<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en" dir="ltr">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />
<meta name="keywords" content="Menü Analyse,Ausfuehren von TestDisk" />
<link rel="shortcut icon" href="favicon.ico" />
<link rel="search" type="application/opensearchdescription+xml" href="opensearch_desc.php" title="CGSecurity (English)" />
<link rel="copyright" href="http://www.gnu.org/copyleft/fdl.html" />
<title>Menü Analyse - CGSecurity</title>
<style type="text/css" media="screen, projection">/*<![CDATA[*/
@import "shared.css_97.css";
@import "main.css_97.css";
/*]]>*/</style>
<link rel="stylesheet" type="text/css" media="print" href="commonprint.css_97.css" />
<!--[if lt IE 5.5000]><style type="text/css">@import "ie50fixes.css_97.css";</style><![endif]-->
<!--[if IE 5.5000]><style type="text/css">@import "ie55fixes.css_97.css";</style><![endif]-->
<!--[if IE 6]><style type="text/css">@import "ie60fixes.css_97.css";</style><![endif]-->
<!--[if IE 7]><style type="text/css">@import "ie70fixes.css_97.css";</style><![endif]-->
<!--[if lt IE 7]><script type="text/javascript" src="iefixes.js_97"></script>
<meta http-equiv="imagetoolbar" content="no" /><![endif]-->
<script type= "text/javascript">/*<![CDATA[*/
var skin = "monobook";
var stylepath = "/mw/skins";
var wgArticlePath = "/wiki/$1";
var wgScriptPath = "/mw";
var wgScript = "/mw/index.php";
var wgServer = "http://www.cgsecurity.org";
var wgCanonicalNamespace = "";
var wgCanonicalSpecialPageName = false;
var wgNamespaceNumber = 0;
var wgPageName = "Menü_Analyse";
var wgTitle = "Menü Analyse";
var wgAction = "view";
var wgRestrictionEdit = [];
var wgRestrictionMove = [];
var wgArticleId = "1382";
var wgIsArticle = true;
var wgUserName = null;
var wgUserGroups = null;
var wgUserLanguage = "en";
var wgContentLanguage = "en";
var wgBreakFrames = false;
var wgCurRevisionId = "3990";
/*]]>*/</script>
<script type="text/javascript" src="wikibits.js_97"><!-- wikibits js --></script>
<script type="text/javascript" src="http://www.cgsecurity.org/mw/index.php?title=-&action=raw&gen=js&useskin=monobook"><!-- site js --></script>
<style type="text/css">/*<![CDATA[*/
@import "Common.css";
@import "Monobook.css";
@import "dyn.css";
/*]]>*/</style>
<!-- Head Scripts -->
<script type="text/javascript" src="ajax.js_97"></script>
</head>
<body class="mediawiki ns-0 ltr page-Menü_Analyse">
<div id="globalWrapper">
<div id="column-content">
<div id="content">
<a name="top" id="top"></a>
<h1 class="firstHeading">Menü Analyse</h1>
<div id="bodyContent">
<h3 id="siteSub">From CGSecurity</h3>
<div id="contentSub"></div>
<div id="jump-to-nav">Jump to: <a href="#column-one">navigation</a>, <a href="#searchInput">search</a></div> <!-- start content -->
<p>TestDisk fragt das Bios oder das Betriebssystem ab um Festplatten und ihre Charakteristiken zu finden ( LBA-Größe und CHS-Geometrie). TestDisk führt dabei eine schnelle Überprüfung der Festplattenstruktur aus und vergleicht diese mit der Partitionstabelle auf Eintragsfehler. Wenn die Partitionstabelle Eintragsfehler hat, kann TestDisk diese reparieren. Bei fehlenden Partitionen oder einer völlig leeren Partitionstabelle, kann TestDisk nach Partitionen suchen und wenn notwendig eine neue Tabelle oder sogar einen neuen MBR erzeugen.
</p><p>Wie auch immer, kann der Anwender die Liste der von TestDisk gefundenen und für eine Wiederherstellung möglichen Partition(en) anschauen und die Partition(en) auswählen, welche vorher funktioniert hatte(n), bevor die Festplatte nicht mehr startete oder die Partition(en) verloren ging(en). In einigen Fällen, speziell nach einer ausführlichen Suche nach verlorenen Partitionen, kann TestDisk Partitionsdaten anzeigen die Überbleibsel von einer Partition sind, die vor langer Zeit gelöscht und überschrieben wurde.
</p>
<table id="toc" class="toc" summary="Contents"><tr><td><div id="toctitle"><h2>Contents</h2></div>
<ul>
<li class="toclevel-1"><a href="#Analyse"><span class="tocnumber">1</span> <span class="toctext">Analyse</span></a></li>
<li class="toclevel-1"><a href="#Partitions-.C3.9Cberpr.C3.BCfungen"><span class="tocnumber">2</span> <span class="toctext">Partitions-Überprüfungen</span></a></li>
<li class="toclevel-1"><a href="#Dateisystem-.C3.9Cberpr.C3.BCfungen"><span class="tocnumber">3</span> <span class="toctext">Dateisystem-Überprüfungen</span></a></li>
<li class="toclevel-1"><a href="#Partition-Wiederherstellung"><span class="tocnumber">4</span> <span class="toctext">Partition-Wiederherstellung</span></a></li>
</ul>
</td></tr></table><script type="text/javascript"> if (window.showTocToggle) { var tocShowText = "show"; var tocHideText = "hide"; showTocToggle(); } </script>
<a name="Analyse"></a><h3> <span class="mw-headline"> <b>Analyse</b></span></h3>
<pre>
TestDisk 6.9-WIP, Data Recovery Utility, October 2007
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
Disk /dev/sda - 120 GB / 111 GiB - CHS 14593 255 63
Current partition structure:
Partition Start End Size in sectors
1 * FAT32 0 1 1 1010 254 63 16241652 [NO NAME]
2 P Linux 1011 0 1 1023 254 63 208845 [/boot]
3 E extended LBA 1024 0 1 14592 254 63 217985985
5 L Linux RAID 1024 1 1 3573 254 63 40965687 [md0]
X extended 3574 0 1 4210 254 63 10233405
6 L Linux RAID 3574 1 1 4210 254 63 10233342 [md1]
X extended 4211 0 1 14592 254 63 166786830
7 L Linux 4211 1 1 14592 254 63 166786767
*=Primary bootable P=Primary L=Logical E=Extended D=Deleted
[Quick Search] [ Backup ]
Try to locate partition
</pre>
<pre>
TestDisk 6.9-WIP, Data Recovery Utility, October 2007
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
Should TestDisk search for partitions created under Vista ? [Y/N] (answer Yes if
unsure)
</pre>
<p>TestDisk fragt, ob nach Partitionen die unter Vista erstellt wurden, suchen soll.<br />
Wenn du unsicher bist, antworte mit Y für Ja.<br />
</p><p>Quick Search (die schnelle Suche) analysiert die aktuelle Partitionsstruktur eines Laufwerks und sucht Partitionen, macht es möglich verlorene Partitionen wiederherzustellen.
</p>
<a name="Partitions-.C3.9Cberpr.C3.BCfungen"></a><h2> <span class="mw-headline"> Partitions-Überprüfungen</span></h2>
<p>TestDisks Analyse führt eine schnelle Überprüfung der Partitionsstruktur durch. TestDisk kann verschiedene Typen von Partitionen bearbeiten:
- Intel
- Mac
- EFI GPT
- None (d.h.: kleine Medien ohne Partition)
- Sun
- XBox
</p><p>Die Intel Partitionsstruktur ist aus der MBR-Tabelle und erweiterten Partitionen zusammengesetzt. Der MBR ist auf vier Einträge beschränkt. Einer der Einträge kann eine erweiterte Partition sein, die mehrere logische Partitionen ermöglicht. Jede logische Partition ist in einer erweiterten Partition/Container enthalten. Der MBR und jede erweiterte Partition müssen mit zwei Byte 0x55 und 0xAA in dieser Reihenfolge enden; welche das Hexadezimalzahlwort 0xAA55 bilden (seitdem x86 CPU-Systeme '<a href="http://de.wikipedia.org/wiki/Little_Endian" class="external text" title="http://de.wikipedia.org/wiki/Little_Endian" rel="nofollow">little-endian</a>' sind).
Ein Partitionseintrag besteht aus:
- Start der Partition in CHS
- Ende der Partition in CHS
- Dateisystemtyp
- logischer Start
- Größe in Sektoren
- boot flag (Boot-Markierung).
Nur eine primäre Partition kann das boot flag (Boot-Markierung) gesetzt haben.
Die CHS-Informationsspeicherung ist auf ein Maximum von 1024 Zylindern beschränkt (0-1023), das ist, warum wir die berühmte 8 GB Beschränkung haben (1024*255*63 = 16450560 sectors = 8422686720 bytes).
</p><p>Moderne Betriebssysteme und BIOS-Chips verwenden den LBA-Modus, um auf Daten zuzugreifen, aber FAT12/16/32-Bootsektoren machen immer noch die Referenz für die CHS-Geometrie. TestDisk überprüft, ob jeder Wert im zulässigen Bereich ist: d.h., kein Sektor-Wert weniger als 1 oder höher als die Anzahl von Sektoren pro Head (Kopf). Die Partitionseinträge werden unter Verwendung des logischen Starts und der Größe in Sektoren gelesen, dann überprüft TestDisk, ob die logischen Werte zu den CHS-Werten passen. Testdisk überprüft auch, das nicht Partitionsdaten einer Partition angezeigt werden die über das Plattenende hinausgehen und keine Partition sich mit einer anderen überlappt.
</p><p>Sun label kann bis zu 8 Partitionseinträge haben. Eintrags-Nummer 2 ist für die ganze Platte reserviert.
</p>
<a name="Dateisystem-.C3.9Cberpr.C3.BCfungen"></a><h2> <span class="mw-headline"> Dateisystem-Überprüfungen</span></h2>
<p>Dem Dateisystemstyp folgend, führt TestDisk einige grundlegende Überprüfungen auf den Bootsektor/Superblock von jedem Dateisystem aus. Da ext2/ext3/reiserfs/jfs denselben Dateisystemstyp 0x83 gemeinsam benutzen, muss TestDisk jedes Dateisystem überprüfen. Die Überprüfungen sind die Gleichen, wie jene die verwendet werden, wenn TestDisk nach Partitionen sucht:
- vorhandensein des magic value (magischen Wertes) oder der Signatur (d.h., 0xAA55 bei offset 0x1FE von einem FAT oder NTFS-Bootsektor).
- schlüssige Werte d.h., freie Blöcke (free_blocks_count) zählen niedriger als Blöcke (blocks_count) für ext2.
Diese Phase ist sehr schnell, da die Überprüfungen minimal sind.
</p>
<a name="Partition-Wiederherstellung"></a><h2> <span class="mw-headline"> Partition-Wiederherstellung</span></h2>
<p>In einer zweiten Stufe sucht TestDisk nach 'verlorene Partitionen', ohne die Ergebnisse vom vorherigen Schritt zu benutzen. Dies ist das Herz von TestDisks mächtigen Leistungsspektrum!
TestDisk nimmt die Existenz von Partitionen an und durchsucht alle relevanten Laufwerkzylinder nach ihnen. Eine primäre Partition beginnt am Anfang eines Zylinders (head=0, sector=1), während eine logische Partition etwas weiter beginnt (head=1, sector=1). Für jede mögliche Startposition einer Partition, kann TestDisk nach dem Vorhandensein einer Dateisystemkopfzeile (FAT oder NTFS-Bootsektor, EXT2/EXT3 superblock, BSD disklabel ...) suchen, welches die Gegenwart eines bekannten Partitionstyps bestätigt. Auf diese Art wird die Größe einer Partition direkt von ihrer Struktur auf der Platte bestimmt. Jede Partition, die TestDisk entdeckt, wird einer Liste von gefundenen Partitionen hinzugefügt.
</p><p>Um eine FAT32-Partition zu erkennen, sucht TestDisk nach einer 0xAA55-Endmarkierung
und der Signatur <code>FAT32</code>, es führt auch die entsprechende FAT-Dateisystem-Überprüfungen aus:
- jump signature (Signatur) muss in der Anordnung <code>0x<b>eb</b> 0xXX 0x<b>90</b></code> sein oder <br /><code>0x<b>e9</b> 0xXX 0xXX</code><br />
wobei <code>0xXX</code> jedes Byte sein könnte, und ...<br />
</p>
<pre> 0x<b>eb</b>: A Short Jump, displacement relative to next instruction (only 8 bit).<br />
0x<b>90</b>: NOP (do nothing).<br />
0x<b>e9</b>: A Near Jump, displacement relative to next instruction (32 or 16 bit).
</pre>
<p>- Sektorgröße ist 512
- Clustergröße muss 1, 2, 4, 8, 16, 32, 64 or 128 sein
- es muss 2 Fat-Kopien geben
- der Datenträger muss 0xF8 sein (kein anderer Wert ist gesehen worden, es ist ein veraltetes Merkmal)
- Den MS-Richtlinien folgend ist die Signatur <code>FAT32</code> bedeutungslos, aber das Dateisystem sollte es haben.
</p>
<pre> Der Nummer von Cluster folgend, bestimmt TestDisk die Art von FAT (Nummer der Cluster ist mehr oder gleich zu 65525 für FAT32).
</pre>
<p>Für FAT32 werden einige bestimmte Überprüfungen gemacht:
- die Rootclusternummer muss zwischen 2 und der Maximalclusternummer sein,
- einige veraltete Werte (Anzahl von Verzeichniseinträgen, 16-Bit Partitionsgröße) muss auf 0 gesetzt sein,
- FAT32-Version (unbenutzt) muss 0,0 sein
</p><p>Um eine NTFS-Partition zu entdecken sucht TestDisk nach einer 0xAA55-Endmarkierung und der Signatur <code>NTFS</code>, es überprüft auch ob einige FAT-spezifischen Werte, alle auf null (0) gesetzt sind: Die Anzahl von reservierten Sektoren, Anzahl von FATs, Anzahl von Verzeichniseinträgen, 16-Bit Größe des Dateisystems, 32-Bit Größe des Dateisystems, Sektoren pro FAT.
Die Anzahl von Sektoren pro Cluster muss größer als null sein.
</p><p>Für FAT und NTFS-Dateisystem wird die Größe der Partition im Bootsektor selbst gelesen.
</p>
<pre>
TestDisk 6.2-WIP, Data Recovery Utility, November 2005
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
Disk /dev/sda - 120 GB / 111 GiB - CHS 14593 255 63
Analyse cylinder 1011/14592: 00%
FAT32 0 1 1 1010 254 63 16241652 [NO NAME]
Stop
</pre>
<p>Sobald die Analyse vollständig ist, generiert TestDisk einen Bericht über gefundene Partitionen.
</p>
<pre>
TestDisk 6.2-WIP, Data Recovery Utility, November 2005
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
Disk /dev/sda - 120 GB / 111 GiB - CHS 14593 255 63
Partition Start End Size in sectors
* FAT32 0 1 1 1010 254 63 16241652 [NO NAME]
P Linux 1011 0 1 1023 254 63 208845 [/boot]
D Linux 1024 1 1 3573 254 63 40965687
D Linux RAID 1024 1 1 3573 254 63 40965687 [md0]
D Linux 3574 1 1 4210 254 63 10233342
D Linux RAID 3574 1 1 4210 254 63 10233342 [md1]
L Linux 4211 1 1 14592 254 63 166786767
Structure: Ok. Use Up/Down Arrow keys to select partition.
Use LEFT/RIGHT Arrow keys to CHANGE partition characteristics:
*=Primary bootable P=Primary L=Logical E=Extended D=Deleted
Keys A: add partition, L: load backup, T: change type, P: list files,
ENTER: to continue
FAT32, 8315 MB / 7930 MiB
</pre>
<p>Dateien von einer NTFS, FAT, EXT2/EXT3 und ReiserFS Partition können durch das Drücken von <b>P</b> gelistet werden.
Beachte, der FAT-Verzeichniseintrag ist auf 10 Cluster beschränkt, einige Dateien werden deshalb nicht erscheinen, es beeinflusst aber nicht die Wiederherstellung.
</p>
<pre>
TestDisk 6.2-WIP, Data Recovery Utility, November 2005
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
* FAT32 0 1 1 1010 254 63 16241652 [NO NAME]
Use right arrow to change directory, q to quit
Directory /
-rwxr-xr-x 0 0 805306368 20-Jul-2005 10:35 PAGEFILE.SYS
drwxr-xr-x 0 0 0 14-Feb-2005 22:41 WINDOWS
-r-xr-xr-x 0 0 4952 28-Aug-2001 15:00 Bootfont.bin
-r-xr-xr-x 0 0 251712 3-Aug-2004 22:59 NTLDR
-r-xr-xr-x 0 0 47564 3-Aug-2004 22:38 NTDETECT.COM
-rwxr-xr-x 0 0 212 14-Feb-2005 22:51 BOOT.INI
drwxr-xr-x 0 0 0 14-Feb-2005 22:47 Documents and Settings
dr-xr-xr-x 0 0 0 14-Feb-2005 22:55 Program Files
-rwxr-xr-x 0 0 0 14-Feb-2005 22:56 CONFIG.SYS
-rwxr-xr-x 0 0 0 14-Feb-2005 22:56 AUTOEXEC.BAT
-r-xr-xr-x 0 0 0 14-Feb-2005 22:56 IO.SYS
-r-xr-xr-x 0 0 0 14-Feb-2005 22:56 MSDOS.SYS
drwxr-xr-x 0 0 0 14-Feb-2005 23:02 System Volume Information
-rwxr-xr-x 0 0 536399872 20-Jul-2005 10:36 HIBERFIL.SYS
</pre>
<p>Unter Verwendung der Liste von gefundenen Partitionen kann die Partitionstabelle editiert werden.
</p><p>Es gibt drei Arten von Editieren:
</p>
<ol><li> Du kannst den Partitionstyp ändern mit *T*
</li><li> Du kannst eine neue Partition hinzufügen mit *A*.
</li><li> Du kannst den Status der ausgewählten Partition mit Hilfe der Links oder Rechts-Pfeiltaste ändern. Die verfügbaren Status sind <b>P</b>rimary, <b>*</b> bootfähig (primär aktiv), <b>L</b>ogical (logisch), <b>D</b>eleted (gelöscht).
</li></ol>
<p>Sowie Editieren vorgenommen wird, sollte auch der Status von der Struktur der Partitionstabelle beobachtet werden. Er wird entweder <code>Ok</code> oder <code>Bad</code> sein.
</p><p><b>Structure: Ok</b> sollte erscheinen, wenn alles in Ordnung ist, d.h., keine primäre Partition zwischen zwei erweiterten Partitionen, nur eine oder keine bootfähige Partitionen, keine Partitionen die denselben Plattenspeicherplatz verwenden.
Wenn du mit der bearbeiteten Partitionstabelle zufrieden bist, drücke Eingabe. Wenn du irgendwelche Änderungen gemacht hast, gibt dir TestDisk die Auswahl, diese Daten in die Partitionstabelle des Laufwerks zu schreiben oder eine detailliertere Analyse auszuführen.
</p>
<ul><li><b>Quit</b>
</li></ul>
<p>Verlassen (beenden) vom TestDisk-Programm, ohne Änderungen vorzunehmen (ausgenommen, die EINGABE-Taste würde gedrückt werden, während das Menü <b>Write</b> 'hervorgehoben' ist).
</p><p><br />
</p>
<ul><li><b>Deeper Search</b>
</li></ul>
<p>Die schnelle erste Suche könnte einige Partitionen vermissen lassen. Deeper Search (die tiefere Suche) sucht auch um mehr Partitionen zu entdecken nach jeglichen FAT32-Backup-Bootsektor, NTFS-Backup-Boot-Superblock und EXT2/EXT3-Backup-Superblock, es scannt dabei jeden einzelnen Zylinder.
</p><p><br />
</p>
<ul><li><b>Write</b>
</li></ul>
<p>Schreibt die Änderungen, die in TestDisks Speicherpuffer gemacht worden sind auf die Festplatte. Wenn du wegen den Änderungen (oft an der Partitionstabelle des MBRs) unsicher bist, dann verwende diese Funktion nicht!
</p>
<ul><li><b>Extd Part</b>
</li></ul>
<p>Wenn es logische Partition gibt, lässt dich diese Markierung entscheiden, ob die erweiterte Partition allen verfügbaren Plattenspeicherplatz oder nur den erforderlichen (minimalen) Platz verwendet.
</p>
<pre>
TestDisk 6.9-WIP, Data Recovery Utility, October 2007
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
Disk /dev/sda - 120 GB / 111 GiB - CHS 14593 255 63
Partition Start End Size in sectors
1 * FAT32 0 1 1 1010 254 63 16241652 [NO NAME]
2 P Linux 1011 0 1 1023 254 63 208845 [/boot]
3 E extended LBA 1024 0 1 14592 254 63 217985985
5 L Linux RAID 1024 1 1 3573 254 63 40965687 [md0]
6 L Linux RAID 3574 1 1 4210 254 63 10233342 [md1]
7 L Linux 4211 1 1 14592 254 63 166786767
[ Quit ] [ Deeper Search ] [ Write ]
Return to main menu
</pre>
<p>Hier fragt TestDisk um den Schreibvorgang zu bestätigen; damit hast du die endgültige Wahl über das was TestDisk tatsächlich tut.
</p>
<pre>
TestDisk 6.9-WIP, Data Recovery Utility, October 2007
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
Write partition table, confirm ? (Y/N)
</pre>
<p>Zurück zu <a href="ausfuehren_von_testdisk.html" title="Ausfuehren von TestDisk">Ausführen von TestDisk </a>
</p>
<!-- Saved in parser cache with key cg_mw-mw_:pcache:idhash:1382-0!1!0!!en!2!edit=0 and timestamp 20071129135242 -->
<div id="catlinks"><p class='catlinks'><a href="http://www.cgsecurity.org/wiki/Special:Categories" title="Special:Categories">Category</a>: <span dir='ltr'><a href="http://www.cgsecurity.org/wiki/Category:Data_Recovery" title="Category:Data Recovery">Data Recovery</a></span></p></div> <!-- end content -->
<div class="visualClear"></div>
</div>
</div>
</div>
<div id="column-one">
<div class="portlet" id="p-logo">
<a style="background-image: url(logo.png);" href="http://www.cgsecurity.org/" title="Visit the Main Page [z]" accesskey="z"></a>
</div>
<script type="text/javascript"> if (window.isMSIE55) fixalpha(); </script>
<div class='portlet' id='p-Data_Recovery'>
<h5>Data Recovery</h5>
<div class='pBody'>
<ul>
<li id="n-TestDisk"><a href="testdisk.html">TestDisk</a></li>
<li id="n-PhotoRec"><a href="photorec.html">PhotoRec</a></li>
<li id="n-Download"><a href="testdisk_download.html">download</a></li>
</ul>
</div>
</div>
</div><!-- end of the left (by default at least) column -->
<div class="visualClear"></div>
<div id="footer">
<div id="f-copyrightico"><a href="http://www.gnu.org/copyleft/fdl.html"><img src="gnu_fdl.png" alt='GNU Free Documentation License 1.2' /></a></div>
<ul id="f-list">
<li id="lastmod"> This page was last modified 12:18, 29 November 2007.</li>
<li id="copyright">Content is available under <a href="http://www.gnu.org/copyleft/fdl.html" class="external " title="http://www.gnu.org/copyleft/fdl.html" rel="nofollow">GNU Free Documentation License 1.2</a>.</li>
</ul>
</div>
<script type="text/javascript">if (window.runOnloadHook) runOnloadHook();</script>
</div>
</body><!-- Cached 20071129135242 -->
</html>
