NTFS Partition wiederherstellen

[Zedar]

Hallo,

ich habe ein Problem mit meiner Samsung 1TB Festplatte die als zweite Festplatte und als Datenplatte ohne Betriebssystem genutzt wurde.

Vor kurzem wollte ich ein installer Image von Arch Linux unter Linux auf einen USB-stick kopieren und verwechselte fatalerweise die Laufwerksbezeichnung. Statt /dev/sdf gab ich /dev/sdb ein und so landete das Image auf der Festplatte. Leider kann ich seitdem die Platte nicht mehr ordentlich einbinden. Testdisk schaffte es zwar die Partition mit dem Bootsektor Backup wiederherzustellen, allerdings kann ich sie weder unter Linux noch unter Windows 7 einbinden.

Unter Windows wird sie als RAW angezeigt.

Meine bisherige Vorgehensweise:

Testdisk gestartet und dem Wiki gefolgt, also zuerst Analyse danach Deeper Search. Die Partition wurde grün unterlegt angezeigt und die Daten waren auflistbar. Ich habe es als Primäre, bootbare Partition angegeben. Dann den Bootsektor wiederhergestellt. Leider kann ich die Platte noch immer nicht einbinden. Außerdem ist mir aufgefallen das die Reihenfolge der Festplatten verändert ist. /dev/sda (also C:) wird in Testdisk als /dev/sda angezeigt. Hat das was mit dem Bootflag zu tun?

Ich kann die Platte theoretisch klonen, da ich noch an die Daten komme, habe aber etwas Angst vor Datenverlust weil es auf eine externe Platte gehen würde. Vielleicht weiß ja noch jemand was was ich noch probieren könnte.

Schon mal Danke für die Mühen im Voraus. Hier noch ein paar Screenshots.

DatenträgerWin.PNG (76.35 KiB) Viewed 8516 times

Datenträgerverwaltung von Windows

Quicksearch.PNG (42.77 KiB) Viewed 8516 times

Ergebnis nach QuickSearch, DeeperSearch schon in einer vorherigen Sitzung gelaufen

Testdisk1.PNG (39.75 KiB) Viewed 8516 times

Die Plattenreihenfolge ist jetzt verändert. Früher war /dev/sda /dev/sdb und umgekehrt.

[Fiona]

Setze mir mal einen Screenshot von TestDisk / Advanced (nicht Analyse) und Boot.
Lasse im Fall auch RebuildBS laufen und teile mit ob der extrapolated boot sector zum original unterschiedlich ist?
Ansonsten weist es auf ein beschädigtes Dateisystem hin.
Bevor du die Diagnose über das Menü Advanced machst und eine neue Logdatei erstellst, könntest du mir den Inhalt deiner letzten Diagnose von deiner testdisk.log kopieren und in deinen nächsten Post einfügen?
Möchte sehen on ich Hinweise über einen Fehler im Dateisystem finde.
Du bräuchtest deine Platte nicht klonen und kannst in TestDisk deine Daten direkt auf einer anderen Platte oder Partition kopieren.
Info würde folgen.

Fiona

[Zedar]

Bin gerade nicht am Rechner und werde die gewünschten Informationen heute nachmittag oder abends Posten.

Schon mal danke für die Antwort

[Zedar]

So, hier mal die gewünschten Daten:

Zuerst die testdisk.log. Den Teil mit den Namen der Daten habe ich mal weggelassen. Unten steht das was du vermutest. "NTFS FS need to be repaired"

Code: Select all

Sat Jan  9 17:48:46 2016
Command line: TestDisk

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Linux, kernel 4.3.3-2-ARCH (#1 SMP PREEMPT Wed Dec 23 20:09:18 CET 2015) x86_64
Compiler: GCC 5.2
Compilation date: 2015-09-07T19:33:01
ext2fs lib: 1.42.13, ntfs lib: libntfs-3g, reiserfs lib: 0.3.0.5, ewf lib: none, curses lib: ncurses $
/dev/sda: LBA, HPA, LBA48, DCO support
/dev/sda: size       1250263728 sectors
/dev/sda: user_max   1250263728 sectors
/dev/sda: native_max 1250263728 sectors
/dev/sda: dco        1250263728 sectors
/dev/sdb: LBA, HPA, LBA48, DCO support
/dev/sdb: size       1953525168 sectors
/dev/sdb: user_max   1953525168 sectors
/dev/sdb: native_max 1953525168 sectors
/dev/sdb: dco        1953525168 sectors
Warning: can't get size for Disk /dev/mapper/control - 0 B - 0 sectors, sector size=512
Hard disk list
Disk /dev/sda - 640 GB / 596 GiB - CHS 77825 255 63, sector size=512 - WDC WD6400AACS-00G8B1, S/N:WD-$
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512 - SAMSUNG HD105SI, S/N:S25GJD2$

Partition table type (auto): None
Disk /dev/sdb - 1000 GB / 931 GiB - SAMSUNG HD105SI
Partition table type: Intel

Analyse Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63
Geometry from i386 MBR: head=255 sector=63
NTFS at 0/32/33
Current partition structure:
 1 P HPFS - NTFS              0  32 33 121601  25 24 1953519616
No partition is bootable
Corrupted file $UpCase

search_part()
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63
NTFS at 0/32/33
filesystem size           1953519616
sectors_per_cluster       8
mft_lcn                   786432
mftmirr_lcn               2
clusters_per_mft_record   -10
clusters_per_index_record 1
     HPFS - NTFS              0  32 33 121601  25 24 1953519616
     NTFS, blocksize=4096, 1000 GB / 931 GiB

Results
   * HPFS - NTFS              0  32 33 121601  25 24 1953519616
     NTFS, blocksize=4096, 1000 GB / 931 GiB

Hint for advanced users. dmsetup may be used if you prefer to avoid to rewrite the partition table fo$
echo "0 1953519616 linear /dev/sdb 2048" | dmsetup create test0
ntfs_device_testdisk_io_ioctl() unimplemented
ntfs_device_testdisk_io_ioctl() unimplemented
NTFS filesystem need to be repaired.

Screenshot_20160111_154917.png (32.59 KiB) Viewed 8488 times

Ausgabe von Advanced/Boot

Screenshot_20160111_154917.png (32.59 KiB) Viewed 8488 times

Nach RebuildOS

[Fiona]

RebuildBS brachte keine Äbderung.
War es möglich Dateien bei List anzeigen zu lassen?
Gegenwärtig sieht es nach Probleme im Dateisystem aus.

Current partition structure:
1 P HPFS - NTFS 0 32 33 121601 25 24 1953519616
No partition is bootable
Corrupted file $UpCase

Und hier:

ntfs_device_testdisk_io_ioctl() unimplemented
NTFS filesystem need to be repaired.

Bevor chkdsk ausgeführt wird, ist es empfohlen die Daten vorher zu sichern.
Daher sollten diese wenn sie in TestDisk angezeigt werden, kopiert werden.
Teile bitte mit, siehst du deine Daten oder eine Fehlermeldung?
Info folgt.

Fiona

[Zedar]

Danke für die Rückmeldung. Ja, die Daten sind in Testdisk sichtbar und ich habe in kürze erst mal das wichtigste gesichert. 17 von über 43000 Dateien waren nicht wieder herzustellen, also ein sehr sehr guter Schnitt.

In testdisk.log habe ich noch einen interessanten Eintrag gefunden:

Code: Select all

    

[...]


    4833 dr-xr-xrntfs_mst_post_read_fixup_warn: magic: 0x454c4946  size: 4096   usa_ofs: 48  usa_count: 2: Das Argument ist ungültig
Actual VCN (0x1003800010002) of index buffer is different from expected VCN (0xc) in inode 0x40.
ntfs_mst_post_read_fixup_warn: magic: 0x454c4946  size: 4096   usa_ofs: 48  usa_count: 2: Das Argument ist ungültig
Actual VCN (0x1003800010002) of index buffer is different from expected VCN (0x2) in inode 0x41.
ntfs_mst_post_read_fixup_warn: magic: 0x454c4946  size: 4096   usa_ofs: 48  usa_count: 2: Das Argument ist ungültig
Actual VCN (0x1003800010002) of index buffer is different from expected VCN (0x2) in inode 0xcd.

   

[...]


ntfs_readdir failed for cluster 64: Eingabe-/Ausgabefehler
ntfs_readdir failed for cluster 65: Eingabe-/Ausgabefehler
ntfs_readdir failed for cluster 205: Eingabe-/Ausgabefehler
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.
Cannot find attribute type 0x80.

Zwischen den Fehlermeldungen werden Dateien aufgelistet die ich aus Datenschutzgründen nicht hier posten werde. Hier hat wohl mein dd Befehl ganze Arbeit geleistet und den Inhalt geschreddert bzw. mit einsen und nullen überschrieben.

chkdsk kann leider nicht ausgeführt werden da der Datenträger unter Windows nicht mehr als NTFS Partition erkannt wird, sondern nur als RAW-Datenträger und auch keinem Laufwerk zugeordnet werden kann.

Die Daten sind aber dank Testdisk zu nahezu 100% gesichert. Ich werde bei dann mal nachsehen ob wirklich alles wichtige da ist. Im Anbetracht der Umstände werde ich deinen nächsten Post abwarten und dann die Platte neu formatieren. Ich denke der Rest ist tatsächlich verloren, es dürften aber keine wichtigen Daten mehr sein, zumindest nicht auf den ersten schnellen Blick.

[Fiona]

Meldung ist das einige Sektoren in 3 Clustern ( normal werden 8 Sektoren zu einem Cluster zusammengefasst), nicht mehr gelesen werden können. Du solltest dringend den Status deiner Platte mit CrystalDiskInfo überprüfen.
http://crystalmark.info/download/index-e.html
Nehme bitte die portable version.
Auch ein scan mit HD Tune free und einen error scan kann helfen.
Wenn auf der Oberfläche deiner Platte rote Blocks angezeigt werden, sollte die Platte getauscht werden.
Eine Partition mit einen ungültigen Bootsektor welche als RAW angezeigt wird, erkennt Windows nicht mehr.
Unter TestDisk Menü Advanced / Boot könnte der Bootsektor repariert werden und wäre wieder gültig.
Dann wäre auch ein Chkdsk möglich.
Setze mir mal einen Screenshot.
Mache gegenwärtig mal nichts bei Write oder RepairMFT um an deinen Dateisystem keine Änderungen vorzunehmen.

Fiona

[Zedar]

Hallo, vielen Dank für die Hartnäckigkeit und sorry das es bei mir immer etwas dauert bis ich dazu komme was zu posten.

Die Ausgabe von CrystalDiskInfo (portable Version) ist folgende:

Crystal.PNG (81.61 KiB) Viewed 8446 times

Scheint alles ok zu sein. War es das was du sehen wolltest?

Hier noch die der Error Check von HD Tune (habe die 15-Tage Testversion geladen)

HDTune.PNG (34.48 KiB) Viewed 8446 times

Sieht auch alles sauber aus. Was meinst du welchen Screenshot in Testdisk ich setzen soll? Den Bootsektor habe ich schon mal versucht wiederher zu stellen, oder meinst du Testdisk soll den MBR neu schreiben?

Testdisk sagt, der Bootsektor sei ok.

Testdisk4.png (31.88 KiB) Viewed 8446 times

Ich habe mich an deinen Rat gehalten und keine weiteren Schreibversuche auf den Datenträger mehr unternommen.

Edit:

Die Ausgabe wenn ich die Platte unter Linux einhängen möchte:

Code: Select all

[buddies@Buddies-PC ~]$ sudo ntfs-3g /dev/sdb1 /mnt/multimedia
Corrupted file $UpCase
Failed to mount '/dev/sdb1': Eingabe-/Ausgabefehler
NTFS is either inconsistent, or there is a hardware fault, or it's a
SoftRAID/FakeRAID hardware. In the first case run chkdsk /f on Windows
then reboot into Windows twice. The usage of the /f parameter is very
important! If the device is a SoftRAID/FakeRAID then first activate
it and mount a different device under the /dev/mapper/ directory, (e.g.
/dev/mapper/nvidia_eahaabcc1). Please see the 'dmraid' documentation
for more details.

Die Festplatte an sich wird auch erkannt, /dev/sdb1 ist die betroffene:

Code: Select all

[buddies@Buddies-PC ~]$ sudo fdisk -l
Festplatte /dev/sda: 596,2 GiB, 640135028736 Bytes, 1250263728 Sektoren
Einheiten: Sektoren von 1 * 512 = 512 Bytes
Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes
E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes
Festplattenbezeichnungstyp: dos
Festplattenbezeichner: 0x8e96b087

Gerät      Boot     Anfang       Ende  Sektoren Größe Kn Typ
/dev/sda1  *          2048  780330447 780328400 372,1G  7 HPFS/NTFS/exFAT
/dev/sda2        780331008  781250559    919552   449M 27 Verst. NTFS WinRE
/dev/sda3        781252606 1031251967 249999362 119,2G  5 Erweiterte
/dev/sda4       1031251968 1250263727 219011760 104,4G 83 Linux
/dev/sda5        781252608 1015627775 234375168 111,8G  7 HPFS/NTFS/exFAT
/dev/sda6       1015629824 1031251967  15622144   7,5G 82 Linux Swap / Solaris

Partitionstabelleneinträge sind nicht in Festplatten-Reihenfolge.


Festplatte /dev/sdb: 931,5 GiB, 1000204886016 Bytes, 1953525168 Sektoren
Einheiten: Sektoren von 1 * 512 = 512 Bytes
Sektorgröße (logisch/physikalisch): 512 Bytes / 512 Bytes
E/A-Größe (minimal/optimal): 512 Bytes / 512 Bytes
Festplattenbezeichnungstyp: dos
Festplattenbezeichner: 0x10714092

Gerät      Boot Anfang       Ende   Sektoren Größe Kn Typ
/dev/sdb1         2048 1953521663 1953519616 931,5G  7 HPFS/NTFS/exFAT

[Fiona]

Ist eine gute Nachricht das deine Platte Ok ist.
Somit weist der Fehler nur auf dein Dateisystem.
War das hier:

ntfs_readdir failed for cluster 64: Eingabe-/Ausgabefehler
ntfs_readdir failed for cluster 65: Eingabe-/Ausgabefehler
ntfs_readdir failed for cluster 205: Eingabe-/Ausgabefehler

Um chkdsk zum laufen zu bringen sollte immer zuerst der Bootsektor überprüft werden.
Daher nochmal die Anfrage
RebuildBS hattest du auch bereits gemacht.
Das letzte was noch gemacht werden kann würde im Boot-Menü die Option RepairMFT sein.
Ist ein Kompanion zu chkdsk, wenn chkdsk nicht läuft oder abbricht.
Bevor du neu Formatierst kannst du überlegen, ob du ein RepairMFT im Menü Advanced ausführen möchtest und chkdsk Lauferksbuchstabe /r hinterher erneut testen möchtest.
Auch nochmal Info unter NTFS-MFT-Reparatur (Repair MFT):
http://www.cgsecurity.org/wiki/Erweiter ... air_MFT.29

Ansonsten würde nur ein Format und Daten zurückkopieren helfen.

Fiona

[Zedar]

Leider brachte auch RepairMFT keine Änderung. Aktuell Spiele ich das Backup auf die frisch formatierte Platte zurück.

Trotzdem vielen Dank für die Hilfe, Fiona. So weiß ich wenigstens das ich als versucht habe.