Externe Festplatte - MFT beschädigt

[scorpiono]

Hi

Ich hab ein ziemlich großes Problem.
Hoffe einen nette Person da draußen die ein paar Minuten Zeit hat kann mir helfen ^^

Ich versuche mein Problem so detailliert wie möglich zu beschreiben falls ich aber einen
wichtigen Punkt vergessen haben sollte sagt es einfach

Wie alles begann:
Meine Externe Festplatte hat 3 Logische NTFS Partitionen X (backup daten) Y (im
netzwerk freigegeben) und Z (normale Dateien von html bis avi). Nach einem PC
Absturtz während dessen offensichtlich auf meine Festplatte zugegriffen wurde sind
D und E verschwunden Z funktionierte aber problemlos deshalb viel mehr dieser
Fehler erst nach einer Woche auf da ich die anderen beiden nur selten nutze.

Nun habe ich es irgendwie geschafft mit TestDisk die beiden Partitionen X und Y
wiederherzustellen dabei Z aber irgendwie zu beschädigen. Da ich mich mit TestDisk
noch nicht all zu gut auskannte hatte ich viel rumprobiert und kann nicht so genau
sagen was alles. Zum ziel führe aber ein Analyse->Qucik Scan->Deeper Scan und
dann die Partitionen von Deleted auf Logisch setzen.

Leider musste ich feststellen das ich von nun an auf manche Ordner bzw. Dateien auf
Z nicht mehr zugreifen konnte. In Fehlermeldung ging es glaube ich um korrupte
Dateien. Über Google hatte ich dann herausgefunden das man in solchen fällen am
besten ein chkdsk /f z: laufen lässt was ich dann auch tat. Das Resultat war aber alles
andere als zufriedenstellend. Da die Dateien die sich nicht öffnen ließen nun einfach
weg wahren. Ich ließ anschließend noch ein chkdsk /r z: laufen in der verzweifelten
Hoffnung damit alles zum guten wenden zu können. Leider ohne erfolg. Mir viel aber
der nach dem scan dazugekommene Ordner folder.000 auf. In diesem befanden sich
teilweise die Dateien die mir auf z: fehlten und zwar in form von folder.9159, folder
.9160 ... Die Dateien die sich in den ordnern befanden waren allerdings unbeschädigt
und richtig benannt. Manche Dateien auf z: waren auch 0 byte groß und nicht mehr
aufrufbar.

Ich entschied mich also einen Recovery Scan mit dem Programm Active@ File
Recovery zu machen. Es resultierte in einem 23 stunden scan indem viele viele
dateien gefunden wurden nur leider alle im Format "File126616.jpg ...." Manche
Dateien ließen sich auch nicht öffnen bzw. nur mit vlc. oder hatten abnormale größen
und / oder ließen sich einfach garnicht öffnen.


Aktuelle Stelle wo ich Hilfe brauche:
Als ich noch ein bisschen weiter gegoogelt hatte kam ich auf die Spur das mein MFT
kaputt sein könnte und versuchte diesen mit hilfe von TestDisk zu reparieren.
Allerdings erhielt ich bei TestDisk->Advanced->Externe Festplatte->Z: Boot->Rpair
MFT



(können die heads cylinder eine problem ursache sein?)


nur folgendes



allerdings hatte ich chkdsk schon 2x durchlaufen lassen. Ich ließ es also noch ein
drittes mal drüber laufen erhielt aber nur den gleichen Fehler erneut:

both MFT seems ok but they don't match, use chkdsk

gibt es eine Möglichkeit die MFT trotzdem wiederherzustellen? bzw. mache ich
irgendwas falsch bzw. sollte ich chkdsk noch einmal drüber laufen lassen?





vielen vielen dank für jede Antwort.


EDIT

Ich habe einen weiteren chkdsk scan mit chkdsk /r z: drüberlaufen lassen mit folgendem ergebnis:



Ich habe dann noch die Freeware Check Disc 1.03 entdeckt
(http://download.chip.eu/de/CheckDisk-1.03_3461107.html)
und das volume z: gescannt mit den einstellungen "Full Scan"+"Correct Errors"+"Verbose" mit folgendem output:

-~-~-~-~-~-~-~-~-~-~-~-~
checkDisk will work now with drive: Z:
Z:\ Volume Label: Volume, File System: NTFS
Volume label is Volume.
CHKDSK is verifying files (stage 1 of 5)...
File verification completed.
CHKDSK is verifying indexes (stage 2 of 5)...
Index verification completed.
Cleaning up minor inconsistencies on the drive.
CHKDSK is verifying security descriptors (stage 3 of 5)...
Cleaning up 12 unused index entries from index $SII of file 9.
Cleaning up 12 unused index entries from index $SDH of file 9.
Cleaning up 12 unused security descriptors.
Fixing mirror copy of the security descriptors data stream.
Security descriptor verification completed.
CHKDSK is verifying file data (stage 4 of 5)...
File data verification completed.
CHKDSK is verifying free space (stage 5 of 5)...
Free space verification is complete.
CHKDSK discovered free space marked as allocated in the
master file table (MFT) bitmap.
Correcting errors in the Volume Bitmap.
Windows has made corrections to the file system.
768003358 KB total disk space.
375646076 KB in 95805 files.
34676 KB in 4667 indexes.
0 KB in bad sectors.
220942 KB in use by the system.
65536 KB occupied by the log file.
392101664 KB available on disk.
4096 bytes in each allocation unit.
192000839 total allocation units on disk.
98025416 allocation units available on disk.
Check Disk: Finished OK
!!! Check Disk Found Problems with Z:


Problem found with drive: Z

Wenn ich nun bei Testdisk wieder Repair MFT wähle erhalte ich abermals die Meldung ich solle chkdsk ausführen.

 

[Mueli]

Lasse mal zunächst jegliche Änderungen und korrigiere erst einmal die Geometry, dazu gehst Du in das Menu Geometry (unterhalb von Analyse) und stellst die Heads auf 255 um sollte jetzt auf 240 stehen.

Führe mal die Diagnose mit Testdisk wie folgt durch.
Lade Dir dazu Testdisk 6.10.

Nach dem Start von Testdisk beantwortest Du die Frage nach einer Logdatei mit Y. Den Partitionstyp solltest Du mit Intel beantworten. Dann wird Analyse aus dem dann erscheinenden Menü gewählt. Mit Quick Search wird dann der Vorgang fortgeführt (bei Vista mit Y antworten, wenn die Partitionierung unter diesem OS gemacht wurde).

Wichtig:
Wenn jetzt Partitionen gefunden wurden, kannst Du sie jeweils mit den Pfeiltasten anwählen und mit P deren Inhalt sichtbar machen. Mit Q geht es zurück ins Menü. Sollten keine Partitionen in der ersten Suche gefunden worden sein, wird mit Enter weiter gemacht, hier ist dann im Menü [ Quit ] [ Deeper Search ] [ Write ], die tiefere Suche mit Deeper SEARCH auszuwählen (dieser Vorgang kann dann schon eine Weile dauern).

Wenn jetzt Partitionen (sie sollten jetzt u.U. grün dargestellt werden) gefunden werden, solltest Du sie wieder mit den Cursor Tasten auswählen und mittels P deren Inhalt kontrollieren, also ob alle Daten sichtbar werden. Mit den Cursor-Tasten kann gescrolled werden. Aus dem Menü, beim listen des Inhalts kann man mit c Files und ganze Partitionen kopieren.

Nach jedem elementaren Schritt (also nach der ersten Analyse, nach dem Quick Search mit der Abfrage ob die Disk unter Vista eingerichtet wurde oder nicht und nach dem deeper SEARCH) solltest Du einen Screendump (oder Photo) machen und hoch laden, alternativ kann auch die Logdatei gepostet werden.

Bilder und andere Dateien kannst Du unter Anhänge verwalten (unter dem Edit Feld) hochladen.

Der Weg einer Diagnose ist hier recht anschaulich beschrieben.

 

[scorpiono]

Vielen dank für deine Hilfe

Genau so wie von dir beschrieben habe ich die ersten zwei Partitionen wiederhergestellt. Ich werde den vorgang nun wiederholen (wird etwas brauchen) und dann die Log Dateien Posten.

Ok ich habe nun erstmal die Headder wie du gesagt hast von 240 auf 255 gestellt das klaptte auch ohne Probleme. Hier noch ein Screenshot (ohne die Headder fehlermeldung)

So ich habe ausgewählt "Create Log";"Intel";"Analyse"



"Create Log";"Intel";"Analyse";"Quick Scan"



*ENTER*





"Create Log";"Intel";"Analyse";"Quick Scan";"Deeper Scan"

Scant immoment

 

[scorpiono]

So nun endlich hier ist der Abgeschlossene Scan

"Create Log";"Intel";"Analyse";"Quick Scan";"Deeper Scan"


Dazu muss ich sagen das die Partitionen die als D (deleted) markiert sind noch bei Windows angezeigt werden und ich sie letztes mal auf L gestellt habe.
Jetzt habe ich mal vorerst nichts gemacht. Kann ich irgendwie dieses Fenster speichern sodass ich den DeepScan nicht erneut durchführen muss wenn ich etwas ändern möchte? Ich lass es mal geöffnet.

Ich habe den TestDisk log der übersichtlichkeit halber mal auf ein pastebin geladen.

Hier: http://paste.ubuntu.com/33167/


Falls ich Informationen vergessen habe bzw. du noch weitere brauchst sag es einfach.

vielen dank nochmal für deine Mühe

 

[Mueli]

Ich würde dann auch gerne den Screen nach Deeper Search und dann proceed sehen.

 

[scorpiono]

Ok also Deeperscan hatte ich ja im Beitrag zuvor und hier ist dann noch der Screen nachdem ich Enter gedrückt habe:



(hoffe das hast du mit proceed gemeint)

 

[Mueli]

Hattest Du jetzt eigentlich, noch bei einer Geometry von 240, die Partitionen (ersten Post) auf L gesetzt, denn ich kann mir das alles nicht so richtig erklären. Die erste Partition ist jetzt auf primär und startbar gesetzt, die zweite Partition auf primär und die letzte auf logisch, Zwischen der zweiten und der dritten klafft eine Lücke von nicht zugewiesenem Speicherplatz (etwa 8GB wenn ich mich nicht verrechnet habe).

Ich fürchte fast, Du musst mit Datenrettungstools dem Problem beikommen, denn durch die vermutete Wiederherstellung bei 240 Heads, sind Partitionsinformationen in Datenbereiche geschrieben worden. Dann passt auch die Nummerierung der Partitionen nicht, es werden die primären Partitionen mit 1, 2, 3, 4 (die vierte kann auch eine erweiterte sein, aber kein logisches Laufwerk). Die logischen Laufwerke werden dann mit 5, 6, 7, 8, 9, usw. durchnummeriert. Der zweite Screen hat keine Partition 1, aber eine dafür die 2, die dann auch eine primäre sein müsste. Wenn Du nur eine erweiterte Partition hattest sollte eigentlich nur 1, 5, 6 und 7 auftauchen.

Ich würde es für das beste halten, die Daten zunächst mal zu sichern und dann die Partitionen neu einzurichten.
Da Du ja wohl Probleme hattest mit DatenrettungstoolsDeine Files zu sichern, würde ich Dir die Demo von Restorer2000 empfehlen, beim Scan siehst Du bereits welche Files wieder hergestellt werden könnten.

 

[scorpiono]

Vielen vielen dank

Die Screens vom Quick und Deeper Scan sind nach der änderung von 240 zu 255 Heads gemacht. (der log auch) Sprich in der Reihenfolge wie ich sie gepostet habe.

Also wenn ich dich richtig verstanden habe, habe ich die Partitionen mit 240 Heads statt 255 wiederhergestellt dadurch ist dann alles sozusagen "verrutscht" und durch chkdsk hab ich es vermutlich nur noch schlimmer gemacht.
Deshalb wurden sie mir beim zweiten Scan auch wieder als deleted angezeigt obwohl ich auf sie mit Windows Explorer noch Problemlos zugreifen kann. Was ich daran dann komisch finde ist das Partition Z trotzdem noch als L angezeigt wurde also nicht deleted.

Besteht die Möglichkeit wenn ich die Partitionen nun mit 255 Heads wiederherstelle (also mit Testdisk) das die Dateien nach einem erneuten chkdsk /r wieder gefunden werden?
Dazu gleich noch eine Frage wie stelle ich die Partition Z wiederher wenn sie bei TestDisk als nicht beschädigt angezeigt wird (also Partition Z).
Kann ich irgendwie Manuell die größe und den Bereich der Festplatten festlegen denn ich weiß ungefähr wie groß sie sind (waren)

Achja bei Windows Disk Management wird mir ein 8MB unallocated space angezeigt vor der ersten Partition . Also "8mb unallocated/X/Y/Z"

 

[Mueli]

Erst einmal zur einfacheren Frage, diese 8MB sind i. d. R. immer unbenutzt (bei SCSI, und ich nutze das - ist es oft und besonders bei Adaptec, sogar 32MB), die entstehen durch die Unterschiede aus physikalischer un logischer Geometry, wenn man Tools wie die von Acronis oder Paragon nimmt, wo man Slider zur Einstellung der Partitionsgröße hat, kann man beim verschieben feststellen, dass die Grenze immer wieder auf die Grenze vor der Veränderung zurückgeht.
Die physikalische Geometry ist z.B. bei 333GB Platter (1TB F1) 6 Heads, die Cylinder und Sektoren bekommt man selbst über die Family Guides der Hersteller nicht mehr heraus, zumal auch noch ZBR (Zone Bit Recording), also eine wechselnde Anzahl (Verringerung) von Sektoren pro Zylinder über das Surface der Platter zur Mitte hin, verwendet wird (man sieht es recht gut, wenn man HD Tune laufen läßt, an der abfallenden Kurve).

Die Lücke, von der ich geschrieben habe, kannst Du in Deinem Post, wo Du mit rot die Partitionen X, Y und Z markiert hast, zwischen der zweiten und dritten Partition erkennen, dieser unbenutzte Bereich musste auch im Screen der Datenträgerverwaltung auftauchen.

Die Geometry liegt im Prinzip fest, wo die Partitionen anfangen und enden (physikalisch gesehen) und daher auch wo die Bootsektoren liegen. Nach Intel Standard sind diese unter XP auf Cylindergrenzen, daher auch immer Partitionen die mit <Cylinderwert> 0 bzw. 1 (Head) und 1 (Sektor), Beispiel: 0 1 1 für den Start und XXX 254 63 für End. Vista verwendet eine Geometry auf MB-Grenzen daher sehen die Partitionstabellen dort auch anders aus (streng genommen nicht mehr Intel Standard Partition Table) und daher auch die Abfrage in Testdisk. Linux verwendet teilweise auch eine anderen Partition-Geometry. Dazu kommt noch, dass die Geometry in der Drive-Electronic eingestellt ist, die Disk also eine bestimmte logische Geometry verwendet, die aber durchaus vom Controller ud Treiber überschrieben werden kann. Deshalb erlaubt Testdisk in den Optionen auch Intel, None, GPT usw. zu wählen. Man kann also auch eine Diagnose mit Partition Table Type None durchführen.
Informationen zur Geometry findest Du unter dem Link, da kannst Du dann auch sehen, wieviele Möglichkeiten es gibt.
Wenn diese Geschichte erst einmal aus dem Ruder gelaufen ist, ist es unheimlich schwer wieder auf die tatsächlichen Einstellungen wieder zurückzukommen und im besonderen wieder zu ordnen. Man kann da auch sehr viel Zeit verbringen, wenn einem die Daten wichtig sind macht man es dann wohl auch.
In dem Bootsektor, der am Anfang einer Partition liegt, ist auch der Zeiger zur MFT hinterlegt (also wo sie gefunden wird). Wenn jetzt mit der falschen Geometry Partitionen geschrieben werden, wird u. U. in Datenbereiche geschrieben und dies könnte z. B. mitten in der MFT sein, die ja als File im Filesystem liegt.

Da ja auch schon chkdsk ausgeführt, wo ja u. U. an einer mögl. korrupten MFT Veränderungen vorgenommen wurde, wird es noch schwerer irgendetwas vorherzusagen.

Ich würde daher wohl eher mit Restorer2000 (oder R-Studio, weil ich es nun mal bei einer Rettungsaktion bekommen habe) die Disk (nicht die Partitionen) scannen und kucken, was wieder hergestellt werden könnte (es könnten allerdings auch einige Files def. sein). Solche Datenrettungstools gehen nicht über die Partitionsstrukturen sondern 'zäumen das Pferd' von hinten auf, gehen also über die Files, MFT(Fragmente) und MFTmirr vor.
Wenn jetzt noch weiter an den Verwaltungsinformationen manipuliert wird, sollte es immer schwerer werden etwas wiederherzustellen. Das oberste Gesetz bei der Datenwiederherstellung ist möglichst nicht auf die Disk zu schreiben, oder sich zumindest den Istzustand in Form eines Image zu sicher, dann kann man auch problemlos Versuche anstellen. Ich kann daher nur abraten noch weiter an der Partitionierung zu schrauben.

Wenn ein Laufwerk (z.B. Z) in der Datenträgerverwaltung angezeigt wird, heißt es nur, dass Partitionsinformationen gefunden wurden, aber ob da jetzt Daten hinterlegt sind steht auf einem anderen Blatt.

Ich weiß jetzt nicht, wie viel Zeit Du noch in die Untersuchungen zu den Partitionsinformationen investieren willst, teile daher mal mit wie Du jetzt weiter vorgehen möchtest.

Ich habe das jetzt alles so ausführlich beschrieben, damit klar wird was wo passiert ist oder noch passieren kann und hoffe mal Dich nicht nocht weiter verwirrt zu haben.

 

[scorpiono]

Ok also

erstmal nochmal danke für den Ausführlichen Beitrag hab denke ich alles soweit verstanden nur der 8 GB große Sektor von dem du sprichst wird bei mir im Dateimanager nicht angezeigt.

ich wäre durchaus bereit noch mehr Zeit zu investieren. Schließlich geht es u.a. um unwiederherstellbare Urlaubsfotos/Videos.

Auf die Festplatte hatte ich eigentlich weiter nichts weiter geschrieben bis auf ein paar Bilder (ca 4MB). Aber ich denke chkdsk muss wohl ziehmlich hard zugeschlagen haben

Ich würde mein weiteres Vorgehen dann so beschreiben:

Erstmal zu retten was zu retten ist mit Restorer2000 bzw. ich hab da so ein anderes Programm (File Recovery) aber Restorer2000 und File Recovery zeigen beide das gleiche an und zwar Dateien die größer bzw. kleiner sind als normal und sich nicht von Windows Faxanzeiger öffnen lassen (und natürlich alle im Format "12691692.jpg" ^^)
Ein paar der wiederhergestellten Dateien lassen sich aber Problem los öffnen. Manche werden aber nur als Vorschaubild korrekt angezeigt und lassen sich dann nicht öffnen und manche auch nicht als Vorschaubild. Da manche "Bilder" Größen von 1 GB erreichen (hatte niemals 1 GB große Bilder gespeichert) war meine Festplatte aber schnell voll eventuell muss ich in betracht ziehen mir eine weitere zu kaufen *seufz* Außerdem werden auch Bilder angezeigt die eigentlich noch unbeschadet auf der Festplatte vorhanden sind. (insgesamt 4 TB Bilder bei einer 1 TB großen Festplatte)
Gibt es eigentlich ein Programm das so Bilder die man zwar noch als Vorschau sieht aber mit Win Fax anzeiger nichtmehr wiederherstellen kann? Bzw. Bilder die eigentlich 400kb sind aber jetzt 179MB wieder auf die ursprüngliche größe bringen ^^ ? (bei google scheint die auswahl ziehmlich groß und ich weis nicht welche Programm mir da wirklich weiterhelfen würden, deshalb frag ich mal en Experten . Habe im FAQ auch nichts passendes gefunden bzw. nur für MP3 Dateien da könntet ihr eventuell noch was dazu fügen)

Achja beim durchlesen des FAQs habe ich folgendes gefunden:

Wichtig!
[Rebuild BS] wurde von mir in der Version TestDisk 5.9 beta getestet.
Hatte den Test nach mehrfachen Versuchen auch bestanden.
War recht flott.
Sollte aber bei einem defekten Dateisystem nicht angewandt werden.
Daher ist es auch gut im Menü [Rebuild BS] sich bei List die Dateien anzeigen zu lassen.
Wenn es nicht möglich ist oder ein Error und keine Dateien Dateien angezeigt werden, sollte [Rebuild BS] nicht ausgeführt werden.
Auch ist es wichtig bei Systemstart chkdsk zu vermeiden.
Hier ist das Beispiel aus meinem Test!

Es könnte sein das ich bei meine ersten versuchen die Festplatte wiederherzustellen u.a. Rebuild BS gemacht habe ohne das die Festplatte hergestellt war und höchst werscheinlich auch mit 240 Heads Jedenfalls klang es einleuchtend als ich gelesen hatte das man danach nicht auch noch chkdsk laufen lassen soll ._.

Wenn dann alles gerettet ist was zu retten ist würde ich natürlich alles dafür geben das ganze wiederherzustellen.
Meine Vorgehensweise dazu (bitte korrigieren falls ich was falsch mache) wäre einfach:

Mit einem Deeperscan von TestDisk (von dem ich die Ergebnisse nicht speichern kann und ihn jedesmal neumachen muss ^^) Die Partition X und Y wiederhzustellen und dann mit einem Rebuild BS alles wieder flott zu machen.

Das Tool CHK-Mate hat mich beim FAQ auch sofort angelacht:
http://www.diydatarecovery.nl/chkmate.htm

bin mir aber nicht sicher ob ich damit nicht nur noch mehr kaputt mache. Evenutell lass ich es mal laufen nachdem ich das mit dem Rebuild BS gemach habe.

 

[Mueli]

Ich muss erst einmal etwas einschränkend sagen, dass ich in Sachen Testdisk noch nicht so ein Profi bin wie Fiona, die ja auch in die Entwicklung von Testdisk involviert ist und die Doku mit verfasst hat. Daher habe ich auch noch nicht alle Möglichkeiten von Testdisk erfasst, halte es aber für ein super Tool (ich habe mal die Partitionstabelle 'händisch' mit einem Diskeditor reparieren müssen).

Es ist auch möglich und dies hatte ich in meinem Post zuvor vergessen zu schreiben, Partitionen von Hand einzugeben, aber die müssen natürlich hundertprozentig passen sonst passiert nahezu das gleiche wie bei falscher Geometry (wg. der oben genannten Bedingungen). Mit Testdisk ist übrigens auch möglich die Partitionsinformationen zu speichern (Menüpunkt Backup), wenn man viele Disks hat wie meine Wenigkeit, ist es hilfreich eine Sicherung zu haben (man kann sich das ja nicht merken), in der Datei Backup.Log sind dann alle Disks aufgeführt.

Unter den Options kannst Du z.B. Cylinder Boundary ein- und ausschalten und damit beeinflussen wie Testdisk nach Partitionen sucht. Ferner kannst Du an Stelle von Intel Partition Type auch None einstellen, dann wird noch intensiver gesucht, die Suche dauert dann natürlich auch wesentlich länger.

Rebuild BS muss natürlich auch die Disk scannen, weil der Inhalt an de Gegebenheiten in den Zylindern (Lage der MFT, Partition Start und End im Fall von logischen Partitionen) erst gesucht werden müssen. Die Größe der Partition steht auch in den Boot Sektoren.

Irfanview ist ein Tool, mit dem man s gut ie alle Grafik-Formate lesen und darstellen kann (wird durch Plugins für verschiedene Formate erweitert). In den Headern der meisten PICs stehen die Informationen zu den Bildern. Wenn ein wieder hergestelltes PIC statt 400kB mehrere GB groß ist, ist sehr wahrscheinlich in der $MFT, $Bitmap etc. ein Fehler.

Das schöne an Testdisk ist ja, dass man alles mögliche probieren und das Ergebnis dann überprüfen kann, solange man dies dann nicht per Write schreibt, ändert sich an den Daten auf der Disk ja auch nichts. Das Problem ist immer, dass viele hier lesen und von einigen erfolgreichen Wiederherstellungsversuchen verleitet werden, es schon selber zu probieren, nur müssen diese Beispiele nicht passen, selbst wenn sie sich identisch äußern.

Photorec, welches ja im Paket mit Testdisk kommt, ist übrigens ein Tool um speziell Pics in den verschiedenen Formaten, wieder herstellen kann. Es hat eine Oberfläche die an Testdisk angelehnt ist.

Zu ChkMate: ich kenne es zwar vom Namen her, aber habe damit noch nicht gearbeitet, wenn man von einem Laufwerk lesen und auf ein 'heiles' Laufwerk speichern kann, ist dagegen nichts einzuwenden.

Ich hoffe mal nichts vergessen zu haben ....

Dies ganze Thema Datenrettung ist sehr komplex, auf meiner Disk tummeln sich Dokumente mit etwa 2.5GB, ich bin auch bei etlichen Dingen immer wieder darauf angewiesen nachzuschlagen und die Probleme ähneln sich ja auch nicht immer. Es ist daher grundsätzlich, besonders wenn man nicht sicher ist besser, lieber nachzufragen.

 

[scorpiono]

Gut.

Dann versuche ich das einfach mal per TestDisk Deeper Scan -> alle auf L setzen und dann Rebuild BS. Das hier :

Das schöne an Testdisk ist ja, dass man alles mögliche probieren und das Ergebnis dann überprüfen kann, solange man dies dann nicht per Write schreib

habe ich zwar nicht ganz verstanden da ich die Änderungen immer erst nach write in windows sehe aber ich denke wenn ich ein Backup von der Tabelle mache (wie von dir erwähnt) geht das schon in Ordnung. Vielleicht klappt es dann ja auch mit Repair MFT. Nächstes mal werde ich auf jedenfall erst hier fragen bevor ich das ganze noch schlimmer mache

IrfanView werde ich auf jeden Fall mal ausprobieren danke. Dennoch wäre es cool irgendwie ein tool zu haben das die Bilder dann wieder auf die orginal größe bringt da meine andere Festplatte ziemlich klein ist oder kann das IrfanView auch? Mit dem Programm GIMP war es mir jedenfalls nicht möglich solche Bild zu öffnen.

PhotoRec habe ich auch schon ausprobiert. Allerdings hatte ich da das selbe Problem wie mit den anderen Recovery tools das die Dateinamen weg sind . Desweiteren muss man dann ja alles wiederherstellen (man kann nicht aussuchen was man haben will und was nicht) und das ist mir immoment aufgrund speicherplatz mangels einfach nicht möglich.

 

[Mueli]

An der Stelle geht es leider nicht, aber bei den Bootsektor Optionen, dem manuellen eingeben von Partitionen, bei der Geometry, den Optionen. Nach dem Deeper Search solltest Du die Änderungen von D vor einen Sicherung und sei es als Image, nicht machen.

Irfanview kann die Größe und viele andere Dinge auch ändern.

 

[scorpiono]

Ok also IrfanView ist aufjedenfall schonmal klasse, kann sogar bilder öffnen die auch nicht in der Miniaturansicht angezeigt werden. (vielen dank dafür ^^)

Gibt es etwas vergleichbares für Videos? Immoment benutze ich VLC mit dem sich auch schon ziemlich viel öffnen lässt allerdings kann man damit die Dateien nicht reparieren sodass sie wieder von anderen Programmen geöffnet werden können. (habe zumindest keinen weg gefunden)

Allerdings muss ich gestehen das ich aus folgendem nicht ganz schlau geworden bin:

An der Stelle geht es leider nicht, aber bei den Bootsektor Optionen, dem manuellen eingeben von Partitionen, bei der Geometry, den Optionen. Nach dem Deeper Search solltest Du die Änderungen von D vor einen Sicherung und sei es als Image, nicht machen.

Fallst du meintest die Partitionen manuell hinzuzufügen muss ich sagen das dass mit dem manuellen Partitionen eingeben wohl weg fällt da ich ja keine genauen Daten von den Ursprungs Partitionen habe ich weis nur noch die ungefähre Größe.


Edit mir fällt gerade bei TestDisk (und auch an den hier bereits geposteten Screens) Die Spacekonflikt Meldung auf:

War das dass was du mit den 8 GB raum gemeint hattest?

8 GB scheint dann doch eine recht grobe Verschiebung zu sein.
Könnte man nicht basiert auf den jetzigen Größen der Partitionen alles neu Partitionieren? sodass die 8 GB irgendwie an das Ende rutschen und damit zur Z Partition hinzugefügt werden.
Also ich bin irgendwie etwas verwirrt falls du noch irgendeinen Vorschlag hast bzw. Tipp was ich am besten machen könnte. Ich kenn mich damit echt kaum aus T.T

Wichtig ist mir halt auch die Dateien die noch auf der Platte sind und momentan Problemlos funktionieren zu behalten.

Edit2:
Noch zwei Fragen
Kann chkdsk eigentlich Dateien aus dem MFT löschen und wenn ja sind sie dann auch noch im Mirror?
Kann man die Partition Struktur aus dem testdisk log auslesen.

 

[Mueli]

Etwas vergleichbares wie Irfanview für Video-Files, ist mir nicht bekannt, mache alles mit vlc, Virtualdub, Nandub, Gspot (ermittelt die verwendeten Codecs) und ein paar weiteren.

Das aus dem Zitat von mir gilt für den Screen nach Deeper Scan, wo Partitionen zum Teil dann mit D für Deleted markiert sind!

Das mit dem Space Konflikt hatte ich schon gesehen, das liegt daran, das die logische Partition ein CHS-Ende (121601 59 63) hat, was über das extended Partition Ende (121600 59 63)hinaus geht. Die extended Partition ist zu 'kurz' und das Laufwerk passt nicht gänzlich hinein, was ja die Bedingung für logische Laufwerke ist.
Das ist ja der Screen direkt nach Analyse und ist daher der Inhalt der Partitionstabelle und die End-Werte sind zum Teil nicht Intel Partition Style konform. Es ist also schon richtig was durcheinander.

Den unbelegten Speicherbereich auf der Disk, den ich angesprochen habe, befindet sich zwischen der Partition Recover und Volume, im Screen nach Deeper Scan und dann Enter, aber auch andere Punkte sind suspekt weil zum Einen 5 Partitionen gelistet werden und auch mehrere Kombinationen der Wiederherstellungen möglich sind (Zeile 1,4 und 5, aber auch Zeile 2, 3 und 5 ). Die etwa 8 GB zwischen Zeile 4 und 5 tauchen darüberhinaus nicht in der Datenträgerverwaltung auf?

4MFT und $MFTmirr werden immer synchron gehalten, aber es werden ja auch noch andere Meta-Dateien aktualisiert, darüber hinaus ist NTFS ein Journaling-Dateisystem, es werden Schreibzugriffe in eine weitere Neta-Datei, das Journal, geschrieben und erst bei Inaktivität dann wirklich ins Filesystem übernommen. Die MFT nimmt standardmäßig etwa 13% der Partition ein, weil pro Eintrag noch weitere Informationen zum Filesystem wie die Rechte etc. untergebracht werden müssen und bei kleinen Dateien bis etwa 1.5 kB Größe sind die Daten selber in der MFT, wenn also Teile der MFT def. oder überschrieben sind könnten ganze Dateien fehlen.

Im Testdisk log steht im Prinzip das selbe wie auf den Bildern, da im Log noch weitere Informationen stehen ist es etwas unübersichtlich.

 

[scorpiono]

Etwas vergleichbares wie Irfanview für Video-Files, ist mir nicht bekannt, mache alles mit vlc, Virtualdub, Nandub, Gspot (ermittelt die verwendeten Codecs) und ein paar weiteren.

Ok vielen dank (wie immer )

Den unbelegten Speicherbereich auf der Disk, den ich angesprochen habe, befindet sich zwischen der Partition Recover und Volume, im Screen nach Deeper Scan und dann Enter, aber auch andere Punkte sind suspekt weil zum Einen 5 Partitionen gelistet werden und auch mehrere Kombinationen der Wiederherstellungen möglich sind (Zeile 1,4 und 5, aber auch Zeile 2, 3 und 5 ). Die etwa 8 GB zwischen Zeile 4 und 5 tauchen darüberhinaus nicht in der Datenträgerverwaltung auf?

Nein taucht leider nicht auf (siehe screenshot)

4MFT und $MFTmirr werden immer synchron gehalten, aber es werden ja auch noch andere Meta-Dateien aktualisiert, darüber hinaus ist NTFS ein Journaling-Dateisystem, es werden Schreibzugriffe in eine weitere Neta-Datei, das Journal, geschrieben und erst bei Inaktivität dann wirklich ins Filesystem übernommen. Die MFT nimmt standardmäßig etwa 13% der Partition ein, weil pro Eintrag noch weitere Informationen zum Filesystem wie die Rechte etc. untergebracht werden müssen und bei kleinen Dateien bis etwa 1.5 kB Größe sind die Daten selber in der MFT, wenn also Teile der MFT def. oder überschrieben sind könnten ganze Dateien fehlen.

Hmm dann hab ich wohl keine chance die Dateinamen wiederherzustellen Ich hatte gehofft der Backup Mirror wäre noch im Urpsrungszustand und würde sich irgendwie wiederherstellen lassen.

Bringt es denn dann eventuell was die extended partition auf maximize zu setzen? Geht ja wenn ich das richtig verstanden habe mit TestDisk

ext_part.jpg


(siehe rote Markierung)






Hmmmm Gerade als ich den Screen (oben) machen wollte habe ich gemerkt das ich bei TestDisk plötzlich wieder viele neue Errors angezeigt bekomme u.a. auch 240 Heads statt 255. Dabei bin ich mir sicher sie auf 255 gesetzt zu haben. Kann es sein das Windows das nach einem Neustart automatisch zurücksetzt? Weil außer einem neustart und ein paar Recovery Scans habe ich nichts an der Partition getan.
Hier ist der Log (screenshot war nicht möglich da man scrollen musste wegen den vielen Fehlern naja)

Current partition structure:
 2 E extended LBA             1  15  1 129201  14 63 1953504000

Warning: Bad ending head (CHS and LBA don't match)
No partition is bootable
Warning: Incorrect number of heads/cylinder 255 (NTFS) != 240 (HD)
 5 L HPFS - NTFS              1  16  1 10006  14 63  151275537 [Shared]

Warning: Bad ending head (CHS and LBA don't match)
   X extended             10005 135  1 27613  74 63  266229180

Warning: Bad starting head (CHS and LBA don't match)
Warning: Incorrect number of heads/cylinder 255 (NTFS) != 240 (HD)
 6 L HPFS - NTFS          10005 136  1 27613 134 63  266232897 [RE]

Warning: Bad starting head (CHS and LBA don't match)
   X extended             27613  75  1 129201  14 63 1536006780

Warning: Bad starting head (CHS and LBA don't match)
Warning: Incorrect number of heads/cylinder 255 (NTFS) != 240 (HD)
 7 L HPFS - NTFS          27613  76  1 129201  74 63 1536010497 [Volume]

Warning: Bad starting head (CHS and LBA don't match)
Space conflict between the following two partitions
 2 E extended LBA             1  15  1 129201  14 63 1953504000
 7 L HPFS - NTFS          27613  76  1 129201  74 63 1536010497 [Volume]

 

[Mueli]

In der Geometry mit 240 Heads solltest Du schon mal gar nichts machen!

Der Button Extd Part toggelt nur zwischen maximal mögliche Extended Partition und minimal notwendige Partition, einstellen kannst Du an der Stelle nichts.

Extd Part
Wenn es logische Partition gibt, lässt dich diese Markierung entscheiden, ob die erweiterte Partition allen verfügbaren Festplattenspeicherplatz oder nur den erforderlichen (minimalen) Platz verwendet.

Umso mehr Du jetzt, vor einer Datensicherung (Image), etwas an der Disk änderst, umso weniger wirst Du wiederherstellen können. Datenrettungstools verwenden die die MFT und auch den Mirror davon, zur Restauration der Files inkl. der Dateinamen. Du hast auch noch immer nicht einen Versuch mit dem Restorer2000 gemacht um schon mal ein Gefühl dafür zu bekommen, was evtl. wieder herstellbar ist. Wenn Du weitere Daten gefährden willst, kannst Du weiter rumprobieren, aber nicht in der Geometry aus dem letzten Scan.

Die Fehlermeldungen kommen von der falschen Geometry.

 

[scorpiono]

Umso mehr Du jetzt, vor einer Datensicherung (Image), etwas an der Disk änderst, umso weniger wirst Du wiederherstellen können. Datenrettungstools verwenden die die MFT und auch den Mirror davon, zur Restauration der Files inkl. der Dateinamen. Du hast auch noch immer nicht einen Versuch mit dem Restorer2000 gemacht um schon mal ein Gefühl dafür zu bekommen, was evtl. wieder herstellbar ist. Wenn Du weitere Daten gefährden willst, kannst Du weiter rumprobieren, aber nicht in der Geometry aus dem letzten Scan.

Also bis auf die Heads von 240 auf 255 zu setzen (auf deinen Tipp hin) habe ich seit dem start dieses Threads nichts mehr verändert . Und wie gesagt mir fehlt einfach der Platz für ein Image.
Und den Scan mit Restorer2000 habe ich wie oben schon erwähnt gemacht nur habe ich ein vergleichbares Programm das mir die selben Ergebnisse geliefert hatt. Dennoch versuche ich jetzt mal mit PhotoRec da ich damit die Bilder besser herstellen konnte. (ließen sich gleich öffnen und waren meistens auch nicht so groß).

Und das mit der Extd Part scheint doch genau zu passen da mir ja angezeigt wird das die extd partition nicht groß genug ist. Diese soll aber eigentlich die gesamte Festplatte einnehmen wenn ich das richtig verstanden habe. (bitte korriegieren wenn ich was falsches sage)

Ich werde es aufjedenfall ausprobieren müssen da mir immoment keine andere Lösung einfällt und ich den Speicherplatz brauche.

Lasse mal zunächst jegliche Änderungen und korrigiere erst einmal die Geometry, dazu gehst Du in das Menu Geometry (unterhalb von Analyse) und stellst die Heads auf 255 um sollte jetzt auf 240 stehen.

Edit1:

Ich habe meine Vorgehensweise nun geändert:
ich will nur das chaos mit den Partitionen wiederherstellen.
Die wichtigsten wiederherstellbaren Daten sicher ich jetzt und anschließend versuch ich dann mit den obenen genannten Schritten die Festplatte wieder Fehlerfrei zum laufen zu bringen. (und dabei möglichst die Dateien die jetzt unbeschadet drauf sind zu behalten. (von denen mach ich natürlich auch ein backup)

 

[scorpiono]

naja gut ich probiers einfach mal

Edit
Hätte mir irgendwie noch eine Bestätigung erwüschnt wäre auch nicht sauer wenns schief geht ._.

 

[Mueli]

Wenn Du wirklich ohne DaSi daran gehen willst, solltest Du möglichst viel Informationen sammeln, z. B. mit Restorer2000 scannen um noch weitere Hinweise zu bekommen, auf jeden Fall auf 255 Heads gehen, wenn Du noch etwas aus Testdisk heraus zu verbessern willst. Bei der Extd Part Funktion wird nur getoggelt zwischen möglichen Werten, da könntest Du dann auf die Informationen zurückgreifen, die Du aus den anderen Tests gewonnen hast. Auch könntest Du mal das Diskpart verwenden, das ist das Programm, was hinter dem Datenträgerverwaltung GUI steht. Es wird via Start - > Ausführen - > CMD und abschicken, aufgerufen und mit diskpart gestartet:
diskpart> list disk #für die Anzeige aller Laufwerke
diskpart> select disk 0 # Auswahl der ersten Disk, es wird ab 0 gezählt
diskpart> list volume # alle Volumes werden gelistet
diskpart> select volume 3 # Beispiel zur Auswahl des richtigen Laufwerks
diskpart> detail partition # zeigt die Informationen des per select ausgewählten Laufwerks an und dient zur Überprüfung, ob man sich auf dem richtigen Laufwerk befindet

Es gibt unter den OEM-Tools ein nfi.exe, mit dem man Informationen zu Files, Directories etc. bekommt (also wenn Du nach bestimmten Files suchst), geht dann aber richtig ans Eingemachte. Auch bei Sysinternals gibt es viele Tools für Disks und Filesysteme, bei Svend Olaf Mikkelsen gibt es ein paar nette Suchtools für die Disk.