Grosses Problem mit Festplatte!

[Ernst@at]

Nur nicht zuviel Respekt vor dem Ding

du hast jetzt hoffentlich

HxD Aufruf unter User mit Administratorrechten (oder per Rechtsklick mit ausführen als...)

das gemacht.

Wie in vielen anderen Programmen gibt es auch hier eine Menüzeile - also klick dich jetzt dort der Reihe nach durch die einzelnen auftauchenden Untermenüs von "Extras"

Extras/open disk/physical disk/hard disk 5 (Häkchen bei "open as readonly" NICHT entfernen)

Wenn Du keine "physical disk" zur Auswahl kriegst, fährst Du nicht unter Administratorrechten
und dann weiter in der Anweisung, Zeile für Zeile

PS: Die Bilder stellst Du besser nicht in voller Größe ins Post, sondern in den Anhang.
Anleitung dazu benötigt?

 

[toffifeemonster]

Wie in vielen anderen Programmen gibt es auch hier eine Menüzeile - also klick dich jetzt dort der Reihe nach durch die einzelnen auftauchenden Untermenüs von "Extras"

Also das habe ich nicht ganz versatanden SRY
So siehst bei mir aus:
Habe es unter Adminrechte gestartet.
Bildlink

mfg toffifeemonster

PS: Ja bitte ich brauche eine Anleitung dazu, wie man einen Anhang machen kann

 

[Ernst@at]

Anleitung zum Einstellen von Dateien in den Anhang (irgendwelche Pixhoster sind zeitweise offline, Werbeeinschaltungen...) des cb-forums(bleibt solange verfügbar, wie es den Thread gibt oder Du es wieder rauslöscht)

Klicke nicht auf den Antworten-Button in einem Post oder tippe die Antwort in das Schnellantwort-Feld, sondern Benutze den "Antwort-Button rechts am Ende des Threads.
Unterhalb des Eingabefensters befindet sich der Abschnitt "zusätzliche Einstellungen" mit dem Button "Anhänge verwalten" - bis zu 4 kannst Du gleichzeitig auswählen und dann hochladen. Bestimmte Dateiformate musst du zippen

Du musst jetzt nicht jeden Schirm posten, sondern einfach Schritt für Schritt die Anleitung machen und die damit erstellte(n) Datei(en) in den Anhang stellen (Bei Bedarf gezippt)

Die Sektoranzahl des BIG-Arrays ist - wie dem Bild zu entnehmen - 4180540896

Die Anzahl Sektoren der 1,5TB und der 640GB sind 2930277168+1250284896=4180562064
Es fehlen somit auf wundersame Weise 21168 Sektoren, deren Verbleib wir aufklären sollten

Das, was am Bild als Inhalt des Sektors 0 angezeigt wird, ist sichtlich das Format eines neu draufgeschriebenen MBR's - wohl durch die Umsteckerei entstanden.
Wenn allerdings die erste Platte (die 1,5TB) da neu war, als sie als erste reingesteckt wurde, dann dürfte da kein Datenmüll am Sektor 1 zu finden sein, sondern müsste der komplett 00 sein.
Oder hast Du auf der Platte noch ein Kryptozeug angewandt?

 

[toffifeemonster]

Die 1,5 TB Festplatte habe ich anfangs direkt ans Festplatten-Gehäuse rangeschlossen!
Und vl. (kann mich allerdings nicht mehr erinnern) habe ich die Festplatte auch mal an sowas rangeschlossen:
Klick

n der Anzeige sollten die erste Zeilen so aussehen: (nur prüfen, ob das rot dargestellte in dieser Form angezeigt wird, die Anzeige der zweiten Zeile kann andere Zeichen enthalten)

Meine erste Zeile sieht so aus!

Also wären die Schritte unötig oder?

wenn nicht, dann
- Menü: View/bytes per row/16/OK
- Menü: View/offset base/hexadecimal
- Menü: View/visible columns/hex and text
- Menü: View/byte group size/1
einstellen

Weil du schreibst WENN NICHT !

Oder verstehe ich das was falsch?

Sry falls ich dich stressen/nerven sollte

mfg toffifeemonster

 

[Ernst@at]

Ja, dann sind sie unnötig - das hast Du richtig erkannt
(ist nur für den Fall, dass einer seinen Spieltrieb nicht unter Kontrolle hatte)

 

[toffifeemonster]

Ok,
Aber ich nehme das sollte ich machen oder ?

========= extrahieren Sektor 0-7
- Menü: Edit/select block/start-offset: 0 , length: 1000, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken und in das kleine punktierte Rechteck rechts unter ... 0E 0F klicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- den Cursor an der Endposition belassen, nicht in der Anzeige herumklicken!
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "BIG.0.8.txt" /speichern
- HxD beenden

Danach BIG.0.8.txt zippen, und in den Anhang stellen

Wenn ja habe ich ein Problem ich finde den Reiter "untitled1" nicht
Und wenn ich auf - Menü: Edit/select block/start-offset gehe erscheint noch ein Parameter nämlich End-offset gehört da was bestimmtes rein oder nicht denn es generiert sich immer zu FFF nachdem ich die 1000 bei Length angegeben habe!

mfg toffifeemonster

 

[Ernst@at]

Dann Hast Du etwas weiter oben

- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")

nicht gemacht.
Ich graue das wenn-nicht mal in der Anleitung aus, damit es nicht verwirrt.
Beende den HxD und fang nochmal von vorne an

 

[toffifeemonster]

So,
Habe es nun endlich geschafft (hoffe ich mal)
Hoffe mal das BIG.0.8.txt korrekt im Post angehängt wurde !

mfg toffifeemonster

 

[Ernst@at]

Perfekt - geht doch!
Ich jetzt leider für heute Schluss machen - nächste Anweisungen folgen morgen 8:00

 

[toffifeemonster]

Ok,
Danke dir
Kannst dir morgen ruhig zeit lasse kann frühestens erst um 16.00 an einem Rechner !

mfg toffifeemonster

 

[Ernst@at]

Und wenn ich auf - Menü: Edit/select block/start-offset gehe erscheint noch ein Parameter nämlich End-offset gehört da was bestimmtes rein oder nicht denn es generiert sich immer zu FFF nachdem ich die 1000 bei Length angegeben habe!

Für die Zukunft:
Diese Eingaben sind derart konzipiert, dass Du von Beginn/Ende/Länge nur 2 eingeben musst, der Dritte ergibt sich von selbst daraus...

Bisher unbeantwortete Frage: Hast Du da drauf deine Partition oder die ganze Platte verschlüsselt gehabt? Wenn das so wäre, dann könnte eine Analyse dieser Art unmöglich sein.
Wenn nein, habe ich irgendwie das dumpfe Gefühl, dass die Inhalte der beiden Platten jetzt in verkehrter Reihenfolge in Zugriff sind. Das können wir aber überprüfen.
Da hier einige tausend Sektoren abgezweigt wurden, vermute ich, dass der Controller irgendwelche Metadatenbereiche ausblendet, wie es auch ein RAID-Controller sonst tut.
Ich habe mit diesem Silicon Image SteelVine Zeug bis jetzt nichts zu tun gehabt, aber erforschen lässt sich die Funktionsweise allemal. Kochen alle ja nur mit Wasser.

 

[toffifeemonster]

Hi,
Also von einer Festplattenverschlüsselung (das ich überhaupt sowas habe) habe ich k.a habe sicherlich nichts derartiges runtergeladen oder instsalliert

mfg toffifeemonster

 

[Ernst@at]

Das erleichtert die Sache sehr...

HxD Aufruf unter User mit Administratorrechten

- Menü: Extras/open disk/physical disk/hard disk 5 (Häkchen bei "open as readonly" NICHT entfernen)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- auf Reiter "harddisk 5" klicken
========= Suchen nach NTFS bootrec
- Menü: Search/Find/search for: EB 52 90 4E 54 46 53 20 20 20 20 00 (diesen Wert überträgst Du mit copy&paste in das Feld zur Tippfehlervermeidung), Datatype: hex-values wählen, search direction forward, OK

Die Suche stoppt, wenn er diesen Wert wo gefunden hat.
Das "EB 52 90 4E 54 46 53 20 20 20 20 00" wird dann markiert angezeigt.
Wenn die Markierung nicht direkt unter einem waagrechten Strich (mit einer Sektornummer rechts), sondern irgendwo anders innerhalb eines Sectors auftritt, drückst Du F3 zum weitersuchen.
Wird dieser Wert direkt am Beginn eines Sectors gefunden, dann

- Menü: Edit/select block/(den eingetragenen Start-Offset belassen) length: 200, hex, OK
- Menü: Edit/copy as.../ editor view (überträgt den markierten Inhalt in die Zwischenablage)
- Reiter "untitled1" anklicken
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- den Cursor an der Endposition belassen, nicht in der Anzeige herumklicken!
- auf Reiter "harddisk 5" klicken

- F3 zum Weitersuchen klicken, und oben in dieser Anweisung bei "Die Suche stoppt" fortfahren (kommt ein popup "Can't find ....", dann OK und unten weitermachen


- Reiter "untitled1" anklicken
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "searchBS.txt" /speichern
- HxD beenden

den .txt Files gezippt in den Anhang stellen,

Rückfragen bei Zweifeln oder Problemen sind immer willkommen!

 

[toffifeemonster]

Hi,
Danke dir mal wieder!
Nur mal so als Frage ist das normal das er 20 Stunden benötigt für die Suche ?
Remainting time: 20:30:15

mfg toffifeemonster

 

[Ernst@at]

wenn Du die per USB angeschlossen hast, ist das gut möglich.
2.160.000MB : 30MB/s = ~70.000s : 3600s/h = ~20h
per eSATA dürfte es nur etwa 6h dauern...
hat er denn schon was gefunden?
War da nur eine Partition drauf? Dann können wir die Suche vielleicht etwas abkürzen...

 

[toffifeemonster]

Also das Festplattengehäuse ist mit usb sowie mit eSata angeschlossen!
Die Festplatten besitzen keine weiter Partition nur die Festplatte selbst.
Gefunden hat er noch nix :S
Da werde ich den PC wohl die Nacht durchlaufen lassen :/

mfg toffifeemonster

 

[Ernst@at]

Also das Festplattengehäuse ist mit usb sowie mit eSata angeschlossen!

Wenn man beide Kabel dranhängt, hat USB Vorrang (und verwendet nur das)

Ich prognostiziere den ersten Fund nach spätestens 6 Stunden, den zweiten kurz darauf.
Wenn der zweite schon etwa bei Sektor 1250284896 lag und er in den nächsten 10min nichts mehr findet, kannst Du die Suche abbrechen, die Datei sichern und mir reinstellen.

 

[toffifeemonster]

Hi,
Jetzt bin ich nicht ganz mitgekommen - SRY
Also die Suche dauert nun schon 2 Stunden und hat noch NICHTS gefunden.
Soll ich es jetzt abrechen oder weitermachen ?

mfg toffifeemonster

 

[Ernst@at]

Nein - nach 6 Stunden sollte er spätestens den ersten Fund haben, kurz danach noch einen.
Beide kopieren wie beschrieben, wenn er dann nichts mehr innerhalb von 10min findet, kannst Du abbrechen...
Geh ruhig schlafen, morgen früh wartet dann der ersten Fund auf dich

 

[toffifeemonster]

Hi,
Langsam mache ich mir echt Sorge !
Habe den Comuter jetzt die Nacht durchlaufe lasse und er hat noch NICHTS gefunden!
Bei dem Ladealken hat er gerade mal 1/4 geschafft allerdings steht jetzt
Remaining Time 9:54:30 ich lasse den dann mal weitere 8 Stunden durchaufen !

mfg toffifeemonster