Windows 7 Chkdsk hat meinen USB-Stick nach einer Wiederherstellung für fehlerhafte Sektoren durchsucht und Hunderte meiner wichtigsten Ordner und Dateien gelöscht. Leider habe ich keine neuen Sicherungskopien davon.
Das Dateisystem ist NTFS.
Mithilfe des R-Studio-Wiederherstellungstools habe ich 112 GB große Dateien auf dem 16 GB großen Flash-Laufwerk gefunden, von dem etwa 5 GB Speicherplatz belegt waren. Wiederhergestellte Dateien enthalten weder ihren Pfad noch ihre Namen. Zwischen diesen wiederhergestellten Dateien befinden sich mehrere Kopien der meisten Dateien und auch einige zuvor gelöschte Dateien wurden dort gefunden, einige beschädigt und einige intakt.
Ich hoffe, dort fast alle verlorenen Dateien zu finden, aber diese riesige Anzahl an Dateien manuell ohne ihren Namen und Pfad zu organisieren, ist nicht nur mühsam, sondern auch unmöglich.
Leider befinden sich in der Datei found.000 im Stammverzeichnis der per Chkdsk überprüften Partition nicht viele meiner verlorenen Dateien, sondern nur etwa 30.
Aber als ich mir die chkdsk-Protokolldatei ansah, schien es, als wären alle aufgezeichnet worden. Die interessantesten Informationen in der Protokolldatei sind Einträge von 3 Typen, Beispieleinträge des ersten Typs sind wie folgt:
Deleting orphan file record segment 20386.
und die Zahlen sind bei jedem Eintrag unterschiedlich, sie sind sortiert, aber nicht in einer Reihe.
Die zweite Reihe von Einträgen hat das Format:
The object id index entry in file 0x19 points to file 0x4bce
but the file has no object id in it.
Auch hier ändert sich lediglich die zweite Hex-Zahl am Ende der ersten Zeile in der Reihenfolge der Einträge.
Die letzte Eintragsreihe enthält Datei- und Ordnernamen sowie einige Indexnummern und Hex-Dateiadressen. Beispiele hierfür finden Sie hier:
Index entry Release of index $I30 in file 0x3b2a points to unused file 0x4bce.
Deleting index entry Release in index $I30 of file 15146.
Release ist der Name eines der verlorenen Ordner, 15146 ist die Dezimaldarstellung von 0x3b2a. Andere Einträge enthalten den Namen einer Datei oder eines Ordners. Es gibt nicht für alle Einträge in Teil 2 und 3 Übereinstimmungen, aber einige davon stimmen überein, wie in den obigen Beispielen.
Interessanterweise hat das Wiederherstellungstool (R-Studio) die wiederhergestellten Dateien mit 3-5-stelligen Nummern benannt. Ich hoffte, dass diese Nummern irgendwie mit den Nummern in den Protokolleinträgen übereinstimmen ...
Punkte in der Frage:
- Wie kann ich gelöschte Dateieinträge nach einem Windows-Chkdsk in einer NTFS-Partition mit ihrem Pfad (oder zumindest ihrem Namen) wiederherstellen, indem ich die in der generierten Protokolldatei bereitgestellten Informationen verwende?
- Gibt es genügend Informationen, um sie wiederherzustellen? Wie etwa ein NTFS-Journal oder ein Chkdsk-Protokoll?
- Ich kann und bin bereit, bei Bedarf eine Anwendung für diesen Zweck zu schreiben. Aber ich weiß nicht, wo ich anfangen soll und was das Programm tun soll, um die verlorenen Dateien wiederherzustellen.