NTFS Partition mit 2Gb per dd überschrieben

[deadball]

Hi Leute.

Bin echt zu blöd; Habe auf meiner 400er Datenplatte die ganze Nacht über die Partition verkleinert und nach hinten verschoben, da ich mein OS mit da drauf installieren wollte, damti die SSD in den Lappi kommt.

Klappte auch, hat aber 13 Stunden gedauert. Dann hab' ich ne neue Partition vor der alten angelegt (ist jetzt 88,9GB groß), und wollte per 'dd' (unix/linux) die partition meiner ssd auf die neue Partition der Festplatte klonen/schreiben. Leider war jetzt die vordere Partition nicht sdd1 sondern sdd2, was mir nach ca 2.1Gb schreiben aufgefallen ist.
Folge war natürlich, dass das Dateisystem der gerade verschobenen Datenplatte im Arsch war. Testdisk hat bei quick search nur eine Partition mit defektem Dateisystem gesehen, gparted empfahl mir chkdsk auszuführen.

Habe dann auch von Win7 checkdisk ausgeführt, dauerte ca 3 Stunden. Hat auch n Haufen repariert. Jetzt ist aber leider die Partition nicht ansprechbar, unter windows heißt es "access denied". Datenträgerverwaltung erkennt kein Dateisystem, testdisk sagt nach deeper search folgendes:


30Gb ist aber natürlich nicht korrekt! Per 'P' lassen sich auch einige Daten anzeigen, die vorher drauf waren, aber längst nicht alle.

Gibt es etwas, das ich tun kann, oder soll ichs vergessen? Ich besitze ein Backup, welches allerdings nicht 100% aktuell ist :/

Herzlichen Dank im Voraus, und geht wählen ;]

 

[Mueli]

Poste auch mal die Bilder direkt nach Analyse und nach Quick Search.

Sdd1 ist die erste primäre Partition, sdd2 wäre die zweite primäre Partition. Wenn Du also eine ehemalige sdd1 verkleinerst und vorne Platz schaffst, hier dann eine weitere primäre Partition anlegst, wird die neue Partition zu sdd1, die ehemalige sdd1 wird zu sdd2!

 

[deadball]

Tja, leider war es genau nicht so, lieber Mueli

Offensichtlich hat der Kernel die die Tabelle nicht neu eingelesen, oder was weiß ich. Fakt ist, dass meine Datenpartition mit 2.1GB überschrieben wurde, weil sie in diesem fall sdd1 hieß. Leider.

Die anderen Bilder kommen gleich

Ergänzung (28. September 2009)

hier die bilder:





Problem ist, 30Gb ist DEFINITIV nicht richtig^^

 

[Mueli]

Die Vergabe der Device-Files erfolgt via Controller, Treiber, OS etc., sie ist nicht in der Partition hinterlegt. Warum das in Deinem Screen so merkwürdig aussieht verstehe ich noch nicht, es ändert wahrscheinlich auch nichts an dem Vorgang der Überschreibens. Du könntest mal mit einer Linux-Live-CD starten und die Kernel-Meldungen anzeigen lassen (dmesg) und hier evtl. auch posten.

Wenn vom Filesystem etwas via dd überschrieben wurde, wirst Du sehr wahrscheinlich nur etwas mit Datenrettungstools erreichen, zumal dabei wohl hauptsächlich die MFT zumindest zum Teil überschrieben wurde.

 

[deadball]

Kann ich die MFT nicht wiederherstellen? Ich meine, ich müsste genau wissen, wie groß die Partition war.. nämlich die gesamtgröße (399, nochwas) - die jetzige vordere Partition. Könnte das etwas bringen oder wohl eher nicht?

 

[Mueli]

Mit den bisherigen Informationen habe ich noch kein klares Bild, was wirklich passiert ist. Ich hätte schon gerne das Kernel-Log gesehen und wenn Du mir auch noch den dd-Befehl, den Du ausgeführt hast, nennen würdest wäre ich zufrieden

 

[deadball]

Hm sorry, falls es nicht so ganz rüber gekommen ist.

Ich habe eine SSD und eine 400er Platte.

Da die SSd anderweitig benutzt werden soll, soll der Inhalt (hauptsächlich die Systempartition) auf die 400er geklont werden.
Da die 400er leider kein Platz hatte, habe ich die darauf vorhandene Partition verkleinert und verschoben, sodass ~80GB freier Platz VOR der anderen Partition entstanden ist.

Die alte hieß sdd1.

Ich erstelle eine neue Partition mit 80gb, eben den gerade freigewordenen Platz. Diese heißt jetzt aber sdd2, leider beachtete ich das NICHT, da ich dachte, die 1. Partition sei automatisch sdd1.
Den freigewordenen Platz formatierte ich nicht, da ich vorhatte, meine System Partition darauf zu klonen.

danach führte ich "dd if=/dev/sdb1 /dev/sdd1" aus, SDB1 ist dabei meine Systempartition auf der SSD, sdd1 leider meine alte VERSCHOBENE Datenpartition, nicht wie ich dachte die 1. partition der Platte (also der frei gewordene, geplante Platz).

Ich kopierte 2,1GB bis es mir auffiel. Danach wurde Testdisk ausgeführt, jedoch nix gefunden, da defektes Dateisystem, danach chkdsk.

Jetzt ist eine 31GB Partition vorhanden, die leider früher mal ~310GB groß war.

klarer geworden? Wenn nicht, immer schreiben

Ich weiß nicht genau, was du mit dem Kernel Log machen willst, was soll da drin stehen? Die Partition wird leider als erkannt, und zwar als 31gb..

Schöne Grüße

 

[Ernst@at]

Das chkdsk war schon mal ein grober Fehler, aber das ändert nicht die Partitiongröße...
Das würde ich eher dem testdisk zuordnen, oder war sdb1 nur 31GB groß?
Andererseits sind ja jetzt beide Partitions auf der 400er nur mehr 31GB groß...
Die Datenreste, welche nach dem Wüten von chkdsk noch übrig sind, wirst Du nur mit einem Tool, welches die Sektorinhalte analysiert und daraus die Dateien zusammenpuzzelt, runterkratzen können. Ich mach sowas immer mit GetDataBack.

 

[Mueli]

Da Du Dich als Linux-User geoutet hast, sollte doch ein Kernel-Log keine große Aktion darstellen! Ich bin mir sehr sicher, dass sdd1 die physikalisch erste Partition auf einer Disk ist, weil die Device-Files vom OS vergeben werden und nicht in den Partitionen hinterlegt werden (wer etwas anderes behauptet möge den Beweis antreten). Mit dem Log möchte ich es einfach nur überprüfen!

Linux mounted Filesysteme darüber hinaus erst einmal Read-Only, Harakiri laufende Tools wie chkdsk können da keinen Schaden anrichten.

Was Du prinzipiell angestellt hast, ist mir allerdings schon klar gewesen!

 

[deadball]

Das Interessante ist, dass ich bei testdisk nie auf write gedrückt habe

ich zeig euch nochmal n paar infos:

Sep 29 12:43:50 t400 kernel: [ 2045.832184] sd 5:0:0:0: [sdb] 781422768 512-byte hardware sectors: (400 GB/372 GiB)
Sep 29 12:43:50 t400 kernel: [ 2045.834193] sd 5:0:0:0: [sdb] Write Protect is off
Sep 29 12:43:50 t400 kernel: [ 2045.834200] sd 5:0:0:0: [sdb] Mode Sense: 21 00 00 00
Sep 29 12:43:50 t400 kernel: [ 2045.834205] sd 5:0:0:0: [sdb] Assuming drive cache: write through
Sep 29 12:43:50 t400 kernel: [ 2045.836043] sd 5:0:0:0: [sdb] 781422768 512-byte hardware sectors: (400 GB/372 GiB)
Sep 29 12:43:50 t400 kernel: [ 2045.836955] sd 5:0:0:0: [sdb] Write Protect is off
Sep 29 12:43:50 t400 kernel: [ 2045.836961] sd 5:0:0:0: [sdb] Mode Sense: 21 00 00 00
Sep 29 12:43:50 t400 kernel: [ 2045.836966] sd 5:0:0:0: [sdb] Assuming drive cache: write through
Sep 29 12:43:50 t400 kernel: [ 2045.836975]  sdb: sdb1 sdb2
Sep 29 12:43:50 t400 kernel: [ 2045.860659] sd 5:0:0:0: [sdb] Attached SCSI disk

Da man mit dem Log mMn nix anfangen kann, mal hier noch was:

Sep 29 12:43:51 t400 ntfs-3g[7916]: Mounted /dev/sdb1 (Read-Write, label "Programs", NTFS 3.1) 
Sep 29 12:43:51 t400 ntfs-3g[7916]: Mount options: rw,nosuid,nodev,uhelper=hal,silent,allow_other,nonempty,relatime,fsname=/dev/sdb1,blkdev,blksize=4096 
Sep 29 12:43:51 t400 hald: mounted /dev/sdb1 on behalf of uid 1000
Sep 29 12:43:52 t400 ntfs-3g[7927]: Mounted /dev/sdb2 (Read-Write, label "", NTFS 3.1) 
Sep 29 12:43:52 t400 ntfs-3g[7927]: Mount options: rw,nosuid,nodev,uhelper=hal,silent,allow_other,nonempty,relatime,fsname=/dev/sdb2,blkdev,blksize=4096 
Sep 29 12:43:52 t400 hald: mounted /dev/sdb2 on behalf of uid 1000

Da sieht man den automount von ntfs-3g, wohlgemerkt RW, nicht read only!

Hier noch fdisk

jan@t400:/mnt$ sudo fdisk -l /dev/sdb

Platte /dev/sdb: 400.0 GByte, 400088457216 Byte
255 Köpfe, 63 Sektoren/Spuren, 48641 Zylinder
Einheiten = Zylinder von 16065 × 512 = 8225280 Bytes
Disk identifier: 0xc316397d

   Gerät  boot.     Anfang        Ende     Blöcke   Id  System
/dev/sdb1           11578       48641   297716580    7  HPFS/NTFS
/dev/sdb2   *           1       11577    92992221    7  HPFS/NTFS

Partitionstabelleneinträge sind nicht in Platten-Reihenfolge

Das ist das aktuelle Bild, und genau so wars auch, als ich das Zeug überschrieben habe. Seitdem gabs mehrere Restarts.

Interessant ist, dass gparted die 2. Partition als so groß anerkennt.. windows hingegen sagt nur was von 31GB

noch besser ist aba das hier:


Da erkennt er nur 94GB, wohlgemerkt ALLES die selbe Platte/Partition

 

[Mueli]

Ich würde jetzt noch gerne ein Deeper Search aus Testdisk sehen, um zu erfahren ob noch weitere Partitionen erkannt werden. Direkt nach Analyse wird die gegenwärtige Partitionstabelle angezeigt, nach Quick Search die Partitionen gemäß der Infos aus der Partitionstabelle, beim Deeper Search hingegen werden alle Cylinder, gemäß der eingetragenen Geometrie, auf Partitionen abgesucht. Die Einstellungen zu Intel-Style und / oder Vista beeinflussen ferner wie und wo gesucht wird. Alles wird aber nicht verhindern, wie schon mehrfach angedeutet, dass nur ein Datenrettungstool zumindest einen Teil der Daten wieder zu Tage fördern kann.

Das sdb1 und sdb2 offensichtlich vertauscht sind, kann ich mir allerdings noch nicht erklären, werde es wohl in einer Mußestunde selber mal probieren müssen.

 

[deadball]

Ein deeper Search Screeni ist im 1. Post bereits.

Intel+Vista aktiviert

werde mal mit nem tool drangehen, mehr als kaputt gehts eh nicht ;[