3 Partitionen Rätsel - nutzlose 32kb Dateien?

TestDisk benutzen um verlorene Partitionen wiederherzustellen
Post Reply
Message
Author
samthe2nd
Posts: 2
Joined: 18 Apr 2017, 14:08

3 Partitionen Rätsel - nutzlose 32kb Dateien?

#1 Post by samthe2nd » 18 Apr 2017, 16:24

Hallo Forenteilnehmer,

euer Rat ist mir viel Wert.

Für meinen HartzIV Nachbarn (autistischer Sohn) versuche ich eine Datenrettung von seiner 3TB WD 3,5 Zoll aus defektem Intenso Gehäuse (USB3.0).
Festplatte scheint nach allen HDTune Tests OK zu sein (Error Test, Smart, Benchmark). Inhalt sind unersetzbare Software und Familienerinnerungen vom
Vater des Kindes. Herzschmerz lass nach.

Mein System ist ein Windows 7 64bit PC. Die Softwarversion ist TestDisk_win.exe V7.0. Mit TestDisk habe ich bisher kaum Erfahrung gemacht.

Nach (nicht zum erstem Mal 3Tage warten) Deep Scan (mit Parameter "NONE") weiß ich jetzt nicht weiter:
ImageImage

Da mein Nachbar Windows Benutzer ist, frage ich mich warum HFS+ Partitionen gefunden wurden. Ich vermutete 3 NTFS oder FAT32(LBA) Partitionen.
Allerdings meinte er, es wäre nur eine Festplatte angezeigt worden. Das würde das Vorhandensein von Mac-Partitionen vielleicht bestätigen.
Allerdings, bekomme ich nur bei der Fat32 Partition die Möglichkeit "LIST FILES".

Weiß jemand Rat? Ich bin für alle Tipps, Beleidigungen wegen Fehlern und Unfähigkeit bereit.
Mit dem Backup-Image mache ich gerne einen Neuversuch nach Anleitung, allerdings habe ich schon die meisten guten Anleitungen getestet, die hier wohl nicht funktionieren.



Was bisher geschah:

Windows Datenträgerverwaltung zeigt folgendes an:
Image

Mit PhotoRec lies ich als erstes komplett den Datenträger auslesen (3 Tage lang).
PhotoRec fand 259GB and Dateien. Gute Ergebnisse bei Photos, aber Verzeichnissturkturen und Dateinamen verloren:
Image

Bei der Arbeit mit TestDisk (dem Wiederherstellungsbeispiel folgend) und
Parameter "Intel" fand ich die vermutliche 1.Partition. Allerdings war auch der Backup "BAD"

Ein Image.dd der ersten Partition sicherte ich separat vor irgendwelchen Änderungen und steht für einen Neuversuch bereit.
Die erste Partition scheint die wichtisten Dateien innezuhaben. Für eine Sicherung der kompletten HD fehlen mir 3TB Platz.

Was Mutti nicht wissen darf ist, dass ich mit RebuildBS und ?FAT Restore? experimentierte.
Als ich mit "FAT32LBA" Dateien angezeigt bekam wählte ich "WRITE".
Testweise erstellte ich eine zweite Partition nachdem mit Analyse(mehrere Std am SATA-Anschluss) und Deep Search nichts gefunden wurde.
(mit Parameter "Intel" laut Wiederherstellungsbeispiel) Erfolglos.
Die 32kb Dateien der "Wiederhergestellten" ersten Partition sind nutzlos, vermutlich habe ich mich bei "TYPE" vertan?
Image

So weit zur Vorgeschichte.

Die wichtigsten Logauszüge aus der neuesten TestDisk_win Prozedur mit Parameter "NONE":
(ewige Dateilisten habe ich gekürzt)

Code: Select all

Sun Apr 16 04:57:30 2017
Command line: TestDisk

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Windows 7 (7601) SP1
Compiler: GCC 4.8, Cygwin 1007.34
Compilation date: 2015-04-18T13:01:55
ext2fs lib: 1.42.8, ntfs lib: 10:0:0, reiserfs lib: 0.3.1-rc8, ewf lib: 20120504, curses lib: ncurses 5.9
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sda)=250059350016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdb)=3000592982016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=250059350016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=3000592982016
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C:)=249952206848
filewin32_getfilesize(\\.\D:) GetFileSize err Unzulässige Funktion.

filewin32_setfilepointer(\\.\D:) SetFilePointer err Unzulässige Funktion.

Warning: can't get size for \\.\D:
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\E:)=375072636928
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\F:)=2199023255040
Hard disk list
Disk /dev/sda - 250 GB / 232 GiB - CHS 30401 255 63, sector size=512
Disk /dev/sdb - 3000 GB / 2794 GiB - CHS 364801 255 63, sector size=512
Drive C: - 249 GB / 232 GiB - CHS 30388 255 63, sector size=512
Drive E: - 375 GB / 349 GiB - CHS 45599 255 63, sector size=512
Drive F: - 2199 GB / 2047 GiB - CHS 267349 255 63, sector size=512

Partition table type (auto): Intel
Disk /dev/sdb - 3000 GB / 2794 GiB
Partition table type: None

Analyse Disk /dev/sdb - 3000 GB / 2794 GiB - CHS 364801 255 63
Current partition structure:
   P Unknown                  0   0  1 364801  80 63 5860533168

search_part()
Disk /dev/sdb - 3000 GB / 2794 GiB - CHS 364801 255 63
FAT32 at 0/4/5
FAT1 : 2048-91463
FAT2 : 91464-180879
start_rootdir : 181072 root cluster : 5
Data : 180880-732563727
sectors : 732563744
cluster_size : 64
no_of_cluster : 11443482 (2 - 11443483)
fat_length 89416 calculated 89403
set_FAT_info: name from BS used

FAT32 at 0/4/5
     FAT32                    0   4  5 45599 254 63  732563744
     FAT32, blocksize=32768, 375 GB / 349 GiB
check_FAT: Bad number of sectors per cluster

SYSV4 Marker at 58074/197/51

recover_sysv4
     SysV 4               58074 197 51 58074 197 50          0 [}Âî¼ü~]
     SysV4, 0 B
Partition not added.
check_FAT: Bad number of sectors per cluster

HFS+ magic value at 88710/190/37

HFS+ magic value at 88710/190/37
part_size 7262976
     HFS+                 88710 190 37 89162 215 57    7262976
     HFS+ blocksize=4096 + Backup, 3718 MB / 3546 MiB

HFS+ magic value at 89163/0/6

HFS+ magic value at 89163/0/6
part_size 8034920
     HFS+                 89163   0  6 89663  38 31    8034920
     HFS+ blocksize=4096 + Backup, 4113 MB / 3923 MiB
check_FAT: Bad number of sectors per cluster

LVM magic value at 106929/22/47
file_pread(5,1,buffer,1565565872(364801/81/1)) ReadFile Das Laufwerk kann den angeforderten Sektor nicht finden.

file_pread(5,1,buffer,1565565873(364801/81/2)) lseek err Invalid argument
file_pread(5,1,buffer,1565565874(364801/81/3)) lseek err Invalid argument
file_pread(5,1,buffer,1565565875(364801/81/4)) lseek err Invalid argument
(........)
file_pread(5,1,buffer,1565566008(364801/83/11)) lseek err Invalid argument
file_pread(5,1,buffer,1565567921(364801/113/34)) lseek err Invalid argument

Results
   P FAT32                    0   4  5 45599 254 63  732563744
     FAT32, blocksize=32768, 375 GB / 349 GiB
   P HFS+                 88710 190 37 89162 215 57    7262976
     HFS+ blocksize=4096 + Backup, 3718 MB / 3546 MiB
   P HFS+                 89163   0  6 89663  38 31    8034920
     HFS+ blocksize=4096 + Backup, 4113 MB / 3923 MiB


dir_partition inode=0
   P FAT32                    0   4  5 45599 254 63  732563744
     FAT32, blocksize=32768, 375 GB / 349 GiB
FAT: cluster=5(0x5), pos=181328
Directory /
    1194 drwxr-xr-x     0      0         0  2-Apr-2017 17:50 FOUND.000
    1204 drwxr-xr-x     0      0         0  5-Apr-2017 05:08 FOUND.001
X     24 drwxr-xr-x     0      0    262144 27-Dec-2016 15:49 MSI9d316.tmp
(........)
X    214 drwxr-xr-x     0      0     32768 12-Apr-2017 13:46 MSId2ee2.tmp
X    214 drwxr-xr-x     0      0     32768 12-Apr-2017 22:11 MSIbfe5.tmp
X    214 drwxr-xr-x     0      0     32768 12-Apr-2017 22:13 MSIbff0.tmp
X    214 drwxr-xr-x     0      0     32768 12-Apr-2017 22:15 MSIbff7.tmp

dir_partition inode=1194
   P FAT32                    0   4  5 45599 254 63  732563744
     FAT32, blocksize=32768, 375 GB / 349 GiB
FAT: cluster=1194(0x4aa), pos=257424
FAT: cluster=1195(0x4ab), pos=257488
FAT: cluster=1196(0x4ac), pos=257552
FAT: cluster=1197(0x4ad), pos=257616
FAT: cluster=1198(0x4ae), pos=257680
FAT: cluster=1199(0x4af), pos=257744
FAT: cluster=1200(0x4b0), pos=257808
FAT: cluster=1201(0x4b1), pos=257872
FAT: cluster=1202(0x4b2), pos=257936
FAT: cluster=1203(0x4b3), pos=258000
Directory /FOUND.000
    1194 drwxr-xr-x     0      0         0  2-Apr-2017 17:50 .
       0 drwxr-xr-x     0      0         0  2-Apr-2017 17:50 ..
       2 -rwxr-xr-x     0      0     32768  2-Apr-2017 17:50 FILE0000.CHK
       3 -rwxr-xr-x     0      0     32768  2-Apr-2017 17:50 FILE0001.CHK
       4 -rwxr-xr-x     0      0     32768  2-Apr-2017 17:50 FILE0002.CHK
       6 -rwxr-xr-x     0      0    131072  2-Apr-2017 17:50 FILE0003.CHK
(.......)

Sponsored links

Post Reply

Who is online

Users browsing this forum: No registered users and 2 guests