TrueCrypt: Partition gelöscht - wiederherstellen

Philie · 24. Oktober 2010

so wie ich das sehe, und ich gehe davon, dass die kennzeichnung der HD sowohl bei HxD als auch bei Testcrypt einwandfrei sind, scheint es so ja ...

laut testcrypt habe ich da auf der 500 gb HD insgesamt 976771055 sektoren. öffne ich die gleiche HD habe ich dort insgesamt laut HxD 488397168 sektoren und der letzte eintrag erfolgte auf sektor 488392064. danach erscheinen nur noch NULLEN.

Ergänzung (24. Oktober 2010)

anbei screenshot von HxD

Simpson474 · 24. Oktober 2010

Dann läuft hier gewaltig was schief - die Angaben von HxD und TestCrypt müssen übereinstimmen (zumindest darf der Unterschied nicht gravierend sein). Was sagt denn die Datenträgerverwaltung von Windows, dort werden die gleichen Nummern benutzt?

Philie · 24. Oktober 2010

habe soeben geschaut, computerverwaltung sagt auch, dass das LW nr 3 ist.

status: fehlerfrei, aktiv, primäre partition

ich kann mich nicht erinnert, dass ich eine formatierung unterbrochen habe, als ich TC eingerichtet habe. Sowas mache ich eigentlich nicht ...

Simpson474 · 24. Oktober 2010

Ich hab gerade bei mir nachgeschaut: HxD zählt 1-basiert, während alle anderen Tools 0-basiert zählen. Daher musst du in HxD die HDD 4 auswählen und nicht wie bei den anderen Tools HDD 3.

Philie · 24. Oktober 2010

du hast recht, habe die Hd 4 in HxD ausgewählt, nun stimmen auch die sektoren wieder überein.
laut testcrytp wie HxD 976771055.

der letzte eintrag laut HxD ist bei sektor 976770143

Simpson474 · 24. Oktober 2010

Dann hattest du aber nicht die ganze HDD verschlüsselt, sondern nur eine verschlüsselte Partition bzw. Daten am Ende der HDD wurden überschrieben (eher unwahrscheinlich). Der zu scannende Bereich hätte aber eigentlich gepasst. Was ist bei deiner anderen HDD mit dem Scan der ersten Sektoren herausgekommen?

Philie · 24. Oktober 2010

nichts, null .. nada. plötzlich "blinkte" der cursor wieder auf c:\

ich habe ihn soeben nochmals angestoßen, die ersten 0 - 20.000 sektoren einer korrekt gemounteten HDD.

sonst noch eine idee die ich währenddessen durchführen kann?

Simpson474 · 24. Oktober 2010

Eine Sache hätte ich gerade noch gefunden: wurden die HDDs ungefähr zur gleichen Zeit mit der gleichen TrueCrypt-Version verschlüsselt? Wenn ja, dann verwende mal die funktionsfähige HDD, mounte das Laufwerk mit TrueCrypt und geh dann per Rechtsklick auf "Properties" (auf Deutsch wahrscheinlich "Eigenschaften"). Du solltest dann weitere Informationen über das Volume sehen, unter anderem auch ob es einen Backup-Header gibt oder nicht.

Philie · 24. Oktober 2010

anbei ein screenshot, der hört einfach auf ... ich bekomme kein ergebnis aus den ersten 20.000 sektionen.

zur gleichen zeit wurden die platten nicht verschlüsselt. waren schon einige wochen, vielleicht auch monate, vergangen.

ich habe mal screenshots der beiden funktionierenden HDDs beigefügt. bei beiden gibt es ein backup header ja. habe ich auch soeben vorsichtshalber nochmals gesichert.

Simpson474 · 24. Oktober 2010

Das sich TestCrypt nach gewisser Zeit (mindestens 5 Minuten für 20000 Sektoren) einfach beendet ist normal - das kein Header gefunden wird jedoch nicht. Mir fällt nur schön langsam nichts mehr ein, wieso die Header nicht gefunden werden. Deine Screenshots sehen alle in Ordnung aus und eigentlich sollte der Header von HardDisk1 gefunden werden. Stimmt denn das Passwort, welches von TestCrypt ausgegeben wird? Enthält es Sonderzeichen außer ><# (diese habe ich bereits getestet)? Auch wenn es keinen Unterschied machen sollte, so kannst du auch eine meiner Versionen vor der TrueCrypt 7 Integration mal testen - womöglich wurde damit ein neuer Fehler eingebaut.

Philie · 24. Oktober 2010

ok, ich habe nochmals gestartet ... eine andere HDD. mal sehen ob das jetzt klappt. das pw stimmt, damit habe ich die HDDs gemountet. sind keine keine sonderzeichen enthalten.

aktuell nutze ich die version 6.2a. sollte ich die ggf. mal ersetzen durch die aktuelle 7.0?

ich hoffe ich bekomme die hdd zum laufen

Ergänzung (24. Oktober 2010)

was ich gerade unter datenträgerverwaltung sehe ... das dateisystem der HDD ist RAW. sollte ich vielleicht das volume nochmals löschen und neu anlegen? oder erscheint es autom. als RAW, weil ich es nicht formatiert habe?

wahrscheinlich ist es eh egal oder?

Simpson474 · 24. Oktober 2010

Welches Dateisystem angezeigt wird ist egal. Löschen und neu anlegen in der Datenträgerverwaltung ist eine ganz schlechte Idee, da damit weitere Daten überschrieben werden. Das Update auf Version 7.0 wird dir zumindest für dieses Problem gar nichts bringen.

EDIT: Sollte bei der funktionierenden HDD wieder nichts gefunden werden, so kannst du noch diese Version testen - gefixt wurde ein Aufruf einer Funktion mit undefinierten Verhalten.

Bitte diese Version von TestCrypt nicht mehr benutzten: die aktuellste Version liegt hier. Dank grafischer Benutzeroberfläche ist diese leichter zu bedienen und außerdem wurden doch einige kritische Bugs gefixt.

Philie · 25. Oktober 2010

guten morgen,

danke dir. ich werde die version nach feierabend testen und dir bescheid geben.

vg und einen schönen tag

Ergänzung (25. Oktober 2010)

nabend,

habe soeben die neue version ausprobiert und muss leider sagen, dass es erneut bei einer funktionierenden HDD keinen header gefunden hat.

"Reading 512 bytes ...failed"

Ergänzung (25. Oktober 2010)

ich verzweifele

ich weiss einfach nicht weiter.

Simpson474 · 25. Oktober 2010

Eine Ferndiagnose ist hier schwer - ich kann mir nicht erklären, wieso es bei deinen HDDs nicht funktioniert. Die einzige Möglichkeit die du ohne das Tool hättest, wäre die Partition unter dem gleichen Betriebssystem zu erstellen wie damals, da alles vor Windows Vista anders partitioniert. Der Nachteil dabei ist jedoch, dass bei jedem Versuch weitere Daten überschrieben werden (wenn auch nicht viel, kann aber kritisch werden, da im Header-Bereich).

Philie · 26. Oktober 2010

moin,

ist schon irgendwie komisch ... dass überhaupt kein header gefunden wird. nicht einmal bei den funktionierenden HDDs. diese fehlermeldung ... kommt die auf grund von "timeout"? wenn ja, lässt sie sich ggf. verlängern?

gibt es sonst noch irgendwie die möglichkeit einen header auszulesen?

ich muss auf jeden fall alles erdenkliche versuchen um an die daten der hdd zu kommen.

wenn noch jemand einen guten rat hat ... bitte her damit. ist mir sehr wichtig.

vg

messias2k · 26. Oktober 2010

qHi zusammen,

vorab erstmal ein ganz dickes Lob an Simpson474 für die Entwicklung und Pflege seines Tools!

*DAUMENHOCH*

Nun zu meiner Frage:

ich habe seit ca. 1 Woche ebenfalls das Problem, dass auf Grund einer Unachtsamkeit meine TrueCrypt-Partition gelöscht wurde.
Diese befand sich auf der 2ten von 3 internen HDD's direkt hinter meiner Programme-Partition (s. verwaltung.png).

Ein Header Restore sowie Mounten unter TrueCrypt (V 7.0a) war möglich, wurde jedoch nur als RAW Dateisystem erkannt.

Nach unzähligen (erfolglosen) Rettungsversuchen bin ich nun auf diesen Fred gestoßen und habe nach Anleitung TestCrypt verwendet, welches auch einen TrueCrypt-Header gefunden hat.

Nur bin ich mir nicht ganz sicher, wie ich die neue Partition anlegen soll, da ich u.a. eine Fehlermeldung "Normal header out of bounds..." (s. testcrypt.png) erhalte.

Falls Ihr noch weitere Infos benötigt, gebt Bescheid.

Danke vorab für die Mühe!

EDIT:

Fehler gefunden: "Programme"-Partition war etwas zu groß, sodass der Bereich des möglichen Backup-Headers sich mit dieser etwas überlappt hätte.

--> Partition etwas verkleinert, mit Testdisk die neue entsprechend gesetzt --> ALLES GUT!

ECHT HAMMERGUTES TOOL!

@Simpson474: du solltest n Paypal-Spendenpool anlegen. ;-)

Danke nochmal!

messias2k...

Simpson474 · 26. Oktober 2010

Philie schrieb:
diese fehlermeldung ... kommt die auf grund von "timeout"? wenn ja, lässt sie sich ggf. verlängern?

Die Fehlermeldung ist ganz normal und kommt daher, dass das Programm im Moment wirklich einfach gestrickt ist und somit das Ende der HDD nicht erkennt. Damit versucht TestCrypt den 128KB TrueCrypt-Header auch noch bei den letzten 512 Byte Sektoren zu lesen - da ist halt dann keine HDD mehr übrig zum Lesen. Wieso bei dir keine Header gefunden werden, da habe ich keine Ahnung.

Ich weiß es widerstrebt so ziemlich dem kompletten TrueCrypt-Gedanken, aber ich könnte dir noch anbieten den Header zu analysieren. Dazu benötigt man halt sowohl ca. 10MB Daten (20000 Sektoren) vom Ende der problematischen HDD (z.B. per HxD extrahieren) als auch das TrueCrypt-Passwort. Falls die Partition noch nie sonderlich weit gefüllt war, so kann man in den letzten 10MB der Partition im Normalfall weder Daten noch die MFT (Datei und Ordnernamen) lesen - allerdings übernehme ich hierfür keine Garantie

Philie · 4. November 2010

hallo simpson,

zurück von einem kurztrip. ich habe natürlich anschließend die HDD wieder überprüfen wollen, klappt leider weiterhin nicht. nun, denkst du dass das analysieren erfolg bringen könnte? ich würde dir alle nötigen informationen bereitstellen. ich will einfach die hoffnung nicht aufgeben, dass das doch "irgendwie" klappen kann bzw MUSS!

vg

Simpson474 · 4. November 2010

Ich könnte zumindest nach einem Bug in der Software suchen, da man dann Schritt für Schritt durch den Quelltext gehen kann und sieht, ob dort irgendwo was schiefgeht. Garantieren kann ich natürlich nicht, dass ich den Header wiederherstellen kann.

Philie · 6. November 2010

also ... was soll ich machen bzw dir bereitstellen?

TrueCrypt: Partition gelöscht - wiederherstellen

Cadet 3rd Year

Anhänge

Fleet Admiral

Cadet 3rd Year

Fleet Admiral

Cadet 3rd Year

Fleet Admiral

Cadet 3rd Year

Fleet Admiral

Cadet 3rd Year

Anhänge

Fleet Admiral

Cadet 3rd Year

Anhänge

Fleet Admiral

Anhänge

Cadet 3rd Year

Fleet Admiral

Cadet 3rd Year

Newbie

Anhänge

Fleet Admiral

Cadet 3rd Year

Fleet Admiral

Cadet 3rd Year

Ähnliche Themen

Passend zum Thema