Partition mit diskpart gelöscht

TestDisk benutzen um verlorene Partitionen wiederherzustellen
Post Reply
Message
Author
medemirt
Posts: 5
Joined: 15 Dec 2015, 05:02
Location: Aalen

Partition mit diskpart gelöscht

#1 Post by medemirt » 15 Dec 2015, 05:58

Guten Morgen,

versehendlich habe ich die einzige Partition meiner exteren Festplatte mit diskpart gelöscht. Ich wollte eigetlich meinen USB Stick bootfähig machen und habe bei select disk die falsche Platte ausgewählt. Dafür gab ich in die Konsole unter diskpart folgendes ein.

select disk 1
clean
create partition primary
select partition 1
format fs=fat32

den Format befehl hat er mir nicht ausgeführt mit der Begründung die Partition sei für das Dateisystem zu groß. In dem Moment wurde mir auch klar weshalb. Ich stoß ziemlich schnell auf testdisk. An für sich dachte ich mir scheint ja nicht viel kaputt gegangen zu sein, weshalb ich da evtl. etwas sorglos war. Testdisk erkannte mir nach einem Scan eine Partition die ich dann (geleitet durch euphorie) sofort wiederherstellen ließ. Diese Partiton war jedoch nur 13GB groß und leer.

Eine weitere verloren gegangene Partition lässt sich nicht finden. Hab ich hier noch irgendwelche anderen einstellmöglichkeiten um die Daten wieder herzubekommen?

Grüße
medemirt

Sponsored links

User avatar
Fiona
Posts: 2836
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: Partition mit diskpart gelöscht

#2 Post by Fiona » 15 Dec 2015, 08:58

Welches Dateisystem hatte deine Festplatte vorher?
Hattest du auch Deeper Search mit TestDisk ausgeführt?
TestDisk sucht dann nach einem Beckup vom Bootsektor.
Wie groß ist deine Platte?

Fiona

medemirt
Posts: 5
Joined: 15 Dec 2015, 05:02
Location: Aalen

Re: Partition mit diskpart gelöscht

#3 Post by medemirt » 15 Dec 2015, 09:02

Die Platte war zuvor NTFS formatiert und ist 320GB groß. Formatiert hatte ich sie damals ganz normal mit der Windows 7 GUI. Deeper Search brachte leider nichts.

User avatar
Fiona
Posts: 2836
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: Partition mit diskpart gelöscht

#4 Post by Fiona » 15 Dec 2015, 09:30

Hattest du explizit auch Deeper Search nach Quick Search ausgeführt?
Wenn du nach Quick Search mit Eingabe bestätigst, kommst du zum Screen mit dem Write-Menü.
Dort findest du Deeper Search.
Nur Deeper Search sucht zusätzlich nach dem Backup vom Bootsektor.
Kopiere mir mal den Inhalt deiner testdisk.log in deinen nächsten Post.
Bei NTFS ist der letzte Sektor einer Partition das Backup vom Bootsektor.
Somit könntest du Glück haben.

Fiona

medemirt
Posts: 5
Joined: 15 Dec 2015, 05:02
Location: Aalen

Re: Partition mit diskpart gelöscht

#5 Post by medemirt » 15 Dec 2015, 20:14

Ja soweit ich mich erinnere hatte ich nach der Analyse keine weiteren Scanmöglichkeiten. Also ging ich davon aus, dass es sich um den deep search handelt. Er wurde aufjedenfall Sektor für Sektor gesucht.

Seit gut 15 Stunden läuft derzeit photorec und Zeigt mir an dass noch 1500 Stunden verbleiben. Wirklich finden tut er nichts bisher. Ist diese Zeitspanne normal?

Ich füge mal gleich zwei Logfiles an. Das Erste stammt vom PC - später wechselte ich dann auf den Laptop.

Ich stellte ein RAW-Imgage der Platte her, bevor ich dann damit losgelegen habe.


Testdisk Logfile PC

Code: Select all


Mon Dec 14 23:52:00 2015
Command line: TestDisk

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Windows 7 (7601) SP1
Compiler: GCC 4.8, Cygwin 1007.34
Compilation date: 2015-04-18T13:01:55
ext2fs lib: 1.42.8, ntfs lib: 10:0:0, reiserfs lib: 0.3.1-rc8, ewf lib: 20120504, curses lib: ncurses 5.9
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sda)=120034123776
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdb)=1000204883968
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdc)=320072933376
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=120034123776
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=1000204883968
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive2)=320072933376
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C:)=119926685696
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\D:)=1000202657792
filewin32_getfilesize(\\.\E:) GetFileSize err Unzulässige Funktion.

filewin32_setfilepointer(\\.\E:) SetFilePointer err Unzulässige Funktion.

Warning: can't get size for \\.\E:
filewin32_getfilesize(\\.\F:) GetFileSize err Unzulässige Funktion.

filewin32_setfilepointer(\\.\F:) SetFilePointer err Unzulässige Funktion.

Warning: can't get size for \\.\F:
Hard disk list
Disk /dev/sda - 120 GB / 111 GiB - CHS 14593 255 63, sector size=512
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512
Disk /dev/sdc - 320 GB / 298 GiB - CHS 38913 255 63, sector size=512
Drive C: - 119 GB / 111 GiB - CHS 14580 255 63, sector size=512
Drive D: - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512

Partition table type default to Intel
Disk /dev/sdc - 320 GB / 298 GiB
Partition table type: Intel
New options :
 Dump : No
 Align partition: Yes
 Expert mode : Yes

Analyse Disk /dev/sdc - 320 GB / 298 GiB - CHS 38913 255 63
Current partition structure:

Partition sector doesn't have the endmark 0xAA55

search_part()
Disk /dev/sdc - 320 GB / 298 GiB - CHS 38913 255 63
file_pread(6,1,buffer,625143807(38913/102/37)) lseek err Invalid argument
file_pread(6,1,buffer,625143808(38913/102/38)) lseek err Invalid argument
file_pread(6,14,buffer,625143809(38913/102/39)) lseek err Invalid argument
file_pread(6,3,buffer,625143823(38913/102/53)) lseek err Invalid argument
file_pread(6,3,buffer,625143870(38913/103/37)) lseek err Invalid argument
file_pread(6,8,buffer,625143886(38913/103/53)) lseek err Invalid argument
file_pread(6,11,buffer,625143933(38913/104/37)) lseek err Invalid argument
file_pread(6,2,buffer,625145855(38913/135/6)) lseek err Invalid argument
Search for partition aborted

Results

interface_write()
 
No partition found or selected for recovery

search_part()
Disk /dev/sdc - 320 GB / 298 GiB - CHS 38913 255 63
file_pread(6,1,buffer,625143807(38913/102/37)) lseek err Invalid argument
file_pread(6,1,buffer,625143808(38913/102/38)) lseek err Invalid argument
file_pread(6,14,buffer,625143809(38913/102/39)) lseek err Invalid argument
file_pread(6,3,buffer,625143823(38913/102/53)) lseek err Invalid argument
file_pread(6,3,buffer,625143870(38913/103/37)) lseek err Invalid argument
file_pread(6,8,buffer,625143886(38913/103/53)) lseek err Invalid argument
file_pread(6,11,buffer,625143933(38913/104/37)) lseek err Invalid argument
file_pread(6,2,buffer,625145855(38913/135/6)) lseek err Invalid argument
Search for partition aborted

Results

interface_write()
 
No partition found or selected for recovery
simulate write!

write_mbr_i386: starting...
Store new MBR code
write_all_log_i386: starting...
No extended partition

Interface Advanced
A new copy of MBR code has been written.
You have to reboot for the change to take effect.

Interface Advanced
SIGHUP detected! TestDisk has been killed.

Testdisk Logfile Laptop (Aktuellste)

Code: Select all

Tue Dec 15 00:39:34 2015
Command line: TestDisk

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Windows 7 (7601) SP1
Compiler: GCC 4.8, Cygwin 1007.34
Compilation date: 2015-04-18T13:01:55
ext2fs lib: 1.42.8, ntfs lib: 10:0:0, reiserfs lib: 0.3.1-rc8, ewf lib: 20120504, curses lib: ncurses 5.9
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sda)=120034123776
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdb)=1000204883968
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdc)=320072933376
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=120034123776
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=1000204883968
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive2)=320072933376
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C:)=119926685696
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\D:)=1000202657792
filewin32_getfilesize(\\.\E:) GetFileSize err Unzulässige Funktion.

filewin32_setfilepointer(\\.\E:) SetFilePointer err Unzulässige Funktion.

Warning: can't get size for \\.\E:
Hard disk list
Disk /dev/sda - 120 GB / 111 GiB - CHS 14593 255 63, sector size=512
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512
Disk /dev/sdc - 320 GB / 298 GiB - CHS 38913 255 63, sector size=512
Drive C: - 119 GB / 111 GiB - CHS 14580 255 63, sector size=512
Drive D: - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512

Partition table type (auto): Intel
Disk /dev/sdc - 320 GB / 298 GiB
Partition table type: Intel

Interface Advanced
Geometry from i386 MBR: head=255 sector=63


test_FAT()
 1 P FAT16 >32M               0  32 33 38913  37 36  625137664
sector_size  0
cluster_size 0
reserved     0
fats         0
dir_entries  0
sectors      0
media        00
fat_length   0
secs_track   0
heads        0
hidden       0
total_sect   0
check_part_i386 failed for partition type 06
 1 P FAT16 >32M               0  32 33 38913  37 36  625137664

FAT: Can't list files, bad cluster size.
Directory /

Analyse Disk /dev/sdc - 320 GB / 298 GiB - CHS 38913 255 63
Geometry from i386 MBR: head=255 sector=63


test_FAT()
 1 P FAT16 >32M               0  32 33 38913  37 36  625137664
sector_size  0
cluster_size 0
reserved     0
fats         0
dir_entries  0
sectors      0
media        00
fat_length   0
secs_track   0
heads        0
hidden       0
total_sect   0
check_part_i386 failed for partition type 06
Current partition structure:
Invalid FAT boot sector
 1 P FAT16 >32M               0  32 33 38913  37 36  625137664
 1 P FAT16 >32M               0  32 33 38913  37 36  625137664
No partition is bootable

search_part()
Disk /dev/sdc - 320 GB / 298 GiB - CHS 38913 255 63
FAT32 at 37150/147/54
FAT1 : 36-13849
FAT2 : 13850-27663
start_rootdir : 27664 root cluster : 2
Data : 27664-28318063
sectors : 28318064
cluster_size : 16
no_of_cluster : 1768150 (2 - 1768151)
fat_length 13814 calculated 13814
set_FAT_info: name from BS used

FAT32 at 37150/147/54
     FAT32 LBA            37150 147 54 38913  75 58   28318064 [NO NAME]
     FAT32, blocksize=8192, 14 GB / 13 GiB
file_pread(6,2,buffer,625144176(38913/108/28)) lseek err Invalid argument
file_pread(6,1,buffer,625144176(38913/108/28)) lseek err Invalid argument
file_pread(6,2,buffer,625144181(38913/108/33)) lseek err Invalid argument
file_pread(6,2,buffer,625144239(38913/109/28)) lseek err Invalid argument
file_pread(6,1,buffer,625144239(38913/109/28)) lseek err Invalid argument
file_pread(6,2,buffer,625144244(38913/109/33)) lseek err Invalid argument
file_pread(6,1,buffer,625144244(38913/109/33)) lseek err Invalid argument
file_pread(6,8,buffer,625142528(38913/82/18)) lseek err Invalid argument
file_pread(6,1,buffer,625142528(38913/82/18)) lseek err Invalid argument
file_pread(6,8,buffer,625142656(38913/84/20)) lseek err Invalid argument
file_pread(6,8,buffer,625142784(38913/86/22)) lseek err Invalid argument
file_pread(6,8,buffer,625142912(38913/88/24)) lseek err Invalid argument
file_pread(6,8,buffer,625143040(38913/90/26)) lseek err Invalid argument
file_pread(6,8,buffer,625143168(38913/92/28)) lseek err Invalid argument
file_pread(6,8,buffer,625143296(38913/94/30)) lseek err Invalid argument
file_pread(6,8,buffer,625143424(38913/96/32)) lseek err Invalid argument
file_pread(6,8,buffer,625143552(38913/98/34)) lseek err Invalid argument
file_pread(6,8,buffer,625143680(38913/100/36)) lseek err Invalid argument
file_pread(6,1,buffer,625143807(38913/102/37)) lseek err Invalid argument
file_pread(6,1,buffer,625143808(38913/102/38)) lseek err Invalid argument
file_pread(6,14,buffer,625143809(38913/102/39)) lseek err Invalid argument
file_pread(6,3,buffer,625143823(38913/102/53)) lseek err Invalid argument
file_pread(6,3,buffer,625143870(38913/103/37)) lseek err Invalid argument
file_pread(6,8,buffer,625143886(38913/103/53)) lseek err Invalid argument
file_pread(6,11,buffer,625143933(38913/104/37)) lseek err Invalid argument
file_pread(6,2,buffer,625145855(38913/135/6)) lseek err Invalid argument

Results
   * FAT32 LBA            37150 147 54 38913 102 37   28319744 [NO NAME]
     FAT32, blocksize=8192, 14 GB / 13 GiB


dir_partition inode=0
   * FAT32 LBA            37150 147 54 38913 102 37   28319744 [NO NAME]
     FAT32, blocksize=8192, 14 GB / 13 GiB
FAT: cluster=2(0x2), pos=596851728
Directory /
X      2 -rwxr-xr-x     0      0       290  2-Jan-2013 23:01 _OS.PAR
X      3 -rwxr-xr-x     0      0 175825020  2-Jan-2013 22:58 _OS.SAV
X  21468 -rwxr-xr-x     0      0   1200592  4-Dec-2006 14:08 _DISK.EXE
X  21663 -rwxr-xr-x     0      0    350336 15-Mar-2008 10:58 _AVEPART.EXE
X  21707 -rwxr-xr-x     0      0      7540  3-Jan-1997 14:53 _ELAY.EXE
       3 drwxr-xr-x     0      0         0  8-Dec-2015 22:23 System Volume Information
       5 drwxr-xr-x     0      0         0  8-Dec-2015 22:24 $RECYCLE.BIN
Change partition type:
     No partition             0   0  1 38912 254 63  625137345

interface_write()
 
No partition found or selected for recovery
simulate write!

write_mbr_i386: starting...
write_all_log_i386: starting...
No extended partition

TestDisk exited normally.

Danke und Gruß!
medemirt

User avatar
Fiona
Posts: 2836
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: Partition mit diskpart gelöscht

#6 Post by Fiona » 16 Dec 2015, 10:49

Bitte mache nichts das du nicht weißt, weil oft hilft es nicht!
Unter Options brauchst du nichts machen.
Einen MBR-Code sollte auch nicht geändert werden und hat nur etwas mit Computer starten zu tun.
Auch unter Advanced gibt es nichts zu tun, da du eine Diagnose auf einer FAT16 Partition gemacht welche größer als 32 MB ist.
Auch hilft es nicht wenn du ohne richtige Partition über das Menü Write eine Partition in die Partitionstabelle schreibst.

Du hattest die tiefere Suche Deeper Search abgebrochen.
War somit ohne Erfolg.
Hatte vorher explizit mitgeteilt, der letzte Sektor deiner vorigen NTFS-Partition ist das Backup vom Bootsektor.
Wenn deine Partition über die gesamte Platte ging, benötigst du einen vollen scan!
Für mich ist dann das Ergebnis wichtig!
Wenn deine NTFS-Partition gefunden werden sollte, solltest du p drücken um deine Daten anzeigen zu lassen!

Fiona

medemirt
Posts: 5
Joined: 15 Dec 2015, 05:02
Location: Aalen

Re: Partition mit diskpart gelöscht

#7 Post by medemirt » 16 Dec 2015, 11:02

Derzeit läuft noch Photorec seit 30h und es hat schon einiges an Daten gefunden. Aktuell zeigt es mir 26h Restzeit an. Sobal der Scan abgeschlossen ist würde ich es nochmal mit Testdisk versuchen.

Besteht die Möglichkeit, dass durch meine bisherigen Aktionen der Backup-Bootsektor bereits überschrieben ist?

gruß
medemirt

User avatar
Fiona
Posts: 2836
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: Partition mit diskpart gelöscht

#8 Post by Fiona » 17 Dec 2015, 08:43

Der scan für eine 320 GB-Platte dauert viel zu lange?
Vielleicht sollten Hintergrundprozesse wie Virenscanner etc.. welche den scan beeinträchtigen können abgeschaltet werden?
Auch hat die verbleibende Zeitausgabe keine Aussagekraft.
Aber nach 30 Stunden, ist es ein Hinweis das etwas nicht stimmt?
Hattest du Lesefehler (read errors) gesehen?
Auch empfehle ich TestDisk 7.1WIP 32bit.

Fiona

medemirt
Posts: 5
Joined: 15 Dec 2015, 05:02
Location: Aalen

Re: Partition mit diskpart gelöscht

#9 Post by medemirt » 17 Dec 2015, 10:54

Der Scan mit photorec dauerte in der Tat 50h. Hintergrundprozesse liefen eigentlich bis auf den Virenscanner keine. Soweit ich das beurteilen kann hat er auch so ziemlich alles wichtige gefunden (vorallem eben Bilder). Aber auch sehr viel Müll.

Habe dennoch mal Testdisk nochmals durchlaufen lassen und die Suche war erfolgreich. Konnte in der Konsole durch mein Verzeichnis navigieren. Das Wiederherstellen der Partition zeigte mir jedoch eine Warnmeldung. Blockgröße sei 64kb statt 128kb oder so etwas in der Art. Habe sicherheitshalber einen Kopiervorgang innerhalb TestDisk auf die neue externe Platte gestartet.

Vielen Dank für die Unterstützung. Mein Studentenbuget lässt zwar nicht viel zu aber werde mich dennoch mit einer kleinen Spende erkenntlich zeigen.

Eine Off-Topic frage hätte ich noch. Ist denn eine GUI für TestDisk geplant?

grüße
medemirt

User avatar
Fiona
Posts: 2836
Joined: 18 Feb 2012, 17:19
Location: Ludwigsburg/Stuttgart - Germany

Re: Partition mit diskpart gelöscht

#10 Post by Fiona » 17 Dec 2015, 11:54

Für TestDisk ist keine GUI geplant!
Das Interface ist nicht wie sooft geschrieben CLI (command line interface) sondern TUI (Text User Interface, hier im Fall ncurses).
Unterschied ist, es wird wie beim BIOS mit Pfeiltasten navigiert.
TUI ist sehr gut portierebar auf fast alle Betriebssysteme und ist in der Anzeige für Partitionen mehr als ausreichend.
Grafische Benutzerschnittstelle gibt es bei PhotoRec über QT 4 im Downloadbereich.
Beri PhotoRec kann in der Option FileOpt die Taste s für select/deselect (Markierung aufheben) gedrückt werden und es können nur die Dateitypen welche wiederhergestellt werden sollten aktiviert werden.
Diese Option kann gespeichert werden.
Verhindert, das viele unnötige Dateitypen wiederhergestellt werden.

Fiona

Post Reply

Who is online

Users browsing this forum: No registered users and 0 guests