<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en" dir="ltr">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />
<meta name="keywords" content="Wiederherstellungs-Beispiele,Menu Analyse DE,TestDisk DE" />
<link rel="shortcut icon" href="favicon.ico" />
<link rel="search" type="application/opensearchdescription+xml" href="opensearch_desc.php" title="CGSecurity (English)" />
<link rel="copyright" href="http://www.gnu.org/copyleft/fdl.html" />
<title>Wiederherstellungs-Beispiele - CGSecurity</title>
<style type="text/css" media="screen, projection">/*<![CDATA[*/
@import "shared.css_97.css";
@import "main.css_97.css";
/*]]>*/</style>
<link rel="stylesheet" type="text/css" media="print" href="commonprint.css_97.css" />
<!--[if lt IE 5.5000]><style type="text/css">@import "ie50fixes.css_97.css";</style><![endif]-->
<!--[if IE 5.5000]><style type="text/css">@import "ie55fixes.css_97.css";</style><![endif]-->
<!--[if IE 6]><style type="text/css">@import "ie60fixes.css_97.css";</style><![endif]-->
<!--[if IE 7]><style type="text/css">@import "ie70fixes.css_97.css";</style><![endif]-->
<!--[if lt IE 7]><script type="text/javascript" src="iefixes.js_97"></script>
<meta http-equiv="imagetoolbar" content="no" /><![endif]-->
<script type= "text/javascript">/*<![CDATA[*/
var skin = "monobook";
var stylepath = "/mw/skins";
var wgArticlePath = "/wiki/$1";
var wgScriptPath = "/mw";
var wgScript = "/mw/index.php";
var wgServer = "http://www.cgsecurity.org";
var wgCanonicalNamespace = "";
var wgCanonicalSpecialPageName = false;
var wgNamespaceNumber = 0;
var wgPageName = "Wiederherstellungs-Beispiele";
var wgTitle = "Wiederherstellungs-Beispiele";
var wgAction = "view";
var wgRestrictionEdit = [];
var wgRestrictionMove = [];
var wgArticleId = "1824";
var wgIsArticle = true;
var wgUserName = null;
var wgUserGroups = null;
var wgUserLanguage = "en";
var wgContentLanguage = "en";
var wgBreakFrames = false;
var wgCurRevisionId = "3945";
/*]]>*/</script>
<script type="text/javascript" src="wikibits.js_97"><!-- wikibits js --></script>
<script type="text/javascript" src="http://www.cgsecurity.org/mw/index.php?title=-&action=raw&gen=js&useskin=monobook"><!-- site js --></script>
<style type="text/css">/*<![CDATA[*/
@import "Common.css";
@import "Monobook.css";
@import "dyn.css";
/*]]>*/</style>
<!-- Head Scripts -->
<script type="text/javascript" src="ajax.js_97"></script>
</head>
<body class="mediawiki ns-0 ltr page-Wiederherstellungs-Beispiele">
<div id="globalWrapper">
<div id="column-content">
<div id="content">
<a name="top" id="top"></a>
<h1 class="firstHeading">Wiederherstellungs-Beispiele</h1>
<div id="bodyContent">
<h3 id="siteSub">From CGSecurity</h3>
<div id="contentSub"></div>
<div id="jump-to-nav">Jump to: <a href="#column-one">navigation</a>, <a href="#searchInput">search</a></div> <!-- start content -->
<p>Hier werden einige komplexe Wiederherstellungsbeispiele mit TestDisk aufgeführt.
</p>
<table id="toc" class="toc" summary="Contents"><tr><td><div id="toctitle"><h2>Contents</h2></div>
<ul>
<li class="toclevel-1"><a href="#Der_Typ_des_Dateisystems_ist_RAW_-_Wiederherstellung_eines_besch.C3.A4digten_FAT-Bootsektors"><span class="tocnumber">1</span> <span class="toctext">Der Typ des Dateisystems ist RAW - Wiederherstellung eines beschädigten FAT-Bootsektors</span></a></li>
<li class="toclevel-1"><a href="#Wiederherstellung_einer_verlorenen_und_besch.C3.A4digten_NTFS-Partition"><span class="tocnumber">2</span> <span class="toctext">Wiederherstellung einer verlorenen und beschädigten NTFS-Partition</span></a></li>
<li class="toclevel-1"><a href="#Wiederherstellung_eines_Dell-Computers"><span class="tocnumber">3</span> <span class="toctext">Wiederherstellung eines Dell-Computers</span></a></li>
<li class="toclevel-1"><a href="#Problem_mit_der_Platten-Geometrie__-_Wenn_alle_Partitionen_gel.C3.B6scht_sind"><span class="tocnumber">4</span> <span class="toctext">Problem mit der Platten-Geometrie - Wenn alle Partitionen gelöscht sind</span></a></li>
<li class="toclevel-1"><a href="#Zwei_wiederherzustellende_FAT32-Partitionen"><span class="tocnumber">5</span> <span class="toctext">Zwei wiederherzustellende FAT32-Partitionen</span></a></li>
<li class="toclevel-1"><a href="#Verlorene_Partition_nach_Defrag"><span class="tocnumber">6</span> <span class="toctext">Verlorene Partition nach Defrag</span></a></li>
<li class="toclevel-1"><a href="#Wiederherstellung_einer_CD-ROM-Sitzung_.28Session.29"><span class="tocnumber">7</span> <span class="toctext">Wiederherstellung einer CD-ROM-Sitzung (Session)</span></a></li>
<li class="toclevel-1"><a href="#Wiederherstellung_einer_neu_formatierten_Partition"><span class="tocnumber">8</span> <span class="toctext">Wiederherstellung einer neu formatierten Partition</span></a></li>
</ul>
</td></tr></table><script type="text/javascript"> if (window.showTocToggle) { var tocShowText = "show"; var tocHideText = "hide"; showTocToggle(); } </script>
<a name="Der_Typ_des_Dateisystems_ist_RAW_-_Wiederherstellung_eines_besch.C3.A4digten_FAT-Bootsektors"></a><h2> <span class="mw-headline"> Der Typ des Dateisystems ist RAW - Wiederherstellung eines beschädigten FAT-Bootsektors </span></h2>
<pre>
Analyse Disk 80 - CHS 3737 255 63 - 29313 MB (Enh BIOS mode)
1 * FAT32 0 1 1 382 254 63 6152832 [LOKAL DISK]
2 E extended LBA 383 0 1 3736 254 63 53882010
Partition sector doesn't have the endmark 0xAA55
5 L FAT32 383 1 1 3736 254 63 53881947
5 L FAT32 383 1 1 3736 254 63 53881947
</pre>
<p>Der Bootsektor der logischen Fat32-Partition ist beschädigt.
(Windows Fehlermeldung ist gewöhnlich <code>Der Typ des Dateisystems ist RAW.</code>
oder <code>Der Datenträger in Laufwerk D: ist nicht formatiert. Soll er jetzt formatiert werden?</code>)
Im Menü Advanced, wähle die Partition:
</p>
<pre>
Interface Advanced
1 * FAT32 0 1 1 382 254 63 6152832 [LOKAL DISK]
2 E extended LBA 383 0 1 3736 254 63 53882010
</pre>
<pre>
5 L FAT32 383 1 1 3736 254 63 53881947
Boot sector
test_FAT :
Partition sector doesn't have the endmark 0xAA55
Backup boot sector
OK
First sectors (Boot code and partition information) are not identical.
Second sectors (cluster information) are not identical.
Third sectors (Second part of boot code) are not identical.
</pre>
<p>Der Backup-Bootsektor ist gültig, wähle daher <code>Backup BS</code> um den
Backup-Bootsektor über den Bootsektor zu kopieren. Wenn das Menü <code>Backup BS</code> nicht verfügbar ist,
wähle <code>RebuildBS</code>.
</p>
<a name="Wiederherstellung_einer_verlorenen_und_besch.C3.A4digten_NTFS-Partition"></a><h2> <span class="mw-headline"> Wiederherstellung einer verlorenen und beschädigten NTFS-Partition </span></h2>
<pre>
Analyse Disk 81 - CHS 2434 255 63 - 19092 MB (Enh BIOS mode)
No partition is bootable
</pre>
<p>Keine Partition ist verfügbar.
</p>
<pre>
Analyse Disk 81 - CHS 2434 255 63 - 19092 MB (Enh BIOS mode)
L FAT32 1275 1 1 2433 254 63 18619272 [NO NAME]
</pre>
<p>Nur die zweite Partition wurde gefunden. Wähle <b>Deeper Search</b>
um zu versuchen mehr Partitionen zu finden.
</p>
<pre>
Analyse Disk 81 - CHS 2434 255 63 - 19092 MB (Enh BIOS mode)
* HPFS - NTFS 0 1 1 1274 254 63 20482812
L FAT32 1275 1 1 2433 254 63 18619272 [NO NAME]
</pre>
<p>Beide Partitionen wurden gefunden, aber die erste NTFS wurde unter Verwendung des Backups vom Bootsektor gefunden.
Daher muß der Bootsektor wiederhergestellt werden. Wähle Write und als nächstes wähle <code>Backup BS</code> um den Backup-Bootsektor
über den Bootsektor zu kopieren.
</p>
<a name="Wiederherstellung_eines_Dell-Computers"></a><h2> <span class="mw-headline"> Wiederherstellung eines Dell-Computers </span></h2>
<p>Dell-Computer haben eine spezielle Partition die <b>DellUtility</b> heißt.
Es ist eine Fat16-Partition, die nicht aus Windows heraus sichtbar ist, da der Partitions-Typ <b>DE</b> ist.
</p>
<pre>
Disk 80 - CHS 4865 255 63 - 38162 MB (Enh BIOS mode)
* FAT16 >32M 0 1 1 3 254 63 64197 [DellUtility]
P HPFS - NTFS 4 0 1 4864 254 63 78091965
</pre>
<p>Nach <a href="menu_analyse_de.html" title="Menu Analyse DE"> Analyse </a>, wähle die DellUtility-Partition, benutze die Taste 'T' um den Partitions-Typ auf <b>DE</b> zu ändern.
Benutze die Pfeiltasten um von der NTFS-Partition zu booten.
</p>
<pre>
Disk 80 - CHS 4865 255 63 - 38162 MB (Enh BIOS mode)
P Dell Utility 0 1 1 3 254 63 64197 [DellUtility]
* HPFS - NTFS 4 0 1 4864 254 63 78091965
</pre>
<a name="Problem_mit_der_Platten-Geometrie__-_Wenn_alle_Partitionen_gel.C3.B6scht_sind"></a><h2> <span class="mw-headline"> Problem mit der Platten-Geometrie - Wenn alle Partitionen gelöscht sind </span></h2>
<p>In diesem Fall sind alle Partitionen gelöscht worden.
TestDisk zeigt keine Partition!
Der Benutzer führte <b>testdisk /debug /log</b> aus.
Auszug aus testdisk.log
</p>
<pre>
Analyse Disk /dev/hdb - CHS 5169 240 63 - 38161 MB
No partition is bootable
search_part()
Disk /dev/hdb - CHS 5169 240 63 - 38161 MB
FAT32 at 0/1/1
heads/cylinder 255 (FAT) != 240 (HD)
</pre>
<p>Eine FAT32-Partition ist gefunden worden, aber es gibt eine Warnung betreffend der Festplattengeometrie.
Das BIOS hatte wegem den Inhalt des MBR (in diesem Fall leer) eine andere Festplattengeometrie ausgewählt.
Unter TestDisk wähle Geometry, weise der Anzahl von Heads
255 statt 240 zu und führe Analyse wieder aus.
</p>
<a name="Zwei_wiederherzustellende_FAT32-Partitionen"></a><h2> <span class="mw-headline"> Zwei wiederherzustellende FAT32-Partitionen</span></h2>
<p>Es gab zwei FAT32 Partitionen auf der Festplatte, die gelöscht wurden.
Nach dem Ausführen von Analyse und Search! wurde von TestDisk nur die zweite wieder gefunden.
</p>
<pre>
Disk 81 - CHS 525 255 63 - 4118 MB
L FAT32 384 1 1 524 254 63 2265102
</pre>
<p>Unter Verwendung von <b>A</b>, wird die was wir denken vermisste Partition hinzugefügt, eine neue Partitionstabelle ist mit zwei FAT32 geschrieben worden:
</p>
<pre>
1 P FAT32 0 1 1 383 254 63 6168897
2 E extended 384 0 1 524 254 63 2265165
5 L FAT32 384 1 1 524 254 63 2265102
</pre>
<p>Unter Verwendung von Advanced, Boot und RebuildBS müssen wir versuchen,
den Bootsektor von der ersten Fat32 Partition wieder aufzubauen. Mit Hilfe von <b>List</b>
ist es möglich, eine Auflistung von Dateien aus dem Stammverzeichnis zu erhalten,
aber es zeigte auch viele Ausschußdaten... Nichts wurde geschrieben.
In der Log-Datei (Expert-Mode kann diese Informationen ausgeben) können wir sehen, das 4 Kopien von Fat32 gefunden wurden:
</p>
<pre>
FAT32 at 32(0/1/33), nbr=123
FAT32 at 8221(0/131/32), nbr=123
FAT32 at 16097(1/1/33), nbr=1234
FAT32 at 22100(1/96/51), nbr=1234
</pre>
<p>Normal sollten nur zwei Kopien von Fat gefunden werden.
Dort sind noch übrig gebliebene Daten von zwei unterschiedlichen FAT32-Partitionen:
eine beginnt ab 0/1/1, die zweite ab 1/1/1. Wir haben eine Fehler gemacht.
Dieses mal, fügen wir die korrekte Partition zu, und wählen Write
</p>
<pre>
1 E extended 1 0 1 524 254 63 8418060
5 L FAT32 1 1 1 383 254 63 6152832
6 L FAT32 384 1 1 524 254 63 2265102
</pre>
<p>Mit RebuildBS (unter Advanced/Boot) waren wir imstande
den Bootsektor erfolgreich wiederherzustellen.
</p>
<a name="Verlorene_Partition_nach_Defrag"></a><h2> <span class="mw-headline"> Verlorene Partition nach Defrag </span></h2>
<p>Nach dem Ausführen von Defrag gegen die erste Partition, ist das zweite Fat32-Laufwerk verschwunden.
Wenn TestDisk die Partitionstabelle überprüft, erkennt es ein Problem mit der ersten
Partition und es ist kein logisches Laufwerk vorhanden.
</p>
<pre>
Disk 81 - CHS 1245 255 63 - 9766 MB
check_FAT: Incorrect size of partition
1 * FAT32 LBA 0 1 1 746 254 63 12000492
1 * FAT32 LBA 0 1 1 746 254 63 12000492
2 E extended 747 0 1 1244 254 63 8000370
</pre>
<p>TestDisk ist in der Lage gewesen, die erste Partition zu finden,
aber diese Partition ist ein Sektor größer als der tatsächliche Partitionseintrag.
Defrag hatte den Anfang der erweiterten Partition überschrieben und den logischen Partitionseintrag gelöscht.
</p>
<pre>
* FAT32 0 1 1 747 254 63 12016557 [D DRIVE]
D Linux 1023 1 1 1244 254 63 3566367
</pre>
<p>Der Anwender wählte nur die FAT32-Partition wiederherzustellen.
Nach einer Sicherung der Daten, hat er das FAT32-Dateisystem verkleinert um einen Sektor weniger zu nutzen.
Es ist jetzt Zeit, die zweite Partition wiederherzustellen.
Der Anwender hatte den zweiten Partitionseintrag manuell hinzugefügt.
</p>
<pre>
1 * FAT32 0 1 1 746 254 63 12000492 [D DRIVE]
2 E extended LBA 747 0 1 1244 254 63 8000370
5 L FAT32 747 1 1 1244 254 63 8000307
</pre>
<p>Im Menü Advanced, wähle die zweite Fat32 und Rebuild BS aus.
Nach einem Neustart und einer kurzen Dateisystemüberprüfung, waren die Daten wieder verfügbar.
</p>
<a name="Wiederherstellung_einer_CD-ROM-Sitzung_.28Session.29"></a><h2> <span class="mw-headline"> Wiederherstellung einer CD-ROM-Sitzung (Session) </span></h2>
<p>Bei einer Multisitzung-CD-ROM, ist es möglich Dateien einer vorherigen Sitzung zu löschen.
Da die Dateien nicht wirklich gelöscht werden, ist es möglich diese wiederherzustellen.
Um Dateien aus der ersten Sitzung zu lesen, führe unter Linux aus
</p>
<pre>
mount /dev/cdrom /mnt/cdrom -t iso9660 -o session=0
</pre>
<a name="Wiederherstellung_einer_neu_formatierten_Partition"></a><h2> <span class="mw-headline"> Wiederherstellung einer neu formatierten Partition </span></h2>
<p>Wenn eine Partition versehentlich neu zu einem anderen Dateisystem formatiert wurde (FAT32 formatiert als NTFS oder umgekehrt),
</p>
<ul><li> führe <a href="testdisk_de.html" title="TestDisk DE"> TestDisk</a> aus,
</li><li> wähle dein Festplatte und deinen Partitionstyp aus
</li><li> wähle Advanced
</li><li> wähle die Partition aus
</li><li> wähle Type,
</li><li> gebe den Wert ein, der dem vorherigen Dateisystem entspricht
</li><li> wähle Boot
</li><li> wähle RebuildBS
</li><li> wähle List ob die Daten angezeigt werden
</li><li> wenn du deine Dateien sehen kannst, wähle Write und bestätige
</li><li> Im Menü Analyse, wähle die Partition mit dem korrekten Partitionstyp um die Partition neu zu schreiben.
</li></ul>
<p>Zurück zur <a href="testdisk_de.html" title="TestDisk DE"> TestDisk </a> Hauptseite
</p>
<!-- Saved in parser cache with key cg_mw-mw_:pcache:idhash:1824-0!1!0!!en!2!edit=0 and timestamp 20071123143910 -->
<div id="catlinks"><p class='catlinks'><a href="http://www.cgsecurity.org/wiki/Special:Categories" title="Special:Categories">Category</a>: <span dir='ltr'><a href="http://www.cgsecurity.org/wiki/Category:Data_Recovery" title="Category:Data Recovery">Data Recovery</a></span></p></div> <!-- end content -->
<div class="visualClear"></div>
</div>
</div>
</div>
<div id="column-one">
<div class="portlet" id="p-logo">
<a style="background-image: url(logo.png);" href="http://www.cgsecurity.org/" title="Visit the Main Page [z]" accesskey="z"></a>
</div>
<script type="text/javascript"> if (window.isMSIE55) fixalpha(); </script>
<div class='portlet' id='p-Data_Recovery'>
<h5>Data Recovery</h5>
<div class='pBody'>
<ul>
<li id="n-TestDisk"><a href="testdisk.html">TestDisk</a></li>
<li id="n-PhotoRec"><a href="photorec.html">PhotoRec</a></li>
<li id="n-Download"><a href="testdisk_download.html">download</a></li>
</ul>
</div>
</div>
</div><!-- end of the left (by default at least) column -->
<div class="visualClear"></div>
<div id="footer">
<div id="f-copyrightico"><a href="http://www.gnu.org/copyleft/fdl.html"><img src="gnu_fdl.png" alt='GNU Free Documentation License 1.2' /></a></div>
<ul id="f-list">
<li id="lastmod"> This page was last modified 08:39, 13 November 2007.</li>
<li id="copyright">Content is available under <a href="http://www.gnu.org/copyleft/fdl.html" class="external " title="http://www.gnu.org/copyleft/fdl.html" rel="nofollow">GNU Free Documentation License 1.2</a>.</li>
</ul>
</div>
<script type="text/javascript">if (window.runOnloadHook) runOnloadHook();</script>
</div>
</body><!-- Cached 20071123143910 -->
</html>
