NTFS Partition wurde RAW

TestDisk benutzen um verlorene Partitionen wiederherzustellen
Forum rules
Your help is welcome: there are currently few answers or none to most message posted in the German forum!
If you want to post a request for help, please consider using the English forum.
Locked
Message
Author
blueicehaller
Posts: 18
Joined: 01 Jun 2013, 19:11

NTFS Partition wurde RAW

#1 Post by blueicehaller »

Hallo,
bei meiner 3 TB Festplatte wurde die einzige NTFS Partition zu RAW.

testdisk.log

Code: Select all

Disk /dev/sdc - 3000 GB / 2794 GiB - CHS 364801 255 63, sector size=512 - ST3000DM 001-9YN166, S/N:0000000045FE, FW:0117
Die Suche läuft noch.

Das Programm "MiniTool Power Data Recovery 11.3" findet die Partition aber es fehlen Ordner.
Attachments
MiniTool Power Data Recovery 11.3 findet die Partition.png
MiniTool Power Data Recovery 11.3 findet die Partition.png (286.14 KiB) Viewed 14683 times
20220813 1518 testdisk.png
20220813 1518 testdisk.png (28.78 KiB) Viewed 14686 times
testdisk.log
(100.82 KiB) Downloaded 262 times

recuperation
Posts: 2718
Joined: 04 Jan 2019, 09:48
Location: Hannover, Deutschland (Germany, Allemagne)

Re: NTFS Partition wurde RAW

#2 Post by recuperation »

Sie stellen zwar keine Frage, aber aus Ihren Unterlagen könnte ein möglicher Bedienfehler hervorgehen.

1.Welche Betriebssystem können von Ihrem Computer gestartet werden, wo der Vorfall passsiert?
Alle aufzählen!

10. Handelt es sich um ein "nacktes" Laufwerk oder haben Sie ein Komplettpaket mit Gehäuse und Kabeln für einen Computer gekauft (z.B. WD My Passport)?

blueicehaller
Posts: 18
Joined: 01 Jun 2013, 19:11

Re: NTFS Partition wurde RAW

#3 Post by blueicehaller »

Windows 10

Die Festplatte habe ich unabhängig vom Gehäuse erworben und sie steckt momentan in einem USB Gehäuse.

Ich habe zuvor Dateien von dieser jetzt RAW auf eine andere Festplatte auch in einem USB Gehäuse mit RoboCopy kopiert zur "Datensicherung" und habe den PC neu gestartet.
Das hätte ich nicht tun dürfen.

Bitte das Thema ins deutsche Forum verschieben.

recuperation
Posts: 2718
Joined: 04 Jan 2019, 09:48
Location: Hannover, Deutschland (Germany, Allemagne)

Re: NTFS Partition wurde RAW

#4 Post by recuperation »

blueicehaller wrote: 13 Aug 2022, 20:06 Windows 10

Die Festplatte habe ich unabhängig vom Gehäuse erworben und sie steckt momentan in einem USB Gehäuse.
Bei einer von Sektorgröße von 512 Bytes und Nutzung einer Partition, die die ganz Festplatte in Anspruch nahm, mussten Sie die Festplatte mit GPT partitioniert haben.
Infolgedessen sollten Sie in Testdisk auch die GPT-Option wählen.

Ich habe zuvor Dateien von dieser jetzt RAW auf eine andere Festplatte auch in einem USB Gehäuse mit RoboCopy kopiert zur "Datensicherung" und habe den PC neu gestartet.
Das hätte ich nicht tun dürfen.
Das Kopieren an sich ist kein Problem. Vielleicht war die Festplatte in einem Plastikgehäuse verbaut worden. Dauerbetrieb in Verbindung mit den momentan hohen Sommertemperaturen können dann die Temperaturen hochtreiben.

Wenn der Neustart nicht während des Kopiervorgangs passierte, sehe ich darin kein Problem, aber ich weiß nicht, wie eine laufende Version von robocopy darauf reagiert.

blueicehaller
Posts: 18
Joined: 01 Jun 2013, 19:11

Re: NTFS Partition wurde RAW

#5 Post by blueicehaller »

Ich versuche nach den Anleitungen vorzugehen und komme nicht weiter:
https://www.cgsecurity.org/wiki/Schritt ... gsbeispiel
https://www.cgsecurity.org/wiki/TestDis ... n_von_NTFS
https://www.cgsecurity.org/wiki/Wiederh ... -Beispiele
1 Der Typ des Dateisystems ist RAW - Wiederherstellung eines beschädigten FAT-Bootsektors

Ich habe die gesamte HDD mit ddrescue auf eine andere geklont.

/dev/sdd ist die betroffene Festplatte.

Code: Select all

root@PartedMagic:~# fdisk /dev/sdd -l
Disk /dev/sdd: 2.7 TiB, 3000592982016 bytes, 5860533168 sectors
Disk model: ASM1153E        
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 4096 bytes
I/O size (minimum/optimal): 4096 bytes / 33553920 bytes
Disklabel type: gpt
Disk identifier: F10EEC51-8217-8648-9F50-5A70F330AF86

Device     Start        End    Sectors  Size Type
/dev/sdd1   2048 5860532216 5860530169  2.7T Microsoft basic data

Code: Select all

root@PartedMagic:~# cfdisk /dev/sdd 
                                                            Disk: /dev/sdd
                                        Size: 2.7 TiB, 3000592982016 bytes, 5860533168 sectors
                                     Label: gpt, identifier: F10EEC51-8217-8648-9F50-5A70F330AF86

    Device                           Start                   End               Sectors             Size Type
>>  /dev/sdd1                         2048            5860532216            5860530169             2.7T Microsoft basic data          


 ┌──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
 │Partition UUID: DB519AE9-3CBE-B94C-856B-5E30D4C7595A                                                                              │
 │Partition type: Microsoft basic data (EBD0A0A2-B9E5-4433-87C0-68B6B72699C7)                                                       │
 └──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
                          [ Delete ]  [ Resize ]  [  Quit  ]  [  Type  ]  [  Help  ]  [  Write ]  [  Dump  ]


                                                 Quit program without writing changes

Code: Select all

root@PartedMagic:~# mkdir /media/sdd1/

root@PartedMagic:~# mount -t ntfs /dev/sdd1 /media/sdd1/   
NTFS signature is missing.
Failed to mount '/dev/sdd1': Invalid argument
The device '/dev/sdd1' doesn't seem to have a valid NTFS.
Maybe the wrong device is used? Or the whole disk instead of a
partition (e.g. /dev/sda, not /dev/sda1)? Or the other way around?

Code: Select all

root@PartedMagic:~# ntfsfix /dev/sdd1 
Mounting volume... NTFS signature is missing.
FAILED
Attempting to correct errors... NTFS signature is missing.
FAILED
Failed to startup volume: Invalid argument
NTFS signature is missing.
Trying the alternate boot sector
The alternate bootsector is usable
Rewriting the bootsector
The boot sector has been rewritten

Processing $MFT and $MFTMirr...
Reading $MFT... OK
Reading $MFTMirr... ntfs_mst_post_read_fixup_warn: magic: 0x58444e49  size: 1024   usa_ofs: 40  usa_count: 9: Invalid argument
ntfs_mst_post_read_fixup_warn: magic: 0x0e4e803e  size: 1024   usa_ofs: 58232  usa_count: 461: Invalid argument
ntfs_mst_post_read_fixup_warn: magic: 0x00860098  size: 1024   usa_ofs: 0  usa_count: 0: Invalid argument
ntfs_mst_post_read_fixup_warn: magic: 0x0e914216  size: 1024   usa_ofs: 58232  usa_count: 461: Invalid argument
OK
Comparing $MFTMirr to $MFT... FAILED
Correcting differences in $MFTMirr record 0...OK
Correcting differences in $MFTMirr record 1...OK
Correcting differences in $MFTMirr record 2...OK
Correcting differences in $MFTMirr record 3...OK
Processing of $MFT and $MFTMirr completed successfully.
Setting required flags on partition... OK
Going to empty the journal ($LogFile)... OK
Failed to open ntfs attribute: No such file or directory
Remount failed: No such file or directory
root@PartedMagic:~# 
Attachments
screenshots.zip
(368.39 KiB) Downloaded 282 times
testdisk.log backup.log.zip
(24.92 KiB) Downloaded 261 times

recuperation
Posts: 2718
Joined: 04 Jan 2019, 09:48
Location: Hannover, Deutschland (Germany, Allemagne)

Re: NTFS Partition wurde RAW

#6 Post by recuperation »

Sehr schön dokumentiert!

Die Screenshots bin ich durchgegangen. Der Partitionsstart bei Sektor 2048 ist nicht nur wegen Ihres Backups der Struktur am wahrscheinlichsten.
Die Ergebnisse von Deep Search sind enttäuschend, der viel zu weit hinten liegende Partitionsstart macht diese später gefundenen Partitionen kaum plausibel.
Normalerweise gibt es auch im Deep-Search-Bereich die Möglichkeit, mit der p-Taste die Inhalte der gefundenen Partitionen anzugucken.

Testdisk kann hier nicht mehr herausholen. Es verbleibt nur noch Photorec und/oder Drittanbietersoftware, die die verfügbaren Überreste von NTFS auswerten kann.
Eventuell kann auch ein Datenretter mit den vorhandenen NTFS-Resten etwas sinnvolles anfangen.

Ich würde allerdings grundsätzlich immer die aktuellste Testdisk-Version, also momentan die 7.2-WIP nutzen.

blueicehaller
Posts: 18
Joined: 01 Jun 2013, 19:11

Re: NTFS Partition wurde RAW

#7 Post by blueicehaller »

Auch mit 7.2-WIP sehe ich keinen Unterschied.

Ich habe verschiedene Recovery Software getestet jedoch noch nichts wiederhergestellt da ich noch nicht weiß welche ich kaufen soll.

Ich sehe immer das gleiche Symptom:
Die Ordnerstruktur wird wie ich sie mir gemerkt habe dargestellt das ist schon sehr gut.
Leider fehlen in der Ordnerstruktur einzelne Ordner.
Navigiere ich durch die Ordnerstruktur sind manche leer und manche enthalten Dateien die in einem anderen Ordner gespeichert sind.

Ein Chaos wiederherzustellen macht aus meiner Sicht nicht viel Sinn, egal wie wichtig die Daten sind.

Auch wenn ich dort die Festplatte von 0 - 100 % scanne wird es nicht besser. Meistens werden Partitionen gefunden und sind aber mit Lost/Verloren oder Bad/Schlecht gekennzeichnet.

Ich habe die Hoffnung dass ein Dienstleister mehr Glück hat.



Die 3 TB Festplatte ist von 2012 und daher wollte ich die Daten auf eine aktuelle mit 10 TB kopieren.

Locked