Verschlüsselte Festplatte + invalid bootstrap signature, Rettung mit Test Disk?

[eYc]

Hallo,

ich bekomme beim booten eines Notebooks (Esprimo M D9510 mit WD1600BEVT-22ZCT0, Windows XP) mit Fesplattenverschlüsselung (eine für's das Unternehmen angepasste Lösung von SECUDE) nur noch die Meldung Warning: invalid bootstrap signature.

Leider habe ich jetzt keine Ahnung, ob das an der Partitionierung/MBR liegt, oder am Inhalt dieser kleinen Linux-Bootpartition, und deren Konfiguration.
Dem voran ging der Versuch, mittels ERD-System, das von Boot-CD (Bart PE mit Plugin f. d. FPV) gestartet wird, eine "Boot Chain Repair" durchzuführen, um die PBA zu umgehen, und Windows ohne Eingabe der Pin f. d. Anmeldung am System hochfahren zu können (Anwender war nicht erreichbar). Davor ging's noch.

So sieht die Partitionierung jetzt mit GParted aus:
1 - sdb1 "unknown" - Systempartition mit Windows XP (C)
2 - sdb4 "ext2" - Linux-Bootpartition
3 - sdb2 "unknown" - Daten (D)
4 - sdb3 "unknown" - Servicepartition (E, versteckte Partition in Windows, für Backups)


Jetzt habe ich mir das mit Test Disk 6.12 (von der Ultimate Boot CD) angeschaut.

Wenn ich Test Disk starte, Analyse - Intel-Partition, ... zeigt's mir folgende Partitionsliste :-?:


Mit "Quick Search" wird nur die Linux-Partition gefunden, mit "Deeper Search" auch die System-Partition C (NTFS):


Wenn ich Load Backup mache, wurden beim ersten Start vier Partitionen aufgelistet, beim nächsten Mal weitere zwei die "deleted" sind.
Das dritte Bild hier ist entstanden, wo ich "write ..." hätte machen können (habe ich aber noch nicht):


Das Backup.log und Testdisk.log #1:

Spoiler

1340899150 Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63
1 : start= 63, size= 61255782, Id=07, P
4 : start= 61255845, size= 192780, Id=95, *
2 : start= 61464690, size=179446050, Id=07, P
3 : start=240910740, size= 71665965, Id=07, P



Thu Jun 28 15:40:50 2012
Command line: TestDisk

TestDisk 6.12, Data Recovery Utility, May 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Linux, kernel 3.0.0-pmagic (#1 SMP Fri Jul 29 19:06:18 CDT 2011) i686
Compiler: GCC 4.5
Compilation date: 2011-05-15T12:36:01
ext2fs lib: 1.41.14, ntfs lib: libntfs-3g, reiserfs lib: none, ewf lib: none
/dev/sda: LBA, HPA, LBA48, DCO support
/dev/sda: size 156250000 sectors
/dev/sda: user_max 156250000 sectors
/dev/sda: native_max 156250000 sectors
/dev/sda: dco 156250000 sectors
/dev/sdb: LBA, HPA, LBA48, DCO support
/dev/sdb: size 312581808 sectors
/dev/sdb: user_max 312581808 sectors
/dev/sdb: native_max 312581808 sectors
/dev/sdb: dco 312581808 sectors
Warning: can't get size for Disk /dev/mapper/control - 0 B - CHS 1 1 1, sector size=512
/dev/sr0 is not an ATA disk
Hard disk list
Disk /dev/sda - 80 GB / 74 GiB - CHS 9726 255 63, sector size=512 - ATA HDS728080PLA380
Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63, sector size=512 - ATA WDC WD1600BEVT-2
Disk /dev/sdc - 1039 MB / 991 MiB - CHS 1023 32 62, sector size=512 - USB DISK Pro
Disk /dev/sr0 - 377 MB / 359 MiB - CHS 184212 1 1 (RO), sector size=2048 - TSSTcorp DVD-ROM TS-H352C

Partition table type (auto): Intel
Disk /dev/sdb - 160 GB / 149 GiB - ATA WDC WD1600BEVT-2
Partition table type: Intel

Analyse Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63
Geometry from i386 MBR: head=255 sector=63
check_part_i386 failed for partition type 07
check_part_i386 failed for partition type 07
check_part_i386 failed for partition type 07
check_part_i386 4 type 95: no test
get_geometry_from_list_part_aux head=255 nbr=8
get_geometry_from_list_part_aux head=8 nbr=1
get_geometry_from_list_part_aux head=16 nbr=1
get_geometry_from_list_part_aux head=32 nbr=1
get_geometry_from_list_part_aux head=64 nbr=1
get_geometry_from_list_part_aux head=128 nbr=1
get_geometry_from_list_part_aux head=240 nbr=1
get_geometry_from_list_part_aux head=255 nbr=8
Current partition structure:
Invalid NTFS or EXFAT boot
1 P HPFS - NTFS 0 1 1 3812 254 63 61255782
1 P HPFS - NTFS 0 1 1 3812 254 63 61255782
Invalid NTFS or EXFAT boot
2 P HPFS - NTFS 3826 0 1 14995 254 63 179446050
2 P HPFS - NTFS 3826 0 1 14995 254 63 179446050
Invalid NTFS or EXFAT boot
3 P HPFS - NTFS 14996 0 1 19456 254 63 71665965
3 P HPFS - NTFS 14996 0 1 19456 254 63 71665965
4 * Sys=95 3813 0 1 3824 254 63 192780
Ask the user for vista mode
Allow partial last cylinder : No
search_vista_part: 0

search_part()
Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63

recover_EXT2: s_block_group_nr=0/0, s_mnt_count=1357/21, s_blocks_per_group=32768, s_inodes_per_group=10240
recover_EXT2: s_blocksize=4096
recover_EXT2: s_blocks_count 21760
recover_EXT2: part_size 174080
Linux 3813 0 1 3823 213 11 174080
EXT2 Sparse superblock, 89 MB / 85 MiB
get_geometry_from_list_part_aux head=255 nbr=1
get_geometry_from_list_part_aux head=255 nbr=1

Results
* Linux 3813 0 1 3823 254 63 176715
EXT2 Sparse superblock, 90 MB / 86 MiB

interface_write()
1 P Linux 3813 0 1 3823 254 63 176715

search_part()
Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63

recover_EXT2: s_block_group_nr=0/0, s_mnt_count=1357/21, s_blocks_per_group=32768, s_inodes_per_group=10240
recover_EXT2: s_blocksize=4096
recover_EXT2: s_blocks_count 21760
recover_EXT2: part_size 174080
Linux 3813 0 1 3823 213 11 174080
EXT2 Sparse superblock, 89 MB / 85 MiB
NTFS at 3824/254/63
filesystem size 61448562
sectors_per_cluster 1
mft_lcn 2101045
mftmirr_lcn 4235309
clusters_per_mft_record 2
clusters_per_index_record 8
HPFS - NTFS 0 1 1 3824 254 63 61448562
NTFS found using backup sector!, 31 GB / 29 GiB
get_geometry_from_list_part_aux head=255 nbr=3
get_geometry_from_list_part_aux head=8 nbr=1
get_geometry_from_list_part_aux head=16 nbr=1
get_geometry_from_list_part_aux head=32 nbr=1
get_geometry_from_list_part_aux head=64 nbr=1
get_geometry_from_list_part_aux head=128 nbr=1
get_geometry_from_list_part_aux head=240 nbr=1
get_geometry_from_list_part_aux head=255 nbr=3

Results
HPFS - NTFS 0 1 1 3824 254 63 61448562
NTFS found using backup sector!, 31 GB / 29 GiB
Linux 3813 0 1 3823 254 63 176715
EXT2 Sparse superblock, 90 MB / 86 MiB

interface_write()

No partition found or selected for recovery
simulate write!

write_mbr_i386: starting...
write_all_log_i386: starting...
No extended partition

Analyse Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63
Geometry from i386 MBR: head=255 sector=63
check_part_i386 failed for partition type 07
check_part_i386 failed for partition type 07
check_part_i386 failed for partition type 07
check_part_i386 4 type 95: no test
get_geometry_from_list_part_aux head=255 nbr=8
get_geometry_from_list_part_aux head=8 nbr=1
get_geometry_from_list_part_aux head=16 nbr=1
get_geometry_from_list_part_aux head=32 nbr=1
get_geometry_from_list_part_aux head=64 nbr=1
get_geometry_from_list_part_aux head=128 nbr=1
get_geometry_from_list_part_aux head=240 nbr=1
get_geometry_from_list_part_aux head=255 nbr=8
Current partition structure:
Invalid NTFS or EXFAT boot
1 P HPFS - NTFS 0 1 1 3812 254 63 61255782
1 P HPFS - NTFS 0 1 1 3812 254 63 61255782
Invalid NTFS or EXFAT boot
2 P HPFS - NTFS 3826 0 1 14995 254 63 179446050
2 P HPFS - NTFS 3826 0 1 14995 254 63 179446050
Invalid NTFS or EXFAT boot
3 P HPFS - NTFS 14996 0 1 19456 254 63 71665965
3 P HPFS - NTFS 14996 0 1 19456 254 63 71665965
4 * Sys=95 3813 0 1 3824 254 63 192780

Backup.log und Testdisk.log von Versuch #2:

Spoiler

#1340967511 Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63
1 : start= 63, size= 61255782, Id=07, P
4 : start= 61255845, size= 192780, Id=95, *
2 : start= 61464690, size=179446050, Id=07, P
3 : start=240910740, size= 71665965, Id=07, P



Fri Jun 29 10:57:06 2012
Command line: TestDisk

TestDisk 6.12, Data Recovery Utility, May 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Linux, kernel 3.0.0-pmagic (#1 SMP Fri Jul 29 19:06:18 CDT 2011) i686
Compiler: GCC 4.5
Compilation date: 2011-05-15T12:36:01
ext2fs lib: 1.41.14, ntfs lib: libntfs-3g, reiserfs lib: none, ewf lib: none
/dev/sda: LBA, HPA, LBA48, DCO support
/dev/sda: size 156250000 sectors
/dev/sda: user_max 156250000 sectors
/dev/sda: native_max 156250000 sectors
/dev/sda: dco 156250000 sectors
/dev/sdb: LBA, HPA, LBA48, DCO support
/dev/sdb: size 312581808 sectors
/dev/sdb: user_max 312581808 sectors
/dev/sdb: native_max 312581808 sectors
/dev/sdb: dco 312581808 sectors
Warning: can't get size for Disk /dev/mapper/control - 0 B - CHS 1 1 1, sector size=512
Hard disk list
Disk /dev/sda - 80 GB / 74 GiB - CHS 9726 255 63, sector size=512 - ATA HDS728080PLA380
Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63, sector size=512 - ATA WDC WD1600BEVT-2
Disk /dev/sdc - 500 GB / 465 GiB - CHS 60801 255 63, sector size=512 - StoreJet Transcend

Partition table type (auto): Intel
Disk /dev/sdb - 160 GB / 149 GiB - ATA WDC WD1600BEVT-2
Partition table type: Intel

Analyse Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63
Geometry from i386 MBR: head=255 sector=63
check_part_i386 failed for partition type 07
check_part_i386 failed for partition type 07
check_part_i386 failed for partition type 07
check_part_i386 4 type 95: no test
get_geometry_from_list_part_aux head=255 nbr=8
get_geometry_from_list_part_aux head=8 nbr=1
get_geometry_from_list_part_aux head=16 nbr=1
get_geometry_from_list_part_aux head=32 nbr=1
get_geometry_from_list_part_aux head=64 nbr=1
get_geometry_from_list_part_aux head=128 nbr=1
get_geometry_from_list_part_aux head=240 nbr=1
get_geometry_from_list_part_aux head=255 nbr=8
Current partition structure:
Invalid NTFS or EXFAT boot
1 P HPFS - NTFS 0 1 1 3812 254 63 61255782
1 P HPFS - NTFS 0 1 1 3812 254 63 61255782
Invalid NTFS or EXFAT boot
2 P HPFS - NTFS 3826 0 1 14995 254 63 179446050
2 P HPFS - NTFS 3826 0 1 14995 254 63 179446050
Invalid NTFS or EXFAT boot
3 P HPFS - NTFS 14996 0 1 19456 254 63 71665965
3 P HPFS - NTFS 14996 0 1 19456 254 63 71665965
4 * Sys=95 3813 0 1 3824 254 63 192780
Backup partition structure
partition_save
Ask the user for vista mode
Computes LBA from CHS for Disk /dev/sdb - 160 GB / 149 GiB - CHS 19458 255 63
Allow partial last cylinder : Yes
search_vista_part: 1

search_part()
Disk /dev/sdb - 160 GB / 149 GiB - CHS 19458 255 63

recover_EXT2: s_block_group_nr=0/0, s_mnt_count=1357/21, s_blocks_per_group=32768, s_inodes_per_group=10240
recover_EXT2: s_blocksize=4096
recover_EXT2: s_blocks_count 21760
recover_EXT2: part_size 174080
Linux 3813 0 1 3823 213 11 174080
EXT2 Sparse superblock, 89 MB / 85 MiB
get_geometry_from_list_part_aux head=255 nbr=1
get_geometry_from_list_part_aux head=255 nbr=1

Results
* Linux 3813 0 1 3823 254 63 176715
EXT2 Sparse superblock, 90 MB / 86 MiB

interface_write()
1 * Linux 3813 0 1 3823 254 63 176715

search_part()
Disk /dev/sdb - 160 GB / 149 GiB - CHS 19458 255 63

recover_EXT2: s_block_group_nr=0/0, s_mnt_count=1357/21, s_blocks_per_group=32768, s_inodes_per_group=10240
recover_EXT2: s_blocksize=4096
recover_EXT2: s_blocks_count 21760
recover_EXT2: part_size 174080
Linux 3813 0 1 3823 213 11 174080
EXT2 Sparse superblock, 89 MB / 85 MiB
NTFS at 3824/254/63
filesystem size 61448562
sectors_per_cluster 1
mft_lcn 2101045
mftmirr_lcn 4235309
clusters_per_mft_record 2
clusters_per_index_record 8
HPFS - NTFS 0 1 1 3824 254 63 61448562
NTFS found using backup sector!, 31 GB / 29 GiB
get_geometry_from_list_part_aux head=255 nbr=3
get_geometry_from_list_part_aux head=8 nbr=1
get_geometry_from_list_part_aux head=16 nbr=1
get_geometry_from_list_part_aux head=32 nbr=1
get_geometry_from_list_part_aux head=64 nbr=1
get_geometry_from_list_part_aux head=128 nbr=1
get_geometry_from_list_part_aux head=240 nbr=1
get_geometry_from_list_part_aux head=255 nbr=3

Results
HPFS - NTFS 0 1 1 3824 254 63 61448562
NTFS found using backup sector!, 31 GB / 29 GiB
Linux 3813 0 1 3823 254 63 176715
EXT2 Sparse superblock, 90 MB / 86 MiB
interface_load
Disk /dev/sdb - 160 GB / 149 GiB - CHS 19457 255 63 Fri Jun 29 10:58:31 2012
1 P HPFS - NTFS 0 1 1 3812 254 63 61255782
4 * Sys=95 3813 0 1 3824 254 63 192780
2 P HPFS - NTFS 3826 0 1 14995 254 63 179446050
3 P HPFS - NTFS 14996 0 1 19456 254 63 71665965
check_part_i386 failed for partition type 07
check_part_i386 4 type 95: no test
check_part_i386 failed for partition type 07
check_part_i386 failed for partition type 07
Change partition type:
HPFS - NTFS 0 1 1 3824 254 63 61448562
NTFS found using backup sector!, 31 GB / 29 GiB

interface_write()
1 P HPFS - NTFS 0 1 1 3812 254 63 61255782
2 * Sys=95 3813 0 1 3824 254 63 192780
3 P HPFS - NTFS 3826 0 1 14995 254 63 179446050
4 P HPFS - NTFS 14996 0 1 19456 254 63 71665965
write!

write_mbr_i386: starting...
write_all_log_i386: starting...
No extended partition
You will have to reboot for the change to take effect.

TestDisk exited normally.

Vergleichbare Beispiele oder ähnliches mit TestDisk, wo's um verschlüsselte Festplatten geht, konnte ich nicht finden, und der Support für die FPV hilft auch nicht weiter.
Im Forum von CHIP hab' ich's auch schon versucht, kam aber nichts was mir weiterhilft.
Erschwerend kommt noch hinzu, dass sich das Notebook nach mehreren Versuchen gar nicht mehr einschalten lässt, und ich jetzt die 2,5"-Festplatte in einem PC angeschlossen habe, woher jetzt auch die Screenshots stammen.

Wo kommen überhaupt diese Deleted-Partitionen her?
Sind die so im MBR gespeichert, oder ist das nur eine Information aus dem Log von Testdisk?
Habe ich hier schon etwas verändert, ohne es gemerkt zu haben?
Wegen dieser Tastatur-Umgewöhnung (Z statt Y) habe ich einmal Z (=Y) statt N getippt ...
... und dadurch wohl WRITE bestätigt. Das Log sieht mir auch so aus, als ob was verändert wurde.

Hoffentlich kann mir von euch jemand helfen.

Gruß, Michi.

 

[miac]

Da Secude eine proprietäre Lösung ist, würde ich nur mit Secude Tools an diese Aufgabe gehen. Das, was Testdisk zeigt ist bei verschlüsselten Festplatten nicht zu gebrauchen, übrigens auch von keinem anderen Tool.

 

[eYc]

Da Secude eine proprietäre Lösung ist, würde ich nur mit Secude Tools an diese Aufgabe gehen.

Da geht aber offenbar nichts mehr, auch die komplette Entschlüsselung der drei Partitionen ist nicht möglich.
Nach dem Laden der "Emergency Recovery Information” (ERI-file) werden diese nur mit einem Fragezeichen angezeigt, anstatt mit dem Schlüsse-Symbol.

Vielleicht hat's ja nur in dem Linux-Bereich was 'verschoben'?

 

[Ernst@at]

Warum? die Entschlüsselung scheint ja zu funktionieren.
Die in testdisk als "D"eleted gekennzeichneten Partitions waren nicht im aktuellen MBR eingetragen, wurden aber mit Quickscan anhand der Header/Mirror bootrecs gefunden.
Bei der Systempartition hat es am Beginn der Platte den NTFS-Bootrec zerstört, der ja durch das Backup am Ende der Partition wiederhergestellt werden konnte, wenn das mit [Write] bestätigt wurde. Wenn mehr als der erste Sektor kaputt ist, muss man den Bootloader mit der Win-Reparatur wiederherstellen.

 

[eYc]

Das verstehe ich jetzt nicht ganz.

Warum soll die Entschlüsselung funktionieren?
Woran siehst du, dass an der Systempartition was nicht stimmt?
Ich komme ja beim Starten nichtmal bis zur Pin-Eingabe für die Anmeldung an der Festplatte.
Somit kann er doch auch nicht Windows booten wollen, und eine Reparatur von Windows ist nicht möglich.

 

[Ernst@at]

Im Bild http://www.imagebanana.com/view/4f2w122m/TestDisk_2.png
steht unten: "NTFS found using Backup Sector" also stimmen dessen Einträge am Ende der System-Partition mit der Partitionierung überein und das kann folglich nicht verschlüsselt sein. Am Beginn steht nicht das Gleiche, also dürfte der Sektor zerstört sein.
Kann man an dieser Stelle mit "P" (List files) nicht auch die Ordner- und Filestruktur einsehen?

Oder ist die hier http://www.imagebanana.com/view/4f2w122m/TestDisk_2.png
mit * als Bootpartition angezeigte Sys=95 das Crypto-Ladeprogramm?

 

[eYc]

Kann man an dieser Stelle mit "P" (List files) nicht auch die Ordner- und Filestruktur einsehen?

Höchstens von der kleinen Boot-Partition, aber da muss ich jedesmal erst die Deeper Search ausführen, bevor ich da hin komme. Kann man das nicht irgendwie speichern? Oder nur, wenn man's in den MBR schreibt?

Die 'kleine' ist natürlich nur der Linux-Lader, der dann nach Eingabe einer PIN zu Windows weiterreicht.
Die Dateien/Ordner daraus:

Die andere, die mir nach der Suche mit "HPFS - NTFS" angezeigt wird, gibt dabei nur "Can't open ... Filesystem seems damaged" aus.
Ist ja auch noch verschlüsselt, und in GParted heißt's "unknown".

Jetzt hatte ich noch ein zweites Notebook da, allerdings andere Hardware (DELL Latitude 6510). Das wollte auch nicht mehr starten, "Grub error ...". Hier war es aber noch möglich, die Partitionen zu entschlüsseln, und die Daten zu retten. Danach ist es mir auch gelungen, es mit der "Boot Chain Repair" der ERD und MBR-Reparatur wieder bootfähig zu machen, so dass es jetzt direkt von C startet und Windows lädt, ohne PIN-Eingabe.

Zum Vergleich habe ich hier während der Datenrettung auch mal Bilder gemacht. Hier ist die zweite Partition sdb2, und die vierte sdb4.
Hat das was zu bedeuten?



Die Platte ist hier schon komplett entschlüsselt, wie gesagt.

 

[eYc]

Lösung: falsches ERI-File

Ich habe jetzt die Lösung, das ERI-File passte irgendwie nicht, obwohl's das aktuelle vom April 2012 war.

Ich hatte letzte Woche wenig Zeit, und zwischendurch immer wieder mal mit Test Disk rumprobiert, auch mal mit der Partitionierung auf einem anderen, ähnlichen Esprimo X9515 verglichen. Hier sah's eigentlich genauso aus, also war da wohl noch alles in Ordnung.
Weitere Versuche mit "Repair Boot Chain" endeten aber immer mit verschiedenen Fehlermeldungen, beim Versuch zu booten: „invalid boot signature“, „kek status unknown“ oder ein „Grub error“ oder „… not found“.
Der Vorschlag, es noch mit der aktuellen Version der ERD Boot-CD zu probieren, brachte auch nichts.

Am Freitag hatte ich dann mehr Zeit, und nochmal beim Support angefragt, da mir einfiel, dass ich vor längererer Zeit schon mal so ein Problem hatte, wo ich die HDD nicht entschlüsseln konnte. Der Support hatte damals noch ein anderes ERI-File geschickt, und damit ging's dann plötzlich.

Jetzt meinten Sie zwar, ich hätte schon das richtige bekommen, das aktuelle vom April, aber es gibt noch eins von vor drei Jahren. Und siehe da - damit waren, mit der älteren Rettungs-CD, das Schlüssel-Symbol zumindest vor der C- und D-Partition zu sehen, und ich konnte mit einem Filemanager die Daten retten.
Mit der neuen Boot-CD wurden sogar alle drei Partitionen als verschlüsselt erkannt, und ich konnte hier auch die Boot Chain reparieren, so dass das Notebook wieder startet.

Hier noch'n paar Bilder vom bisherigen Zustand, mit 'falschem' ERI-File:


Und so sieht's aus, wenn's geht:


Danke für eure Antworten,

Michi.