NTFS Partition wiederherstellen

TestDisk benutzen um das Dateisystem zu reparieren
Forum rules
Your help is welcome: there are currently few answers or none to most message posted in the German forum!
If you want to post a request for help, please consider using the English forum.
Locked
Message
Author
Zedar
Posts: 6
Joined: 07 Jan 2016, 16:55

NTFS Partition wiederherstellen

#1 Post by Zedar »

Hallo,

ich habe ein Problem mit meiner Samsung 1TB Festplatte die als zweite Festplatte und als Datenplatte ohne Betriebssystem genutzt wurde.

Vor kurzem wollte ich ein installer Image von Arch Linux unter Linux auf einen USB-stick kopieren und verwechselte fatalerweise die Laufwerksbezeichnung. Statt /dev/sdf gab ich /dev/sdb ein und so landete das Image auf der Festplatte. Leider kann ich seitdem die Platte nicht mehr ordentlich einbinden. Testdisk schaffte es zwar die Partition mit dem Bootsektor Backup wiederherzustellen, allerdings kann ich sie weder unter Linux noch unter Windows 7 einbinden.

Unter Windows wird sie als RAW angezeigt.

Meine bisherige Vorgehensweise:

Testdisk gestartet und dem Wiki gefolgt, also zuerst Analyse danach Deeper Search. Die Partition wurde grün unterlegt angezeigt und die Daten waren auflistbar. Ich habe es als Primäre, bootbare Partition angegeben. Dann den Bootsektor wiederhergestellt. Leider kann ich die Platte noch immer nicht einbinden. Außerdem ist mir aufgefallen das die Reihenfolge der Festplatten verändert ist. /dev/sda (also C:) wird in Testdisk als /dev/sda angezeigt. Hat das was mit dem Bootflag zu tun?

Ich kann die Platte theoretisch klonen, da ich noch an die Daten komme, habe aber etwas Angst vor Datenverlust weil es auf eine externe Platte gehen würde. Vielleicht weiß ja noch jemand was was ich noch probieren könnte.

Schon mal Danke für die Mühen im Voraus. Hier noch ein paar Screenshots.
DatenträgerWin.PNG
DatenträgerWin.PNG (76.35 KiB) Viewed 6752 times
Datenträgerverwaltung von Windows
Quicksearch.PNG
Quicksearch.PNG (42.77 KiB) Viewed 6752 times
Ergebnis nach QuickSearch, DeeperSearch schon in einer vorherigen Sitzung gelaufen
Testdisk1.PNG
Testdisk1.PNG (39.75 KiB) Viewed 6752 times
Die Plattenreihenfolge ist jetzt verändert. Früher war /dev/sda /dev/sdb und umgekehrt.

User avatar
Fiona
Posts: 2835
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: NTFS Partition wiederherstellen

#2 Post by Fiona »

Setze mir mal einen Screenshot von TestDisk / Advanced (nicht Analyse) und Boot.
Lasse im Fall auch RebuildBS laufen und teile mit ob der extrapolated boot sector zum original unterschiedlich ist?
Ansonsten weist es auf ein beschädigtes Dateisystem hin.
Bevor du die Diagnose über das Menü Advanced machst und eine neue Logdatei erstellst, könntest du mir den Inhalt deiner letzten Diagnose von deiner testdisk.log kopieren und in deinen nächsten Post einfügen?
Möchte sehen on ich Hinweise über einen Fehler im Dateisystem finde.
Du bräuchtest deine Platte nicht klonen und kannst in TestDisk deine Daten direkt auf einer anderen Platte oder Partition kopieren.
Info würde folgen.

Fiona

Zedar
Posts: 6
Joined: 07 Jan 2016, 16:55

Re: NTFS Partition wiederherstellen

#3 Post by Zedar »

Bin gerade nicht am Rechner und werde die gewünschten Informationen heute nachmittag oder abends Posten.

Schon mal danke für die Antwort

Zedar
Posts: 6
Joined: 07 Jan 2016, 16:55

Re: NTFS Partition wiederherstellen

#4 Post by Zedar »

So, hier mal die gewünschten Daten:

Zuerst die testdisk.log. Den Teil mit den Namen der Daten habe ich mal weggelassen. Unten steht das was du vermutest. "NTFS FS need to be repaired"

Code: Select all

Sat Jan  9 17:48:46 2016
Command line: TestDisk

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Linux, kernel 4.3.3-2-ARCH (#1 SMP PREEMPT Wed Dec 23 20:09:18 CET 2015) x86_64
Compiler: GCC 5.2
Compilation date: 2015-09-07T19:33:01
ext2fs lib: 1.42.13, ntfs lib: libntfs-3g, reiserfs lib: 0.3.0.5, ewf lib: none, curses lib: ncurses $
/dev/sda: LBA, HPA, LBA48, DCO support
/dev/sda: size       1250263728 sectors
/dev/sda: user_max   1250263728 sectors
/dev/sda: native_max 1250263728 sectors
/dev/sda: dco        1250263728 sectors
/dev/sdb: LBA, HPA, LBA48, DCO support
/dev/sdb: size       1953525168 sectors
/dev/sdb: user_max   1953525168 sectors
/dev/sdb: native_max 1953525168 sectors
/dev/sdb: dco        1953525168 sectors
Warning: can't get size for Disk /dev/mapper/control - 0 B - 0 sectors, sector size=512
Hard disk list
Disk /dev/sda - 640 GB / 596 GiB - CHS 77825 255 63, sector size=512 - WDC WD6400AACS-00G8B1, S/N:WD-$
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512 - SAMSUNG HD105SI, S/N:S25GJD2$

Partition table type (auto): None
Disk /dev/sdb - 1000 GB / 931 GiB - SAMSUNG HD105SI
Partition table type: Intel

Analyse Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63
Geometry from i386 MBR: head=255 sector=63
NTFS at 0/32/33
Current partition structure:
 1 P HPFS - NTFS              0  32 33 121601  25 24 1953519616
No partition is bootable
Corrupted file $UpCase

search_part()
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63
NTFS at 0/32/33
filesystem size           1953519616
sectors_per_cluster       8
mft_lcn                   786432
mftmirr_lcn               2
clusters_per_mft_record   -10
clusters_per_index_record 1
     HPFS - NTFS              0  32 33 121601  25 24 1953519616
     NTFS, blocksize=4096, 1000 GB / 931 GiB

Results
   * HPFS - NTFS              0  32 33 121601  25 24 1953519616
     NTFS, blocksize=4096, 1000 GB / 931 GiB

Hint for advanced users. dmsetup may be used if you prefer to avoid to rewrite the partition table fo$
echo "0 1953519616 linear /dev/sdb 2048" | dmsetup create test0
ntfs_device_testdisk_io_ioctl() unimplemented
ntfs_device_testdisk_io_ioctl() unimplemented
NTFS filesystem need to be repaired.
Screenshot_20160111_154917.png
Screenshot_20160111_154917.png (32.59 KiB) Viewed 6724 times
Ausgabe von Advanced/Boot

Screenshot_20160111_154917.png
Screenshot_20160111_154917.png (32.59 KiB) Viewed 6724 times
Nach RebuildOS
Attachments
Screenshot_20160111_155006.png
Screenshot_20160111_155006.png (30.24 KiB) Viewed 6724 times

User avatar
Fiona
Posts: 2835
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: NTFS Partition wiederherstellen

#5 Post by Fiona »

RebuildBS brachte keine Äbderung.
War es möglich Dateien bei List anzeigen zu lassen?
Gegenwärtig sieht es nach Probleme im Dateisystem aus.
Current partition structure:
1 P HPFS - NTFS 0 32 33 121601 25 24 1953519616
No partition is bootable
Corrupted file $UpCase
Und hier:
ntfs_device_testdisk_io_ioctl() unimplemented
NTFS filesystem need to be repaired.
Bevor chkdsk ausgeführt wird, ist es empfohlen die Daten vorher zu sichern.
Daher sollten diese wenn sie in TestDisk angezeigt werden, kopiert werden.
Teile bitte mit, siehst du deine Daten oder eine Fehlermeldung?
Info folgt.

Fiona

Zedar
Posts: 6
Joined: 07 Jan 2016, 16:55

Re: NTFS Partition wiederherstellen

#6 Post by Zedar »

Danke für die Rückmeldung. Ja, die Daten sind in Testdisk sichtbar und ich habe in kürze erst mal das wichtigste gesichert. 17 von über 43000 Dateien waren nicht wieder herzustellen, also ein sehr sehr guter Schnitt.

In testdisk.log habe ich noch einen interessanten Eintrag gefunden:

Code: Select all

    

[...]


    4833 dr-xr-xrntfs_mst_post_read_fixup_warn: magic: 0x454c4946  size: 4096   usa_ofs: 48  usa_count: 2: Das Argument ist ungültig
Actual VCN (0x1003800010002) of index buffer is different from expected VCN (0xc) in inode 0x40.
ntfs_mst_post_read_fixup_warn: magic: 0x454c4946  size: 4096   usa_ofs: 48  usa_count: 2: Das Argument ist ungültig
Actual VCN (0x1003800010002) of index buffer is different from expected VCN (0x2) in inode 0x41.
ntfs_mst_post_read_fixup_warn: magic: 0x454c4946  size: 4096   usa_ofs: 48  usa_count: 2: Das Argument ist ungültig
Actual VCN (0x1003800010002) of index buffer is different from expected VCN (0x2) in inode 0xcd.

   

[...]


ntfs_readdir failed for cluster 64: Eingabe-/Ausgabefehler
ntfs_readdir failed for cluster 65: Eingabe-/Ausgabefehler
ntfs_readdir failed for cluster 205: Eingabe-/Ausgabefehler
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.

Zwischen den Fehlermeldungen werden Dateien aufgelistet die ich aus Datenschutzgründen nicht hier posten werde. Hier hat wohl mein dd Befehl ganze Arbeit geleistet und den Inhalt geschreddert bzw. mit einsen und nullen überschrieben.

chkdsk kann leider nicht ausgeführt werden da der Datenträger unter Windows nicht mehr als NTFS Partition erkannt wird, sondern nur als RAW-Datenträger und auch keinem Laufwerk zugeordnet werden kann.

Die Daten sind aber dank Testdisk zu nahezu 100% gesichert. Ich werde bei dann mal nachsehen ob wirklich alles wichtige da ist. Im Anbetracht der Umstände werde ich deinen nächsten Post abwarten und dann die Platte neu formatieren. Ich denke der Rest ist tatsächlich verloren, es dürften aber keine wichtigen Daten mehr sein, zumindest nicht auf den ersten schnellen Blick.

User avatar
Fiona
Posts: 2835
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: NTFS Partition wiederherstellen

#7 Post by Fiona »

Meldung ist das einige Sektoren in 3 Clustern ( normal werden 8 Sektoren zu einem Cluster zusammengefasst), nicht mehr gelesen werden können. Du solltest dringend den Status deiner Platte mit CrystalDiskInfo überprüfen.
http://crystalmark.info/download/index-e.html
Nehme bitte die portable version.
Auch ein scan mit HD Tune free und einen error scan kann helfen.
Wenn auf der Oberfläche deiner Platte rote Blocks angezeigt werden, sollte die Platte getauscht werden.
Eine Partition mit einen ungültigen Bootsektor welche als RAW angezeigt wird, erkennt Windows nicht mehr.
Unter TestDisk Menü Advanced / Boot könnte der Bootsektor repariert werden und wäre wieder gültig.
Dann wäre auch ein Chkdsk möglich.
Setze mir mal einen Screenshot.
Mache gegenwärtig mal nichts bei Write oder RepairMFT um an deinen Dateisystem keine Änderungen vorzunehmen.

Fiona

Zedar
Posts: 6
Joined: 07 Jan 2016, 16:55

Re: NTFS Partition wiederherstellen

#8 Post by Zedar »

Hallo, vielen Dank für die Hartnäckigkeit und sorry das es bei mir immer etwas dauert bis ich dazu komme was zu posten.

Die Ausgabe von CrystalDiskInfo (portable Version) ist folgende:
Crystal.PNG
Crystal.PNG (81.61 KiB) Viewed 6682 times
Scheint alles ok zu sein. War es das was du sehen wolltest?

Hier noch die der Error Check von HD Tune (habe die 15-Tage Testversion geladen)
HDTune.PNG
HDTune.PNG (34.48 KiB) Viewed 6682 times
Sieht auch alles sauber aus. Was meinst du welchen Screenshot in Testdisk ich setzen soll? Den Bootsektor habe ich schon mal versucht wiederher zu stellen, oder meinst du Testdisk soll den MBR neu schreiben?

Testdisk sagt, der Bootsektor sei ok.
Testdisk4.png
Testdisk4.png (31.88 KiB) Viewed 6682 times
Ich habe mich an deinen Rat gehalten und keine weiteren Schreibversuche auf den Datenträger mehr unternommen.

Edit:

Die Ausgabe wenn ich die Platte unter Linux einhängen möchte:

Code: Select all

[buddies@Buddies-PC ~]$ sudo ntfs-3g /dev/sdb1 /mnt/multimedia
Corrupted file $UpCase
Failed to mount '/dev/sdb1': Eingabe-/Ausgabefehler
NTFS is either inconsistent, or there is a hardware fault, or it's a
SoftRAID/FakeRAID hardware. In the first case run chkdsk /f on Windows
then reboot into Windows twice. The usage of the /f parameter is very
important! If the device is a SoftRAID/FakeRAID then first activate
it and mount a different device under the /dev/mapper/ directory, (e.g.
/dev/mapper/nvidia_eahaabcc1). Please see the 'dmraid' documentation
for more details.
Die Festplatte an sich wird auch erkannt, /dev/sdb1 ist die betroffene:

Code: Select all

[buddies@Buddies-PC ~]$ sudo fdisk -l
Festplatte /dev/sda: 596,2 GiB, 640135028736 Bytes, 1250263728 Sektoren
Einheiten: Sektoren von 1 * 512 = 512 Bytes
Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes
E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes
Festplattenbezeichnungstyp: dos
Festplattenbezeichner: 0x8e96b087

Gerät      Boot     Anfang       Ende  Sektoren Größe Kn Typ
/dev/sda1  *          2048  780330447 780328400 372,1G  7 HPFS/NTFS/exFAT
/dev/sda2        780331008  781250559    919552   449M 27 Verst. NTFS WinRE
/dev/sda3        781252606 1031251967 249999362 119,2G  5 Erweiterte
/dev/sda4       1031251968 1250263727 219011760 104,4G 83 Linux
/dev/sda5        781252608 1015627775 234375168 111,8G  7 HPFS/NTFS/exFAT
/dev/sda6       1015629824 1031251967  15622144   7,5G 82 Linux Swap / Solaris

Partitionstabelleneinträge sind nicht in Festplatten-Reihenfolge.


Festplatte /dev/sdb: 931,5 GiB, 1000204886016 Bytes, 1953525168 Sektoren
Einheiten: Sektoren von 1 * 512 = 512 Bytes
Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes
E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes
Festplattenbezeichnungstyp: dos
Festplattenbezeichner: 0x10714092

Gerät      Boot Anfang       Ende   Sektoren Größe Kn Typ
/dev/sdb1         2048 1953521663 1953519616 931,5G  7 HPFS/NTFS/exFAT

User avatar
Fiona
Posts: 2835
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: NTFS Partition wiederherstellen

#9 Post by Fiona »

Ist eine gute Nachricht das deine Platte Ok ist.
Somit weist der Fehler nur auf dein Dateisystem.
War das hier:
ntfs_readdir failed for cluster 64: Eingabe-/Ausgabefehler
ntfs_readdir failed for cluster 65: Eingabe-/Ausgabefehler
ntfs_readdir failed for cluster 205: Eingabe-/Ausgabefehler
Um chkdsk zum laufen zu bringen sollte immer zuerst der Bootsektor überprüft werden.
Daher nochmal die Anfrage
RebuildBS hattest du auch bereits gemacht.
Das letzte was noch gemacht werden kann würde im Boot-Menü die Option RepairMFT sein.
Ist ein Kompanion zu chkdsk, wenn chkdsk nicht läuft oder abbricht.
Bevor du neu Formatierst kannst du überlegen, ob du ein RepairMFT im Menü Advanced ausführen möchtest und chkdsk Lauferksbuchstabe /r hinterher erneut testen möchtest.
Auch nochmal Info unter NTFS-MFT-Reparatur (Repair MFT):
http://www.cgsecurity.org/wiki/Erweiter ... air_MFT.29

Ansonsten würde nur ein Format und Daten zurückkopieren helfen.

Fiona

Zedar
Posts: 6
Joined: 07 Jan 2016, 16:55

Re: NTFS Partition wiederherstellen

#10 Post by Zedar »

Leider brachte auch RepairMFT keine Änderung. Aktuell Spiele ich das Backup auf die frisch formatierte Platte zurück.

Trotzdem vielen Dank für die Hilfe, Fiona. So weiß ich wenigstens das ich als versucht habe.

Locked