cgsecurity.org

Liebe Community,
vielen Dank für diese einzigartige Software!

Bitte schon im Vorfeld um Entschuldigung falls das Problem hier im Vorum schon einmal gelöst wurde - dann hab ichs bei der Suche schlicht übersehen.
Bitte um Verweis auf den richtigen Thread - Danke

Problem:
Meine externe USB 4TB HDD wurde mit dem Festplattendienstprogramm von MacOS fälschlicherweise in FAT32 formatiert.
Momentan läßt sich die Platte nicht mehr mounten - habe keinerlei Reparaturversuche unternommen.

Vorgehensweise:
Habe die komplette HDD via DD als image gesichert. Die originale Platte ist auch noch da - mittlerweile ausserhalb des USB Toshiba Gehäuses.
Mit einer Suche mit R-Studio kann ich die originale ca 3TB große Partition sichtbar machen - allerdings nicht wiederherstellen.
Mit Testdisk sehe ich eine Menge HFS und auch andere Partitionen da es einige Images auf der Platte gab.
Testdisk erkennt am Anfang der Suche auch die unkorrekte Sektorengröße und weißt darauf hin: bytes per sector mismatches 4096 (FAT) ≠ 512 (HD)
Wenn ich via Deep Search Partitionen suche, finde ich aber die ursprüngliche Partition "Toshiba Ext" nicht. (zumindest nicht die tatsächliche Bezeichnung)

Fragen:
Ich weiß, dass es wohl innerhalb des GPT zwei Sicherheitskopien des Inhaltsverzeichnisses geben muß - Testdisk wird diese wohl erkennen und nutzen - oder muß ich das einstellen?!
Wie finde ich diese Partition - und kann ich diese einfach "rewriten" ?!

Vielen Dank im Voraus

Fish13 wrote: 18 Oct 2022, 12:35 Liebe Community,
vielen Dank für diese einzigartige Software!

Bitte schon im Vorfeld um Entschuldigung falls das Problem hier im Vorum schon einmal gelöst wurde - dann hab ichs bei der Suche schlicht übersehen.
Bitte um Verweis auf den richtigen Thread - Danke

Problem:
Meine externe USB 4TB HDD wurde mit dem Festplattendienstprogramm von MacOS fälschlicherweise in FAT32 formatiert.
Momentan läßt sich die Platte nicht mehr mounten - habe keinerlei Reparaturversuche unternommen.

Vorgehensweise:
Habe die komplette HDD via DD als image gesichert. Die originale Platte ist auch noch da - mittlerweile ausserhalb des USB Toshiba Gehäuses.
Mit einer Suche mit R-Studio kann ich die originale ca 3TB große Partition

Mit welchem Dateisystem war die 3 TB große Partition formatiert?

sichtbar machen - allerdings nicht wiederherstellen.
Mit Testdisk sehe ich eine Menge HFS und auch andere Partitionen da es einige Images auf der Platte gab.
Testdisk erkennt am Anfang der Suche auch die unkorrekte Sektorengröße und weißt darauf hin: bytes per sector mismatches 4096 (FAT) ≠ 512 (HD)

Dieses Problem sollte verschwinden, wenn man die Festplatte in ihr originales Gehäuse einbaut, da sich dort eventuell Elektronik befindet, die dem Computer eine Sektorgröße von 4096 Byte vorspiegelt, damit die Festplatte auch mit einer Partitionstabelle im alten MBR-Stil partitioniert werden kann.

Wenn ich via Deep Search Partitionen suche, finde ich aber die ursprüngliche Partition "Toshiba Ext" nicht. (zumindest nicht die tatsächliche Bezeichnung)

Fragen:
Ich weiß, dass es wohl innerhalb des GPT zwei Sicherheitskopien des Inhaltsverzeichnisses geben muß - Testdisk wird diese wohl erkennen und nutzen - oder muß ich das einstellen?!

Bei Partitionierung mit GPT-Schema gibt es ein Backup der Partitionstabelle am Ende der Festplatte. Der Begriff "Inhaltsverzeichnis" wird eher innerhalb von Dateisystemen gebraucht.
Genau diese Frage habe ich dieser Tage auf Englisch beantwortet. Der Benutzer hatte aber mittlerweile speziell für diesen Zweck ein anderes Tool gefunden.

Wie finde ich diese Partition - und kann ich diese einfach "rewriten" ?!

Festplatte bitte wieder in das Orginalgehäuse packen, die Partitionssuche starten und eventuell mit Deep Search fortsetzen. Der Typ des Dateisystem der 3TB-Partition bestimmt, ob Testdisk in der Lage ist, den Inhalt der Partition anzuzeigen.
Hier findet sich ein Musterablauf:
https://www.cgsecurity.org/wiki/Schritt ... gsbeispiel

Vielen Dank für die schnelle Antwort.

Mit welchem Dateisystem war die 3 TB große Partition formatiert?

Die ursprüngliche Formatierung ist HFS+

Dieses Problem sollte verschwinden, wenn man die Festplatte in ihr originales Gehäuse einbaut, da sich dort eventuell Elektronik befindet, die dem Computer eine Sektorgröße von 4096 Byte vorspiegelt, damit die Festplatte auch mit einer Partitionstabelle im alten MBR-Stil partitioniert werden kann.

Leider habe ich das originale Gehäuse nicht mehr - der Controller hat Festplatten die etwas mehr Strom brauchten immer "rausgeschmissen" (auch die 4TB von Toshiba)
Ich dachte das Problem käme daher, das die "neue" Formatierung FAT32 ist?!

Bei Partitionierung mit GPT-Schema gibt es ein Backup der Partitionstabelle am Ende der Festplatte. Der Begriff "Inhaltsverzeichnis" wird eher innerhalb von Dateisystemen gebraucht.
Genau diese Frage habe ich dieser Tage auf Englisch beantwortet. Der Benutzer hatte aber mittlerweile speziell für diesen Zweck ein anderes Tool gefunden.

Um welchen Thread handelt es sich da?
Im Musterablauf bin ich jetzt aktuell wieder am Punkt "Deep Search" Ich würde gern Screenshots anhängen weiß aber nicht wie.
Das Log bzw. den Output kann ich ja vielleicht hier posten.

Fish13 wrote: 18 Oct 2022, 16:45 Vielen Dank für die schnelle Antwort.

Mit welchem Dateisystem war die 3 TB große Partition formatiert?

Die ursprüngliche Formatierung ist HFS+

Unter Apple-Rechnern gibt es neben MBR und GPT auch noch Apple-spezifische Partitionstabellen - laut Wikipedia. Damit ist GPT als Typ der Partitionstabelle gar nicht sichergestellt.

Dieses Problem sollte verschwinden, wenn man die Festplatte in ihr originales Gehäuse einbaut, da sich dort eventuell Elektronik befindet, die dem Computer eine Sektorgröße von 4096 Byte vorspiegelt, damit die Festplatte auch mit einer Partitionstabelle im alten MBR-Stil partitioniert werden kann.

Leider habe ich das originale Gehäuse nicht mehr - der Controller hat Festplatten die etwas mehr Strom brauchten immer "rausgeschmissen" (auch die 4TB von Toshiba)

Wurde die Festplatte seit Partitionierung außerhalb des Originalgehäuses betrieben? Die zitierte Meldung "4096 (FAT) ≠ 512 (HD)" deutet nicht darauf hin.

Ich dachte das Problem käme daher, das die "neue" Formatierung FAT32 ist?!

Nein, das Überschreiben von Daten beim Formatieren ist das Problem und jeder Formatiervorgang überschreibt Daten.

Bei Partitionierung mit GPT-Schema gibt es ein Backup der Partitionstabelle am Ende der Festplatte. Der Begriff "Inhaltsverzeichnis" wird eher innerhalb von Dateisystemen gebraucht.
Genau diese Frage habe ich dieser Tage auf Englisch beantwortet. Der Benutzer hatte aber mittlerweile speziell für diesen Zweck ein anderes Tool gefunden.

Um welchen Thread handelt es sich da?

viewtopic.php?t=12153

Im Musterablauf bin ich jetzt aktuell wieder am Punkt "Deep Search" Ich würde gern Screenshots anhängen weiß aber nicht wie.

Mit Hilfe des Reiters "Attachments" am unteren Bildschirmrand, wenn man einen neuen Beitrag verfasst.

Das Log bzw. den Output kann ich ja vielleicht hier posten.

Das wäre schon sinnvoll.

Zuerst Heureka - dann die Ernüchterung!

Habe unter Linux Testdisk laufen lassen und offensichtlich ist dies etwas anders als unter macOS.
Der normale Scan lief nach einigen Stunden in ein Resultat einer gefundenen HFS Partition.
Anschließend habe ich den Recovery Prozess inklusive Kopieren des Backup absolviert und den Prozess mit dem Schreiben abgeschlossen.
Am Mac zeigt sich die Platte aber leider nur als generisches Device welches nicht gelesen werden kann - eine Überprüfung via "Festplattendienstprogramm"
ergab den Fehler "Ungültige Knotengröße des B-Baum-Headers" welchen ich bis dato noch nicht analysieren/reparieren konnte.

Vermutlich steckt in Testdisk noch einiges an Potential!? Mein Vorgehen bei der Wiederherstellung ist wahrscheinlich noch nicht präzise genug?!
Wahrscheinlich kann das angehängte Log-File besser Auskunft geben.
Eine weitere Datei zeigt das Ergebnis mit R-Studio, vielleicht kann ja die Information aus R-Studio zur korrekten Wiederherstellung genutzt werden?!

Vielen Dank schon einmal für die die Hilfe.
VG Sebastian

Fish13 wrote: 20 Oct 2022, 15:26 Anschließend habe ich den Recovery Prozess inklusive Kopieren des Backup absolviert und den Prozess mit dem Schreiben abgeschlossen.

"Kopieren des Backups" - Was ist damit genau gemeint?

Meines Erachtens ist da der zweite GPT Header (Backup) benutzt worden, da der erste unvollständig war.
Leider hab ich kein Screenshot von dem Vorgang gemacht da ich davon ausging die Information wird im Logfile gespeichert.

Angenommen ich habe mit meiner Vorgehensweise die Wiederherstellung ruiniert, könnte ich ja, unter Benutzung des originalen Gehäuses, die originale Situation mittels dd wiederherstellen?!

Wann ist die Partition mit einer Größe von 3 TB verschwunden?
Wann wurde die Festplatte aus dem Originalgehäuse entnommen?
Das simple Formatieren einer Partition betrifft, vom Ändern der GUID in der Partitionstabelle abgesehen, nur das Innere der Partition.
Nach dem Formatieren hätte da eine leere Partition mit 3 TB Größe zu sehen sein müssen!

Hier gibt es zwei Schäden:
1. Löschen durch Formatieren
2. Verschwinden der Partitionsinformation

Der zweite Punkt scheint mir durch die Gehäuseentnahme motiviert zu sein, dafür ist aber Ihre Fehlerbeschreibung zu dünn um etwas dazu sagen zu können.
Duplizieren der Festplatte auf eine Festplatte mit 4096-Byte-Sektoren ohne Emulation (Western Digital Ultrastar DC HC310 4TB (HUS726T4TALN6L4 / 0B35948) ) würde die fehlende Emulation im Festplattengehäuse kompensieren, so dass sich die nackte DC HC310 in einer Dockingstation oder im Rechner angeschlossen so verhalten würde wie in ihrem kaputten? Originalgehäuse.

Testdisk führt keine Änderungen an HFS+-Partitionen durch und ich bezweifele, dass es HFS+ lesen kann. Testdisk wäre deshalb für diesen Fehlerfall nicht das richtige Programm. Photorec wäre zu benutzen, wenn alles andere scheitert.

Am sinnvollsten ist es hier, die kostenpflichtige Welt der Recovery-Software durchzuprobieren.

Wann ist die Partition mit einer Größe von 3 TB verschwunden?

Nach einem langen Arbeitstag im Sommer 2017.
Ich habe die Platte unter OSX mittels Festplattendienstprogramm aus versehen als FAT32 formatiert.
Die Partition war logischerweise danach ge-mounted und leer.
Ich habe dann mehrere nicht destruktive Reparaturversuche unternommen - weiß aber nicht mehr welche.
Dabei ist mir aufgefallen, dass die Platte häufig einfach "rausgeschmissen" wird also plötzlich die Verbindung verlor.
Irgendwann ist danach der Fehler aufgetreten nachdem das OS die Platte nicht mehr erkannt hat.

Wann wurde die Festplatte aus dem Originalgehäuse entnommen?

Danach habe ich die komplette Platte via dd als Image gesichert.
Meine erste Annahme war das "Gehäuse" wäre kaputt und habe es auseinandergebaut.
Heute weiß ich - mittlerweile habe ich die originale Platine gefunden - das es das Netzteil war - welches ich nun ersetzt habe.
Jetzt funktioniert die Platine wieder und ich kann die originale Situation wiederherstellen. (4TB WD Platte + Toshiba Platine)

Testdisk führt keine Änderungen an HFS+-Partitionen durch und ich bezweifele, dass es HFS+ lesen kann.

Aber TD hat die Partition doch zweifelsfrei erkannt und auch wieder versucht zu schreiben - inklusive des Fallback auf die
Sicherheitskopie des Headers?!

Photorec wäre zu benutzen, wenn alles andere scheitert.

Dadurch werden m.E. alle auffindbaren Files wiederhergestellt aber nicht die Ordnerstruktur, richtig?!
Was passiert mit Files die Photorec nicht kennt - was passiert mit Archiven und Images?

Am sinnvollsten ist es hier, die kostenpflichtige Welt der Recovery-Software durchzuprobieren.

TD erschien mir als die effizientes Software, die zudem schnell und schlank ist, bis jetzt auch nicht unmittelbar den Anschein
erweckte mit HFS+ GPT uä. nicht zurecht zu kommen.
Kostenpflichtige SW ist kein Problem für mich - ich mag bloß diesen Budenzauber nicht mit welchem diese bunten Retter
die tatsächlichen Mechanismen der Analyse und Wiederherstellung verschleiern. Es gibt dort kaum Möglichkeiten der
Anpassung und Raffinierung des Prozesses. Vielleicht wäre R-Studio einen Versuch wert - allerdings ist das auch ein Schuß ins Blaue
da die Demoversion nichts anbietet was wirklich auf einen tatsächlichen Erfolg hindeutet - es bleibt immer alles vage, bevor nicht
der Taler im Kasten klingelt.

Fish13 wrote: 22 Oct 2022, 19:07

Wann ist die Partition mit einer Größe von 3 TB verschwunden?

Nach einem langen Arbeitstag im Sommer 2017.
Ich habe die Platte unter OSX mittels Festplattendienstprogramm aus versehen als FAT32 formatiert.
Die Partition war logischerweise danach ge-mounted und leer.
Ich habe dann mehrere nicht destruktive Reparaturversuche unternommen - weiß aber nicht mehr welche.
Dabei ist mir aufgefallen, dass die Platte häufig einfach "rausgeschmissen" wird also plötzlich die Verbindung verlor.
Irgendwann ist danach der Fehler aufgetreten nachdem das OS die Platte nicht mehr erkannt hat.

Wann wurde die Festplatte aus dem Originalgehäuse entnommen?

Danach habe ich die komplette Platte via dd als Image gesichert.
Meine erste Annahme war das "Gehäuse" wäre kaputt und habe es auseinandergebaut.
Heute weiß ich - mittlerweile habe ich die originale Platine gefunden - das es das Netzteil war - welches ich nun ersetzt habe.
Jetzt funktioniert die Platine wieder und ich kann die originale Situation wiederherstellen. (4TB WD Platte + Toshiba Platine)

Dann sollte die Partition auch sichtbar sein und Testdisk wäre nicht mehr erforderlich. Die jetzt neu geschriebene Partitionstabelle passt jedoch nicht zu einer Sektorgröße von 4096 Bytes, die das Gehäuse dem Rechner suggeriert. Dann müsste man die Partition wieder neu suchen oder die Kopie des Originals verwenden.

Testdisk führt keine Änderungen an HFS+-Partitionen durch und ich bezweifele, dass es HFS+ lesen kann.

Aber TD hat die Partition doch zweifelsfrei erkannt und auch wieder versucht zu schreiben - inklusive des Fallback auf die
Sicherheitskopie des Headers?!

Ich weiß nicht, woher die Information der gefundenen Tabelle stammt. Die Kopie der GPT würde außerhalb des Originalgehäuses genauso in's Nirwana zeigen.
Das Erkennen einer Partition bedeutet noch lange nicht, dass der Inhalt auch lesbar ist, also das Dateisystem in einem konsistenten Zustand ist. Ihr Dateisystem ist jetzt mit einem leeren FAT32-Dateisystem überschrieben worden. Benötigt wird jetzt sinnvollerweise eine Software, die die dort vorhandenen nicht überschriebenen Reste auswerten kann, insbesondere vorhandene Metadaten, wie z.B. auch Ordner, Dateinamen etcetera.

Photorec wäre zu benutzen, wenn alles andere scheitert.

Dadurch werden m.E. alle auffindbaren Files wiederhergestellt aber nicht die Ordnerstruktur, richtig?!
Was passiert mit Files die Photorec nicht kennt

Nicht erkannte Dateitypen, was nichts anderes bedeutet als unbekannte Signaturen, verlängern die vorangehende Datei.

- was passiert mit Archiven und Images?

Das weiß ich nicht, weil sich Signaturen sowohl am Anfang von Archiven und Images befinden als auch innerhalb dieser Strukturen, die wiederum lesbar oder durch Komprimierung unlesbar sein könnten. Ich weiß auch nicht, ob Photorec versucht, komprimierte Archive zu entpacken. Im Zweifelsfall hilft es, zur Klärung Photorec zu testen, z.B. mit einem präparierten USB-Stick.

Am sinnvollsten ist es hier, die kostenpflichtige Welt der Recovery-Software durchzuprobieren.

TD erschien mir als die effizientes Software, die zudem schnell und schlank ist, bis jetzt auch nicht unmittelbar den Anschein
erweckte mit HFS+ GPT uä. nicht zurecht zu kommen.

Hier steht genau, was unterstützt wird:
https://www.cgsecurity.org/wiki/TestDisk

"TD" steht in meiner Welt für "Toronto Dominion". Bitte selbst erfundene Abkürzungen weglassen und Begriffe ausschreiben, danke!

Kostenpflichtige SW ist kein Problem für mich - ich mag bloß diesen Budenzauber nicht mit welchem diese bunten Retter
die tatsächlichen Mechanismen der Analyse und Wiederherstellung verschleiern. Es gibt dort kaum Möglichkeiten der
Anpassung und Raffinierung des Prozesses. Vielleicht wäre R-Studio einen Versuch wert - allerdings ist das auch ein Schuß ins Blaue
da die Demoversion nichts anbietet was wirklich auf einen tatsächlichen Erfolg hindeutet - es bleibt immer alles vage, bevor nicht
der Taler im Kasten klingelt.

Angeblich lassen kommerzielle Programme den Benutzer einen Teil der Inhalte zur Erfolgskontrolle wiederherstellen.