TrueCrypt: Partition gelöscht - wiederherstellen

[Philie]

so wie ich das sehe, und ich gehe davon, dass die kennzeichnung der HD sowohl bei HxD als auch bei Testcrypt einwandfrei sind, scheint es so ja ...

laut testcrypt habe ich da auf der 500 gb HD insgesamt 976771055 sektoren. öffne ich die gleiche HD habe ich dort insgesamt laut HxD 488397168 sektoren und der letzte eintrag erfolgte auf sektor 488392064. danach erscheinen nur noch NULLEN.

Ergänzung (24. Oktober 2010)

anbei screenshot von HxD

 

[Simpson474]

Dann läuft hier gewaltig was schief - die Angaben von HxD und TestCrypt müssen übereinstimmen (zumindest darf der Unterschied nicht gravierend sein). Was sagt denn die Datenträgerverwaltung von Windows, dort werden die gleichen Nummern benutzt?

 

[Philie]

habe soeben geschaut, computerverwaltung sagt auch, dass das LW nr 3 ist.

status: fehlerfrei, aktiv, primäre partition

ich kann mich nicht erinnert, dass ich eine formatierung unterbrochen habe, als ich TC eingerichtet habe. Sowas mache ich eigentlich nicht ...

 

[Simpson474]

Ich hab gerade bei mir nachgeschaut: HxD zählt 1-basiert, während alle anderen Tools 0-basiert zählen. Daher musst du in HxD die HDD 4 auswählen und nicht wie bei den anderen Tools HDD 3.

 

[Philie]

du hast recht, habe die Hd 4 in HxD ausgewählt, nun stimmen auch die sektoren wieder überein.
laut testcrytp wie HxD 976771055.

der letzte eintrag laut HxD ist bei sektor 976770143

 

[Simpson474]

Dann hattest du aber nicht die ganze HDD verschlüsselt, sondern nur eine verschlüsselte Partition bzw. Daten am Ende der HDD wurden überschrieben (eher unwahrscheinlich). Der zu scannende Bereich hätte aber eigentlich gepasst. Was ist bei deiner anderen HDD mit dem Scan der ersten Sektoren herausgekommen?

 

[Philie]

nichts, null .. nada. plötzlich "blinkte" der cursor wieder auf c:\

ich habe ihn soeben nochmals angestoßen, die ersten 0 - 20.000 sektoren einer korrekt gemounteten HDD.

sonst noch eine idee die ich währenddessen durchführen kann?

 

[Simpson474]

Eine Sache hätte ich gerade noch gefunden: wurden die HDDs ungefähr zur gleichen Zeit mit der gleichen TrueCrypt-Version verschlüsselt? Wenn ja, dann verwende mal die funktionsfähige HDD, mounte das Laufwerk mit TrueCrypt und geh dann per Rechtsklick auf "Properties" (auf Deutsch wahrscheinlich "Eigenschaften"). Du solltest dann weitere Informationen über das Volume sehen, unter anderem auch ob es einen Backup-Header gibt oder nicht.

 

[Philie]

anbei ein screenshot, der hört einfach auf ... ich bekomme kein ergebnis aus den ersten 20.000 sektionen.

zur gleichen zeit wurden die platten nicht verschlüsselt. waren schon einige wochen, vielleicht auch monate, vergangen.

ich habe mal screenshots der beiden funktionierenden HDDs beigefügt. bei beiden gibt es ein backup header ja. habe ich auch soeben vorsichtshalber nochmals gesichert.

 

[Simpson474]

Das sich TestCrypt nach gewisser Zeit (mindestens 5 Minuten für 20000 Sektoren) einfach beendet ist normal - das kein Header gefunden wird jedoch nicht. Mir fällt nur schön langsam nichts mehr ein, wieso die Header nicht gefunden werden. Deine Screenshots sehen alle in Ordnung aus und eigentlich sollte der Header von HardDisk1 gefunden werden. Stimmt denn das Passwort, welches von TestCrypt ausgegeben wird? Enthält es Sonderzeichen außer ><# (diese habe ich bereits getestet)? Auch wenn es keinen Unterschied machen sollte, so kannst du auch eine meiner Versionen vor der TrueCrypt 7 Integration mal testen - womöglich wurde damit ein neuer Fehler eingebaut.

 

[Philie]

ok, ich habe nochmals gestartet ... eine andere HDD. mal sehen ob das jetzt klappt. das pw stimmt, damit habe ich die HDDs gemountet. sind keine keine sonderzeichen enthalten.

aktuell nutze ich die version 6.2a. sollte ich die ggf. mal ersetzen durch die aktuelle 7.0?

ich hoffe ich bekomme die hdd zum laufen

Ergänzung (24. Oktober 2010)

was ich gerade unter datenträgerverwaltung sehe ... das dateisystem der HDD ist RAW. sollte ich vielleicht das volume nochmals löschen und neu anlegen? oder erscheint es autom. als RAW, weil ich es nicht formatiert habe?

wahrscheinlich ist es eh egal oder?

 

[Simpson474]

Welches Dateisystem angezeigt wird ist egal. Löschen und neu anlegen in der Datenträgerverwaltung ist eine ganz schlechte Idee, da damit weitere Daten überschrieben werden. Das Update auf Version 7.0 wird dir zumindest für dieses Problem gar nichts bringen.

EDIT: Sollte bei der funktionierenden HDD wieder nichts gefunden werden, so kannst du noch diese Version testen - gefixt wurde ein Aufruf einer Funktion mit undefinierten Verhalten.

Bitte diese Version von TestCrypt nicht mehr benutzten: die aktuellste Version liegt hier. Dank grafischer Benutzeroberfläche ist diese leichter zu bedienen und außerdem wurden doch einige kritische Bugs gefixt.

 

[Philie]

guten morgen,

danke dir. ich werde die version nach feierabend testen und dir bescheid geben.

vg und einen schönen tag

Ergänzung (25. Oktober 2010)

nabend,

habe soeben die neue version ausprobiert und muss leider sagen, dass es erneut bei einer funktionierenden HDD keinen header gefunden hat.

"Reading 512 bytes ...failed"

Ergänzung (25. Oktober 2010)

ich verzweifele ich weiss einfach nicht weiter.

 

[Simpson474]

Eine Ferndiagnose ist hier schwer - ich kann mir nicht erklären, wieso es bei deinen HDDs nicht funktioniert. Die einzige Möglichkeit die du ohne das Tool hättest, wäre die Partition unter dem gleichen Betriebssystem zu erstellen wie damals, da alles vor Windows Vista anders partitioniert. Der Nachteil dabei ist jedoch, dass bei jedem Versuch weitere Daten überschrieben werden (wenn auch nicht viel, kann aber kritisch werden, da im Header-Bereich).

 

[Philie]

moin,

ist schon irgendwie komisch ... dass überhaupt kein header gefunden wird. nicht einmal bei den funktionierenden HDDs. diese fehlermeldung ... kommt die auf grund von "timeout"? wenn ja, lässt sie sich ggf. verlängern?

gibt es sonst noch irgendwie die möglichkeit einen header auszulesen?

ich muss auf jeden fall alles erdenkliche versuchen um an die daten der hdd zu kommen.

wenn noch jemand einen guten rat hat ... bitte her damit. ist mir sehr wichtig.

vg

 

[messias2k]

qHi zusammen,


vorab erstmal ein ganz dickes Lob an Simpson474 für die Entwicklung und Pflege seines Tools!

*DAUMENHOCH*

Nun zu meiner Frage:

ich habe seit ca. 1 Woche ebenfalls das Problem, dass auf Grund einer Unachtsamkeit meine TrueCrypt-Partition gelöscht wurde.
Diese befand sich auf der 2ten von 3 internen HDD's direkt hinter meiner Programme-Partition (s. verwaltung.png).

Ein Header Restore sowie Mounten unter TrueCrypt (V 7.0a) war möglich, wurde jedoch nur als RAW Dateisystem erkannt.

Nach unzähligen (erfolglosen) Rettungsversuchen bin ich nun auf diesen Fred gestoßen und habe nach Anleitung TestCrypt verwendet, welches auch einen TrueCrypt-Header gefunden hat.

Nur bin ich mir nicht ganz sicher, wie ich die neue Partition anlegen soll, da ich u.a. eine Fehlermeldung "Normal header out of bounds..." (s. testcrypt.png) erhalte.

Falls Ihr noch weitere Infos benötigt, gebt Bescheid.

Danke vorab für die Mühe!

EDIT:

Fehler gefunden: "Programme"-Partition war etwas zu groß, sodass der Bereich des möglichen Backup-Headers sich mit dieser etwas überlappt hätte.

--> Partition etwas verkleinert, mit Testdisk die neue entsprechend gesetzt --> ALLES GUT!

ECHT HAMMERGUTES TOOL!

@Simpson474: du solltest n Paypal-Spendenpool anlegen. ;-)

Danke nochmal!

messias2k...

 

[Simpson474]

diese fehlermeldung ... kommt die auf grund von "timeout"? wenn ja, lässt sie sich ggf. verlängern?

Die Fehlermeldung ist ganz normal und kommt daher, dass das Programm im Moment wirklich einfach gestrickt ist und somit das Ende der HDD nicht erkennt. Damit versucht TestCrypt den 128KB TrueCrypt-Header auch noch bei den letzten 512 Byte Sektoren zu lesen - da ist halt dann keine HDD mehr übrig zum Lesen. Wieso bei dir keine Header gefunden werden, da habe ich keine Ahnung.

Ich weiß es widerstrebt so ziemlich dem kompletten TrueCrypt-Gedanken, aber ich könnte dir noch anbieten den Header zu analysieren. Dazu benötigt man halt sowohl ca. 10MB Daten (20000 Sektoren) vom Ende der problematischen HDD (z.B. per HxD extrahieren) als auch das TrueCrypt-Passwort. Falls die Partition noch nie sonderlich weit gefüllt war, so kann man in den letzten 10MB der Partition im Normalfall weder Daten noch die MFT (Datei und Ordnernamen) lesen - allerdings übernehme ich hierfür keine Garantie

 

[Philie]

hallo simpson,

zurück von einem kurztrip. ich habe natürlich anschließend die HDD wieder überprüfen wollen, klappt leider weiterhin nicht. nun, denkst du dass das analysieren erfolg bringen könnte? ich würde dir alle nötigen informationen bereitstellen. ich will einfach die hoffnung nicht aufgeben, dass das doch "irgendwie" klappen kann bzw MUSS!

vg

 

[Simpson474]

Ich könnte zumindest nach einem Bug in der Software suchen, da man dann Schritt für Schritt durch den Quelltext gehen kann und sieht, ob dort irgendwo was schiefgeht. Garantieren kann ich natürlich nicht, dass ich den Header wiederherstellen kann.

 

[Philie]

also ... was soll ich machen bzw dir bereitstellen?