Daten von ext3-Partition retten
Willkommen in der Mk-Community › Foren › Software › Linux/Unix › Daten von ext3-Partition retten
- Dieses Thema hat 8 Antworten und 5 Teilnehmer, und wurde zuletzt aktualisiert vor 12 Jahren, 7 Monaten von breaker.
-
AutorBeiträge
-
-
12. August 2011 um 9:08 Uhr #499714breakerAdministrator
Ich habe vor kurzen neuinstalliert und ein dummen Fehler gemacht :(Ich habe bei mir 2 x S-ATA und 1 x P-ATA verbaut, jetzt war es bis zu diesem Fall immer so, das die S-ATA als /dev/sda und /dev/sdb und die P-ATA als /dev/sdc angemeldet wurden (wie es im Bios auch eingetragen wurde).Die P-ATA-Platte war eigentlich nur für Backups eingebaut und wurde auch nur für diesen Zweck angemeldet, ansonsten war sie im Standby.Ich habe also vor dem Neuinstallieren ein Backup gemacht und auf die P-ATA-Platte kopiert, danach von CD neugestartet (für die neue Installation), die Partition /dev/sda1 ohne nachzusehen formatiert, dummerweise war es genau die Platte, wo die ganzen Backups drauf lagen (und wichtige Dokumente, die ich sonst nirgendwo mehr habe)Jetzt die Frage an die Spezialisten unter uns:Gibt es eine Möglichkeit, von der Platte noch etwas zu retten?Die Partition war vorher auch schon ext3 Formatiert und jetzt auch, ich habe die Partition (bzw. die komplette Platte) gleich abgemeldet und mit dd ein Image gemacht, auf diesem Image habe ich bereits diese Programme getestet:Testdisk (Stoppt nach einem internen Fehler, findet auch nichts))ext3grep (Findet absolut nichts)undelete (es macht was…aber was? oO)Jetzt stellt sich mir die Frage, wie gut das “O&O DiskRecover” ist und ob es überhaupt mit ext3 klar kommt (Der Hersteller schweigt sich in der Hinsicht leider aus)
-
12. August 2011 um 10:08 Uhr #900219Obi WanAdministrator
wichtig ist, das du die hdd ausbaust sodass keine Schreib-Zugriffe auf die HDD stattfinden kann.Die HDD dann in ein externes Gehäuse packen und versuchen, über einen anderen PC an die Daten zu kommen.
-
12. August 2011 um 10:08 Uhr #900217breakerAdministrator
Naja, das wichtigste habe ich ja “tar.gz” gepackt, sollte also egal sein, wie die Dateien sich nennen, nur müssten die Archive danach OK sein :DFür die Zukunft werde ich mein Backup wohl an 4 verschiedene Orte auf 2 Rechner legen müssen :/
-
12. August 2011 um 10:08 Uhr #900214loonyTeilnehmer
Wird dir bestimmt nicht wirklich weiterhelfen, aber hier meine Erfahrungen mit O&O DiskRevover, allerdings mit ntfs Dateisystem:Es konnte zwar alles wiederherstellen, doch leider wurden über die Hälfte der Dateien mit kryptischen Namen versehen, sodass ich wirklich hätte jede Datei anfassen müssen, um festzustellen, um welche es sich handelt. Da fehlte mir dann die Ausdauer, alle wirklich wichtigen Daten waren Gott sei Dank auf einem Backup.
-
12. August 2011 um 13:08 Uhr #900232kranichTeilnehmer
Hallo breaker !Bei der normalen Formatierung werden alle Blöcke geschrieben, gelesenund geprüft. Da können nur Profis vom “Platten-Rettungsdienst” helfen.Bei der Schnellformatierung werden meist nur die Verwaltungsblöcke(Index, Free/Bad-List, Root-Verzeichnis) geschrieben.Da gäbe es die Möglichkeit, die Daten-Extents zusammenzubauen,sofern sie nicht schon überschrieben (wieder verwendet) wurden …Das gilt auch für gelöschte Dateien.UNDELETE funktioniert also auch nur unmittelbar nach dem löschen.Soweit ich weiß, gibt es das nur im FATxx-Datei-Systemen.Ein “UNREMOVE” (UNIX/Linux) im EXT(3), RFS usw. ist mir nicht bekannt.Wenn das “tgz”-Archiv nicht komplett ist, bricht der “Entpacker” ab.Bei “tar” gäbe es für Text-Dateien noch Hoffnung …Schade, daß ich Dir nicht helfen kann.Lothar
-
12. August 2011 um 14:08 Uhr #900237kranichTeilnehmer
“Damals auf dem Amiga …” war alles noch FAT oder ähnlich.
“vielleicht gibt es sowas ja auch unter Linux…so eine Art Hex-Editor”
Wenn Du normal formatiert hast, wirst Du nur Hex ’00’ oder ‘FF’ sehen.“oder ich muss die Platte echt zu einem Profi bringen, …”
Wenn Du Texte noch auf Papier hast und keine Binärdaten(Banken),
rate ich Dir, diese zu scannen und in Text zu wandeln (OCR).
Bei den Profi’s wird’s teuer ! -
12. August 2011 um 14:08 Uhr #900235breakerAdministrator
Obi Wan;467491 said:
wichtig ist, das du die hdd ausbaust sodass keine Schreib-Zugriffe auf die HDD stattfinden kann.Die HDD dann in ein externes Gehäuse packen und versuchen, über einen anderen PC an die Daten zu kommen.Das habe ich getan, Platte abgemeldet und dann mit dd ein Image von der Partition erstellt 😉
kranich;467504 said:
Hallo breaker !Bei der normalen Formatierung werden alle Blöcke geschrieben, gelesenund geprüft. Da können nur Profis vom “Platten-Rettungsdienst” helfen.Bei der Schnellformatierung werden meist nur die Verwaltungsblöcke(Index, Free/Bad-List, Root-Verzeichnis) geschrieben.Da gäbe es die Möglichkeit, die Daten-Extents zusammenzubauen,sofern sie nicht schon überschrieben (wieder verwendet) wurden …Das gilt auch für gelöschte Dateien.UNDELETE funktioniert also auch nur unmittelbar nach dem löschen.Soweit ich weiß, gibt es das nur im FATxx-Datei-Systemen.Ein “UNREMOVE” (UNIX/Linux) im EXT(3), RFS usw. ist mir nicht bekannt.Wenn das “tgz”-Archiv nicht komplett ist, bricht der “Entpacker” ab.Bei “tar” gäbe es für Text-Dateien noch Hoffnung …Schade, daß ich Dir nicht helfen kann.LotharMal sehen, das hilft mir eventuell schon weiter :)Damals auf dem Amiga hatte ich mal einen ähnlichen Fall, wobei da die Daten eher unwichtig waren, aber mit einem “Disk-Editor” konnte ich dort alles wiederherstellen,- vielleicht gibt es sowas ja auch unter Linux…so eine Art Hex-Editor für ext3…oder ich muss die Platte echt zu einem Profi bringen, das wird mich “mal eben” 200-300 Euro kosten :/
-
13. August 2011 um 20:08 Uhr #900357spokekillerTeilnehmer
Hi,also soweit ich weiss, wird beim formatieren nicht nur Dein Superblock überschrieben, sondern auch Deine inodes. Da Du ja auf die selbe Partition schreibst sind die alle deckungsgleich. Es dürfte nur mit allergrößtem Aufwand möglich sein, aus den verbliebenen Blöcken, deren Inhalt noch der alte sein kann, Dateien mit sinnigem Inhalt zusammenzupfriemeln.Du kannst die Platte unter Linux mal mit dem diskeditor LDE anschauen oder versuchen mit “gpart” (nicht gparted) irgendwas mit Substanz zu finden. Ich würde die PArtition dabei aber nur mit option RO mounten, um sicherzustellen, dass nciht noch mehr Schaden entsteht.Viel Erfolg
-
8. September 2011 um 7:09 Uhr #901926breakerAdministrator
So schnell, wie diese Partition formatiert wurde, kann ich eigentlich davon ausgehen, das nur der Superblock und die Inodes neugeschrieben wurden, die Daten müssten eigentlich noch unberührt auf der Platte liegen (nur weiss man eben nicht, an welchem Block Datei XY anfängt, wo sie aufhört und wie viele Fragmente es sind, das wird die ganze Sache extrem kompliziert machen,- klappt aber unter Windows meistens.Ich schaue mal weiter in meiner Forensischen Tätigkeit ;D
-
-
AutorBeiträge
- Du musst angemeldet sein, um auf dieses Thema antworten zu können.