cgsecurity.org

Posted: **29 Oct 2022, 10:18**

Ein erneuter Versuch der Platte im originalen Gehäuse an einem Mac Computer:
1. MacOS kann die angeschlossene Platte nicht lesen - nach "ignorieren" Testdisk geöffnet und exemplarisch durchlaufen lassen.
2. Sektoren sind nicht identisch > siehe Bild
3. einwandfrei gefundene Partition wird angegeben. Siehe Bilder.
4. jetzt sitze ich vor dem letzten screen und weiß jetzt nicht weiter - kann/soll ich ich die Geometrie der Platte ändern - soll ich (erneut) den Superblock kopieren ?!

Nach eingehender Lektüre scheint Testdisk in der Lage HFS+ Partitionen nicht nur zu erkennen sondern auch zu schreiben.

Also wäre in diesem Setup eine Lösung möglch?

Soll ich das dd Image noch einmal sauber, oder schon im Kopiervorgang modifiziert (Anpassung Sektorgröße o.ä.) auf die originale Platte zurückschreiben?

PS.: die kommerziellen Programme sehen in den Testversionen Dateiwiederherstellungen vor - KEINE Partitionsveränderungen - daher kann ich leider nicht herausfinden ob das mit diesen Programmen klappt - zumal deren Vorgänge zur Wiederherstellung nicht transparent gemacht sind und daher kaum beeinflußbar.

Für sachdienliche Hinweise bin ich sehr dankbar.
mit besten Grüßen
Sebastian

Posted: **29 Oct 2022, 16:54**

Fish13 wrote: 29 Oct 2022, 10:18 Ein erneuter Versuch der Platte im originalen Gehäuse an einem Mac Computer:
1. MacOS kann die angeschlossene Platte nicht lesen - nach "ignorieren" Testdisk geöffnet und exemplarisch durchlaufen lassen.
2. Sektoren sind nicht identisch > siehe Bild
3. einwandfrei gefundene Partition wird angegeben. Siehe Bilder.
4. jetzt sitze ich vor dem letzten screen und weiß jetzt nicht weiter - kann/soll ich ich die Geometrie der Platte ändern - soll ich (erneut) den Superblock kopieren ?!

Im letzten Bild wurde das Menü von Testdisk abgeschnitten - ich habe das nicht im Kopf, was da steht.

Nach eingehender Lektüre scheint Testdisk in der Lage HFS+ Partitionen nicht nur zu erkennen sondern auch zu schreiben.

Wo steht das, bitte? Ihre Aussage ist unklar. Sie müssen unterscheiden zwischen dem Lesen des Partitionsinhalts, also Navigation durch die Ordnerstruktur, im Menü mit Taste "p" gekennzeichnet ("list files") und dem Erkennen des Partitionstyp durch Lesen des Bootsektors. Das letztere ist verhältnismäßig einfach, das erstere nicht. Probieren Sie das einfach aus und versuchen Sie, mit Testdisk in eine intakte HFS+-Partition hereinzugucken. Wenn das nicht geht, geht es mit einer defekten Partition auch nicht.

Also wäre in diesem Setup eine Lösung möglch?

Es gibt keine Grundlage für ein "also". Ich kenne HFS+ nicht. Vermutlich ist durch die FAT32-Formatierung zuviel überschrieben worden. Mit Testdisk können Sie allenfalls die Partitionsstruktur wiederherstellen.

Soll ich das dd Image noch einmal sauber, oder schon im Kopiervorgang modifiziert (Anpassung Sektorgröße o.ä.) auf die originale Platte zurückschreiben?

"(Anpassung Sektorgröße o.ä.)" ??? Sie können die Sektorgröße nicht verändern.

PS.: die kommerziellen Programme sehen in den Testversionen Dateiwiederherstellungen vor - KEINE Partitionsveränderungen - daher kann ich leider nicht herausfinden ob das mit diesen Programmen klappt - zumal deren Vorgänge zur Wiederherstellung nicht transparent gemacht sind und daher kaum beeinflußbar.

Der normale Wiederherstellungsweg verläuft von von einer defekten Quelle auf ein intaktes Ziel. Testdisk ist die Ausnahme, was z.B. die Wiederherstellung einer Partitionsstruktur angeht. Die von Testdisk gemachten Modifikationen umfassen aber typischerweise nur wenige Sektoren. Ihre Programme können Sie sehr wohl testen. Wenn Ihre Wiederherstellungsprogramme Ihnen zu intransparent sind, dann müssen Sie selber Programme nach Ihrem Gusto schreiben.

Posted: **16 Nov 2022, 16:50**

Vielen Dank für die Hilfestellungen und Erklärungen.

Meine Exkursion mit Testdisk zu Folge scheint es für HFS/HFS+ zu wenig Erfahrung zu geben.
Beziehungsweise ist zum Beispiel die Auflistungsfunktion (p) für Dateien innerhalb HFS/HFS+ in Testdisk (noch) nicht implementiert.
Eine Partitionstabelle kann für HFS/HFS+ (aus der Rekonstruktion des Superblock) geschrieben werden aber die Dateien verbleiben
eben durch mangelnde Unterstützung der zB. der iNodes bei HFS un-wiederherstellbar.

Einige Erfolge konnte ich mit hfsprescue erzielen - ein sehr ambitioniertes Projekt speziell für HFS+.
Erfolg hatte ich dann schlußendlich mit einem kommerziellen Produkt (ca. 90€)

Ich hoffe die Gemeinschaft der Testdisk - Programmierer und Benutzer schaffen eines Tages auch die Rätsel von
HFS und APFS zu lüften - im Sinne einer freien Softwareentwicklung.

Posted: **16 Nov 2022, 21:46**

Fish13 wrote: 16 Nov 2022, 16:50 Vielen Dank für die Hilfestellungen und Erklärungen.

Meine Exkursion mit Testdisk zu Folge scheint es für HFS/HFS+ zu wenig Erfahrung zu geben.

Testdisk nutzt verfügbare freie fremde Bibliotheken um bestimmte Funktionen anbieten zu können, siehe Handbuch:

Code: Select all

3.1 Compilation environment
TestDisk uses several libraries if available:
• libncurses - Required, TestDisk and PhotoRec use a text user interface, Ncurses library and development files
must be available.
• Ext2fs library - Optional, used by TestDisk to list files from ext2/ext3/ext4 partition and by PhotoRec to be able
to carve the free space from an ext2/ext3 partition instead of the whole partition
• EWF library - Optional, TestDisk and PhotoRec use it to access Expert Witness Compression Format files (e.g.
Encase files)
• Iconv - Optional, used to handle Unicode filenames
• Jpeg library - Optional, used by PhotoRec to improved JPEG recovery rate
• NTFS library - Optional, used by TestDisk to list files from NTFS partition
• Reiserfs library - Optional, used by TestDisk to list files from reiserfs partition
• zlib library - Optional, used by PhotoRec to decompress gzipped content
• Qt5 library - Optional, required for QPhotoRec and to update the configure script.

Beziehungsweise ist zum Beispiel die Auflistungsfunktion (p) für Dateien innerhalb HFS/HFS+ in Testdisk (noch) nicht implementiert.

Vermutlich ja, Sie können das mit einem frischen, intakten Datenträger überprüfen.

Eine Partitionstabelle kann für HFS/HFS+ (aus der Rekonstruktion des Superblock) geschrieben werden

Ja.

aber die Dateien verbleiben
eben durch mangelnde Unterstützung der zB. der iNodes bei HFS un-wiederherstellbar.

Anders. Für jedes Dateisystem ist eine (eventuell selbstgeschriebene) Bibliothek erforderlich und es muss eine Wiederherstellungsstrategie programmiert werden. Bestimmte Reparaturfunktionen von Testdisk wie z.B. die Bootsektorwiederherstellung bei NTFS oder die Verwendung des Stummelbackups $MFT_MIRROR sind die kleinsten naheliegenden Reparaturen, da man sie mit beschränkten Programmieraufwand durchführen kann. Für alles weitere steigt der Aufwand drastisch an. Photorec kann bei geringer Fragmentierung erstaunlich gut dateisystemübergreifend funktionieren. Bevor man das freie und kostenlose Photorec als letzte Verteidigungslinie und unter Verlust von Dateinamen und Ordnerstruktur einsetzt, ist es sinnvoll, andere kommerzielle Datenrettungsprogramme einzusetzen, die die Überreste von Metadaten auswerten.

Einige Erfolge konnte ich mit hfsprescue erzielen - ein sehr ambitioniertes Projekt speziell für HFS+.
Erfolg hatte ich dann schlußendlich mit einem kommerziellen Produkt (ca. 90€)

Hier wäre es sinnvoll das Produkt zu nennen.

Ich hoffe die Gemeinschaft der Testdisk - Programmierer und Benutzer schaffen eines Tages auch die Rätsel von
HFS und APFS zu lüften - im Sinne einer freien Softwareentwicklung.

Es gibt genau einen Programmierer. Der hat einen Beruf, eine Familie und ist darüber hinaus zur Zeit besonders ausgelastet.
Was in der Open-Source-Welt fehlt, ist Software, die die Lücke zwischen der Partitionswiderherstellung à la Testdisk und dem "file carving" à la Photorec schließt.
Jedes Dateisystem bietet Stoff genug für ein neues Extra-Projekt.

cgsecurity.org

Externe HFS+ HDD fälschlicherweise mit FAT32 formatiert

Re: Externe HFS+ HDD fälschlicherweise mit FAT32 formatiert

Re: Externe HFS+ HDD fälschlicherweise mit FAT32 formatiert

Re: Externe HFS+ HDD fälschlicherweise mit FAT32 formatiert

Re: Externe HFS+ HDD fälschlicherweise mit FAT32 formatiert