- Registriert
- Dez. 2011
- Beiträge
- 80
gesagt, getan 
danke, mfg
danke, mfg
Raid 5 - no-member
- Ersteller sam_semillia
- Erstellt am
Wunderbar, wir haben alles rausgefischt, was zum weitermachen nötig ist.
Die Plattenreihenfolge ist, so wie sie jetzt am Controller gezeigt wird, richtig: HD2-5 sind Vol A,B,C,D.
So geht es weiter:
Die Plattenreihenfolge ist, so wie sie jetzt am Controller gezeigt wird, richtig: HD2-5 sind Vol A,B,C,D.
So geht es weiter:
HxD Aufruf unter User mit Administratorrechten (oder per rechtklick - Ausführen als ...)
- folgendes machst Du der Reihe nach mit Harddisk x=2,3,4 und 5:
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren MFT-Start
- Menü: Edit/select block/start-offset: 42B00000 , end-offset: 42B3FFF , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken -
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "MFTHDx.txt" /speichern (x=aktuelle Platte 2-5)
-HxD beenden
Dateien gezippt in den Anhang
- folgendes machst Du der Reihe nach mit Harddisk x=2,3,4 und 5:
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren MFT-Start
- Menü: Edit/select block/start-offset: 42B00000 , end-offset: 42B3FFF , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken -
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "MFTHDx.txt" /speichern (x=aktuelle Platte 2-5)
-HxD beenden
Dateien gezippt in den Anhang
(Erst nach erfolgter Auswertung der MFT-Inhalte weitermachen!)
- folgendes machst Du der Reihe nach mit Harddisk x=2,3,4 und 5:
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren Logfile
- Menü: Edit/select block/start-offset: (wird nachgereicht , end-offset: wird nachgereicht , hex, OK
- Strg+C (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "LogHDx.bin" /speichern (x=aktuelle Platte 2-5)
-HxD beenden
Nachdem diese Daten gezippt viele MB(etwa 30) groß sind und daher nicht in den Anhang gestellt werden können, musst Du sie bei irgendeinem File- oder Cloudhoster hochladen und mir den Link fürs Download posten
- folgendes machst Du der Reihe nach mit Harddisk x=2,3,4 und 5:
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren Logfile
- Menü: Edit/select block/start-offset: (wird nachgereicht , end-offset: wird nachgereicht , hex, OK
- Strg+C (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "LogHDx.bin" /speichern (x=aktuelle Platte 2-5)
-HxD beenden
Nachdem diese Daten gezippt viele MB(etwa 30) groß sind und daher nicht in den Anhang gestellt werden können, musst Du sie bei irgendeinem File- oder Cloudhoster hochladen und mir den Link fürs Download posten
Zuletzt bearbeitet:
- Registriert
- Dez. 2011
- Beiträge
- 80
Hallo,
die MFT's sind mal im Anhang. In der Ausführung war nicht klar erkennbar welche Zahl für STart OffSet gemeint war (fett / normal geschrieben), deshalb:
*) 42B00000 --> ging nicht ("specified offsets result in empty selection")
*) 42B0000 -- > wurde verwendet
Logfiles mache ich sobald du mir die Zahlen nennst!
Danke, mfg
die MFT's sind mal im Anhang. In der Ausführung war nicht klar erkennbar welche Zahl für STart OffSet gemeint war (fett / normal geschrieben), deshalb:
*) 42B00000 --> ging nicht ("specified offsets result in empty selection")
*) 42B0000 -- > wurde verwendet
Logfiles mache ich sobald du mir die Zahlen nennst!
Danke, mfg
Hast 'ne PM
muss den etwas umfangreichen bisherigen Fallverlauf nochmals durchkauen, 14:00 gehts los...
Bin wieder im Bilde. Hier haben wir es mit einem widerlichen Fall zu tun, wo ich keine gesicherte Information über den genauen Unfallhergang anhand der allgemeinen Beschreibung und der verbliebenen RAID-Informationen zur Verfügung habe, um das Rebuild ohne Katastrophe einläuten zu können. Die notwendigen Infos, welche Aufschluss über die zuerst ausgefallene Platten geben können, hast Du schon geliefert - ich hab die $MFT-Auszüge aber vor meinem Urlaub und bis jetzt noch keiner Analyse unterzogen. Ich mach mich jetzt dran, wird bis ca 16:00 dauern...
Ergänzung ()
muss den etwas umfangreichen bisherigen Fallverlauf nochmals durchkauen, 14:00 gehts los...
Ergänzung ()
Bin wieder im Bilde. Hier haben wir es mit einem widerlichen Fall zu tun, wo ich keine gesicherte Information über den genauen Unfallhergang anhand der allgemeinen Beschreibung und der verbliebenen RAID-Informationen zur Verfügung habe, um das Rebuild ohne Katastrophe einläuten zu können. Die notwendigen Infos, welche Aufschluss über die zuerst ausgefallene Platten geben können, hast Du schon geliefert - ich hab die $MFT-Auszüge aber vor meinem Urlaub und bis jetzt noch keiner Analyse unterzogen. Ich mach mich jetzt dran, wird bis ca 16:00 dauern...
Zuletzt bearbeitet:
- Registriert
- Dez. 2011
- Beiträge
- 80
- Registriert
- Dez. 2011
- Beiträge
- 80
kk, ich freu mich drauf
HxD Aufruf unter User mit Administratorrechten (oder per rechtklick - Ausführen als ...)
- folgendes machst Du der Reihe nach mit Harddisk x=2,3,4 und 5:
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren MFT-Start
- Menü: Edit/select block/start-offset: 42B00000 , end-offset: 42B03FFF , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken -
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "MFTHDx.txt" /speichern (x=aktuelle Platte 2-5)
-HxD beenden
Dateien gezippt in den Anhang
- folgendes machst Du der Reihe nach mit Harddisk x=2,3,4 und 5:
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren MFT-Start
- Menü: Edit/select block/start-offset: 42B00000 , end-offset: 42B03FFF , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken -
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "MFTHDx.txt" /speichern (x=aktuelle Platte 2-5)
-HxD beenden
Dateien gezippt in den Anhang
- Registriert
- Dez. 2011
- Beiträge
- 80
bitteschön
Muss wieder ein bisschen rechnen - nächste Instruktionen kommen 11:45
bin etwas aus der Übung... dauert länger, voraussichtlich 12:30
Ergänzung ()
bin etwas aus der Übung... dauert länger, voraussichtlich 12:30
HxD Aufruf unter User mit Administratorrechten (oder per rechtklick - Ausführen als ...)
- Menü: Extras/open disk/physical disk/hard disk 5 (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren MFT-Start
- Menü: Edit/select block/start-offset: 3C616000 , end-offset: 3C61FFFF , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken -
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "Logstart.txt" /speichern
-HxD beenden
Dateien gezippt in den Anhang
- Menü: Extras/open disk/physical disk/hard disk 5 (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren MFT-Start
- Menü: Edit/select block/start-offset: 3C616000 , end-offset: 3C61FFFF , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken -
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "Logstart.txt" /speichern
-HxD beenden
Dateien gezippt in den Anhang
Zuletzt bearbeitet:
- Registriert
- Dez. 2011
- Beiträge
- 80
bitteschön
- Registriert
- Dez. 2011
- Beiträge
- 80
kk, guten hunger
ich schau im prinzip eh alle 5 minuten, und instant email is auch an *gggg*
ich hoffe es sieht gut aus^^
fg
ich schau im prinzip eh alle 5 minuten, und instant email is auch an *gggg*
ich hoffe es sieht gut aus^^
fg
Bleibt nicht übrig, als den gesamten Logfile zu durchmustern...
Nenne die Files LOG2/3/4/5.txt.
Diese sind zu groß(~65MB), um sie in den Anhang zu stellen, erzeuge daraus eine .zip Datei, lade die bei irgendeinem Filehoster hoch und poste mir den Link zum downloaden,
HxD Aufruf unter User mit Administratorrechten (oder per rechtklick - Ausführen als ...)
- folgendes machst Du der Reihe nach mit Harddisk x=2,3,4 und 5:
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren $Logfile
- Menü: Edit/select block/start-offset: 3C616000 , end-offset: 3DB75FFF , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken -
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "LOGx.txt" /speichern (x=aktuelle Platte 2-5)
-HxD beenden
- folgendes machst Du der Reihe nach mit Harddisk x=2,3,4 und 5:
- Menü: Extras/open disk/physical disk/hard disk x (Häkchen bei "open as readonly" nicht entfernen)
Werte mit copy&paste übertragen!
========= Extrahieren $Logfile
- Menü: Edit/select block/start-offset: 3C616000 , end-offset: 3DB75FFF , hex, OK
- Edit/Copy as.../Editor View (kopiert in die Zwischenablage)
- Menü: File/New (es erscheint in der Anzeige ein zweiter Reiter "untitled1")
- in der Anzeige in das kleine punktierte Rechteck rechts unterhalb von ... 0E 0F klicken -
- Strg+V (überträgt den Inhalt aus der Zwischenablage) im popup "file size change": OK
- Menü: File/Save as... einen Ordner auswählen und als Dateinamen "LOGx.txt" /speichern (x=aktuelle Platte 2-5)
-HxD beenden
Diese sind zu groß(~65MB), um sie in den Anhang zu stellen, erzeuge daraus eine .zip Datei, lade die bei irgendeinem Filehoster hoch und poste mir den Link zum downloaden,
- Registriert
- Dez. 2011
- Beiträge
- 80
OK, ich lade mir das gerade runter. Wird einige Zeit dauern, bis ich das durchgegangen bin.
Melde mich etwa 20:00 wieder.
Noch kein Ergebnis. Mein Analyseprogramm ist nicht sehr performant, ich arbeite noch an Verbesserung. Wenn ich heut noch ein Ergebnis habe, mache ich eine kurze Notiz, ansonsten geht es morgen 18:00 weiter.
Melde mich etwa 20:00 wieder.
Ergänzung ()
Noch kein Ergebnis. Mein Analyseprogramm ist nicht sehr performant, ich arbeite noch an Verbesserung. Wenn ich heut noch ein Ergebnis habe, mache ich eine kurze Notiz, ansonsten geht es morgen 18:00 weiter.
- Registriert
- Dez. 2011
- Beiträge
- 80
kk, und wie siehts aus?
Analyse ist ein wenig kniffelig, ich arbeite jetzt weiter daran...
Es geht darum, ohne die sonst in den RAID-Metadaten ersichtliche Ausfallreihenfolge (die hier auf diese Weise nicht mehr ermittelbar war) alleine aus dem Inhalt der 4 Memberplatten darauf zu schließen.
Es geht darum, ohne die sonst in den RAID-Metadaten ersichtliche Ausfallreihenfolge (die hier auf diese Weise nicht mehr ermittelbar war) alleine aus dem Inhalt der 4 Memberplatten darauf zu schließen.
- Registriert
- Dez. 2011
- Beiträge
- 80
Kk, danke.wann darf ich mit neuen anweisumgen rechnen?
Mfg
Mfg
