datenrettung von "verschwundener" partition

[hotspot]

guten morgen,

dieser threat ist eine weiterführung des "der neue hat schon fragen"-threats...
es geht kurz gesagt um folgendes:

ich habe versucht, eine linux-distri auf usb-stick zu machen...das hat aber nicht geklappt, denn er hat die 256MB auf den anfang meiner platte geschrieben!
die anderen partitionen, die vorher drauf waren, sind laut qtparted nicht mehr vorhanden!
auch testdisk hat nicht die gesuchte "data"-partition gefunden...

die 76GB platte war vorher wie folgt partitioniert:
1 prim. 5GB "w2k" ntfs
(rest als erweiterte mit logischen laufwerken...)
1.log lw: 10GB "programs" ntfs
2.log lw: 40GB "data" ntfs
3.log lw: 1GB "fat32" fat32
der rest, da war mal nen linux drauf! (suse9.1 oder 9.2 k.a.)

die "data" partition steht also ziemlich "in der mitte" der platte, sollte also nicht überschrieben sein! wie komme ich jetzt an die daten ran? eine platte zum rüberkopieren hätte ich da!
ach so, ich kann leider kein OS starten, ausser der knoppix 3.7 live-cd von der PC-welt oder einem damn small linux!

kann mir jemand weiterhelfen?
danke

 

[khs]

die anderen partitionen, die vorher drauf waren, sind laut qtparted nicht
mehr vorhanden!

qtparted soll, im Gegensatz zu parted selbst, eher fehlerbehaftet sein.
Probier deshalb fdisk, um dir Partitionierungen anzeigen zu lassen.
Mit m kannst du dir die Befehle anzeigen lassen, p _p_rintet z.B. die aktuelle Partitionierung.

auch testdisk hat nicht die gesuchte "data"-partition gefunden...

Die gibt es auch nicht mehr. Lediglich formatiert wird die neue Partition nach dem erstellen nicht, deshalb sind die Daten noch da, aber kein Dateisystem mehr, um darauf zugreifen zu koennen.

Was du machen koenntest, waere, die Partitionierung wieder so wie vorher zu erstellen, allerdings noch nicht auf Platte zu schreiben - mit fdisk, bitte solange damit beschaeftigen, bis du es hinbekommst, ist echt nicht schwer - und dann die Sektoren der data-Partition (fdisk sagt dir Anfang und Ende) mit dd auf die andere Platte zu kopieren.
Jetzt hast du erstmal ne Kopie der relevanten Daten, die du dann mit einem spezialisierten ntfs-Recovery-Tool durchsuchst. Das sollte dann alles, was es so findet, mit Dateinamen, soweit noch verfuegbar, ansonsten halt als file0000.dat oder so, wiederherstellen.
Was man fuer diesen Zweck jedoch an Programmen nimmt, weiss ich nicht, mit hoher Sicherheit aber wird es ein Windows-Programm werden. Vielleicht solltest du dir, wenn du kein bootbares Windows auf CD hast, schnell eins auf die andere Platte installieren (hda waehrenddessen ab, man weiss ja nie, nur nicht draufschreiben!).

Knoppix selbst eignet sich fuer alle Schritte bis dahin schon recht gut, allein, weil es dir nebenbei ermoeglicht, mit einer eingerichteten Umgebung im Internetz nachzulesen. Allerdings koenntest du dir auch so etwas wie die Ultimate Boot CD via knoppix saugen und brennen. Da sind massig Tools fuer und gegen alles (bei ntfs-Recovery bin ich mir da jedoch nicht so sicher) drauf sowie mehrere Recovery-Diskettenlinuxe. Falls dem guten Knoppix doch was fehlt...

-khs, der die Daumen drueckt

 

[hotspot]

danke erstmal!

das mit testdisk ist aber anders...der findet partitionen, die mal drauf WAREN...zb hat er ja die "programs"-partition gefunden...also die tabelle für diese partition könnte ich wieder neu schreiben lassen! ich lass es aber, weil die daten wichtiger sind!
ich werde mich mal mit fdisk beschäftigen...vielleict finde ich ja auch noch ein recovery-toll im schrank!

 

[bananenman]

falls dir fdisk zu kryptisch ist, nimm lieber cfdisk - das bietet dir immerhin eine "menügeführte grafische oberfläche"

mfg

bananenman

 

[khs]

Habe gerade fogendes fuer dich gefunden:
http://www.salvagentfs.com/1.0.html
http://memberwebs.com/nielsen/software/scrounge/
http://www.ontrack.com/Homepage.aspx?id=3&pagename=Software

hth,

-khs

 

[hotspot]

@khs:

nochmal zu der sache mit fdisk...
was soll ich da machen? also ich hatte die partitionierung ungefähr so:
5gb: w2k
10gb: programs
dann glaube ich waren es ca. 40gb daten...
dann noch ne 1gb fat32
und der rest war für linux

ich habe also die genaue partitionierung nicht mehr im kopf!

was<soll ich nicht auf die platte schreiben?

oder soll ich nur die partition erstellen, aber am ende nicht auf "partitionierungstabelle schreiben" drücken, um den anfang und den ende der "data" partition zu bekommen...?

was passiert, wenn ich nicht die genaue partitionierung von vorher erwüsche? ist das schlimm? ich meine, die partition könnte doch ruhig etwas größer sein, oder! ich möchte ja nur die "data" partition zurückhaben...

ich habe mal "man dd" gemacht, sehe aber nicht so richtig durch...kann man dann den start- und endsektor angeben, der zu kopieren ist...? wie geht das denn?

mal was anderes: wie kann ich diese "man-hilfepage" wieder verlassen und zur normalen eingabeaufforderung zurückkehren...

ich hab mal easy-recovery ausprobiert, aber der findet zu wenige dateien...

gibt es nicht ein tool, welches die "alten" partitionen erkennt und einfach die partitionstabelle wiederherstellt...?

ich hatte das ja mal mit testdisk geschafft, aber diesmakl erkennt er die besagte partition nicht...damn!

danke

 

[Ponder_Stibbons]

Hi,

schau dir mal gpart an, das ist auf der Knoppix-CD mit drauf.

Mit

gpart /dev/hda

ohne Optionen, scannt er deine Festplatte, und versucht zu erraten, wo die Partitionen beginnen und enden.
Schau dir die Ausgabe genau an, ob die Werte plausibel sind. Wenn ja, dann kannst du diese Partitionstabelle mit

gpart -W /dev/hda

auf die Festplatte schreiben.

Falls es beim ersten Scan nicht funktioniert, gibts noch verschiedene mögliche Optionen, aber da musst du dann die man-page bemühen.

Die man-page kannst du übrigens mit 'q' wieder verlassen.


PS: Das /dev/hda in den obigen Codebeispielen musst du natürlich ggf. durch den für dich passenden Eintrag ersetzen.


Grüße,
Klaus

 

[StyleWarZ]

hotspot, hoff deine datenrettung geht gut voran!! drück dir auf jedenfall die daumen

cu

 

[hotspot]

also, ich werde heute abend mal qpart versuchen und dann noch scrounge, aber wenn das nicht geht, weiß ich echt nicht mehr!
hat jemand ne ahnung, was das so kostet, dass im labor machen zu lassen...als0 für <=25€ würde ich es ja machen lassen, aber ich denke da lachen die mich eher aus, oder!
danke schonmal für eure hilfe

 

[Goodspeed]

Die gibt es auch nicht mehr. Lediglich formatiert wird die neue Partition nach dem erstellen nicht, deshalb sind die Daten noch da, aber kein Dateisystem mehr, um darauf zugreifen zu koennen.

Das ist nicht ganz korrekt ... nach dem Eingangspost, hat er sich nur die 1. Partition und die Partitionstabelle mit der Aktino zerschossen. Die Datenpartition ist samt Filesystem und Daten noch da.
Allerdings finde ich es komisch, dass testdisk sie nicht findet ... gpart wäre ne Alternative.
Das Professionelle Datenretten dürfte Deinen Preisrahmen bei weitem übersteigen. 4-stellig dürfte da das Minimum sein ...

 

[hotspot]

würde es bei testdisk helfen, die 256mb partition, die mir diese usb-stick-linuc-installation draufgemacht hat, zu löschen? bei einem freund war das vor kurzem ein ähnliches problem...bei dem waren auf einmal ALLE partitionen weg und die platte quasi unpartitioniert...da hat testdisk sofort alle partitionen wiedergefunden, und er konnte ganz schnell die tabelle neuschreiben lassen! der hatte glück! ich sehe meins dahinschwinden...!
danke

 

[Goodspeed]

Naja, Du könntest von der Knoppix booten und folgendes machen:
dd if=/dev/zero of=/dev/hdX bs=1024 count=1
Das würde zumindest die falsche Partitionstabelle und den falschen MBR löschen.
("hdX" natürlich anpassen ... und das count=1 ist wichtig ... sonst ist die HD wirklich platt!!!)

 

[hotspot]

für was steht eigentlich die "1" nach count...? was wäre, wenn da z.b. 10000 stehen würde? was macht er da?
danke

 

[NiceDay]

für was steht eigentlich die "1" nach count...? was wäre, wenn da z.b. 10000 stehen würde? was macht er da?
danke

count=blöcke
Nur blöcke Eingabeblöcke kopieren.

D.h. wohl das 1 null-Block (/dev/zero) draufkopiert wird.

 

[hotspot]

wie groß ist so ein block? oder besser, wieviel schreibt er bei "count=10000" auf die platte
<sag jetzt bitte nicht: "10000blöcke..." > ;-)

 

[NiceDay]

Weißt du, u.a. die PartTabelle und der MBR sitzen nun mal im 1. Block darum ssolltest du dies halt somit überschreiben, da der alte fehlerhaft ist.
Wenn du nun mehr als 1 angibst dann greift das deine Daten an sprich Partitionen.

 

[hotspot]

das ist mir alles schon klar, aber kann mir bitte jemand einfach nur sagen, wie viele Mb so ein block hat?
hintergrund:

ind er installationsanleitung zum flash-linux stand drin

"
Next, test your assumption by typing:

dd if=/dev/<your device> of=test.img bs=1k count=1000
...
"

das habe ich auch mit count=10000 gemacht, vielleicht sogar mit count=100000...
wenn er das auch auf die platte gemacht haben sollte, anstatt auf den stick, dann wären ja vielleicht mehr weg (wenn ich wüsste, wie groß so ein block ist...), als nur die ersten 256Mb.

für was steht das bs=1k? blockgröße = 1kb ? dann wären es bei count=1000 -> 1Mb, bei count=10000 -> 10MB, bei count=100000 -> 100MB...könnte das hinkommen?
das wäre ja dann nicht so schlimm, weil die ersten 256MB ja eh überschrieben sind!
danke

 

[Goodspeed]

Jung ... Du hast doch ein Knoppix ... da gibt's doch auch man-pages ...

man dd:

bs=bytes
Erzwingen von ibs=bytes und obs=bytes.
ibs=bytes
Lesen von bytes Bytes auf einmal.
obs=bytes
Schreiben von bytes Bytes auf einmal.
count=blöcke
Nur blöcke Eingabeblöcke kopieren.

Das heißt, bei bs=512 und count=10000 -> 5120000 Bytes Nullen ...
Geht, ist aber in Deinem Fall sinnlos, da es Wurst ist, ob die ersten 256MB Schrott oder Nullen enthalten ...

Das count=1 ist daher wichtig, weil er sonst bis zum bitteren Ende schreibt, falls Du es vergißt!

 

[hotspot]

guten morgen...

es ist wirklich ein guter morgen, den gestern abend habe ich es dann doch noch geschafft, meine daten zu retten!
habe die partition gelöscht , nochmal testdisk drüberlaufen lassen...und dann die partitionstabelle neuschreiben lassen!

vielen dank an alle, die mir geholfen haben!!

 

[khs]

es ist wirklich ein guter morgen, den gestern abend habe ich es dann doch noch geschafft, meine daten zu retten!

Danke fuer das Feedback, die Methode werde ich mir merken!

-khs