Knoppix Forum | www.KnoppixForum.de

Daten Retten mit Linux Testdisk 7.1 Knoppix 9.1

2012 hatte ich bei Windows XP(FAT32) eine wichtige Datei versehentlich aus dem Mülleimer gelöscht.
Keine Freeware unter Windows war in der Lage diese Datei zu finden. Testdisk für Windows hatte ich
probiert, die lief aber nur in der DOS-Ebene 16Bit.

Mit der Knoppix 6.7 DVD hatte ich im Terminal Testdisk gestarted.
Testdisk erkennt automatisch welches Dateisystem auf HD sda/ oder sdb/ benutzt wird.
Wenn Testdisk zum ersten mal auf einem Datenträger benutzt wird ist die Analyse sehr wichtig und
muss komplett durchlaufen. Danach kann [ Advanced ] benutzt werden wenn die testdisk.log auf diesem
Datenträger gespeichert ist.
____________________________________________________________________________________________________________________
Ziel Datenträger Wählen und testdisk Starten.

root@Microknoppix:/home/knoppix# cd /media/sdb3
root@Microknoppix:/media/sdb3# testdisk
____________________________________________________________________________________________________________________
Use arrow keys to select, then press Enter key:
>[ Create ] Create a new log file
[ Append ] Append information to log file
[ No Log ] Don't record anything
____________________________________________________________________________________________________________________
Datenträger und Verzeichnis wählen wo die Datei war.

Select a media (use Arrow keys, then press Enter):
>Disk /dev/sda - 2000 GB / 1863 GiB - TOSHIBA DT01ACA200
Disk /dev/sdb - 250 GB / 232 GiB - HDT72252 5DLAT80

>[Proceed ] [ Quit ]
____________________________________________________________________________________________________________________
Automatisches Erkennen Typ der HD und Dateisystem.

Disk /dev/sda - 2000 GB / 1863 GiB - TOSHIBA DT01ACA200

Please select the partition table type, press Enter when done.
>[Intel ] Intel/PC partition
[EFI GPT] EFI GPT partition map (Mac i386, some x86_64...)
[Humax ] Humax partition table
[Mac ] Apple partition map (legacy)
[None ] Non partitioned media
[Sun ] Sun Solaris partition
[XBox ] XBox partition
[Return ] Return to disk selection

____________________________________________________________________________________________________________________
Beim ersten mal erst Analyse Starten.
Wenn die testdisk.log gespeichert ist kann beim nächsten Start >[ Advanced ] benutzt werden.

Disk /dev/sda - 2000 GB / 1863 GiB - TOSHIBA DT01ACA200
CHS 243201 255 63 - sector size=512

[ Analyse ] Analyse current partition structure and search for lost partitions
>[ Advanced ] Filesystem Utils
[ Geometry ] Change disk geometry
[ Options ] Modify options
[ MBR Code ] Write TestDisk MBR code to first sector
[ Delete ] Delete all data in the partition table
[ Quit ] Return to disk selection

____________________________________________________________________________________________________________________
HD sda1/ wählen. Bei mir steht Linux. Für Windows müsste "UEFI" stehen.

Disk /dev/sda - 2000 GB / 1863 GiB - CHS 243201 255 63

Partition Start End Size in sectors
> 1 * Linux 0 32 33 118417 27 10 1902368768
2 P Linux Swap 118417 27 11 120966 190 56 40960000
4 P Linux 120966 190 57 243201 13 12 1963694080 [Backup.zip]

[ Type ] [Superblock] >[ List ] [Image Creation] [ Quit ]
Locate ext2/ext3/ext4 backup superblock
____________________________________________________________________________________________________________________
Verzeichnis wählen wo die Datei war mit >[ List ].
Klein c und groß C beachten!

alle Dateien mit weißer Schrift sind gerade dort.
alle Dateien mit roter Schrift waren im Papierkorb und sind dort gelöscht.
Rot bedeutet sie sind frei gegeben und können von anderen Dateien überschrieben werden.
Alle a

Directory /home/besucher/Bilder
-rw-rw-r-- 1001 1001 94472 2-Nov-2021 22:37 Bildschirmfoto von 2021-11-02 09-23-51.png rot
-rw------- 1000 1000 299 5-Nov-2021 12:05 Bildschirmfoto von 2021-11-02 09-23-59.png rot
-rw------- 1000 1000 267 5-Nov-2021 13:39 Bildschirmfoto von 2021-11-02 09-24-06.png rot
-rw-rw-r-- 1001 1001 94891 2-Nov-2021 22:37 Bildschirmfoto von 2021-11-02 09-24-11.png rot

Use Left arrow to go back, Right to change directory, h to hide deleted files
q to quit, : to select the current file, a to select all files
C to copy the selected files, c to copy the current file

Dateien die in der ersten Spalte -rw-rw-r-- und in der 4ten Spalte Dateigöße rot markiert sind
können wieder hergestellt werden. Dateien mit der ersten Spalte -rw------- können schon überschrieben sein
und die komplette Wiederherstellung ist unwarscheinlich. Bei Dateien -rw------- 1000 1000 299 sind noch
kleine Blöcke Daten der größte Teil ist schon Überschrieben.
____________________________________________________________________________________________________________________
Klein a Alle Markieren
Klein c Ziel-Datenträger wählen: sdb3/RECOVERED_FILES +Enter

groß C (Enter+C)=Copy, zum Ziel Kopieren

Please select a destination where the marked files will be copied.
Keys: Arrow keys to select another directory
C when the destination is correct
Q to quit
Directory /media/sdb3/RECOVERED_FILES
>drwxrwxrwx 1000 1000 32768 5-Nov-2021 00:10 .
drwxrwxrwx 1000 1000 32768 ..
____________________________________________________________________________________________________________________
Diese Daten werden nach sdb3/ in den Ordner RECOVERED_FILES Kopiert nicht Verschoben.
Mehrere Versuche sind möglich falls der erste misslingt.

Klein -c Nach defekten Blöcken suchen -v vollständiger Bericht.

root@Microknoppix:/home/knoppix# umount /dev/sdd1
root@Microknoppix:/home/knoppix# fsck.fat -c -v '/dev/sdd1'
CP0: Das Argument ist ungültig
Trying to set fallback DOS codepage 437
fsck.fat 4.1 (2017-01-24)
/dev/sdd1: 0 files, 1/1919497 clusters
root@Microknoppix:/home/knoppix#

Klein -p automatische Reparatur (keine Fragen)

root@Microknoppix:/home/knoppix# umount /dev/sde1
root@Microknoppix:/home/knoppix# fsck.fat -p -v '/dev/sde1'
fsck.fat 4.1 (2017-01-24)
Checking we can access the last sector of the filesystem
Boot sector contents:
System ID "mkfs.fat"
Media byte 0xf8 (hard disk)
512 bytes per logical sector
32768 bytes per cluster
64 reserved sectors
First FAT starts at byte 32768 (sector 64)
2 FATs, 32 bit entries
7700480 bytes per FAT (= 15040 sectors)
Root directory start at cluster 2 (arbitrary size)
Data area starts at byte 15433728 (sector 30144)
1919497 data clusters (62898077696 bytes)
32 sectors/track, 64 heads
2048 hidden sectors
122877952 sectors total
Reclaiming unconnected clusters.
Checking free cluster summary.
/dev/sdd1: 0 files, 1/1919497 clusters
root@Microknoppix:/home/knoppix