Discussion:
testdisk search mft
(zu alt für eine Antwort)
Kay Martinen
2017-08-13 17:55:59 UTC
Permalink
Raw Message
Hallo

Ich hab eine Externe USB-Platte mit 2 TB die beim runterfahren von
Windows 7 HP offenbar beschrieben wurde ohne das ich es merkte. Das
Abmelden wollte nicht weiter gehen also half ich mit der powertaste
nach. Das war wohl ein Fehler. Aber wer ahnt auch das ein vorheriges
abbrechen eines kopierjobs doch NICHT abgebrochen wird und erst beim
runterfahren dann DOCH wieder läuft. So erkläre ich es mir jedenfalls
(=Scheiss Windoof)

Nach dem Neustart war die Platte RAW, der bootsektor defekt die MFT
nicht wiederherstellbar. Beim zweiten versuch mit chkdsk /F fand er
immerhin den reservebootsektor konnte die MFT aber dennoch nicht reparieren.

Dann wollte ich mit Testdisk sehen ob was zu retten ist.

Lt.
http://www.cgsecurity.org/wiki/Erweiterte_Boot-_und_MFT-Reparatur_bei_NTFS
soll man im Menü Advanced die Partition wählen bei boot bestätigen und
dann Repair MFT wählen.

Aber, diese Funktion finde ich nicht. Weder bei Testdisk 7.0 für Windows
noch bei Testdisk von einem ubuntu 16.04 LTS.

Irgendwie bin ich mit Testdisk so weit gekommen das es jetzt
"Search MFT..." meldet, und aktuell bei 400 Million von 1800 Million
Sektoren steht, nach mehreren Stunden. Fertig wird das wohl erst in der
Nacht oder später.

Aber ich bin ehrlich gesagt nicht sicher OB und WAS es dabei macht, kann
oder Finden würde.

Ärgerlicherweise hab ich es möglicherweise sogar noch schlimmer gemacht,
denn zuletzt zeigte testdisk als auswählbare partitionen auf dieser
Platte gleich 4 an. Die erst soll Novell-type sein, die zweite OS/2
Bootmanager, die dritte Sys 6d und eine vierte die IMHO sys 6e war.

Dabei waren die Größenangaben aber so das nur die 2. und 3. der
kompletten Disk entsprechen mögen. Die anderen waren deutlich kleiner.

Frage: Hat es überhaupt noch irgendeinen Sinn da auf eine
Wiederherstellung der MFT zu hoffen, um die Daten von der Platte runter
holen zu können?

Oder ist diese Suche nach MFT-Einträgen jetzt schon hoffnungslos. In dem
fall muss ich mit dem Verlust von etlichen Gigabytes an Serien und
Filmen leben. Hab zugleich aber auch die Chance die platte endlich auf
ext4 zu formatieren und an meinen Linux-Mediaserver zu Stecken. Da
sollte sie sowieso eigentlich hin... das es aber so passiert hab ich
eigentlich nicht erwartet.
Marcel Mueller
2017-08-13 18:42:46 UTC
Permalink
Raw Message
Post by Kay Martinen
Ich hab eine Externe USB-Platte mit 2 TB die beim runterfahren von
Windows 7 HP offenbar beschrieben wurde ohne das ich es merkte. Das
Abmelden wollte nicht weiter gehen also half ich mit der powertaste
nach. Das war wohl ein Fehler. Aber wer ahnt auch das ein vorheriges
abbrechen eines kopierjobs doch NICHT abgebrochen wird und erst beim
runterfahren dann DOCH wieder läuft. So erkläre ich es mir jedenfalls
(=Scheiss Windoof)
Nach dem Neustart war die Platte RAW, der bootsektor defekt die MFT
nicht wiederherstellbar. Beim zweiten versuch mit chkdsk /F fand er
immerhin den reservebootsektor konnte die MFT aber dennoch nicht reparieren.
Jetzt ist die MFT jedenfalls endgültig überschrieben.

Jetzt geht nur noch Undelete. Dabei geht die Ordnerstruktur oft
verloren. Außerdem kommen alte, längst gelöschte Dateiversionen wieder
zum Vorschein.
Post by Kay Martinen
Irgendwie bin ich mit Testdisk so weit gekommen das es jetzt
"Search MFT..." meldet, und aktuell bei 400 Million von 1800 Million
Sektoren steht, nach mehreren Stunden. Fertig wird das wohl erst in der
Nacht oder später.
Das ist eine normale Zeit für einen Komplettscan.
Post by Kay Martinen
Aber ich bin ehrlich gesagt nicht sicher OB und WAS es dabei macht, kann
oder Finden würde.
Ob Testdisk das noch auf die Reihe bekommt, wäre zu klären. Jetzt da es
schon läuft, kannst Du es ja abwarten.

Das ist normalerweise ein Fall für GetDataBack. Wenn es was bei NTFS zu
retten gibt, wird es damit gehen. Der Spaß kostet dich AFAIK einen
hunderter Lehrgeld.

Oder aber Du verabschiedest dich final von den Daten und formatierst die
Platte.
Post by Kay Martinen
Ärgerlicherweise hab ich es möglicherweise sogar noch schlimmer gemacht,
denn zuletzt zeigte testdisk als auswählbare partitionen auf dieser
Platte gleich 4 an. Die erst soll Novell-type sein, die zweite OS/2
Bootmanager, die dritte Sys 6d und eine vierte die IMHO sys 6e war.
Das sind Buchstaben und nicht Partitionstypen. Das bedeutet, dass der
Anfang der Platte mit Dateiinhalten überschrieben wurde. Es ist
naheliegend anzunehmen, dass daran auch die MFT ursprünglich gestorben ist.

Gefühlt würde ich sagen, da hat irgendein Treiber Modulo 2^n
geschrieben. Das wäre dann die Kategorie kann wieder passieren.
Ungeeignete USB Adapter sind ein potentieller Kandidat.
Post by Kay Martinen
Dabei waren die Größenangaben aber so das nur die 2. und 3. der
kompletten Disk entsprechen mögen. Die anderen waren deutlich kleiner.
Reiner Zufall.
Post by Kay Martinen
Frage: Hat es überhaupt noch irgendeinen Sinn da auf eine
Wiederherstellung der MFT zu hoffen, um die Daten von der Platte runter
holen zu können?
MFT? Nein. Aber einzelne Dateien bekommst Du vermutlich
wiederhergestellt. NTFS ist da recht hart im Nehmen. Nur die Dateinamen
sind vermutlich zu erheblichen Teilen verstorben.
Post by Kay Martinen
Oder ist diese Suche nach MFT-Einträgen jetzt schon hoffnungslos. In dem
fall muss ich mit dem Verlust von etlichen Gigabytes an Serien und
Filmen leben.
Wie gesagt, GetDataBack dürfte noch Dateien wiederherstellen können. Die
kostenlose Version reicht für eine komplette Analyse und vermutlich auch
zum wiederherstellen einzelner Dateien. Damit kann man ganz gut testen,
ob der Invest lohnt.


Marcel
Kay Martinen
2017-08-13 20:10:36 UTC
Permalink
Raw Message
Post by Marcel Mueller
Post by Kay Martinen
Ich hab eine Externe USB-Platte mit 2 TB die beim runterfahren von
Windows 7 HP offenbar beschrieben wurde ohne das ich es merkte. Das
Abmelden wollte nicht weiter gehen also half ich mit der powertaste
nach. Das war wohl ein Fehler. Aber wer ahnt auch das ein vorheriges
abbrechen eines kopierjobs doch NICHT abgebrochen wird und erst beim
runterfahren dann DOCH wieder läuft. So erkläre ich es mir jedenfalls
(=Scheiss Windoof)
Nach dem Neustart war die Platte RAW, der bootsektor defekt die MFT
nicht wiederherstellbar. Beim zweiten versuch mit chkdsk /F fand er
immerhin den reservebootsektor konnte die MFT aber dennoch nicht reparieren.
Jetzt ist die MFT jedenfalls endgültig überschrieben.
Wieso? Woraus schliesst du das die MFT überschrieben wurde?
Post by Marcel Mueller
Jetzt geht nur noch Undelete. Dabei geht die Ordnerstruktur oft
verloren. Außerdem kommen alte, längst gelöschte Dateiversionen wieder
zum Vorschein.
Das hilft dann vermutlich überhaupt nicht weiter weil die meisten
dateien 000x.ts oder 000x.mpg heißen. Denn die stammen alle von EasyVDR
oder meinem Receiver.
Post by Marcel Mueller
Post by Kay Martinen
Aber ich bin ehrlich gesagt nicht sicher OB und WAS es dabei macht, kann
oder Finden würde.
Ob Testdisk das noch auf die Reihe bekommt, wäre zu klären. Jetzt da es
schon läuft, kannst Du es ja abwarten.
Wenn ich im endeffekt nur etliche hundert ordner zurück bekomme in denen
0001.ts und 0002.ts verteilt sind, ohne die filmnamen der übergeordneten
ordner dann ist das auch kein großer Fortschritt.
Post by Marcel Mueller
Das ist normalerweise ein Fall für GetDataBack. Wenn es was bei NTFS zu
retten gibt, wird es damit gehen. Der Spaß kostet dich AFAIK einen
hunderter Lehrgeld.
... die ich dann wohl in ein Backup stecken sollte, oder? ;)
Post by Marcel Mueller
Oder aber Du verabschiedest dich final von den Daten und formatierst die
Platte.
Ja. Ich schwanke noch ob es sinn macht den überhaupt die nacht durch
laufen zu lassen.
Post by Marcel Mueller
Post by Kay Martinen
Ärgerlicherweise hab ich es möglicherweise sogar noch schlimmer gemacht,
denn zuletzt zeigte testdisk als auswählbare partitionen auf dieser
Platte gleich 4 an. Die erst soll Novell-type sein, die zweite OS/2
Bootmanager, die dritte Sys 6d und eine vierte die IMHO sys 6e war.
Das sind Buchstaben und nicht Partitionstypen. Das bedeutet, dass der
Anfang der Platte mit Dateiinhalten überschrieben wurde. Es ist
naheliegend anzunehmen, dass daran auch die MFT ursprünglich gestorben ist.
Gefühlt würde ich sagen, da hat irgendein Treiber Modulo 2^n
geschrieben. Das wäre dann die Kategorie kann wieder passieren.
Ungeeignete USB Adapter sind ein potentieller Kandidat.
Die Abfolge war ja so:

- Kopieren von 22GB auf diese Platte gestartet.
- Dauer normalerweise ca. 5 minuten oder etwas mehr (GbE)
- Dialog "Kopieren vorbereiten" zeigt Berechnen... über etliche minuten.
- Abbrechen geklickt, Fenster schließt sich nicht. Minuten gewartet.
- Task Manager, Task Beenden. Fenster schließt sich nicht. Minuten
gewartet.
- Neustart gewählt, Runterfahrend...
- Abmelden bleibt stehen und kommt nicht weiter. Minuten gewartet.
- Powertaste 4 sek.

Und offenbar ist irgendwo zwischen dem letzten Schritt und dem Abbrechen
das kopieren gestartet worden - ohne das die UI das noch angezeigt hätte.

Da würde ich "gefühlt" annehmen das es die Kombination aus "Ist halt
WinBLÖD" und mir offenbar zu ungeduldigem User (für ein Schläfriges OS)
war.

Was auch die Kategorie kann wieder passieren wäre, aber wohl nicht an
Treiber oder USB-Adapter liegen dürfte. Wäre mir als Erklärung nat.
lieber, weil ich dann die Platte im Gehäuse lassen kann. IN den
Mediaserver passt sie aktuell nicht rein. Kein Port frei und kein
Montageplatz.
Post by Marcel Mueller
Post by Kay Martinen
Frage: Hat es überhaupt noch irgendeinen Sinn da auf eine
Wiederherstellung der MFT zu hoffen, um die Daten von der Platte runter
holen zu können?
MFT? Nein. Aber einzelne Dateien bekommst Du vermutlich
wiederhergestellt. NTFS ist da recht hart im Nehmen. Nur die Dateinamen
sind vermutlich zu erheblichen Teilen verstorben.
Und die Ordnernamen oder? Dann hat es keinen Sinn wie oben gesagt.
Post by Marcel Mueller
Post by Kay Martinen
Oder ist diese Suche nach MFT-Einträgen jetzt schon hoffnungslos. In dem
fall muss ich mit dem Verlust von etlichen Gigabytes an Serien und
Filmen leben.
Wie gesagt, GetDataBack dürfte noch Dateien wiederherstellen können. Die
kostenlose Version reicht für eine komplette Analyse und vermutlich auch
zum wiederherstellen einzelner Dateien. Damit kann man ganz gut testen,
ob der Invest lohnt.
Die kostenlose stellt nur eine bestimmte Zahl dateien wieder her? Wenn
das nur 1-100 sind und die auswahl nicht möglich ist dann hat das auch
keinen Zweck. Zu teuer wäre es außerdem.

Kay
Marcel Mueller
2017-08-15 01:04:46 UTC
Permalink
Raw Message
Post by Kay Martinen
Post by Marcel Mueller
MFT? Nein. Aber einzelne Dateien bekommst Du vermutlich
wiederhergestellt. NTFS ist da recht hart im Nehmen. Nur die
Dateinamen sind vermutlich zu erheblichen Teilen verstorben.
Und die Ordnernamen oder? Dann hat es keinen Sinn wie oben gesagt.
Schwer zu sagen. Da NTFS kleine Files und Ordner direkt in der MFT
speichert, ist es schwer vorhersagbar, was da noch wo rumgammelt. Wenn
es nicht die ganze MFT geschreddert hat, findet GetDataBack die Brocken
wieder.
Die Frage ist halt, was chkdsk/f gemacht hat. Normalerweise liest es,
was es verstanden hat und schreibt das Ergebnis dann (konsistent)
zurück. Und wenn es nichts verstanden hat, schreibt es halt eine leere
Partition zurück. Natürlich nicht alle Blöcke, aber die
Verwaltungsstrukturen, wie Free Space Bitmap und $MFT.
Post by Kay Martinen
Post by Marcel Mueller
Wie gesagt, GetDataBack dürfte noch Dateien wiederherstellen können.
Die kostenlose Version reicht für eine komplette Analyse und
vermutlich auch zum wiederherstellen einzelner Dateien. Damit kann man
ganz gut testen, ob der Invest lohnt.
Die kostenlose stellt nur eine bestimmte Zahl dateien wieder her? Wenn
das nur 1-100 sind und die auswahl nicht möglich ist dann hat das auch
keinen Zweck. Zu teuer wäre es außerdem.
AFAIK gibt es kein Limit. Aber es fehlt der Batch Mode. Du musst jede
Datei einzeln anklicken und auf einem anderen Datenträger speichern. Das
ist recht mühsam.


Marcel
Kay Martinen
2017-08-15 21:53:39 UTC
Permalink
Raw Message
Post by Marcel Mueller
Post by Kay Martinen
Ich hab eine Externe USB-Platte mit 2 TB die beim runterfahren von
Windows 7 HP offenbar beschrieben wurde ohne das ich es merkte. Das
Abmelden wollte nicht weiter gehen also half ich mit der powertaste
nach. Das war wohl ein Fehler. Aber wer ahnt auch das ein vorheriges
abbrechen eines kopierjobs doch NICHT abgebrochen wird und erst beim
runterfahren dann DOCH wieder läuft. So erkläre ich es mir jedenfalls
...
Post by Marcel Mueller
Anfang der Platte mit Dateiinhalten überschrieben wurde. Es ist
naheliegend anzunehmen, dass daran auch die MFT ursprünglich gestorben ist.
Gefühlt würde ich sagen, da hat irgendein Treiber Modulo 2^n
geschrieben. Das wäre dann die Kategorie kann wieder passieren.
Ungeeignete USB Adapter sind ein potentieller Kandidat.
Ich habe die Platte nun mal an einer Linux-Box und nach dem Adapter
gesucht. Es ist lt. lsusb ein

14cd:6116 Super Top M6116 SATA Bridge

und zumindest in einem Raspi Forum und einem von Fedora gibt es berichte
über korrumpierte Dateisysteme. Du könntest als mit deinem Verdacht doch
richtig liegen. Denmach wäre es nur eine Frage der Zeit gewesen wann das
hier passiert wäre. Die Platte ist übrigens lt. hdparm -I

Model Number: Hitachi HUA722020ALA331
Serial Number: YBKK0TAF
Firmware Revision: JKAOA3NH

mit hdparm -i bekomme ich hingegen keine infos, nur eine Fehlermeldung.

mediabox # hdparm -i /dev/sdc

/dev/sdc:
HDIO_GET_IDENTITY failed: Invalid argument

Was mag das bedeuten?

Jedenfalls sieht es so aus als wäre es besser einen Extra Controller in
die Kiste zu pflanzen und die Platte daran intern zu betreiben - oder
gleich ein anderes System auf setzen (nur eine weitere Überlegung...)
mit mehr platz für Platten.

Smartmon liefert über den adapter auch keine daten, weder mit dem
empfohlenen -d sat noch mit dem offenbar alten -d usbcypress. Was evtl.
daran liegt das die Platte nicht in der smartmon datenbank enthalten
ist. Mit -T permissive kommen zwar daten aber ich zweifele ob die
vertrauenswürdig sind.

Jedenfalls werde ich sie dann wohl mit ext4 formatieren und intern
verwenden.

Kay

Kay
Shinji Ikari
2017-08-13 20:05:37 UTC
Permalink
Raw Message
Guten Tag

Nachdem Du nun in diversen Versuchen anscheinend mindestens einmal auf
die Platte hast schreiben lassen zuerst ein gut gemeinter Rate:
Wenn Du Dtaen retten wilst: nicht auf die beschaedigte Platte
schreiben.

Und wenn Es Dir nun um Datenrettung geht: Ich nutze gerne
GetDataBack for NTFS
oder FAT
(Die ebenfalls eiti einiger Zeit angebotete Simple-Verion kenne ich
nicht).
In solchen (von Dir beschreibenen Faellen) ahtte ich schon viele Daten
damit auslesen koennen.
Aber erstens kostet es etwas und zweitens braucht man dafuer Zeit und
zusaetzliche Plattenkapazitaet, da man die ausgelesenen Daten ja
irgendwo hin kopieren will (NICHT AUF DEN URSPRUNGSDATENTRAEGER!).

https://www.runtime.org/data-recovery-software.htm
Kay Martinen
2017-08-13 20:20:19 UTC
Permalink
Raw Message
Post by Shinji Ikari
Guten Tag
Nachdem Du nun in diversen Versuchen anscheinend mindestens einmal auf
Wenn Du Dtaen retten wilst: nicht auf die beschaedigte Platte
schreiben.
Ich weiß und ich hab versucht das zu vermeiden. Und chkdsk brach ja ab,
schrieb also auch nichts. Testdisk kenne ich noch nicht, aber lt. dessen
meldungen kann es nur einen bootsektor geschrieben haben. Ob es eine
partitionstabelle schrieb kann ich aber nicht sicher ausschliessen.

Vermutlich hängt aber der Start der MFT an der Partitionstabelle, oder?
Post by Shinji Ikari
Und wenn Es Dir nun um Datenrettung geht: Ich nutze gerne
GetDataBack for NTFS
oder FAT
In solchen (von Dir beschreibenen Faellen) ahtte ich schon viele Daten
damit auslesen koennen.
Aber erstens kostet es etwas und zweitens braucht man dafuer Zeit und
zusaetzliche Plattenkapazitaet, da man die ausgelesenen Daten ja
irgendwo hin kopieren will (NICHT AUF DEN URSPRUNGSDATENTRAEGER!).
Verstehe ich das Richtig, dieses Programm kann man runter laden, es
analysiert, zeigt an was es gefunden hat und lässt einen in die dateien
rein schauen... aber diese von dort runter kopieren funktioniert erst
wenn man eine lizenz bezahlt und in das offene programm eintrug?

Das würde ich gern vorher wissen weil die Seite mir das nicht deutlich
genug sagt.

Kay
Shinji Ikari
2017-08-13 21:02:07 UTC
Permalink
Raw Message
Guten Tag
Post by Kay Martinen
Post by Shinji Ikari
Und wenn Es Dir nun um Datenrettung geht: Ich nutze gerne
GetDataBack for NTFS
oder FAT
Aber erstens kostet es etwas und zweitens braucht man dafuer Zeit und
zusaetzliche Plattenkapazitaet, da man die ausgelesenen Daten ja
irgendwo hin kopieren will (NICHT AUF DEN URSPRUNGSDATENTRAEGER!).
Verstehe ich das Richtig, dieses Programm kann man runter laden, es
analysiert, zeigt an was es gefunden hat und lässt einen in die dateien
rein schauen...
Wenn ich mich richtig erinneere, kann man mit der Kostenlosen vresioon
analysieren ob es ueberhaupt etwas bringt. ich glaube man kann auch
eine oder wenige Dateien kopieren.
Wenn man mehr will, ist eben der Registrierungskey notwenig.
Ich habe vor etlichen Jahren einen key gekauft und bis heute nicht
bereut. Bekannte kommen ab und zu zu mir, wenn sie Probleme mit PC
haben. Bishger konnte ich mit den beiden Versionen fuer FAT und NTFS
bei betroffenen HDDs unter WIndows und auch schon bei USB-Sticks damit
den ueberwiegenden Teil der Dateien retten.
Und es war erheblich billiger als damals meien Ontrack Recovery
Personal Lizenz.
Post by Kay Martinen
Das würde ich gern vorher wissen weil die Seite mir das nicht deutlich
genug sagt.
Ist leider schon sehr lange her, dass ich es kostenlos genutzt hatte.
Soweit ich mich erinnere:
Analysieren; ja
Eine Datei retten/kopieren: ja.
Wioeviele man mit der kostenlosen version retten kann: habe ich nicht
mehr in Erinnerung.
Aufgrund einer grossen Menge und erforderlichen Ordnerstruktur habe
ich dann recht schnell die Lizenz erworben.
Kay Martinen
2017-08-15 09:44:13 UTC
Permalink
Raw Message
Post by Shinji Ikari
Guten Tag
Post by Kay Martinen
Post by Shinji Ikari
Und wenn Es Dir nun um Datenrettung geht: Ich nutze gerne
GetDataBack for NTFS
Aber erstens kostet es etwas und zweitens braucht man dafuer Zeit und
zusaetzliche Plattenkapazitaet, da man die ausgelesenen Daten ja
irgendwo hin kopieren will (NICHT AUF DEN URSPRUNGSDATENTRAEGER!).
1. Problem. Platte ist recht voll und mir fehlen weitere 2 TB Platz
<irgendwo>
Post by Shinji Ikari
Post by Kay Martinen
Verstehe ich das Richtig, dieses Programm kann man runter laden, es
analysiert, zeigt an was es gefunden hat und lässt einen in die dateien
rein schauen...
Wenn ich mich richtig erinneere, kann man mit der Kostenlosen vresioon
analysieren ob es ueberhaupt etwas bringt.
Post by Kay Martinen
Das würde ich gern vorher wissen weil die Seite mir das nicht deutlich
genug sagt.
Ist leider schon sehr lange her, dass ich es kostenlos genutzt hatte.
Analysieren; ja
Eine Datei retten/kopieren: ja.
Wioeviele man mit der kostenlosen version retten kann: habe ich nicht
mehr in Erinnerung.
Aufgrund einer grossen Menge und erforderlichen Ordnerstruktur habe
ich dann recht schnell die Lizenz erworben.
Sieht nicht so aus als könne das auch nur eine datei retten - in der
simple und unlizensiert. Allerdings findet es nahezu alle dateien die
mir wichtig wären. Nur die 79 Dollar sind ein problem und auch das ich
weder Kreditkarte noch Paypal nutze.

Fakt scheint aber, es ist was da und es kann was gerettet werden.
Derzeit wuselt partition recovery von sysinternals einen quick scan ab.
Seit ca. 9 Std und ist bei der hälfte. NTFS-recovery von dort macht
anscheinend das gleiche, sieht jedenfalls so aus.

Aber der Punkt ist, offenbar KANN man auch ohne funktionierenden
bootsektor die files samt ordner finden wie Get data back zeigt. Nur
welches Tool kann das gleiche und ist evtl. opensource?

Irgendwie scheinen diese Produkte alle "recovery" zu heißen - weigern
sich aber schlicht einfach Bootsektor, partitionstabelle und MFT zu
restaurieren und die Platte damit wieder nativ benutzbar zu machen.
Damit gehen sie für mich in die gleiche richtung wie
Verschlüsselungstrojaner die dann lösegeld fordern.

Das wäre mir der idealfall. Dann könnte ich per Explorer die
dateien/ordner auf verschiedene platten verteilen - was derzeit die
einzige möglichkeit ist die leer zu bekommen um sie neu zu formatieren.

Kay
Shinji Ikari
2017-08-15 10:35:37 UTC
Permalink
Raw Message
Guten Tag
Post by Kay Martinen
Post by Shinji Ikari
Post by Shinji Ikari
GetDataBack for NTFS
Aber erstens kostet es etwas und zweitens braucht man dafuer Zeit und
zusaetzliche Plattenkapazitaet, da man die ausgelesenen Daten ja
irgendwo hin kopieren will (NICHT AUF DEN URSPRUNGSDATENTRAEGER!).
1. Problem. Platte ist recht voll und mir fehlen weitere 2 TB Platz
<irgendwo>
Wenn Du den Weg gehen willst, wirst Du einen annaehernd grossen freien
Platz auf einem Medium haben muessen.
Post by Kay Martinen
Post by Shinji Ikari
Aufgrund einer grossen Menge und erforderlichen Ordnerstruktur habe
ich dann recht schnell die Lizenz erworben.
Sieht nicht so aus als könne das auch nur eine datei retten - in der
simple und unlizensiert. Allerdings findet es nahezu alle dateien die
mir wichtig wären. Nur die 79 Dollar sind ein problem und auch das ich
weder Kreditkarte noch Paypal nutze.
Dann eben nicht, Dann wirst Du eine andere Alternative finden muessen
oder die Daten aufgeben.
Post by Kay Martinen
Aber der Punkt ist, offenbar KANN man auch ohne funktionierenden
bootsektor die files samt ordner finden wie Get data back zeigt.
Ja, solange man nicht weitergehend auf dem Datentraeger herumschreibt,
kann man dann meist noch die Dateien finden und entsprechende
Sopftware kann dann auch meist die folgenden Bloecke korrekt zusammen
suchen.
Post by Kay Martinen
Nur
welches Tool kann das gleiche und ist evtl. opensource?
Mit fallen da diverse Toold aus der PC INSPECTOR Serie ein.
http://www.pcinspector.de/
Aber da ich andere Tools und Backups habe wirst Du Dich da selber
'durchsuchen' muessen.
Post by Kay Martinen
Irgendwie scheinen diese Produkte alle "recovery" zu heißen - weigern
sich aber schlicht einfach Bootsektor, partitionstabelle und MFT zu
restaurieren und die Platte damit wieder nativ benutzbar zu machen.
Das ist bei Datenrettung auch nicht wirklich der sinnvollste Weg, da
man dabei ja auch die Quelle schreibt und falls es doch felschlaegt
werden weitere Datenrettungen ggf. negativ beeinflusst.
Post by Kay Martinen
Damit gehen sie für mich in die gleiche richtung wie
Verschlüsselungstrojaner die dann lösegeld fordern.
Wenn Dir die Loesungen nicht gefallen, musst Du sie ja nicht nutzen.
Sie aber mit boeswilliger Erpressungssoftware und kriminellen
Absichten zusammen zu nennen sehe ich schon als nicht korrekt an.
Kay Martinen
2017-08-15 17:06:22 UTC
Permalink
Raw Message
Post by Shinji Ikari
Guten Tag
Post by Kay Martinen
Post by Shinji Ikari
Post by Shinji Ikari
GetDataBack for NTFS
irgendwo hin kopieren will (NICHT AUF DEN URSPRUNGSDATENTRAEGER!).
1. Problem. Platte ist recht voll und mir fehlen weitere 2 TB Platz
<irgendwo>
Wenn Du den Weg gehen willst, wirst Du einen annaehernd grossen freien
Platz auf einem Medium haben muessen.
Der Platz wäre schon da, nur nicht am Stück und auf einer Disk. Ich
müsste das halt auf eine Interne eines anderen PC und meinen
Backup-Server mit Raid 5 und LVM verteilen. Da allein das Kopieren
stunden dauern würde suche ich ja eben eine Reparatur-möglichkeit damit
ich von ordner zu ordner kopieren/verschieben kann - aber eben Host-Host
via GbE-LAN.
Post by Shinji Ikari
Post by Kay Martinen
Post by Shinji Ikari
Aufgrund einer grossen Menge und erforderlichen Ordnerstruktur habe
ich dann recht schnell die Lizenz erworben.
Sieht nicht so aus als könne das auch nur eine datei retten - in der
simple und unlizensiert. Allerdings findet es nahezu alle dateien die
mir wichtig wären. Nur die 79 Dollar sind ein problem und auch das ich
weder Kreditkarte noch Paypal nutze.
Dann eben nicht, Dann wirst Du eine andere Alternative finden muessen
oder die Daten aufgeben.
Eine Alternative läuft derzeit, seit 17 Std und meldet bisher ca. 480
Ordner und 4300 gefundene Dateien...
Was am Ende heraus kommt, weiß ich noch nicht.
Post by Shinji Ikari
Post by Kay Martinen
Aber der Punkt ist, offenbar KANN man auch ohne funktionierenden
bootsektor die files samt ordner finden wie Get data back zeigt.
Ja, solange man nicht weitergehend auf dem Datentraeger herumschreibt,
kann man dann meist noch die Dateien finden und entsprechende
Sopftware kann dann auch meist die folgenden Bloecke korrekt zusammen
suchen.
Wenn Partition und MFT restauriert werden können, sollte da nicht
prinzipiell wieder alles in Ordnung sein?

Alternativ: Was ist ein Schreibversuch? Das setzen eines LastReadDatums,
das Löschen einer Verschobenen Datei?

Wenn das ein Problem ist dann bliebe nur Kopieren von einer READONLY
eingebundenen Platte. Geht das mit Windows überhaupt?
Post by Shinji Ikari
Post by Kay Martinen
Nur
welches Tool kann das gleiche und ist evtl. opensource?
Mit fallen da diverse Toold aus der PC INSPECTOR Serie ein.
http://www.pcinspector.de/
Aber da ich andere Tools und Backups habe wirst Du Dich da selber
'durchsuchen' muessen.
Ich schaue mal. Danke.
Post by Shinji Ikari
Post by Kay Martinen
Irgendwie scheinen diese Produkte alle "recovery" zu heißen - weigern
sich aber schlicht einfach Bootsektor, partitionstabelle und MFT zu
restaurieren und die Platte damit wieder nativ benutzbar zu machen.
Das ist bei Datenrettung auch nicht wirklich der sinnvollste Weg, da
man dabei ja auch die Quelle schreibt und falls es doch felschlaegt
werden weitere Datenrettungen ggf. negativ beeinflusst.
Nun, wenn man; wie unter Linux; das dateisystem readonly mounten könnte
wäre das nicht so das problem. Ich denke nur, unter Windows geht das
OotB nicht - außer bei optischen Datenträgern.

Voraussetzung wäre natürlich eine wieder intakt gesetzte Datenstruktur.
Post by Shinji Ikari
Post by Kay Martinen
Damit gehen sie für mich in die gleiche richtung wie
Verschlüsselungstrojaner die dann lösegeld fordern.
Sie aber mit boeswilliger Erpressungssoftware und kriminellen
Absichten zusammen zu nennen sehe ich schon als nicht korrekt an.
Ich meinte das nicht böse. Aber Rein Technisch sehe ich im
Vertriebskonzept dieser beiden Programmgattungen keinen großen
Unterschied. Ransomware macht es ohne dich zu fragen und fordert geld
und du weißt nicht ob du am Ende deine Daten wieder hast. Und diese
Tools Drehen es nur um, Zeigen dir erst was sie fanden, aber deine Daten
bekommst du doch nur gegen Lösegeld (hier Productkey/Lizenz) wieder.

Mir ist schon klar das die damit Geld verdienen wollen/Müssen. Und das
sollen sie ja meinetwegen auch. Ich find den Preis auch zu hoch, für ein
Tool das ich "hoffentlich" nur einmal brauche. Für den Preis "hätte" ich
eine zweite Platte anschaffen können. Werde ich evtl. entgegen meinen
Plänen doch noch müssen (S.o.)

Vielleicht irre ich da weil ich solche Tools nie brauchte, aber wenn so
ein Tool es am Ende nicht schafft den Datenträger wieder dauerhaft zu
restaurieren und letzlich nur ein image erstellen mag oder IM Programm
das Kopieren der gefundenen Daten möglich ist dann kann man das nicht
reparatur oder Recovery nennen. Es ist eher ein Temporär Zugang
Gewährendes Tool. Einerseits stößt mir dieses Prinzip sauer auf,
andererseits sehe ich natürlich auch das Geschäftsprinzip dahinter stehen.

Erweckt eben alles den Anschein als ob NTFS super einfach zu reparieren
wäre, aber im Ergebniss wirkt es doch eher wie Raketenwissenschaft.

Kay
Shinji Ikari
2017-08-15 17:40:22 UTC
Permalink
Raw Message
Guten Tag
Post by Kay Martinen
Post by Shinji Ikari
Post by Kay Martinen
Post by Shinji Ikari
GetDataBack for NTFS
Da allein das Kopieren
stunden dauern würde suche ich ja eben eine Reparatur-möglichkeit damit
ich von ordner zu ordner kopieren/verschieben kann - aber eben Host-Host
via GbE-LAN.
Ich kann bei GDB die zu wiederherstellenden Verzeichnisse waehlen und
ueber LAN auf eine Laufwerk per Netzwerkfreigabe (Windows/SMB)
kopieren.
Und wenn das durch ist, kann ich beispielsweise andeer Verzeichnisse
waehlen und diese ebenfalls irgendwo hin kopieren.
Post by Kay Martinen
Post by Shinji Ikari
Post by Kay Martinen
Nur die 79 Dollar sind ein problem und auch das ich
weder Kreditkarte noch Paypal nutze.
Dann eben nicht, Dann wirst Du eine andere Alternative finden muessen
oder die Daten aufgeben.
Eine Alternative läuft derzeit, seit 17 Std und meldet bisher ca. 480
Ordner und 4300 gefundene Dateien...
Was am Ende heraus kommt, weiß ich noch nicht.
Ich weiss nicht, wie gross Deine Quell-HDD ist, aber eine Seagate
Archive 8TB HDD liess sich problemlos linear in rund 12h voll
schreiben. 17h allein fuer die Suche/analyse ist schon eine Hausmarke.
Viel Erfolg.
Post by Kay Martinen
Post by Shinji Ikari
Ja, solange man nicht weitergehend auf dem Datentraeger herumschreibt,
kann man dann meist noch die Dateien finden und entsprechende
Sopftware kann dann auch meist die folgenden Bloecke korrekt zusammen
suchen.
Wenn Partition und MFT restauriert werden können, sollte da nicht
prinzipiell wieder alles in Ordnung sein?
Ja, aber das ist eben weniger gewuenscht, weil eben ein Fehlversuch
mehr Schaden anrichten kann.
Post by Kay Martinen
Alternativ: Was ist ein Schreibversuch? Das setzen eines LastReadDatums,
das Löschen einer Verschobenen Datei?
Schreiben wuerde ich groib so bezeichnen= Bits auf dem Datentraeger
gezielt veraendern.
Welche Bits ist dabei egal, vor allem, wenn man nicht weiss, ob
Shreibvorgaenge auf diesem oder jenem Sektor nicht vielleicht genau
die Bits betreffen, die man eigentlich retten wollte, da die Platte/OS
in Deinem nicht genau weiss, wo die Daten waren.
Post by Kay Martinen
Post by Shinji Ikari
Das ist bei Datenrettung auch nicht wirklich der sinnvollste Weg, da
man dabei ja auch die Quelle schreibt und falls es doch felschlaegt
werden weitere Datenrettungen ggf. negativ beeinflusst.
Nun, wenn man; wie unter Linux; das dateisystem readonly mounten könnte
wäre das nicht so das problem.
Tja, Du hast ja schon chkdsk /f untee Windows auf die Platte los
gelassen.
Post by Kay Martinen
Post by Shinji Ikari
Post by Kay Martinen
Damit gehen sie für mich in die gleiche richtung wie
Verschlüsselungstrojaner die dann lösegeld fordern.
Sie aber mit boeswilliger Erpressungssoftware und kriminellen
Absichten zusammen zu nennen sehe ich schon als nicht korrekt an.
Ich meinte das nicht böse. Aber Rein Technisch sehe ich im
Vertriebskonzept dieser beiden Programmgattungen keinen großen
Unterschied.
Die Ransomsoftware verbreitet sich selbst ggf. ueber Luecken um den
User zur Zahlung einer Kompensation zu nötigen.
Serioese Datenrettungssoftware zerstoert keine Platten mutwillig um
einem dann Geld abzupressen.
Post by Kay Martinen
Und diese
Tools Drehen es nur um,
Diese Tools (beispielsweis GDB) laesst dem user die Moeglichkeit zu
pruefen ob es etwas machen kann, selbst wenn User es selber
verschuldet hat. Niemand zwingt den user zu irgendetwas. Auch dem User
koennte das Prinzip des Backupkonzeotes bekannt sein.
Post by Kay Martinen
Zeigen dir erst was sie fanden, aber deine Daten
bekommst du doch nur gegen Lösegeld (hier Productkey/Lizenz) wieder.
Sie wollen fuer die Forschungsarbeit Geld haben ohne Zwang auszuueben.
Und ja, es gibt eben auch kostenlose Software. Ob sie so gut ist oder
nbicht kann man ja ausprobieren.
Bei einer in den letzten Zuegen liegenden HDD mag es aber sein, dass
die Experimente der Platte dann den Rest geben und evtl. nicht den
selben Erfolg haben, wie andere Software.
Auch aus dem Grund sollte man sowieso die Platte zuerst Sektorkopieren
und dann damit experimentieren.
Aber wenn Du schon keinen ausreichenden Platz fuer die zu rettenden
Daten an einem Stueck hast, ist die Kopie wohl auch ausgeschlossen.
Post by Kay Martinen
Mir ist schon klar das die damit Geld verdienen wollen/Müssen. Und das
sollen sie ja meinetwegen auch. Ich find den Preis auch zu hoch, für ein
Tool das ich "hoffentlich" nur einmal brauche.
Wenn ich sehe, wie wichtig mir die Dateien waren, die ich damit fuer
mich und spaeter auch Bekannte gerettet habe, war es ein Schnaeppchen,
obwohl ich damals sogar die NTFS- und FAT-Version erworben habe..
Post by Kay Martinen
Für den Preis "hätte" ich
eine zweite Platte anschaffen können. Werde ich evtl. entgegen meinen
Plänen doch noch müssen (S.o.)
Tja, dann kannst Du darauf spaeter zumindest das Backup ablegen, dass
bei wichtigen Daten sowieso sehr anzuraten ist.
Post by Kay Martinen
Vielleicht irre ich da weil ich solche Tools nie brauchte, aber wenn so
ein Tool es am Ende nicht schafft den Datenträger wieder dauerhaft zu
restaurieren und letzlich nur ein image erstellen mag oder IM Programm
das Kopieren der gefundenen Daten möglich ist dann kann man das nicht
reparatur oder Recovery nennen.
Ein Reperaturprogramm ist es nicht. Recorvery doch.
http://dict.leo.org/german-english/recovery
"...
recovery die Rückgewinnung
recovery die Wiederverwertung
recovery die Bergung..."
Post by Kay Martinen
Es ist eher ein Temporär Zugang
Gewährendes Tool. Einerseits stößt mir dieses Prinzip sauer auf,
Dann nutze keien solchen Tools.
Du kannst ja etwas besseres kreieren und nutzen.
Thorsten Albrecht
2017-09-11 10:05:27 UTC
Permalink
Raw Message
Post by Kay Martinen
Post by Shinji Ikari
Post by Kay Martinen
Damit gehen sie für mich in die gleiche richtung wie
Verschlüsselungstrojaner die dann lösegeld fordern.
Sie aber mit boeswilliger Erpressungssoftware und kriminellen
Absichten zusammen zu nennen sehe ich schon als nicht korrekt an.
Ich meinte das nicht böse. Aber Rein Technisch sehe ich im
Vertriebskonzept dieser beiden Programmgattungen keinen großen
Unterschied. Ransomware macht es ohne dich zu fragen und fordert geld
und du weißt nicht ob du am Ende deine Daten wieder hast. Und diese
Tools Drehen es nur um, Zeigen dir erst was sie fanden, aber deine Daten
bekommst du doch nur gegen Lösegeld (hier Productkey/Lizenz) wieder.
Du fändest es also besser, wenn sie Dir _nicht_ zeigen würden, welche
Daten sie finden würden? Ich finde diese Vorgehensweise total korrekt;
hier hast Du die Gewissheit, dass Du die Daten wieder bekommst. Bei
Ransomware hast Du sie nicht.

Ist auf jeden Fal eine ziemlich krude Sichtweise von Dir. Demnach
dürfte es nie "beschnittene" Software geben, also Software, wo die
wichtigste Funktion wie eine Abspeicherung oder Wiederherstellung vom
Kauf einer Lizenz abhängig gemacht wird.

Thorsten
Marcel Mueller
2017-08-15 17:02:13 UTC
Permalink
Raw Message
On 15.08.17 11.44, Kay Martinen wrote:
[GetDataBack]
Post by Kay Martinen
Sieht nicht so aus als könne das auch nur eine datei retten - in der
simple und unlizensiert.
Das ging früher über die Preview-Funktion. Da gab es irgendwo einen
Speichern unter Knopf. Es kann aber natürlich sein, dass sie die
Funktion ausgebaut haben.
Post by Kay Martinen
Aber der Punkt ist, offenbar KANN man auch ohne funktionierenden
bootsektor die files samt ordner finden wie Get data back zeigt. Nur
welches Tool kann das gleiche und ist evtl. opensource?
Keines.

In der Shareware-Klasse gibt es noch DFSEE. Das ist auch sehr mächtig.
Es ist allerdings weit davon entfernt, alles vollautomatisch zu
erledigen, wie GetDataBack es tut. Das Ding muss man definitiv bedienen
können.
Post by Kay Martinen
Irgendwie scheinen diese Produkte alle "recovery" zu heißen - weigern
sich aber schlicht einfach Bootsektor, partitionstabelle und MFT zu
restaurieren und die Platte damit wieder nativ benutzbar zu machen.
Damit gehen sie für mich in die gleiche richtung wie
Verschlüsselungstrojaner die dann lösegeld fordern.
Tja, irgendeiner muss die Entwickler für so etwas bezahlen. Ich mache es
nicht für dich. ;-)

Aber ein entscheidender Unterschied zum Erpressungstrojaner ist, dass Du
den Schaden vorher anderwärtig anrichten musst.


Marcel
Thorsten Albrecht
2017-09-11 09:52:13 UTC
Permalink
Raw Message
[zu GetDataBack for NTFS:]
Sieht nicht so aus als könne das auch nur eine datei retten - in der
simple und unlizensiert. Allerdings findet es nahezu alle dateien die
mir wichtig wären. Nur die 79 Dollar sind ein problem ...
Sei doch froh, dass es nicht 790,- oder 1790,- $ sind. Ein
professioneller Datenrettungsdienst würde Dir nämlich mindestens 1000€
dafür berechnen.
und auch das ich
weder Kreditkarte noch Paypal nutze.
Mögliche Alternativen sind vielleicht nach Absprache Western Union
oder eine Auslandsüberweisung der Hausbank, wenn man Paypal unbedingt
vermeiden möchte.

Thorsten
Oliver Wache
2017-09-09 13:45:20 UTC
Permalink
Raw Message
Post by Shinji Ikari
Und wenn Es Dir nun um Datenrettung geht: Ich nutze gerne
GetDataBack for NTFS
oder FAT
Ich habe letztens mit dem File Scavenger von
http://www.de.quetek.com
beste Erfahrungen gemacht. Ich kann es nur wärmstens empfehlen, den es
hat mir als einzigstens Programm meine Daten von einem NAS retten
können. Und das binnen Sekunden, wo andere Programme für die Analyse
schon Stunden brauchten. Den Preis für das Programm habe ich gerne
gezahlt.

CU, Oliver
Thorsten Albrecht
2017-09-11 09:56:08 UTC
Permalink
Raw Message
Post by Kay Martinen
Dann wollte ich mit Testdisk sehen ob was zu retten ist.
Probier doch Photorec vom selben Programmierer:
http://www.cgsecurity.org/wiki/PhotoRec

Das verzichtet auf eine Wiederherstellung der Partitionsinformationen
etc. und versucht einfach nur, die Daten zu retten. Da es readonly
arbeitet, kann man es problemlos testen.

Thorsten
Shinji Ikari
2017-09-11 10:37:15 UTC
Permalink
Raw Message
Guten Tag
Post by Thorsten Albrecht
Post by Kay Martinen
Dann wollte ich mit Testdisk sehen ob was zu retten ist.
http://www.cgsecurity.org/wiki/PhotoRec
Das verzichtet auf eine Wiederherstellung der Partitionsinformationen
etc. und versucht einfach nur, die Daten zu retten. Da es readonly
arbeitet, kann man es problemlos testen.
Das wuerde OP vermiutlich vor das selbe Problem stellen, welches in
Post by Thorsten Albrecht
Das hilft dann vermutlich überhaupt nicht weiter weil die meisten
dateien 000x.ts oder 000x.mpg heißen. Denn die stammen alle von
EasyVDR oder meinem Receiver.
zugrunde liegt.

Dann hat er zwar dutzene von solchen Dateien, weiss aber nicht, welche
in welcher Reihenfolge zu welcher anderen gehoert und welches Video es
ueberhaupt ist. 8)

Loading...