Rohkopie von ausgefallener Festplatte

Ich habe ein Seagate-Laufwerk (ST3400832AS 3.03), das ohne Vorwarnung sehr stark ausgefallen ist. Wachte auf und stellte fest, dass der Computer mitten in der Nacht aus dem Schlaf erwacht war und neu gestartet wurde. Das Ereignisprotokoll wurde überprüft und es wurde mit NTFS-Fehlern überflutet. Aus verschiedenen Gründen habe ich keine aktuelle Sicherung dieser bestimmten Daten, also muss ich es auf die harte Tour machen.

Ich habe es anfangs geschafft, ein paar Dateien mit etwa 1 kbps (Kilobits, nicht Bytes) von der Festplatte zu bekommen, bevor das Laufwerk abstürzte und als nicht initialisiert angezeigt wurde.

Bisher habe ich folgendes probiert…:

  • TestDisk - Erkennt alte Partitionsinformationen und hängt sich dann einfach auf.
  • Spinrite - War eine Übung in Sinnlosigkeit.
  • HDD Regernator – Das Laufwerk wird nach etwa 2-3 Minuten Vorscannen „nicht bereit“.
  • Seatools - Was für ein Witz; Alle Tests zeigten, dass das Laufwerk in Ordnung war.

…zusammen mit einigen anderen Rohkopieprogrammen.

Bisher sieht es so aus, als wenn der Antrieb zu lange zu stark belastet wird, stürzt er einfach ab. Kennt jemand eine Software, die eine neustartfähige Rohkopie eines Laufwerks erstellen kann? Es macht mir nichts aus, wenn ich die Kopie ein Dutzend Mal neu starten muss, aber bei allem, was ich bisher versucht habe, musste ich jedes Mal von vorne anfangen. Es bringt nicht viel, immer nur die ersten paar GB an Daten zu bekommen. Etwas Langsames, Beständiges und mit einer Resume-Funktion wäre also eine große Hilfe.

Nebenbei bemerkt, dies war ein sekundäres internes Laufwerk, kein externes.

Ich hatte Erfolg mit dem Einfrieren einer Festplatte, aber ich weiß nicht warum, also kann ich es nicht ernsthaft empfehlen.
Was war das Problem mit SpinRite? Ich habe gesehen, dass es buchstäblich tagelang laufen muss, um ein Laufwerk zu reparieren.
@Bobson erinnert mich an einen Unfall, den ich vor einigen Jahren hatte. Ich saß mit Eis und einem heißen Lüfter da und stellte alle Daten erfolgreich wieder her, während ich die Festplatte entweder herunterkühlte oder aufwärmte, als es zu kalt wurde #D // Zurück zum Thema: Fangen Sie an, einen Blick auf das Data-Recovery-Tag-Wiki bei Android zu werfen .SE, hat eine Reihe hilfreicher Hinweise, die auch für Festplatten gelten.
@DennisS. Es bekommt nie mehr als ein Dutzend Sektoren auf die Festplatte, bevor es einfach da sitzt und nichts tut. Auch wenn es für mehr als 12 Stunden belassen wird
Lassen Sie SpinRite weitermachen. Ich habe Geschichten darüber gehört, dass es anscheinend 3-4 Tage lang nichts getan hat und dann das Laufwerk vollständig repariert ist.
Unter Windows (vorausgesetzt, Sie verwenden NTFS)? Oder bootfähig von USB/CD/…?
@Christopher Ferguson: Wenn eine Antwort für Sie hilfreich war, markieren Sie sie bitte als akzeptierte Antwort , damit andere sie in Zukunft leichter finden können. Dies ist auch eine höfliche Art, der Person, die deine Frage beantwortet, dafür zu danken, dass sie dir geholfen hat.
Das ist Jahre her, aber Spinrite tötete im Grunde meine fehlerhafte Festplatte, indem es versuchte, Dinge zu tun, von denen die Hersteller sagen, dass sie unmöglich oder sogar bedeutungslos sind. Andere Open-Source-Tools speicherten die restlichen Daten (ddrescue und dd_rescue). Bleib weg, es ist Schlangenöl von einem Verrückten.

Antworten (2)

Kennt jemand eine Software, die eine neustartfähige Rohkopie eines Laufwerks erstellen kann?

Sie beschreiben im Grunde GNUddrescue , das von einer bootfähigen Linux-Live-CD/DVD/USB ausgeführt werden kann (ich mag SystemRescueCD sehr).

Klonen des Laufwerks

Zuerst sollten Sie die Laufwerke identifizieren, die Sie mit dem fdisk -lBefehl an Ihren Computer angeschlossen haben. Hier ein Ausschnitt von meiner Festplatte:

# fdisk -l /dev/sd*
Disk /dev/sda: 232,9 GiB, 250059350016 bytes, 488397168 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x8185b78c

Device     Boot  Start       End   Sectors   Size Id Type
/dev/sda1  *      2048    499711    497664   243M 83 Linux
/dev/sda2       501758 488396799 487895042 232,7G  5 Extended
/dev/sda5       501760 488396799 487895040 232,7G 83 Linux

Der Befehl soll ausgeführt werden als root(wie Sie am #Zeichen im Terminal erkennen können) und ich habe weiter gefiltert /dev/sd*, um zu vermeiden, dass Ramdisks angezeigt werden.

Angenommen, ich möchte /dev/sda(das fehlerhafte Laufwerk) darin klonen /dev/sdb, das als /media/user/External(das Laufwerk mit dem Image, das ich erstellen werde) gemountet ist, gebe ich den folgenden Befehl aus (as root):

ddrescue /dev/sda /media/user/External/copy.img /media/user/External/status.log

Die Datei /media/user/External/status.logist eine Protokolldatei, die vom Programm verwendet wird, um seinen Fortschritt zu verfolgen. Auf diese Weise können Sie das Tool bei Bedarf unterbrechen und später fortsetzen.

Im Allgemeinen ddrescuestört die ausfallende Festplatte nicht. Es kopiert einfach zuerst die guten Teile und kehrt später zu den fehlerhaften Sektoren zurück, wobei es immer kleinere Chunk-Größen versucht. Das beschleunigt den Kopiervorgang und garantiert bessere Ergebnisse.

Sie können verwenden ddrescueview, um eine grafische Darstellung des Klonvorgangs in Echtzeit zu erhalten.

Wiederherstellen von Dateien von der NTFS-Partition

Haftungsausschluss: Ich bin der Autor von RecuperaBit.

Sie können den Inhalt von NTFS-Partitionen mit RecuperaBit wiederherstellen . Meiner Meinung nach ist es besser als andere Open-Source-Lösungen wie Testdisk und Autopsy, da es auch bei starker Korruption gute Ergebnisse liefert. Zumindest können Sie die noch intakten Dateien und den größten Teil der Verzeichnisstruktur wiederherstellen.

RecuperaBit ist ein Python-Programm, das keine Installation erfordert. Sobald Sie es heruntergeladen haben (entweder über gitoder durch Herunterladen und Extrahieren der ZIP-Datei), können Sie es mit der folgenden Befehlszeile ausführen ( pypywird vorgeschlagen):

mkdir /media/user/External/recovered_files
cd [full path of recuperabit]
pypy main.py /media/user/External/copy.img -o /media/user/External/recovered_files -s /media/user/External/savefile.save

Sobald der Scanvorgang abgeschlossen ist, beginnt er mit der Bestimmung der Geometrie aller gefundenen NTFS-Partitionen. Danach können Sie den Befehl ausführen recoverable, um die Partitionen anzuzeigen und dann z. B. partition wiederherzustellen #2:

restore 2 5
restore 2 -1

Wobei 5bedeutet das Stammverzeichnis und -1bedeutet das Verzeichnis für verlorene Dateien .

Es gibt ein paar Vorbehalte , die Sie beachten müssen:

  • RecuperaBit versucht, jede NTFS-Partition zu finden, daher könnte es langsam sein, da es derzeit keine Möglichkeit gibt, einen Schwellenwert festzulegen, um nutzlose Ergebnisse zu vermeiden
  • Die NTFS-Komprimierung wird nicht unterstützt, daher werden einige Dateien möglicherweise nicht wiederhergestellt
  • Jede gelöschte Datei oder Geisterdatei wird ebenfalls wiederhergestellt, denn jetzt können Sie nicht auswählen, nur zugewiesene Dateien wiederherzustellen

Andere Programme

Es gibt viele kommerzielle (und einige Open-Source-) Programme (insbesondere für Windows), die sich in unterschiedlichem Umfang mit der NTFS-Wiederherstellung befassen können. Ich habe eine Reihe davon in meiner MSc-Thesis und in den beigefügten Folien aufgelistet und verglichen . Die folgende Tabelle zeigt meine Testergebnisse in Bezug auf die Genauigkeit der NTFS-Rekonstruktion in Bezug auf 4 verschiedene Disk-Images:

Vergleich verschiedener NTFS-Rekonstruktionsprogramme

Weitere Erläuterungen und Hinweise finden sich in meiner Diplomarbeit. Wenn Sie lieber ein kommerzielles GUI-Programm verwenden möchten, würde ich empfehlen, entweder Restorer Ultimate oder DMDE zu verwenden .

Ich würde ein gddrescue mit dem Mounten mit kpartx koppeln - es verarbeitet Bilder mit mehreren Partitionen schmerzhaft. Der beste Weg zur Wiederherstellung ist jedoch aus Backups ;)
@JourneymanGeek, erfordert es nicht kpartx, dass die Partitionstabelle tatsächlich intakt und lesbar ist? Außerdem würde ich sagen, dass der Vorschlag, ein Backup zu verwenden, keine Antwort auf „Wie führe ich eine Bitstream-Kopie eines ausgefallenen Laufwerks?“ aus. :)
Sicher, aber Sie müssen das Laufwerk mounten, um Daten abzurufen, oder? Es sei denn, Sie möchten das Laufwerk auf ein anderes Laufwerk neu abbilden, was ein bisschen mühsam ist.
Sie können das Laufwerk nur mounten, wenn sowohl die Partitionstabelle als auch die MFT funktionieren, was bei beschädigten Laufwerken nicht der Fall ist. Das ist der Punkt der Frage (über das Klonen von Laufwerken) und der Antwort (über das Klonen von Laufwerken und die forensische NTFS-Rekonstruktion).
@AndreaLazzarotto Gute Backup-Informationen, +1. Ist RecuperaBit nur für NTFS? Und Sie haben PhotoRec nicht in Ihre Tests einbezogen? Ist die Vergleichstabelle (Folie 21?) nur für den Verzeichnisbaum wie Dateipfade und -namen? Die tatsächlich wiederhergestellten Dateidaten befinden sich auf Folie 22 – oder gilt diese Folie nur für Dateien mit geringer Dichte und komprimierte und verschlüsselte(?) Dateien?
@ Xen2050, derzeit ist das einzige Modul für NTFS, ja. Es können jedoch zusätzliche Module eingesteckt werden (siehe These Seite 56 unten). Photorec führt ein Carving durch, keine Rekonstruktion des Dateisystems, sodass es überhaupt nicht verglichen werden kann. :) Für die Details schlage ich vor, dass Sie Kapitel 8 lesen, Folie 22 zeigt sowieso keine "normalen" Dateien, weil alle angezeigten Tools sie wiederherstellen.
@AndreaLazzarotto Vielen Dank für den Ruf zu dieser Software. Ich habe den größten Teil von zwei Monaten damit verbracht, dieses Laufwerk mit den ursprünglichen Dateistrukturen wiederherzustellen, indem ich mehrere der Partitions-/Datenwiederherstellungsprogramme verwendet habe, einschließlich Testdisk und GDB, aber bisher erfolglos. Ich hatte mich fast damit abgefunden, die Daten mit Photorec selbst zurückzubekommen, aber ich habe gerade die letzten Abschnitte Ihrer Masterarbeit gelesen, und das hat mich ziemlich zuversichtlich gemacht, es noch einmal zu versuchen.
Ich habe ein paar kurze Fragen zu klären, wenn es Ihnen nichts ausmacht - erstens, ist RBs "Lost Files"-Ordner für verwaiste Dateien, Dateien, die nicht in den Verzeichnisbaum gestellt werden können? Zweitens ist mir bei Ihren Tests aufgefallen, dass Sie nach heutigen Maßstäben relativ kleine Laufwerke verwendet haben - wenn ich mich richtig erinnere, war das größte 80 GB groß. Das Laufwerk, von dem ich versuche, Daten wiederherzustellen, ist 2 TB groß. Glauben Sie, dass RecuperaBit in der Lage sein wird, ein so großes Laufwerk in einem realistischen Zeitrahmen wiederherzustellen? Hast du eine ungefähre Vorstellung, wie dieser Zeitrahmen sein könnte? Ich möchte es nicht nur laufen lassen, damit es am Ende länger als eine Woche dauert. Danke im Voraus!
@Hashim, die verlorenen Dateien sind diejenigen, deren Eltern nicht ermittelt werden können. Ich habe RecuperaBit bereits auf meinem eigenen NTFS-Laufwerk (500 GB) verwendet und die meiste Zeit wird für das Scannen der Festplatte benötigt (insbesondere wenn es über USB 3 statt SATA geht). Wenn der Bootsektor gefunden wird, muss RecuperaBit nicht feststellen, wo die Partition beginnt, also ist es noch schneller.
@AndreaLazzarotto : Ich lese gerade Ihre Abschlussarbeit und es wäre hilfreich, Ihre Folien als Begleitmaterial zu haben. Slideshare erfordert jedoch die Zahlung eines Abonnements. Könnten Sie einen kostenlosen Link bereitstellen? Danke vielmals.
@summerrain Entschuldigung für die Verwirrung, Sie sollten die Folien kostenlos lesen können. Für das Herunterladen ist ein Konto erforderlich, aber ich glaube nicht, dass Sie ein kostenpflichtiges benötigen. LinkedIn oder ähnliches sollte ausreichen. Hier ist ein temporärer Link: swisstransfer.com/d/adaaeb22-4bcb-4164-888b-49a334d669fb
@AndreaLazzarotto : Ich habe ein kostenloses Slideshare-Konto erstellt, aber beim Versuch, Ihre Folien herunterzuladen, wird immer noch nach Geld gefragt. Also danke für deinen temporären Link. Ich habe angefangen, Ihre Arbeit zu lesen, sehr interessant. Vielen Dank!
@AndreaLazzarotto: Ist RecuperaBit auch hilfreich, um Dateien ohne verlorene Partition oder Hardwarebeschädigung einfach wiederherzustellen ?
@summerrain Wenn es NTFS-formatiert ist, können Sie es verwenden.

Ich hatte viel Glück mit Unstoppable Copy . Ich konnte viele Dateien von einer Festplatte mit vielen fehlerhaften Sektoren abrufen, wenn eine gewöhnliche Windows- oder DOS-Kopie CRC-Fehler verursachte. Die meisten Dateien waren verwendbar, sogar diejenigen, die Windows nicht kopieren konnte; Ich habe nur ein paar Fotos verloren, bei denen zu viele Daten verloren gegangen sind.

Spinrite ist möglicherweise effektiver beim Reparieren von Daten, aber ich habe damit begonnen, ein 80-GB-Laufwerk wiederherzustellen, habe nach zwei Stunden nachgerechnet und berechnet, dass es etwa anderthalb Monate laufen müsste, um das Laufwerk fertigzustellen. Das hat mir nicht gefallen, denn normalerweise will man bei einer schlechten Festplatte das Zeug schnell abbekommen, bevor es schlimmer wird.

"berechnet, dass es ungefähr anderthalb Monate laufen müsste" Das liegt wahrscheinlich daran, was es bisher getan hat. Aber meiner Erfahrung nach befinden sich beschädigte Sektoren sehr oft am Anfang des Laufwerks, so dass es durch die anderen 95 % der Festplatte gehen kann. Und vielleicht auch nicht ;-) Ich habe auch von Leuten gehört, die es die ersten paar Prozent reparieren ließen, dann stoppten und dann die meisten Daten kopieren konnten, weil die festen Anfangssektoren dazu führten, dass die logischen Festplatten- / Dateiinformationen wieder lesbar waren .
Meiner Erfahrung nach bestand Spinrite darauf, tagelang zu versuchen, denselben fehlerhaften Sektor zu lesen . Glücklicherweise erkannte ich und wechselte zu Open-Source-Tools (ddrescue und dd_rescue), die die meisten Daten in Stunden extrahierten, bis die Hardware vollständig ausfiel. Wenn ich Spinrite früher aufgegeben hätte, hätte ich vielleicht mehr Zeit gehabt, Daten zu speichern. Bleib weg.
Rohkopie von ausgefallener Festplatte
AntwortenHierDatenschutz-Bestimmungen1y, 0v