NTFS Dateien in Linux gelöscht,- Wiederherstellung mit Namen ?

[m.friedrichs]

Testdisk erkennt NTFS Image als Linux,- Wiederherstellung nur als Inode möglich !?

Hallo.

Mein erster Thread hier ist leider direkt eine Problemanfrage:

Ich hatte für Windows und Linux eine "shared" NTFS-Partition eingerichtet, um von beiden Systemen auf meine Thunderbird Mails und die Firefox Bookmarks zuzugreifen.

Bei einem Umzug der Daten auf eine neue Festplatte mit rsync -avz (womit die Dateirechte übernommen werden) bin ich beim Kopieren in den Dateirechten "hängen geblieben" (Linux Dateirechte sind ja anders als NTFS Dateirechte) - d.h. es gab für jede Datei eine Fehlermeldung die bestätigt werden sollte..
Also habe ich abgebrochen und die unvollständig kopierten Daten auf dem Zieldatenträger - der ebenfalls "shared" heisst - mit SHIFT & ENTF gelöscht. Also ohne Umweg über den Papierkorb.

Als ich den Kopiervorgang ohne Rechteübernahme neu starten wollte wurde mir klar, dass ich den falschen Datenträger gelöscht hatte..

Zuerst also die Partition unmounted und ohne Schreibrechte neu gemountet.
Mit dd ein image erstellt und auf der neuen Festplatte abgelegt.
(dd if=/dev/sdb8 of=/neue_platte/userpfad/sdb8.img)

Dann habe ich in den letzten Tagen gefühlte tausend Programme drüber laufen lassen.
Testdisk, Photorescue, foremost u.a. die mir gerade nicht mehr alle einfallen.
Bei ein,zwei Versuchen wurden auch Dateien hergestellt.
Aber entweder nur spezielle, vorher definierte Dateien (foremost: pdf, doc, mpeg, etc..) oder in einem Fall scheinbar ALLE Dateien, aber mit der Bezeichnung inode_123, inode_124, node_125
(Ich glaube das war testdisk in der Option Partition "NONE" / RAW-Modus).

In einem anderen Fall wurden tausend Dateien durchnummeriert mit der entsprechenden Dateiendung in zig Ordnern mit der Bezeichnung recup_dir.1, recup_dir.2, etc.. abgelegt.

Bei ca. 5GB eMails aus 8 Jahren kann ich damit nicht wirklich etwas anfangen. Selbst, wenn ich die tausend msf Dateien aus den hundert recup_dir Ordnern in wochenlanger Arbeit in Thunderbird importiere, werden wohl die Anhänge nicht mehr zugeordnet, weil sie seperat wiederhergestellt wurden.

Also habe ich weiter mit Testdisk versucht, weil dort angeblich die Ordnerstruktur wieder hergestellt werden kann, wenn Daten gelöscht wurden. Aber sowohl auf dem Image als auf der Original Partition spuckt mir Testdisk an jeder Ecke Fehler aus.
Mein Vorgehen:

# testdisk sdb8.img

-> Vorgewählt ist "None", ich ändere auf "Intel"
-> "Analyse"

Disk sdb8.img - 31 GB / 29 GiB - CHS 3825 255 63
Current partition structure:
     Partition                  Start        End    Size in sectors

 1 * DiskSecure MB          409 142 41 119790  20 38 1917848077

Bad relative sector.
 2 * Sys=43               121584  74  6 234785 103 28 1818575915

Bad relative sector.
 3 * Sys=72               14051  94 29 14051  94 38         10

Bad relative sector.
Only one partition must be bootable
Space conflict between the following two partitions
 1 * DiskSecure MB          409 142 41 119790  20 38 1917848077
 3 * Sys=72               14051  94 29 14051  94 38         10

Die "Bad relative Sector" Werte sind komplett spanisch für mich.
Was soll das sein ? Kryptographie für fortgeschrittene..?
Bei welcher der drei Zahlen "beginnt" denn die Partition / Der "Bad sector"?
Und wenn Testdisk das doch schon weiß, warum handelt es nicht einfach oder stellt eine klare Frage an mich ?
Was mache ich also damit ?

Nunja,- weiter:
->"Quick search"
->search for Vista Partition = Y

Hier meldet Testdisk:

The following partitions can't be recovered:
     Partition               Start        End    Size in sectors
>  Linux                 1854  90 29  5679  89 26   61448560 [rescue]
   Linux                 1854 252 63  5679 251 60   61448560 [rescue]

Danach sagt Testdisk:
"No partition found or selected for recovery"

Ich konnte vorher aber auch keine Partition auswählen, was ja normalerweise mit <SPACE> funktioniert.

Ein "deeper Search" bringt mich auch nicht weiter, ebenfalls:
"The following partitions can't be recovered:"
und "No partition found or selected for recovery"

Wähle ich "Advanced",
dann folgt ein Dialog in dem ich nur "Type" und "Image Creation" vornehmen kann...

Anders sieht es aus, wenn ich bei Partition Table Type "NONE" wähle:

Disk sdb8.img - 31 GB / 29 GiB - CHS 3825 255 63
     Partition               Start        End    Size in sectors
>P NTFS                     0   0  1  3824 253 63   61448562 [shared]

Structure: Ok.

Aber dann erhalte ich halt nur durchnummerierte Dateien...

Gibt es dafür eine Lösung, um mit Dateinamen und Pfaden wiederherzustellen ?
Ich benötige nur meine eMails und meine Bookmarks, der Rest ist völlig egal.

Einen schönen Gruß,
Michael

 

[m.friedrichs]

Mir ist inzwischen aufgefallen, dass Testdisk die Partition falsch erkennt:

    The following partitions can't be recovered:
    Partition Start End Size in sectors
    > Linux 1854 90 29 5679 89 26 61448560 [rescue]
    Linux 1854 252 63 5679 251 60 61448560 [rescue]

Hier steht "Linux", dabei handelt es sich definitiv um ntfs.
In einer anderen Ausgabe von Testdisk stelle ich fest, dass die entdeckte Partition viel größer ist als die gesicherte ntfs Partition.
Möglicherweise lag "unter" der ntfs Partition vorher eine größere Linuxpartition.
Wie kann ich die Größe der Image-Partition nun korrigieren, damit testdisk vernünftig arbeitet ?
Sector, heads, zylinder kann ich einstellen, wird aber nicht übernommen, da Testdisk es vermutlich im Verhältnis zur Größe neu berechnet.

Irgendeine Idee ?

 

[m.friedrichs]

Wenn man die Festplatte komplett ausliest, findet er die Partition korrekt als NTFS..
Warum ? Wieso ?

Trotzdem ist unter "undelete" keine Datei mit Namen und Pfad zu finden - nur als "inode_123", "inode_124", etc

 

[Fiona]

Undelete zeigt nur gelöschte Daten.
Können auch aus Hintergrundprozessen sein.
Ich bin aus der Sache nicht richtig schlau geworden.
Du hattest nur eine NTFS-Partition gelöscht?
Deine Partitionstabelle im anderen Thema ist falsch.
TestDisk bekommt Infos vom Betriebssystem nur unter DOS direkt vom BIOS.
Bitte wenn möglich nicht noch die DOS-Version testen.
Linux und Windows können unterschiedlich sein.
Am besten du machst eine Diagnose unter Windows und ladest mir noch zusätzlich die testdisk.log hoch.
Mache mal eine Diagnose nach dieser Anleitung;

Lade dir mal Testdisk Version 6.1$ beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige auch bei Quick Search mit Enter (wenn nötig wegen Vista-check mit y) und setze mir auch den Screen.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Wenn keine Partition mit Daten gefunden wurde;
Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] Deeper [Search] [Write] und gehe mit dem Pfeil auf [Deeper Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona