Eigentlich alles falsch gemacht, was man falsch machen kann... TestDisk?

[Ernst@at]

da lag tatsächlich die Betonung auf intakt
naja, ein erster Meilenstein - Die Struktur des HFS+
Mit dem HxD auf der neuen Platte das intakte erkunden, und dann sehen, was davon am alten zu lokalisieren ist...

Glaubst Du. du schaffst es selbst, anhand der Daten für Partiton-Startsektor und Länge die Beginn- und Endbereiche der intakten Partition (die ersten 4 und die letzten drei Sektoren) per HxD markieren und mir auf gleiche Weise zukommen zu lassen - oder brauchst Du Anleitung?

 

[matt2.9]

Ich fürchte ich benötige dafür eine Anleitung... Das HxD-Programm habe ich leider bisher mal überhaupt nicht durchschaut...

 

[Ernst@at]

Im Post #6 hast Du ergründet
P HFS 409640 1953262983 1952853344
(Partitiontyp, Filesystem, Beginn, Ende, Größe in Sektoren)

also neue Platte angeschlossen,
in Datenträgerverwaltung sehen, welche Nummer, eins dazu
diese im HxD extras/open disk/physicaldisk harddisk # geöffnet.

Dann in dem Sektoreingabefeld 409640 eingetippt, Enter,
und die Daten von diesem und der nächsten drei Sektoren(also einschließlich 409643) markieren.
Menü Edit/ Copy as... /Editor view
File/new , in das Rechteck unten klicken, Strg+V - length change OK

zurück in die Harddisk, als Sektor 1953262981 eintippen, Enter
dann Daten des Sektors 1953262981 bis einschließlich Sektor 1953262983 markiert,
Menü Edit/ Copy as... /Editor view
Reiter untitled anklicken und sonst nix
Strg+V - length change OK

File/Save as... / den Namen darfst Du Dir selbst aussuchen; Endung .txt
ende

eine HFS Partition hat
am Beginn den bootrecord 2 Sektoren + Volume Header 2 Sektoren
und am Ende den Mirror des Volume Header 2 Sektoren und noch 1 Sektor mit undefinierten Inhalt

das wollen wir uns jetzt mal ansehen, wie eine intakte Partition da auszusehen hat

 

[matt2.9]

So, das wäre dann diese hier:

 

[Ernst@at]

Nun, nachdem wir jetzt das Aussehen des Volume Headers ergründet haben,
braucht Du per HxD auf der kaputten Platte nur mal nach dem zu suchen:
Am Besten von hinten beginned, den Mirror aufspüren:

- hard disk mit HxD öffnen
- Im Menü auf den Button ">|" klicken, damit positioniert man zum letzten Sektor
- Menü: Search/Find/search for: 48 2B 00 04 80 00 21 00 48 46 53 4A (diesen Wert überträgst Du mit copy&paste in das Feld zur Tippfehlervermeidung), Datatype: hex-values wählen, search direction backward, OK
Wenn das Gesuchte auftaucht (Markiert in der Anzeige), aber nicht am Beginn eines Sektor steht, mit F3 weitersuchen.
Hat sich sowas nach spätestens ein paar Minuten nicht gefunden, abbrechen
ansonsten markierst Du diesen gesamten gefundenen und auch den darauffolgenden Sektor,
- Menü Edit/ Copy as... /Editor view
- Menü File/new , in das Rechteck unten klicken, Strg+V - length change OK
- Menü File/Save as... / VolHdrMirr.txt ,
HxD beenden
in den Anhang

 

[matt2.9]

Hallo!

Also, habe die Platte grad dran und HxD läuft, scheint aber nichts dergleichen zu finden. Ich geb' dem Programm noch ein paar Minuten.

Sonst, was könnte man noch versuchen?

 

[Ernst@at]

Suche alternativ nur nach den Hex-String
48 2B ('H+' am Begin eines Blocks)

Kann sein, dass die Version eine andere war bei der Erstellung
bzw. der Warrior das zuletzt gemounted hat

 

[matt2.9]

Alles klar. Dann suche ich nun nur nach 48 2B. Was genau meinst Du mit "('H+' am Begin eines Blocks)"

ist 48 2B synonym zu H+?

Muss dann auch wieder am Beginn des Sektors stehen, nehme ich an? Sonst mit F3 weitersuchen, richtig?

Vielen Dank!

 

[Ernst@at]

Gewonnen - das ist links im Hexcode und rechts in der ASCII-Zeichenanzeige markiert, wenn es gefunden wird. Solle gleich am Anfang eines Sektors auftreten.

 

[matt2.9]

So, gefühlte 100000 F3-Klicks später hat HxD nun endlich gefunden, was ich gesucht habe... naja wohl eher was Du gesucht hast... Siehe Anhang. Und diese Information gibt es nur an genau EINER Stelle in den ganzen vielen Sektoren?

 

[Ernst@at]

Die 1000 F3-Drücke sind zwar eine sportliche Meisterleistung, aber vergeblich.
Das angezeigte liegt schon tief unter dem Ende der früheren Partition, soferne die über die ganze Platte ging, und der Suchbegriff ist nur zufällig am Beginn, es ist aber leider nicht der Mirror des Volume-Headers.

Ist die kaputte Platte gleich nach Kauf auf dieses Format eingerichtet worden oder war die vorher anderweitig in Verwendung?

 

[matt2.9]

Die Platte war bereits als solche formatiert, als ich sie bekommen habe. Hab sie im offiziellen Handel gekauft und sie war direkt als HFS+ formatiert.

 

[Ernst@at]

Dann öffne sie nochmals mit dem HxD, gehe an den letzten Sektor, und Suche Rückwärts nach einem beliebigen Inhalt ungleich 00 - also z.B. nach 01 hex.
Von dem gefundenen blätterst Du mit > wieder nach hinten, bis Du an einen Sektor kommst, in dem nur mehr 00en sind.
Dann gehst Du 4 Sektoren zurück mit < und markierst die letzten Sektoren, die nicht ausschließlich 00 enthalten, und stellst den Inhalt wie beim letzten Mal in einen .txt File

mühsam nährt sich das Eichhörnchen...

 

[matt2.9]

So, wenn ich Dich richtig verstanden habe, möchtest Du die letzten Sektoren als .txt haben, in denen andere Werte als 00 drinstehen... das ist ein einziger, davor sind erst einmal wieder einige Sektoren leer, bevor es dann losgeht. Siehe Anhang.

 

[Ernst@at]

Der von Dir gepostete Sektor ist Sektor 1893170640.
wenn darüber alles leer ist, muss ich mir das Zeug von vorher noch mal genauer ansehen - ist aber erst am Abend möglich.
Merkwürdig ist jedenfalls, dass die Platte im Auslieferungszustand nicht voll auspartitioniert gewesen scheint. 28GB bis zum Sektor 1953525167 am Ende wären demnach unbenutzbar gewesen...

 

[matt2.9]

Ja keine Eile, ist ja schon sehr sehr nett, dass Du Dir überhaupt so viel Mühe damit machst!
Benötigst Du noch irgendwelche Daten?

Vielen Dank!

 

[Ernst@at]

Im Moment versuche ich den Aufbau des HFS+ Filesystemes zu verstehen, damit man auf der Platte nach den richtigen Partitionierungsdaten fahnden kann - sobald die richtiggestellt sind, hat man vielleicht mit einem Rettungsprogramm Chance auf Erfolg.


Im Moment haben wir folgende Informationen aus den Vorposts gesammelt

The following partitions can't be recovered: 
Partition Start End Size in sectors 
HFS 415800 1953678743 1953262944 
HFS 425088 1953688031 1953262944 
HFS 436584 1953699527 1953262944 
HFS 448288 1953711231 1953262944 
HFS 459832 1953722775 1953262944 
HFS 471648 1953734591 1953262944 
HFS 473352 1953736295 1953262944 
HFS 474280 1953737223 1953262944 
HFS 475592 1953738535 1953262944 
HFS 477176 1953740119 1953262944 
allesamt Unsinn, weil das Partitionende hinter der physischen Größe der Platte (1953525167) liegt

auf einer neuen 1TB Platte angelegt (GPT):
HFS 409640 1953262983 1952853344 

derzeit auf der Platte: (GPT)
HFS 409640    5409311                        Partition ist viel zu klein                   

HFS ?      1893170640 ?                        letzter not-zero sector

 

[matt2.9]

Hi!
Alles klar, gut... ja das leuchtet mir soweit sogar ein :-)
Nur dass die in TestDisk als nicht wiederherstellbar angegeben Partitionen Unsinn sein müssen, war mir bisher noch gar nicht aufgefallen!

Hmm... ja, Aufbau des filesystems... benötigst Du dafür noch andere Auswertungsdaten? Evtl. noch irgendwelche Daten von der heilen Festplatte?

Würde diese dann morgen Vormittag posten.

Ergänzung (11. Mai 2010)

Merkwürdig ist jedenfalls, dass die Platte im Auslieferungszustand nicht voll auspartitioniert gewesen scheint. 28GB bis zum Sektor 1953525167 am Ende wären demnach unbenutzbar gewesen...

Das lese ich grad erst. Hmm.. na ich werd morgen nochmal nachschauen, ob da nicht doch noch Daten ungleich 00 waren... aber ich war eigentlich recht sicher, dass ich das nochmal durchgegangen bin...

 

[Ernst@at]

Es wird noch einiges an Suchläufen und Datenextraktionen notwendig sein, um den ursprünglichen Zustand herauszufinden.
Alleine der Eintrag der viel zu kleinen und unsinnigen Partition zeigt, dass hier ein massiver verändernder Eingriff auf die Plattendaten stattgefunden hat. Inwieweit dabei auch noch völlig unnötigerweise ursprüngliche Informationen zerstört wurden (zB der nicht mehr auffindbare Mirror des alten VolumeHeaders, der weit außerhalb der jetzt definierten Partition gelegen hat), kann man jetzt noch nicht sagen. Ob man aus den verbleibenden Resten noch auf die ursprünglichen Daten schließen kann, ebenso.
Welche der verfügbaren Tools zur Datenrettung eine ähnliche Vorgangsweise wie bei NTFS aufweisen und Erfolg versprechen könnten - dazu kann ich derzeit überhaupt nix sagen, da von meiner Seite keine derartige Erfahrung mit HFS+ vorhanden. Aber auch hier wird nur mit Wasser gekocht...

 

[Fiona]

Dazu kurze Frage?
Gibt zwei Typen bei Apple.
Einmal Aplle Partition Map und neu EFI-GPT.
EFI-GPT arbeitet oft mit einer anderen Geometrie?
In einigen Fällen wurde die Partiionsgeometrie bei EFI-GPT ähnlich wie Apple Partition Map angezeigt.
Sieht folgendermaßen aus;
Cylinderanzahl ist die lange Zahl am Anfang und folgt jeweile mit 1....1.
Das bedeutet ein Head und 1 Sektor pro Cylinder.
Aber EFI-GPT verwendet öfters auch 32 Heads pro Cylinder als Beispiel.
Würde dann so aussehen;
Cylinderanzahl..32..1.
Beispiel auch hier im Thema;
https://www.computerbase.de/forum/t...ieg-ich-sie-wieder.72110/page-20#post-4880866

Teile mal mit, ob Testdisk auch eine andere Geometrie zum testen vorgeschlagen hat?

Viele Grüße

Fiona