Ich habe eine externe Festplatte mit 1 TB. Aus Versehen habe ich ein Image meiner eigenen SD-Karte geöffnet (mit einer Software unter Windows 8) und auf die Schaltfläche „Schreiben“ geklickt. Dann habe ich es sofort gestoppt. Aber ich war schockiert, dass innerhalb weniger Sekunden nach dem Löschen des Images alle Partitionen verloren waren.
Gibt es eine Möglichkeit, Partitionen wiederherzustellen, die durch das Schreiben eines Images erstellt wurden? Und warum wird die Größe der Festplatte so groß wie die der SD-Karte (aufgrund des erwähnten Images)?
Ich habe eine leistungsstarke Software namens „TestDisk“ ausprobiert, aber alle Versuche sind leider fehlgeschlagen.
Antwort1
Wissen Sie, wie die 1-TB-Festplatte partitioniert war? War es nur eine Datendump-Festplatte mit einer Partition? Welches Dateisystem war darauf? NTFS?
NTFS-Dateisysteme haben normalerweise einen Backup-Bootsektor im letzten Sektor der Partition. Wenn die Festplatte nur eine Partition hätte, würden Sie diesen ungefähr am Ende der Festplatte finden. Sie können hierfür einen Hex-Editor für Festplatten verwenden: Öffnen Sie die Festplatte (normalerweise gibt es eine spezielle Option zum Öffnen von Festplatten anstelle von normalen Dateien) und sehen Sie sich das Ende der Festplatte an. Irgendwo sollte es einen Sektor geben, in dessen ersten paar Bytes die Zeichenfolge „NTFS“ steht. Das wäre der Backup-Sektor, nach dem Sie suchen.
Wenn der letzte Sektor auf der Festplatte die Zeichenfolge „EFI PART“ enthält, handelt es sich um eine GPT-partitionierte Festplatte, was das Erstellen einer Partitionstabelle von Grund auf (nur mit dem Hex-Editor) etwas schwierig macht.
Angenommen, Sie finden nicht die Zeichenfolge „EFI PART“, sondern die NTFS-Zeichenfolge irgendwo in den letzten Sektoren, dann gehen Sie wie folgt vor:
a) Erstellen Sie eine neue leere MBR-Partitionstabelle (löschen Sie die letzten 66 Bytes von Sektor 0 und fügen Sie 55 AA in die letzten zwei Bytes von Sektor 0 ein). b) Erstellen Sie einen neuen Partitionseintrag (beginnend 66 Bytes vor dem Ende) mit den folgenden Werten: 00 00 FF FF FF 07 FF FF FF 00 08 00 00 XX XX XX XX Die letzten 4 Bytes (XX XX XX XX) hängen wirklich von der Festplattengröße ab und sollten dem Wert plus 1 entsprechen, den Sie im NTFS-Sicherungssektor bei Offset 0x28 gefunden haben. c) Kopieren Sie nun den NTFS-Sicherungsbootsektor und fügen Sie ihn in Sektor 2048 ein.
Der Standardspeicherort der NTFS-Masterdateitabelle (MFT) ist Cluster C0000, also 3 GB auf der Festplatte. Wenn Sie also das Schreiben des SD-Images auf die Festplatte wirklich gestoppt haben, ist die Wahrscheinlichkeit hoch, dass die MFT selbst noch intakt ist. Was wahrscheinlich beschädigt ist, sind die Volume-Bitmap und die Mirror-MFT, aber diese können normalerweise durch einen Lauf von chkdsk (oder scandisk) repariert werden.
Das Programm Testdisk hat möglicherweise Schwierigkeiten, etwas zu finden, weil Sie den Anfang der Festplatte (zumindest teilweise) mit einem gültigen neuen Dateisystem überschrieben haben. Daher versucht es wahrscheinlich nicht wirklich, irgendwo eine fremde Master File Table zu finden.