Testdisk & Luks

[PeterDi]

Hallo,
ich habe unter Linux irgendwie meine Partitionstabelle zerschossen, als ich dabei war zu versuchen, ein anderes Problem zu lösen. Ich habe Debian Etch 4 installiert und meine Festpllate ist folgender maßen aufgeteilt:


250 mb /boot unverschlüsselt
/root-Partition mit ca. 7 GB verschlüsselt
Swap-Partition mit ca. 1,5 GB verschlüsselt
home-Partition mit ca 70 GB verschlüsselt


gparted unter insideSECURITY bringt die Ausgabe:

Partition Dateisystem Mountpoint Size Used Unused Markierungen
/dev/sda1 ext3 /mnt/sda1 243,14 MiB 35,47 MiB 207,67 MiB boot
/dev/sda2 extended 74,29 GiB --- ---
/dev/sda5 unbekannt /mnt/sda5 74,29 GiB --- --- lvm

(Da er wahrscheinlich mit cryptsetup-verschlüsselten Partitionen nicht umgehen kann.)


Ich kann auf der Festplatte nur noch auf den unverschlüsselten /boot-Bereich zugreifen (ca. 250 mb), jedoch nicht mehr auf die verschlüsselten partitionen mit dem swap, dem home-vereichnis und dem root-verzeichnis.

Ich denke ich habe das gleiche Problem wie unter diesem Link:
http://rkara.de/2007/07/16/highleve...tte-partitionstabelle-tuen-fast-garnicht-weh/


Ich verstehe aber nicht, wie man sowas macht. gpart bringt bei mir das gleiche Ergebnis (/boot-bereich wird erkannt; danach hört er nicht mehr auf zu suchen und findet nichts).


Deshalb würde ich gerne testdisk verwenden, denn lt. homepage werden seit der neusten Beta Luks-verschlüsselte Dateisysteme unterstützt

Wenn ich allerdings unter Freedos bei testdisk die "deeper search" starte, kommt ungefähr folgende Fehlermeldung:

Analyse cylinder 159[immer irgenwas um die 100, diese Zahl variiert]/9728 01%Double Fault at eip=15ae01 [Zahl variiert] ; flags=3246
eax=001e0300 ebx=00000021 ecx=00000000 edx=0016b738 esi=00000000 edi=001eb4d4
ebp=001eb4c4 esp=001eb40c cs=a7 ds=bf es=af fs=8f gs=bf ss=b7 [Werte variieren, aber Schema bleibt gleich] error=0006

Wäre nett, wenn mir jemand weiterhelfen könnte, ich habe versucht mein Problem so exakt wie es mir möglich war zu beschreiben.

Gruß

Peter

 

[Fiona]

Deshalb würde ich gerne testdisk verwenden, denn lt. homepage werden seit der neusten Beta Luks-verschlüsselte Dateisysteme unterstützt

Setze mir mal den Link, da ich davon nichts weiß oder gebe mir mal die Infos.
Den vi-Editor kenne ich, benutze aber zumeist emacs.
Der bvi-Editor ist zum editieren von binäre Dateien.
46 Byte reingehackt, klingt nach der Partitionstabelle.
Poste dort vielleicht mal was er gehackt hat.
Nicht, das der MBR und die Partitionstabelle auch verschlüsselt sind?

Viele Grüße

Fiona

 

[PeterDi]

Der Link für die verschlüsselte Unterstützung:

http://www.cgsecurity.org/wiki/TestDisk_6.9_Release

"Encrypted LUKS and Mac HFSX partitions are now detected"

MBR und Partitionstabelle können doch gar nicht verschlüsselt sein; mein Passwort habe ich immer erst nach dem Linux-Bootloader eingegeben. Er hat also schon auf MBR und Partititonstabelle zugegriffen.


Ich schreib ihm nachher 'ne Mail


Viele Grüße

 

[Fiona]

Danke für den Link!
Zumeist haben wir hier Probleme mit True und Drivecrypt, bei dem jeder Sektor verschlüsselt wird.
Wenn Testdisk dieses jetzt erkennt, dann nehme die neueste beta und mache mal eine Diagnose nach dieser Anleitung;

Alternativ kannst du auch die Screens weglassen und mir aus dem testdisk-Ordner die testdisk.log-Datei hochladen.
Benenne die dazu in testdisk.txt um oder zippe die.

Lade dir mal Testdisk Version 6.9 beta.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige auch bei Quick Search mit Enter (wenn nötig wegen Vista-check mit y) und setze mir auch den Screen.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Wenn keine Partition mit Daten gefunden wurde;
Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] Deeper [Search] [Write] und gehe mit dem Pfeil auf [Deeper Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[PeterDi]

Hallo,
genau das habe ich schon gemacht, allerding ohne log-file. das Ergebnis siehst du in meinem ersten Posting

Bei der deeper search kommt folgende Meldung:

Analyse cylinder 159[immer irgenwas um die 100, diese Zahl variiert]/9728 01%Double Fault at eip=15ae01 [Zahl variiert] ; flags=3246
eax=001e0300 ebx=00000021 ecx=00000000 edx=0016b738 esi=00000000 edi=001eb4d4
ebp=001eb4c4 esp=001eb40c cs=a7 ds=bf es=af fs=8f gs=bf ss=b7 [Werte variieren, aber Schema bleibt gleich] error=0006

Gruß

 

[Fiona]

Wenn ich allerdings unter Freedos bei testdisk die "deeper search" starte, kommt ungefähr folgende Fehlermeldung:

Hattest du die neueste Revision von Testdisk, von der Homepage verwendet?
Die Änderung ist wahrscheinlich erst ein paar Tage alt.
Hier auf CB gibt es eine FreeDOS BootCD in der es noch nicht integriert ist.
Kann daher die Abweichung kommen?
Daher wäre es sinnvoll, eine normale DOS-Bootdiskette zu erstellen und die DOS-Version von Testdisk draufzukopieren.
Ansonsten müßte ich die BootCD erst aktualisieren um es zu integrieren.
Müßte ich dann zum Download erst bereitstellen.

Viele Grüße

Fiona

 

[PeterDi]

Ich habe das ganze letzten Mittwoch gemacht mit Freedos und der 6.9er Beta Version von dem Tag auf der Homepage. Das mit der Bootdiskkette ist schwierig, da ich kein Diskettenlaufwerk habe.

Gruß

 

[Fiona]

Ich werde die neueste Testdisk 6.9 beta BootCD heute mittag aktualisiseren.
Im Fall wenn du diese gleich erhalten möchtest, schicke mir mal via PN deine emil-Adresse.
Ich kann es dir dann zuschicken.

Du kannst dann vergleichen ob die Ergebnisse gleich sind , oder die Partitionen erkannt werden.
Wenn die richtig erkannt werden, könntest du diese in die Partitionstabelle schreiben.

Viele Grüße

Fiona

 

[Stasipferdchen]

Wo genau liegt das Problem? Das was geparted so ausspuckt passt doch, die Partitionstabelle ist intakt (sonst würd gparted die Ausgabe nicht anzeigen, sondern max. einen großen unused-Space nach der Boot-Partition). Das dort
/dev/sda2 extended 74,29 GiB --- ---
steht heißt, das gparted die Partition sieht. Da es aber ein verschlüsseltes Dev ist, zeigts logischerweise kein ext3 oder was auch immer du als FS einsetzt an, es kann schließlich nicht in verschlüsselte Volums reinsehen. Wenn du hingehen das Dev mit luksOpen öffnest und mit gparted /dev/mapper/blupp aufrufst, kann gparted dir auch das FS anzeigen und bedingern.