Datenrettung mit ddrescue / probleme...

[spr3ngmeister]

Hallo,

ich bin seit Tagen an der Datenrettung einer fast vollen 1TB externen Festplatte dran, welche ploetzlich in Windows statt NTFS als RAW erkannt und wurde, nichts ging mehr.

auch von diesem Thread angeleitet startete ich einen ersten Durchgang mit ddrescue, welchen ich nach ca. 5 Tagen abgebrochen habe, um ihn mit veraenderten Parametern fortzusetzen. Davor habe ich noch das vorlauefige Ergebnis versucht zu mounten, auch in windows mit chkdsk, ohne Ergebnis. Auch testdisk konnte selbst mit deepscan keine Partitionen finden.

Beim Fortsetzen stehe ich nun an, durch einen Fehler kann ddrescue nicht an den Vorgang in der erstellten logfile anknuepfen, aber alles der Reihe nach.

Erster ddrescue durchgang>>>

ddrescue --force /dev/sdc /dev/sdd /mnt/logstick/ddrescue.log

Das logfile habe ich als Anhang hochgeladen, wobei ddrescue.log auf ddrescuelog.txt umgeaendert wurde, damit der Server die Datei akzeptiert.

Hier die Darstellung mit ddrescueview


Nun moechte ich den zweiten Vorgang starten, aber er gibt nur die Warnung aus, dass der Zielort bereits belegt ist

oot@partedmagic:/mnt# ddrescue --reverse -d -r3 -v /dev/sdc /dev/sdd /mnt/logstick/ddrescue.log
ddrescue: Output file exists and is not a regular file.
ddrescue: Use '--force' if you really want to overwrite it, but be
          aware that all existing data in the output file will be lost.
Try 'ddrescue --help' for more information.

logstick ist gemountet, ddrescue.log wir auch gelistet.

Nun die Frage was ich bitte falsch mache, ich bin so langsam am Veryweifeln...
Daneben waers noch super, falls ihr eine Meinung zum Grad der Schaedigung geben koennt, laesst sich mit dem logfile bzw. deren grafischen Darstellung sagen, wie es um das Laufwerk und deren Wiederherstellung steht..?

Als Alternative habe ich recover my files und photorec angedacht, aber durch die riesige Datenmenge bekomme ich beim letzteren ohne der Dateistruktur nur einen unuebersichtlichen Haufen..

DANKE fuer alle Antworten!

 

[Kristatos]

Das Problem ist das der 1. Sektor als defekt angezeigt wird, da stecken mitunter die Infos für das Filesystem. Da bleibt Dir wirklich nur noch es mit Photorec zu versuchen, oder halt unter Windows (z.B. an einem anderen PC) ein kommerzielles Tool zu verwenden wie z.B. Recuva, R-Studio etc.

Kannst Du denn eigentlich die Partition unter PartedMagic mounten ?

 

[spr3ngmeister]

ok... und nochmals mit ddrescue und drei leseversuchen bei geschädigten blöcken, also r3, drüberzugehen..?
zumindest der versuch sollte sinnvoll sein, und da ärgere ich mich noch mehr dass ich den zweiten anlauf nicht zustandebringe.


und welches kommerzielle tool soll ich am ehesten verwenden.. habe noch empfehlungen für recovermyfiles und getdataback gefunden. die wende ich dann auf das mit ddrescue erstellte abbild an?

danke nochmals!!

 

[Kristatos]

Du kannst da nichts mehr reparieren. Jetzt geht es um Datenrettung pur.

 

[spr3ngmeister]

also wird das mit ddrescue und r3 keinen sinn mehr machen?

sorry, bin auf diesem gebiet nicht wirktlich erfahren, und die paar tage einlesen bringen mich jetzt auch nicht weiter.

wär deswegen gut wenn ich antworten auf meine vorigen fragen bekommen könnte.

 

[sirgomo]

Du kannst noch mich dmde versuchen (free version herunterladen), die img scannen und die Ordnerstruktur rekonstruieren versuchen. Wenn es klappt, dann kannst du das Dmde kaufen, es kostet circa. 16Euro.

LG

 

[spr3ngmeister]

Danke für die bisherigen Antworten.

Was mir bisher nicht klar wurde:

? soll ich die Datenrettung am mit ddrescue erstellten Abbild durchführen? - nehme es stark an.
? sind die vorgeschlagenen Datenrettungstools vergleichbar mit photorec?
? soll ich den geschädigten ersten Block nochmals mit ddrescue und mehreren Leseversuchen bearbeiten? Dann muss ich den zweiten Durchgang irgendwie wieder zum laufen bringen, was ich leider nicht geschafft habe.

Ich frage deswegen nochmals nach, weil ich kaum mehr Zeit habe, um die Daten zu retten und ich bald damit anfangen muss.

 

[sirgomo]

Nach meine Erfahrung kann ich sagen, dass dmde viel besser als photorec ist. Ja, genau du solltest mit dem Bild von ddrescue durchführen(mit die Originell Festplatte soll man so wenig wie möglich arbeiten)

LG

 

[spr3ngmeister]

super
und inzwischen ist es auc mir klar, dass ich mit dem Abbild weiterarbeite..

bleibt die Frage, ob ich v.a. über den Anfang, also auch den ersten fehlerhaften Block nochmals gründlicher mit ddrescue drübergehen soll.
Laut der Fehlermeldung, weigert er sich, ohne --force auf das Ziellaufwerk zu schreiben, da es eben schon Inhalte hat.
Meine Frage: wenn ich nun --force dazuschreibe, hält sich ddrescue trotzdem an das logfile und setzt die erste Session fort, oder überschreibt er gerade wegen --force das erste Ergebnis neu, was ja nicht gut wäre. Kann ich beim output ablesen, ob er die erste Session fortsetzt?

DANKE

 

[sirgomo]

Versuchen einfach mit dmde, wenn er findet nicht wass du brauchst, kannst du wieder Sektorweise Kopie machen auch mit dmde ( vermeiden fehlerhafte Sektoren 0 und du solltest mit log arbeiten, wenn dmde fertig ist, du kannst wieder nur fehlende Sektoren auszulesen, wenn das nötig ist ).

 

[spr3ngmeister]

ok, bevor ich mit dmde anfange:

sollte ich mit ddrescue nur über den ersten beschädigten block drübergehen, mit r3, damit würde ich mir sehr viel Zeit mit Datenrettungsversuchen ersparen...?

dafür müsste ich wissen, ob ich den ersten Vorgang mit --force wieder fortsetzen kann.??

 

[sirgomo]

Es tut mir leid, bin ich nicht sicher, ich benutze fast immer dmde(auch unter linux )

 

[spr3ngmeister]

ich lasse dmde gerade über die kopie drüberlaufen..

hat sonst jemand eine meinung zu meinen oben gestellten fragen? der erste sektor ist beschädigt, soll ich ddrescue nochmals mit r3 drüberlaufen lassen, zusammen mit dem--force parameter?

DANKE

 

[sirgomo]

Versuchen mal ohne scannen, einfach die Partition aufmachen (wenn dmde die Partition Table sehen kann)

 

[spr3ngmeister]

nein, öffnen geht leider nicht, nur scannen..

Ergänzung (18. November 2015)

noch eine frage zu dmde: ich habe mit ddrescue das 1TB Laufwerk auf eines mit 4TB gespielt. wenn ich jetzt dmde darauf suchen lasse, scheint das ewig zu dauern - ich denke das ist wegen der 4TB-grösse, die er ganz absucht.

gibt es eine Möglichkeit, die Suche irgendwie sinnvoll auf das eine TB einzuschränken, was kopiert wurde? zb. anfangssektor 0 und endsektor 1TB...?

 

[sirgomo]

Nein, aber du musst nicht bis zu ende warten, du kannst einfach früher versuchen, was dmde gefunden hat einfach aufmachen.

 

[Holt]

Poste mal die Ausgabe von smartctl -a /dev/sdc, damit man sieht in welchem Zustand die Quellplatte ist. Das klonen macht man ja vor allem wenn dere Zustand schlecht ist und die den Stress der ganze Zugriffe durch das Recoverytool vermutlich nicht (ohne weitere Schäden) überstehen würde. Wenn der Zustand schlecht ist, wäre eine Wiederholung unvorteilhaft, da beim zweiten Versuch dann womöglich noch mehr Sektoren nicht mehr gelesen werden können.

Die 4TB Platte war hoffentlich nagelneu und unbenutzt oder wenigstens vorher genullt, damit das Recoverytool nicht noch Rest von alten Filesystemstrukturen dort findet und womöglich durcheinander kommt.

 

[spr3ngmeister]

Hallo Holt,

ich hänge die Ausgabe in einer Datei an, wäre sonst zu lang.

Und das Ziellaufwerk war eine nagelneue 4TB externe HDD.

 

[Holt]

Das sieht nicht gut aus und deswegen hat es beim ersten Versuch ohne die Begrenzung der Wiederholungen auch so lange gedauert:

197 Current_Pending_Sector 0x0032 192 192 000 Old_age Always - 1451

Versuche erst einmal mit den diversen Recoverytools, den freien wie Testdisk und auch den kommerzillen was Du da von dem Klone retten kann, bedenke das man dazu die Daten immer auf eine anderen Platte kopiert und nicht einen In-Place Repear macht. Von den kommerziellen Recoverytools gibt es ja meist kostenlose Demoversionen die zeigen was sie finden und manchmal auch ein paar Dateien zur Probe retten. Ist natürlich jetzt blöd, dass Du den ersten Durchgang abgebrochen hast und es damit wohl keinen vollständigen Klon gibt und wie das --reverse genau arbeitet, kann ich nicht sagen, hoffentlich packt es das die Daten dann auch am Ziel korrekt auf die gleichen Sektoren zu schrieben.

Hast Du den zweiten Versuch soweit durchlaufen lasse, dass am Ende alles noch lesbare geklont wurde? Das --force ist da auf jeden Fall nötig, da Du ja nicht in ein File schreibst:

--force
Force overwrite of outfile. Needed when outfile is not a regular file, but a device or partition. This option is just a safeguard to prevent the inadvertent destruction of partitions, and is ignored for regular files.

Übrigens: Satt mit --reverse zu versuche vom Ende aus zum Anfang zu klonen, könntest Du auch mal schauen wie viele Bytes kopiert wurden und dann mit --input-position= und --output-position= (bei beiden den gleichen Wert eintragen, Zahl der geklonten LBAs * 512!) versuchen dort weiter zu machen.

 

[spr3ngmeister]

nein, den zweiten versuch mit ddrescue habe ich noch nicht gestartet, da ich befürchtet habe, mit dem --force den bestehenden klon und daher den ersten durchgang zu überschreiben.

ich würde also den zweiten durchgang starten, mit

ddrescue --force -d -r3 -v /dev/sdc /dev/sdd /mnt/logstick/ddrescue.log

in den letzten 3 stunden habe ich DMDE über den angelegten klon laufen lassen, er hat in dieser zeit ca. eine million von 900 millionen headern, oder welche einheiten das auch sind, gescannt. dabei 400 jpgs gefunden. das wird also dauern.

könnt ihr also empfehlen, mit der obenstehenden eingabe ddrescue nochmals laufen zu lassen? wenn das logfile gemountet ist, wird ddrescue den ersten durchgang wohl fortsetzen können..?

und gibt es eine möglichkeit, den ersten sektor irgendwie zu ersetzen / zu klonen? an dem liegt ja die lesbarkeit des gesamtlaufwerks.

vielen dank nochmals.