocs\der2878 TC\MBRgut.txt [COLOR="Red"](NACHTRAG)[/COLOR]
===== MBR INFORMATION ===== at LBA=0
00000001FE 55AA Boot signature='55AA'... valid
. ... Partition Table entry 1 ...
00000001C2 07 Partition Type: NTFS
00000001BE 00 Boot indicator: inactive
00000001BF 202100 Start CC-HH-SS: 0-033-33
00000001C3 FEFFFF End CC-HH-SS: 1023-255-63 (not CHS addressable)
00000001C6 00080000 Start (LBA): 2048 0-32-32
00000001CA 00587074 Size (Blocks): 1953519616 121600-247-55 953867MiB 931.51GiB
. ... Partition Table entry 2 ...
00000001D2 00 Partition Type: unused partition entry
. ... Partition Table entry 3 ...
00000001E2 00 Partition Type: unused partition entry
. ... Partition Table entry 4 ...
00000001F2 00 Partition Type: unused partition entry
Analyzing: \\Pc10\shareddocs\der2878 TC\MBRbad.txt
===== MBR INFORMATION ===== at LBA=0
00000001FE 55AA Boot signature='55AA'... valid
. ... Partition Table entry 1 ...
00000001C2 [COLOR="red"]06 Partition Type: 16-bit FAT, partition >=32 MB[/COLOR]
00000001BE 00 Boot indicator: inactive
00000001BF 202100 Start CC-HH-SS: 0-033-33
00000001C3 FEFFFF End CC-HH-SS: 1023-255-63 (not CHS addressable)
00000001C6 00080000 Start (LBA): 2048 0-32-32
00000001CA 00587074 Size (Blocks): 1953519616 121600-247-55 953867MiB 931.51GiB
. ... Partition Table entry 2 ...
00000001D2 00 Partition Type: unused partition entry
. ... Partition Table entry 3 ...
00000001E2 00 Partition Type: unused partition entry
. ... Partition Table entry 4 ...
00000001F2 00 Partition Type: unused partition entry
Analyzing: \\Pc10\shareddocs\der2878 TC\MBRbad2.txt
===== MBR INFORMATION ===== at LBA=0
00000001FE 55AA Boot signature='55AA'... valid
. ... Partition Table entry 1 ...
00000001C2 [COLOR="Red"]06 Partition Type: 16-bit FAT, partition >=32 MB[/COLOR]
00000001BE 00 Boot indicator: inactive
00000001BF 202100 Start CC-HH-SS: 0-033-33
00000001C3 FEFFFF End CC-HH-SS: 1023-255-63 (not CHS addressable)
00000001C6 00080000 Start (LBA): 2048 0-32-32
00000001CA 00587074 Size (Blocks): 1953519616 121600-247-55 953867MiB 931.51GiB
. ... Partition Table entry 2 ...
00000001D2 00 Partition Type: unused partition entry
. ... Partition Table entry 3 ...
00000001E2 00 Partition Type: unused partition entry
. ... Partition Table entry 4 ...
00000001F2 00 Partition Type: unused partition entry
Nun ans Eingemachte:
Der Partitiontyp 06 ist natürlich mal Unsinn bei den beiden kaputten Platten, das muss 07 für NTFS sein. Die Partitiongröße und Lage, die im MBR steht, deutet nicht darauf hin, dass eine HPA da drauflag, als die angelegt wurden.
Hast Du an der Partitionierung schon irgendwie herumgedreht, oder sind die noch genauso, wie zum Zeitpunkt des Crashes
?
Ein weiteres Mysterium: Nach den Vorposts wurden sowohl die gute als auch die erste beschädigte Platte per Getdataback in falscher Größe erkannt - ein weiteres Indiz: dass beim Durchsuchen der Partition noch Fehlermeldungen kamen, dass manche Sektoren nicht gelesen werden können.
Genau das deutet auf ein Vorhandensein einer HPA hin, aber jetzt kommt der Knaller:
Mit HxD hast Du ja rausgefunden, wie weit bei beiden Platten in den Sektoren Daten zu finden sind - und da bist Du in einen Bereich gekommen, der während des GetdataBack-Laufes durch eine HPA gesperrt war, also beim HxD-Lauf keine HPA(zumindest nicht in der vorher bemerkbaren Größe) mehr da war!
Hast Du inzwischen mit einem der(in meinem Link zur HPA angegebenen) Tools die HPA's von den Platten weggemacht
? Vielleicht irgendein Linux(-CD) gebootet
? Oder haben wir es hier mit dem Phänomen fluktuierender HPA's zu tun(ich liebe Geistererscheinungen)?
Welcher Müll an Daten vor der Partition der ersten beschädigten Platte liegt, kann ich nicht sagen. Auf der zweiten beschädigten kann der Müll davor und dahinter dadurch zustandegekommen sein, wenn die Platte früher unter XP formatiert und verwendet wurde.
Denn die Grenzen passen fast exakt.
Wenn Du auf dieser zweiten schlechten Platte allerdings die Partition belassen hast(also nicht entfernt und unter Win7 neu angelegt) und ev. nur unter Win7 neu formatiert hast, dann stimmt auch die Partitionlage&Größe im MBR nicht und muss von Dir im Zuge der Rettungsversuche verändert worden sein.
Wurde die Partition auf der zweiten beschädigten Platte unter Win7 neu angelegt
?
bitte die ?-Fragen beantworten.
Um die Ungereimtheiten zu klären, sieh jetzt nochmals mit HxD nach open der physical hard disks nach, welche Werte für jede da als "of ..." Anzahl Sektoren in der Menüleiste angezeigt werden: 1953525168 oder um 1 mehr als oben in der zweiten Tabelle (von bad2 hab ich den noch übrigens nicht bekommen)
Außerdem fehlen noch die gesicherten Header, die Du noch nicht in den Anhang gestellt hast (gezippt)
von den beiden beschädigten Platten
bad1 und
bad2 will ich mir den Inhalt vor und nach der Partition ansehen, den erzeugst Du so:
Im HxD sind die physical hard disk Nummern
um 1 höher als im Disk Management angezeigt
HxD Aufruf unter User mit Administratorrechten (oder rechtklick/ausführen als... Administrator)
- Menü: Extras/open disk/physical disk/
hard disk # (Häkchen bei "open as readonly" NICHT entfernen)
========= extrahieren Sektor 0-2048
- Menü: Edit/select block/start:
0 , length:
100200, hex, OK
- Strg+C (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in dieser Anzeige nirgendwohin klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "
badx.0.2049.bin" /speichern
- Menü: File/Close
========= extrahieren Sektor 1953520064-1953525167
- (Anzeige ist auf Reiter "
hard disk #" )
- Menü: Edit/select block/start:
E8E0B38000 , length:
27E000, hex, OK
(mit copy&paste übertragen hilft Tippfehler vermeiden)
Das wird nur funktionieren, wenn die angezeigte Sektoranzahl 1953525168 ist
- STRG+C (überträgt den markierten Inhalt in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in dieser Anzeige nirgendwohin klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "
badx.1953520064.5104.bin" /speichern
- Menü: File/Close
- HxD beenden
Die Dateien einzeln zippen und in den Anhang - Auswertung folgt dann
)
