USB Festplatte retten - Testdisk stürzt ab

[ruggetier]

Hallo forum,
was bisher geschah:

Zum neu Aufsetzten des Systems hatte ich alle wichtigen Dateien auf die Externe geschaufelt.
Nach dem erfolgreichen installieren von Windows7 und drei Linux Distros (alles 64bit), lief die Platte noch einwandfrei. Habe mit der Festplatte Treiber und Installer von Linux nach W7 kopiert.
Aber dann, gerade als ich so weit war die Daten zurückzuspielen, konnte die Festplatte nicht mehr gemountet werden.
In Linux bringt mounten "exitcode 2" und W7 will nach dem einstecken erst mal formatieren.

Nach checken der äusseren Faktoren (Stromversorgung, Kabel, Rechner, USB-Gehäuse) hab ich Testdisk (v6.13 für win) benutzt:
Quick Search hat mir die Partition in grün angezeigt mit Structure: Ok, also hab ich „Write“ gedrückt, aber dadurch hat sich am Verhalten der Platte nichts geändert. (Anhang anzeigen testdisk_write.log.txt)


Dann hab ich eine identische Festplatte gekauft, mit dd ein Abbild angefertigt und chkdsk /f darauf losgelassen. Dass Ergebnis war vorauszusehen: leere Partition. (Ausgabe der Konsole: Anhang anzeigen chkdsk.txt)

Daraufhin das Abbild erneut aufgespielt und wieder TestDisk gestartet.
Hier zeigt sich wenn ich „Advanced->List“ oder „Analyse->Quick Search-> List Files“ drücke stürzt Testdisk ohne Fehlermeldung ab. (Anhang anzeigen testdisk_crash.log.txt)
Edit: in linux mit "Segmentation fault"


Daraufhin wegen eventueller bugs mit 64bit, Testdisk v6.14 ausprobiert – gleiches Verhalten.
Ausserdem ist mir aufgefallen die Partition startet bei 0 32 33, das ist doch nicht normal, die sollte bei 0 0 1 oder so anfangen, oder?

Daten der Platte:
externe USB Festplatte 1000GB Spaceloop von CnMemory, innen: Toshiba MK1059GSM
Das Etikett sagt:
8455 MB (CYL 16383, H 16, S 63)
1TB (LBA 1,953,525,168 Sectors)

Die Platte enthält ausser den Eigenen Dateien und Einstellungen noch ca 700GB RAW-Fotos (Dateiendung .nef).


Bevor Ich mich an die Datenrettung mache (ich glaube PhotoRec unterstützt keine .nef!?), will ich weiter versuchen das FS wiederherzustellen, doch was kann ich noch tun?


für jede Hilfe dankbar :wink:


PS: Hier noch die Hexdumps

 

[nowel]

Hallo ruggetier,


Mit Partition Find and Mount bindet verschwundene und versteckte Festplatten-Partitionen in den Windows Explorer ein. Die Freeware stellt die gefundenen Dateien in einer Liste dar.

Nachdem Partition Find and Mount nicht sichtbare Partitionen erkannt hat, zeigt die Software eine Liste mit allen physikalischen Laufwerken und bereits sichtbaren sowie den neu entdeckten Partitionen an. Die mit Partition Find and Mount gefundenen Partitionen lassen sich per Mausklick in den Windows Explorer einbinden mit jeweils eigenem Laufwerksbuchstaben. Alternativ exportiert das Programm neue Partitionen in Form von Image-Dateien.

Fazit
Partition Find and Mount bietet Hilfe in einem sehr speziellen Fall. Diesen Job erledigt die Freeware ausgezeichnet. Einzig der in dieser kostenlosen Version gedrosselte Datendurchsatz nervt mitunter ein wenig.

Link:

http://software.sueddeutsche.de/ie/87398/Partition_Find_and_Mount

Viel Erfolg

nowel

 

[Ernst@at]

Quick Search hat mir die Partition in grün angezeigt mit Structure: Ok, also hab ich „Write“ gedrückt, aber dadurch hat sich am Verhalten der Platte nichts geändert.

Ohne entsprechende Bildchen der Screenshots (weil da noch weitere wichtige Informationen drauf ersichtlich sind) kann man dazu nichts sagen.

Ausserdem ist mir aufgefallen die Partition startet bei 0 32 33, das ist doch nicht normal, die sollte bei 0 0 1 oder so anfangen, oder?

Ist normal, weil im Win7 die erste Partition auf Sektor 2048 beginnt (32*63+33-1).

Im testdisk.txt, wo ein WRITE zelebriert wurde, ist weit und breit nix von einer 1TB Platte zu sehen, das wurde auf eine 3TB angewandt. Was hat das mit der beschädigten Partition auf der 1TB zu tun?

 

[ruggetier]

Hallo Ernst,

Im testdisk.txt, wo ein WRITE zelebriert wurde, ist weit und breit nix von einer 1TB Platte zu sehen, das wurde auf eine 3TB angewandt. Was hat das mit der beschädigten Partition auf der 1TB zu tun?

kann es sein, dass du die Attachments in deinem Editor verwechselt hast? Ich habe keine 3TB-Festplatte.
Die Datei testdisk.log.txt von oben zeigt nur das Log vom Crash mit "Quick Search -> List Files".

Deshalb hier noch Screen und Log von einem Versuch mit "Write":

Wed Feb  8 14:09:51 2012
Command line: TestDisk

TestDisk 6.14-WIP, Data Recovery Utility, January 2012
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Windows 7 (7601) SP1
Compiler: GCC 4.6, Cygwin 1007.9
Compilation date: 2012-02-07T08:44:08
ext2fs lib: 1.41.8, ntfs lib: 10:0:0, reiserfs lib: 0.3.1-rc8, ewf lib: 20100226
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sda)=120034123776
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdb)=1000204886016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=120034123776
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=1000204886016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C:)=22452109312
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\D:)=27663532032
filewin32_getfilesize(\\.\E:) GetFileSize err Incorrect function.

filewin32_setfilepointer(\\.\E:) SetFilePointer err Incorrect function.

Warning: can't get size for \\.\E:
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\G:)=1000202043392
Hard disk list
Disk /dev/sda - 120 GB / 111 GiB - CHS 14593 255 63, sector size=512 - TOSHIBA MK1214GAH, S/N:2020202020202020202031204b38574238335739, FW:BW003A
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512 - TOSHIBA MK1059GSM

Partition table type (auto): Intel
Disk /dev/sdb - 1000 GB / 931 GiB - TOSHIBA MK1059GSM
Partition table type: Intel

Analyse Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63
Geometry from i386 MBR: head=255 sector=63
NTFS at 0/32/33
Current partition structure:
 1 * HPFS - NTFS              0  32 33 121601  25 24 1953519616 [Teraspace]
search_vista_part: 1

search_part()
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63
NTFS at 0/32/33
filesystem size           1953519616
sectors_per_cluster       8
mft_lcn                   786432
mftmirr_lcn               2
clusters_per_mft_record   -10
clusters_per_index_record 1
     HPFS - NTFS              0  32 33 121601  25 24 1953519616 [Teraspace]
     NTFS, 1000 GB / 931 GiB
file_pread(5,2,buffer,1953525760(121601/90/26)) lseek err Invalid argument
file_pread(5,1,buffer,1953525760(121601/90/26)) lseek err Invalid argument
file_pread(5,8,buffer,1953525248(121601/82/18)) lseek err Invalid argument
file_pread(5,1,buffer,1953525248(121601/82/18)) lseek err Invalid argument
file_pread(5,8,buffer,1953525376(121601/84/20)) lseek err Invalid argument
file_pread(5,8,buffer,1953525504(121601/86/22)) lseek err Invalid argument
file_pread(5,8,buffer,1953525632(121601/88/24)) lseek err Invalid argument
file_pread(5,7,buffer,1953525761(121601/90/27)) lseek err Invalid argument
file_pread(5,8,buffer,1953525760(121601/90/26)) lseek err Invalid argument
file_pread(5,8,buffer,1953525768(121601/90/34)) lseek err Invalid argument
file_pread(5,3,buffer,1953525776(121601/90/42)) lseek err Invalid argument
file_pread(5,3,buffer,1953525823(121601/91/26)) lseek err Invalid argument
file_pread(5,8,buffer,1953525839(121601/91/42)) lseek err Invalid argument
file_pread(5,11,buffer,1953525886(121601/92/26)) lseek err Invalid argument
file_pread(5,2,buffer,1953527808(121601/122/58)) lseek err Invalid argument

Results
   * HPFS - NTFS              0  32 33 121601  25 24 1953519616 [Teraspace]
     NTFS, 1000 GB / 931 GiB

interface_write()
 1 * HPFS - NTFS              0  32 33 121601  25 24 1953519616 [Teraspace]
write!

write_mbr_i386: starting...
write_all_log_i386: starting...
No extended partition
You will have to reboot for the change to take effect.

TestDisk exited normally.

thx - cu

 

[Ernst@at]

Wie der Irrtum zustandekam - keine Ahnung.
In dem chkdsk.txt ist nach den Meldungen, was da alles verändert wurde, eine der Selbstzerstörungsfunktionen zu bewundern. Ohne den Klon wäre jetzt wahrscheinlich kaum was zu retten.
Die Partition ist dem Bild nach ohnehin schon im MBR eingetragen, kann mit "P" der Inhalt vollständig angezeigt werden?
Vielleicht auch mal eine ältere Version probieren, wenn diese abstürzt.

Ansonsten würde ich da mal mit der Testversion von GetDataback probieren, was das damit anfangen kann.

 

[ruggetier]

Habe jetzt noch "List files" in testdisk v 6.13 auf 32bit XP und 6.11 auf 64bit linux ausprobiert.
Beides ohne Erfolg, mit dem kleinen Unterschied, dass testdisk in linux noch "Segmentation fault" anzeigt, bevor es abstürzt.


Das dürfte wohl für die Testdisk Entwickler interessant sein.
Mit anderen Platten funktioniert testdisk übrigens einwandfrei.


Aber, was mit meiner Platte los und warum stürtzt testdisk ab? Die Antworten auf beide Fragen müssen doch irgendwie zusammenhängen.

Hier ein Hexdump vom mbr: Anhang anzeigen Festplatte_mbr.txt
und vom Anfang der Partition: Anhang anzeigen Festplatte_sektoren_2048-2056.txt

Zumindest ist alles da, wo das Problem liegt kann ich aber nicht erkennen.

 

[Fiona]

Infos bei Fehlermeldungen;
http://www.cgsecurity.org/wiki/Unterstützung

Für bessere Infos kann Testdisk über die Konsole mit Adminrechten und;
testdisk_win.exe /debug /log
ausgeführt werden.
Log-Datei kann dann genauer sein.

Viele Grüße

Fiona

 

[ruggetier]

Hallo Fiona,
danke für deine Tipps, ich habe mich jetzt an Christophe Grenier von testdisk gewandt, bin mal gespannt was der sagt.
Das log wird bei mir allerdings nicht ausführlicher durch /debug.

greetz - cu

 

[laterne]

hallo..

gibt es schon neuigkeiten zu dem Problem?

Denn ich habe hier eine USB Festplatte, die GENAU das GLEICHE Verhalten an den Tag legt. Ich bekomme unter Windows und auhc unter Linux genau die gleichen Fehlermeldungen / Abstürze.