Lieber Besucher, herzlich willkommen bei: Knoppix Forum | www.KnoppixForum.de. Falls dies Ihr erster Besuch auf dieser Seite ist, lesen Sie sich bitte die Hilfe durch. Dort wird Ihnen die Bedienung dieser Seite näher erläutert. Darüber hinaus sollten Sie sich registrieren, um alle Funktionen dieser Seite nutzen zu können. Benutzen Sie das Registrierungsformular, um sich zu registrieren oder informieren Sie sich ausführlich über den Registrierungsvorgang. Falls Sie sich bereits zu einem früheren Zeitpunkt registriert haben, können Sie sich hier anmelden.
17.02.2008, 16:25
Daten wiederherstellen
Hallo,
ich habe hier eine Festplatte auf der mal Daten gewesen sein sollen. Unter WinXP kann ich zwar sehen das es 2 Partitionen sind von denen eine aktiv ist (war wohl mal die Systempartition), aber beim anklicken kommt nur die Meldung das die Platte nicht formatiert ist. Sie soll aber NTFS-formatiert gewesen sein. Ich kann also nicht viel machen. Also hab ich mir Knoppix besorgt (Version 5.1.1) und mal versucht damit auf die Platte zuzugreifen. Beim anklicken bekomme ich folgende Fehlermeldung:
Also hab ich hier in dem Forum mal ein wenig rumgest?bert und bin auf TestDisk gestossen. Ich hab damit mal eine Analyse gestartet und bekam sofort die Meldung:
Die Analyse selbst lies sich dann aber trotzdem starten. Als sie beendet war bekam ich die Meldung "Structure: Ok.", es gibt aber keine Infos ?ber Partition, Start, End und Size in sectors. Da ich mich mit dem Tool nicht auskenne traue ich mich nicht an die andere Funktionen ran.
Hat einer 'ne Idee wie ich an die Daten kommen kann?
Tschau -Valdi-
ich habe hier eine Festplatte auf der mal Daten gewesen sein sollen. Unter WinXP kann ich zwar sehen das es 2 Partitionen sind von denen eine aktiv ist (war wohl mal die Systempartition), aber beim anklicken kommt nur die Meldung das die Platte nicht formatiert ist. Sie soll aber NTFS-formatiert gewesen sein. Ich kann also nicht viel machen. Also hab ich mir Knoppix besorgt (Version 5.1.1) und mal versucht damit auf die Platte zuzugreifen. Beim anklicken bekomme ich folgende Fehlermeldung:
Zitat
Laufwerk kann nicht eingebunden werden.
Die Fehlermeldung lautet:
mount: I could not determine the filesystem type, and none was specified
Also hab ich hier in dem Forum mal ein wenig rumgest?bert und bin auf TestDisk gestossen. Ich hab damit mal eine Analyse gestartet und bekam sofort die Meldung:
Partition sector doesn't have the endmark 0xAA55
Die Analyse selbst lies sich dann aber trotzdem starten. Als sie beendet war bekam ich die Meldung "Structure: Ok.", es gibt aber keine Infos ?ber Partition, Start, End und Size in sectors. Da ich mich mit dem Tool nicht auskenne traue ich mich nicht an die andere Funktionen ran.
Hat einer 'ne Idee wie ich an die Daten kommen kann?
Tschau -Valdi-
17.02.2008, 23:56
Ohne Fehlermeldung w?re das ganze ja langweilig und viel zu einfach 
.
[code:1]root@Knoppix:~# mkdir /mnt/test
root@Knoppix:~# mount -t ntfs /dev/sdb1 /mnt/test
NTFS signature is missing.
Failed to startup volume: Das Argument ist ung?ltig
Failed to mount '/dev/sdb1': Das Argument ist ung?ltig
The device '/dev/sdb1' doesn't have a valid NTFS.
Maybe you selected the wrong device? Or the whole disk instead of a
partition (e.g. /dev/hda, not /dev/hda1)? Or the other way around?[/code:1]
.[code:1]root@Knoppix:~# mkdir /mnt/test
root@Knoppix:~# mount -t ntfs /dev/sdb1 /mnt/test
NTFS signature is missing.
Failed to startup volume: Das Argument ist ung?ltig
Failed to mount '/dev/sdb1': Das Argument ist ung?ltig
The device '/dev/sdb1' doesn't have a valid NTFS.
Maybe you selected the wrong device? Or the whole disk instead of a
partition (e.g. /dev/hda, not /dev/hda1)? Or the other way around?[/code:1]
18.02.2008, 17:09
Kann es sein, das die Platte bewu?t gel?scht worden ist ?
W?rd ich nicht ausschlie?en. Die Platte ist von meinem Bruder und wenn ich den Frage druckst er nur rum, kommt aber nicht mit einer Antwort raus. Ich w?rd mal sagen er hat irgendwas ziemlich doofes gemacht was ihm peinlich ist.
Wichtig ist blo?, das du von dem Datentr?ger eine bytegenaue Kopie machst.
Geht es darum wichtige Daten vor Unheil zu bewahren, oder kann ich aus der Kopie alle Daten ziehen? Ich hab n?mlich nur eine 320GB Platte (sda) auf der nur noch 80GB frei sind. Wird, glaub ich, nicht passen. Ich werd mein Bruderherz mal fragen ob die Daten wichtig sind und wenn ja, dann soll er sich 'ne externe Platte kaufen.
Valdi
22.02.2008, 20:51
Ahh, wie unter DOS. Hät ich auch selbst drauf kommen können. Is halt ein bißchen lange her.
Der Witz ist, dass das Image nur 469MB groß ist. Auf der Platte kann ja irgendwie nich viel drauf sein. Fühle mich grad ein wenig verarscht.
Aber davon mal abgesehen: Wie ist nun der nächste Schritt?
|
Quellcode |
1 2 3 4 |
root@Knoppix:~# dd if=/dev/sdb | gzip | split -b 2047m - /mnt/sik/SICHERUNG500GB.ddz 976773168+0 Datensätze ein 976773168+0 Datensätze aus 500107862016 Bytes (500 GB) kopiert, 9265,72 Sekunden, 54,0 MB/s |
Der Witz ist, dass das Image nur 469MB groß ist. Auf der Platte kann ja irgendwie nich viel drauf sein. Fühle mich grad ein wenig verarscht.
Aber davon mal abgesehen: Wie ist nun der nächste Schritt?
24.02.2008, 20:51
Hi Valdi,
durch das gzip sind die Daten ja nun gepackt worden.
Da die Platte nicht ganz voll war, sind halt nur 500MB übrig geblieben.
Bei einem Packgrad von 1:3 (wenn keine mp3/mpg/etc) drauf waren, heißt das ca. 1,5 GB Daten.
Sind ein Windows und eine Handvoll Anwendungen.
Wichtig war die Auskunft von dd:
Er hat genauso viele Datensätze gelesen, wie geschrieben.
Er hat 500GB kopiert.
Wenn es sich also nicht um eine 750GB Platte gehandelt hat, ist alles Okay. ;-)
Nun legst du nochmal mit testdisk los.
Also als root testdisk /dev/sdb
Es sollte ein Menü erscheinen,
dort wählst du deine Platte aus, dann einmal Intel, und dann sucht er die Partitionen.
Wenn er dir was anbietet, sollte das i.E. deiner Aufteilung entsprechen.
Dann läßt du den neuen MBR schreiben.
Nun versuchst du nochmal den mount, und wenn es nicht klappt, dann mal ntfsfix /dev/sdb1
ntfsfix /dev/sdb2
Wenn okay, dann gut, ansonsten nochmal testdisk und die Platte komplett durchsuchen lassen.
Nicht nur die belegten Bereiche, sondern das GANZE Device
Vielleicht findet er ja noch was.
Er sollte dann auch einen Fehler in der MFT finden, und diese ggf. durch den Mirror ersetzen.
Sollten wir die Platte dann komplett zugrunde gerichtet haben, können wir durch das Image immer noch auf den Stand von Jetzt zurück gehen.
Drück dir die Daumen.
Ralf
durch das gzip sind die Daten ja nun gepackt worden.
Da die Platte nicht ganz voll war, sind halt nur 500MB übrig geblieben.
Bei einem Packgrad von 1:3 (wenn keine mp3/mpg/etc) drauf waren, heißt das ca. 1,5 GB Daten.
Sind ein Windows und eine Handvoll Anwendungen.
Wichtig war die Auskunft von dd:
976773168+0 Datensätze ein
976773168+0 Datensätze aus
500107862016 Bytes (500 GB) kopiert
Er hat genauso viele Datensätze gelesen, wie geschrieben.
Er hat 500GB kopiert.
Wenn es sich also nicht um eine 750GB Platte gehandelt hat, ist alles Okay. ;-)
Nun legst du nochmal mit testdisk los.
Also als root testdisk /dev/sdb
Es sollte ein Menü erscheinen,
dort wählst du deine Platte aus, dann einmal Intel, und dann sucht er die Partitionen.
Wenn er dir was anbietet, sollte das i.E. deiner Aufteilung entsprechen.
Dann läßt du den neuen MBR schreiben.
Nun versuchst du nochmal den mount, und wenn es nicht klappt, dann mal ntfsfix /dev/sdb1
ntfsfix /dev/sdb2
Wenn okay, dann gut, ansonsten nochmal testdisk und die Platte komplett durchsuchen lassen.
Nicht nur die belegten Bereiche, sondern das GANZE Device
Vielleicht findet er ja noch was.
Er sollte dann auch einen Fehler in der MFT finden, und diese ggf. durch den Mirror ersetzen.
Sollten wir die Platte dann komplett zugrunde gerichtet haben, können wir durch das Image immer noch auf den Stand von Jetzt zurück gehen.
Drück dir die Daumen.
Ralf
Auf Wunsch gibt es nur noch Text und keine Bilder mehr in der Signatur.
Keine ? .......
Keine ? .......
|
|
Quellcode |
1 2 3 4 5 6 7 8 |
.
~
- - M
/V\ - *
// \\ /V\
/( _ )\ // \\
^~ ~^ /( _ )\
^~ ~^
|
25.02.2008, 02:26
|
|
Quellcode |
1 2 3 4 5 6 7 8 9 |
Disk /dev/sdb - 500 GB / 465 GiB - CHS 60801 255 63 [ Analyse ] Analyse current partition structure and search for lost partitions [ Advanced ] Filesystem Utils [ Geometry ] Change disk geometry [ Options ] Modify options [ MBR Code ] Write TestDisk MBR code to first sector [ Delete ] Delete all data in the partition table [ Quit ] Return to disk selection |
Ich wähle also Analyse und bekomme folgende Meldung:
|
|
Quellcode |
1 2 3 4 5 6 7 8 9 |
Disk /dev/sdb - 500 GB / 465 GiB - CHS 60801 255 63 Current partition structure: Partition Start EndSize in sectors Invalid NTFS boot 1 * HPFS - NTFS 0 1 1 30399 254 63 488375937 1 * HPFS - NTFS 0 1 1 30399 254 63 488375937 Invalid NTFS boot 2 P HPFS - NTFS 30400 0 1 60800 254 63 488392065 2 P HPFS - NTFS 30400 0 1 60800 254 63 488392065 |
Egal wo ich mit dem Cursor hinspringe, es werden immer 60800 Zylinder analysiert. Ist es normal das beide Partitionen 2x aufgeführt sind und das beide die volle Plattengröße haben? Das kann doch nicht sein. Fdisk hatte die Größe doch richtig wiedergegeben.
Am Ende der Analyse bekomme ich jedenfalls immer die selbe Meldung:
|
|
Quellcode |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 |
Disk /dev/sdb - 500 GB / 465 GiB - CHS 60801 255 63 Partition Start EndSize in sectors Structure: Ok. |
Und wenn ich Enter drücke:
|
|
Quellcode |
1 2 3 |
Partition Start EndSize in sectors No partition found or selected for recovery |
Anschließend bin ich wieder ins Startmenü und hab MBR Code ausgeführt und dann den Rechner neu gestartet.
Nach dem Neustart hab ich dann noch das mit dem mount und dem ntfsfix ausprobiert:
|
|
Quellcode |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 |
root@Knoppix:/ramdisk/home/knoppix# mount -t ntfs /dev/sdb1 /mnt/test NTFS signature is missing. Failed to startup volume: Das Argument ist ungültig Failed to mount '/dev/sdb1': Das Argument ist ungültig The device '/dev/sdb1' doesn't have a valid NTFS. Maybe you selected the wrong device? Or the whole disk instead of a partition (e.g. /dev/hda, not /dev/hda1)? Or the other way around? root@Knoppix:/ramdisk/home/knoppix# ntfsfix /dev/sdb1 Mounting volume... Failed to startup volume: Invalid argument FAILED Attempting to correct errors... FAILED Failed to startup volume: Invalid argument Volume is corrupt. You should run chkdsk. root@Knoppix:/ramdisk/home/knoppix# ntfsfix /dev/sdb2 Mounting volume... Failed to startup volume: Invalid argument FAILED Attempting to correct errors... FAILED Failed to startup volume: Invalid argument Volume is corrupt. You should run chkdsk. |
chkdsk hab ich jetzt noch nicht ausprobiert. Bin zu müde.
Nacht
25.02.2008, 13:48
Hi,
du hast auf der Platte zwei Partitionen.
Die eine geht von 0/1/1 bis 30399/254/63
Die zweite geht direkt danach los 30400/0/1 bis 60800/254/63
Sollten also zweimal so ca. 250GB sein.
488375937+488392065=976768002
Er findet keine verlorengegangenen Partitionen auf der Platte, da sie ja beide da sind.
Er beschwert sich nur über den Invalid NTFS-Boot
Durch MBR-Code hast du ihm eine gültige MBR-Kennung (0xAA55) verpaßt.
Interessant wäre vielleicht ein
Sollte dann i.E. sowas bei raus kommen
Wenn das nicht gegeben ist, hat er keine NTFS-Partition an der Stelle.
Dann könntest du mal versuchen, auf der Platte nach der Zeichenkette NTLDR zu suchen.
Du bekommst dann einen Sektor genannt, welchen du dann umrechnen mußt und als Startsektor der 1.Partition eintragen mußt.
Die Frage ist bloß, ob sich der Aufwand für deinen Bruder lohnt.
Schick mir das Image, und ich versuche mein Glück.
Mach dir dann ne' Rechnung fertig, und wir machen Halbe/Halbe ;-)
Es muss bei deinem Bruder richtig weh tun, damit er beim nächsten Mal besser aufpaßt. ;-)
Ralf
du hast auf der Platte zwei Partitionen.
Die eine geht von 0/1/1 bis 30399/254/63
Die zweite geht direkt danach los 30400/0/1 bis 60800/254/63
Sollten also zweimal so ca. 250GB sein.
488375937+488392065=976768002
Er findet keine verlorengegangenen Partitionen auf der Platte, da sie ja beide da sind.
Er beschwert sich nur über den Invalid NTFS-Boot
Durch MBR-Code hast du ihm eine gültige MBR-Kennung (0xAA55) verpaßt.
Interessant wäre vielleicht ein
|
|
Quellcode |
1 |
dd if=dev/sdb1 bs=512 count=1 | hexdump -C |
Sollte dann i.E. sowas bei raus kommen
|
|
Quellcode |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 |
00000000 eb 52 90 4e 54 46 53 20 20 20 20 00 02 08 00 00 |.R.NTFS .....| 00000010 00 00 00 00 00 f8 00 00 3f 00 ff 00 cd 2f 03 00 |........?..../..| 00000020 00 00 00 00 80 00 80 00 c8 ab 7d 01 00 00 00 00 |..........}.....| 00000030 00 00 0c 00 00 00 00 00 33 3d 1f 00 00 00 00 00 |........3=......| 00000040 f6 00 00 00 01 00 00 00 3f 6b 57 80 a5 57 80 b6 |........?kW..W..| 00000050 00 00 00 00 fa 33 c0 8e d0 bc 00 7c fb b8 c0 07 |.....3.....|....| 00000060 8e d8 e8 16 00 b8 00 0d 8e c0 33 db c6 06 0e 00 |..........3.....| 00000070 10 e8 53 00 68 00 0d 68 6a 02 cb 8a 16 24 00 b4 |..S.h..hj....$..| 00000080 08 cd 13 73 05 b9 ff ff 8a f1 66 0f b6 c6 40 66 |...s......f...@f| 00000090 0f b6 d1 80 e2 3f f7 e2 86 cd c0 ed 06 41 66 0f |.....?.......Af.| 000000a0 b7 c9 66 f7 e1 66 a3 20 00 c3 b4 41 bb aa 55 8a |..f..f. ...A..U.| 000000b0 16 24 00 cd 13 72 0f 81 fb 55 aa 75 09 f6 c1 01 |.$...r...U.u....| 000000c0 74 04 fe 06 14 00 c3 66 60 1e 06 66 a1 10 00 66 |t......f`..f...f| 000000d0 03 06 1c 00 66 3b 06 20 00 0f 82 3a 00 1e 66 6a |....f;. ...:..fj| 000000e0 00 66 50 06 53 66 68 10 00 01 00 80 3e 14 00 00 |.fP.Sfh.....>...| 000000f0 0f 85 0c 00 e8 b3 ff 80 3e 14 00 00 0f 84 61 00 |........>.....a.| 00000100 b4 42 8a 16 24 00 16 1f 8b f4 cd 13 66 58 5b 07 |.B..$.......fX[.| 00000110 66 58 66 58 1f eb 2d 66 33 d2 66 0f b7 0e 18 00 |fXfX..-f3.f.....| 00000120 66 f7 f1 fe c2 8a ca 66 8b d0 66 c1 ea 10 f7 36 |f......f..f....6| 00000130 1a 00 86 d6 8a 16 24 00 8a e8 c0 e4 06 0a cc b8 |......$.........| 00000140 01 02 cd 13 0f 82 19 00 8c c0 05 20 00 8e c0 66 |........... ...f| 00000150 ff 06 10 00 ff 0e 0e 00 0f 85 6f ff 07 1f 66 61 |..........o...fa| 00000160 c3 a0 f8 01 e8 09 00 a0 fb 01 e8 03 00 fb eb fe |................| 00000170 b4 01 8b f0 ac 3c 00 74 09 b4 0e bb 07 00 cd 10 |.....<.t........| 00000180 eb f2 c3 0d 0a 46 65 68 6c 65 72 20 62 65 69 6d |.....Fehler beim| 00000190 20 4c 65 73 65 6e 20 64 65 73 20 44 61 74 65 6e | Lesen des Daten| 000001a0 74 72 84 67 65 72 73 00 0d 0a 4e 54 4c 44 52 20 |tr.gers...NTLDR | 000001b0 66 65 68 6c 74 00 0d 0a 4e 54 4c 44 52 20 69 73 |fehlt...NTLDR is| 000001c0 74 20 6b 6f 6d 70 72 69 6d 69 65 72 74 00 0d 0a |t komprimiert...| 000001d0 4e 65 75 73 74 61 72 74 20 6d 69 74 20 53 74 72 |Neustart mit Str| 000001e0 67 2b 41 6c 74 2b 45 6e 74 66 0d 0a 00 00 00 00 |g+Alt+Entf......| 000001f0 00 00 00 00 00 00 00 00 83 a8 b6 ce 00 00 55 aa |..............U.| 00000200 512 Bytes (512 B) kopiert, 0,0226232 s, 22,6 kB/s |
Wenn das nicht gegeben ist, hat er keine NTFS-Partition an der Stelle.
Dann könntest du mal versuchen, auf der Platte nach der Zeichenkette NTLDR zu suchen.
Du bekommst dann einen Sektor genannt, welchen du dann umrechnen mußt und als Startsektor der 1.Partition eintragen mußt.
Die Frage ist bloß, ob sich der Aufwand für deinen Bruder lohnt.
Schick mir das Image, und ich versuche mein Glück.
Mach dir dann ne' Rechnung fertig, und wir machen Halbe/Halbe ;-)
Es muss bei deinem Bruder richtig weh tun, damit er beim nächsten Mal besser aufpaßt. ;-)
Ralf
Auf Wunsch gibt es nur noch Text und keine Bilder mehr in der Signatur.
Keine ? .......
Keine ? .......
|
|
Quellcode |
1 2 3 4 5 6 7 8 |
.
~
- - M
/V\ - *
// \\ /V\
/( _ )\ // \\
^~ ~^ /( _ )\
^~ ~^
|
29.02.2008, 01:22
Hallo Ralf,
ich glaube ich werde meinem Bruder am Wochenende selbst mal so richtig weh tun.
Wenn ich das richtig lese, dann ist auf der Platte nix, aber auch gar nix, drauf. Wenn da aber nix drauf ist, wie bzw. wo soll da nach einer Zeichenkette suchen?
Valdi
ich glaube ich werde meinem Bruder am Wochenende selbst mal so richtig weh tun.
|
|
Quellcode |
1 2 3 4 5 6 7 |
root@Knoppix:~# dd if=/dev/sdb1 bs=512 count=1 | hexdump -C 00000000 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |................| 1+0 Datensätze ein 1+0 Datensätze aus 512 Bytes (512 B) kopiert, 0,000471198 Sekunden, 1,1 MB/s * 00000200 |
Wenn ich das richtig lese, dann ist auf der Platte nix, aber auch gar nix, drauf. Wenn da aber nix drauf ist, wie bzw. wo soll da nach einer Zeichenkette suchen?
Valdi
29.02.2008, 14:51
Schön, das wir uns einig sind 
Dein Bruder wird da wohl mit einem Eraser drüberweg gegangen sein.
Wenn die ganze Platte nur aus 0x00 besteht, ist da so erstmal nicht mehr zu retten.
Bevor die Platte jetzt aber bei ebay verkauft wird, solltest du nochmal mit photorec einen Versuch starten.
Vielleicht sind ja vorne nur die ersten Sektoren genullt, und hinten kommen dann noch Daten.
Wäre vielleicht peinlich, wenn es sich dabei um die Nacktfotos seines Goldhamsters handelt. ;-)
Schönes Wochenende
Ralf
Dein Bruder wird da wohl mit einem Eraser drüberweg gegangen sein.
Wenn die ganze Platte nur aus 0x00 besteht, ist da so erstmal nicht mehr zu retten.
Bevor die Platte jetzt aber bei ebay verkauft wird, solltest du nochmal mit photorec einen Versuch starten.
Vielleicht sind ja vorne nur die ersten Sektoren genullt, und hinten kommen dann noch Daten.
Wäre vielleicht peinlich, wenn es sich dabei um die Nacktfotos seines Goldhamsters handelt. ;-)
Schönes Wochenende
Ralf
Auf Wunsch gibt es nur noch Text und keine Bilder mehr in der Signatur.
Keine ? .......
Keine ? .......
|
|
Quellcode |
1 2 3 4 5 6 7 8 |
.
~
- - M
/V\ - *
// \\ /V\
/( _ )\ // \\
^~ ~^ /( _ )\
^~ ~^
|
02.03.2008, 22:20
Hab am Freitag noch Photorec drüberlaufen lassen. Hat aber nix gefunden. Nachdem ich Gestern abend ein paar Bier mit meinem Bruderherz getrunken habe weiß ich jetzt auch wieso (Allohol machd Tzunge locka). Bei dem standen vor ein paar Wochen ein paar Staatsbedienstete vor der Tür und wollten seinen Rechner haben, weil begründeter Verdacht bestehe auf nicht ganz gesetzeskonforme Dateien auf seinem Rechner. Weil und wegen akuter Überlastung (anders kann ich mir das jedenfalls nicht erklären) wurde ihm dann der Vorschlag unterbreitet alle Daten auf seinem Rechner zu löschen und gegen Zahlung einer kleinen Verwaltungsgebühr diesen auch wieder rauszurücken. Und da mein Brüderchen manchmal doch des Denkens fähig ist hat er zugestimmt.
Für mich stellen sich jetzt nur noch 2 Fragen:
1. Woran hast du gesehen das die Platten gelöscht sind? Das hast du ja schon ganz am Anfang vermutet. Das brauche ich fürs nächste mal. Mein Bruder ist ja nicht der einzige doofe in der Verwandschaft und nächstes will gleich wissen woran ich bin.
2. Wenn ich ein Image mit dd mache, wie spiele ich es wieder zurück? Das frage ich mich schon die ganze Zeit, aber weil ich dachte das wir das noch brauchen hab ich nicht gleich gefragt.
Valdi
Für mich stellen sich jetzt nur noch 2 Fragen:
1. Woran hast du gesehen das die Platten gelöscht sind? Das hast du ja schon ganz am Anfang vermutet. Das brauche ich fürs nächste mal. Mein Bruder ist ja nicht der einzige doofe in der Verwandschaft
und nächstes will gleich wissen woran ich bin.2. Wenn ich ein Image mit dd mache, wie spiele ich es wieder zurück? Das frage ich mich schon die ganze Zeit, aber weil ich dachte das wir das noch brauchen hab ich nicht gleich gefragt.
Valdi
02.03.2008, 23:42
photorec war so ein letzter Strohhalm.
Es durchsucht JEDEN Sector der Festplatte auf eine bekannte Signatur.
Beispiel:
Jeder Brief fängt mit "Sehr geehrte Damen und Herren" an, wenn du jetzt also in deiner Papiertonne ein Blatt findest, welches so anfängt, wird es sich wohl um einen Brief handeln. Wenn unten auf der Seite dann noch "-2 -" steht, wird es wohl auch noch eine zweite Seite geben.
Sie ist sehr wahrscheinlich direkt dahinter. So hangelst du dich von Seite zu Seite.
Pech nur, wenn der Sohnemann des Verfassers der Meinung war, die Seiten als Malbuch zu benutzen.
Kommst du beim Suchen auf "20 Ltr Super", muss es wohl ein Tankbeleg sein, sowie bei "Kartennummer....." ein Abbuchungsbeleg.
Genauso verhält es sich bei Dateien.
Einige haben nur bestimmte Zeichen "A..Z,a..z,0..9,ein paar Sonderzeichen" also eine TXT-Datei.
Dateien mit einer Zeichenkette "BM" an der 1 und 2 Bytestelle sind vielleicht eine BMP-Datei, wobei "G I F 8 7 a" eine GIF-Datei einleiten.
Auf einem Masterbootrecord ist der logische Aufbau der Festplatte verzeichnet.
Um ihn als gültigen Eintrag kenntlich zu machen, werden die Magicbytes 0x55 und 0xAA an die Stellen 0x01FE und 0x01FF geschrieben.
Fehlern diese, ist er ungültig.
Die Informationen liegen aber seit Windows 2000 immer noch in einem Reservesector am Plattenende vor.
Sie können kopiert werden und mit 0xAA55 als gültig erklärt werden.
Sie gehen aber in der Regel nicht so ohne weiteres verloren.
Ausser, sie werden gelöscht. ;-)
Das Image bekommst du mit
zurück.
Ralf
PS: Da dein Bruder ja schon Bier trinkt, scheint er ja etwas älter zu sein.
Wieso fällt er dann noch auf solche Schulstreiche rein ?
Sowas macht man gerne zu Hochzeiten, Jubiläen, Beförderungen....
PPS: Selbst ein Löschen der Platte mit dd if=/dev/zero of=/dev/sdb rettet ihn im Extremfall nicht !!!
Es gibt die Möglichkeit, die "Spurrille" der Schreib-/Leseköpfe zu verschieben.
Somit kann der Restmagnetismus des Datenträgermaterials gelesen werden.
Wie wahrscheinlich ist es, das jemand in Deutschland den ` verwendet, bzw. zwischen zwei Buchstaben das " oder '
Bleiben also nur noch ein paar Kombinationen überig, und mit der passenen Rechenpower kommst du hinterher auf "abc"
Wenn das Wort jetzt nicht nur 3 Buchstaben hat, sondern "Donaudampfschiffkapitänsmützenhalterharken" heißt, ist es garnicht so schwierig an die Daten ranzukommen.
Mit den passenen Wörtern baust du dann die Sätze, und damit dann die Briefe wieder auf.
Nun nimm mal keine Texte, sondern die Signaturen von Bittorrent, eMule und Co.....
jm2c
Ralf
PPPS: Glaub nicht, ich bin paranoid, aber ich verdiene mein Geld mit "Mach mal ein Wunder, meine Daten sind verloren gegangen"
Es durchsucht JEDEN Sector der Festplatte auf eine bekannte Signatur.
Beispiel:
Jeder Brief fängt mit "Sehr geehrte Damen und Herren" an, wenn du jetzt also in deiner Papiertonne ein Blatt findest, welches so anfängt, wird es sich wohl um einen Brief handeln. Wenn unten auf der Seite dann noch "-2 -" steht, wird es wohl auch noch eine zweite Seite geben.
Sie ist sehr wahrscheinlich direkt dahinter. So hangelst du dich von Seite zu Seite.
Pech nur, wenn der Sohnemann des Verfassers der Meinung war, die Seiten als Malbuch zu benutzen.
Kommst du beim Suchen auf "20 Ltr Super", muss es wohl ein Tankbeleg sein, sowie bei "Kartennummer....." ein Abbuchungsbeleg.
Genauso verhält es sich bei Dateien.
Einige haben nur bestimmte Zeichen "A..Z,a..z,0..9,ein paar Sonderzeichen" also eine TXT-Datei.
Dateien mit einer Zeichenkette "BM" an der 1 und 2 Bytestelle sind vielleicht eine BMP-Datei, wobei "G I F 8 7 a" eine GIF-Datei einleiten.
Auf einem Masterbootrecord ist der logische Aufbau der Festplatte verzeichnet.
Um ihn als gültigen Eintrag kenntlich zu machen, werden die Magicbytes 0x55 und 0xAA an die Stellen 0x01FE und 0x01FF geschrieben.
Fehlern diese, ist er ungültig.
Die Informationen liegen aber seit Windows 2000 immer noch in einem Reservesector am Plattenende vor.
Sie können kopiert werden und mit 0xAA55 als gültig erklärt werden.
Sie gehen aber in der Regel nicht so ohne weiteres verloren.
Ausser, sie werden gelöscht. ;-)
Das Image bekommst du mit
|
|
Quellcode |
1 |
cat /mnt/sik/SICHERUNG500GB.ddz* | gunzip -c | dd of=/dev/sdb |
Ralf
PS: Da dein Bruder ja schon Bier trinkt, scheint er ja etwas älter zu sein.
Wieso fällt er dann noch auf solche Schulstreiche rein ?
Sowas macht man gerne zu Hochzeiten, Jubiläen, Beförderungen....
PPS: Selbst ein Löschen der Platte mit dd if=/dev/zero of=/dev/sdb rettet ihn im Extremfall nicht !!!
Es gibt die Möglichkeit, die "Spurrille" der Schreib-/Leseköpfe zu verschieben.
Somit kann der Restmagnetismus des Datenträgermaterials gelesen werden.
|
|
Quellcode |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 |
Obere Hälfte 01100101.01100000.01000010
Hauptrille 00000000.00000000.00000000
Untere Hälfte 01100000.00100010.01100011
=================================
1.Möglichkeit 01100000 =0x60 = "`"
2.Möglichkeit 01100001 =0x61 = "a"
3.Möglichkeit 01100100 =0x64 = "d"
4.Möglichkeit 01100101 =0x65 = "e"
1.Möglichkeit 00100000 =0x20 = " "
2.Möglichkeit 00100010 =0x22 = """
3.Möglichkeit 01100000 =0x60 = "'"
4.Möglichkeit 01100010 =0x62 = "b"
1.Möglichkeit 01000010 =0x42 = "B"
2.Möglichkeit 01000011 =0x43 = "C"
3.Möglichkeit 01100010 =0x62 = "b"
4.Möglichkeit 01100011 =0x63 = "c"
Somit ergibt sich:
{`} { } {B}
{a} {"} {C}
{d} * {'} * {b}
{e} {b} {c}
also z.B. "' B" oder "a'C" oder "ebC" oder auch "dbb"
|
Wie wahrscheinlich ist es, das jemand in Deutschland den ` verwendet, bzw. zwischen zwei Buchstaben das " oder '
Bleiben also nur noch ein paar Kombinationen überig, und mit der passenen Rechenpower kommst du hinterher auf "abc"
Wenn das Wort jetzt nicht nur 3 Buchstaben hat, sondern "Donaudampfschiffkapitänsmützenhalterharken" heißt, ist es garnicht so schwierig an die Daten ranzukommen.
Mit den passenen Wörtern baust du dann die Sätze, und damit dann die Briefe wieder auf.
Nun nimm mal keine Texte, sondern die Signaturen von Bittorrent, eMule und Co.....
jm2c
Ralf
PPPS: Glaub nicht, ich bin paranoid, aber ich verdiene mein Geld mit "Mach mal ein Wunder, meine Daten sind verloren gegangen"
Auf Wunsch gibt es nur noch Text und keine Bilder mehr in der Signatur.
Keine ? .......
Keine ? .......
|
|
Quellcode |
1 2 3 4 5 6 7 8 |
.
~
- - M
/V\ - *
// \\ /V\
/( _ )\ // \\
^~ ~^ /( _ )\
^~ ~^
|
04.03.2008, 02:18
Und zu mir kommt die ganze Verwandschaft und erwartet Wunder, weil ich der einzige bin der schonmal eine Computerzeitschrift von innen gesehen hat und damit automatisch jegliche Soft- und Hardware kennen muß 
. Das läuft dann immer genauso ab wie es in der aktuellen c't steht.
Valdi
. Das läuft dann immer genauso ab wie es in der aktuellen c't steht.Verstehe ich nicht. Wieso Schulstreich? Er ist übrigens 28.
PS: Da dein Bruder ja schon Bier trinkt, scheint er ja etwas älter zu sein.
Wieso fällt er dann noch auf solche Schulstreiche rein ?
Sowas macht man gerne zu Hochzeiten, Jubiläen, Beförderungen....
Valdi