Datenrettung mit ext4magic / Photorec ?

[anoxde]

Hallo Forum,

ist sicher schon einiges geschrieben worden zu dem Thema, und ich hab auch schon einiges gelesen dazu, aber vielleicht das falsche, jedenfalls hoffe ich hier auf zusätzlich Tipps.

Die Situation:

Habe ein neues OpenSuse 13.1-System laufen auf einer 2TB Festplatte, ext4.

Weiterhin habe ich eine andere Festplatte, 1TB, auch ext4, die mein altes SuSe 11.2-System enthält, mit 'ner Menge Daten. Dies ist komplett intakt, leider habe ich kurz vorm letzten Herunterfahren versehentlich einiges gelöscht, ca. 100 GB, Videos, PDFs und MP3s. Die hätte ich nu gerne wieder, wenns noch möglich ist.

Mit:



ddrescue /dev/sdc2 /home/alexsch/Daten/Rettung/sicherung.im


habe ich mir ein Abbild gemacht. Hat auch gut funktioniert, hab jetzt eine 907,5 GB große Datei der Partition.

Als Datenwiederherstellungs-Tools haben sich für mich zwei angeboten: ext4magic und Photorec.

Mit ext4magic hab ich begonnen:


ext4magic /home/alexsch/Daten/Rettung/sicherung.img -m -d /home/alexsch/Daten/Rettung

hat mir drei Verzeichnisse (zwei davon mit Namen MAGIC-2, MAGIC-3) mit keinem verwendbaren Inhalt, jede Menge Dateien mit Größe null oder unlesbare Fragmente.

Als zweites hab ich einen Durchlauf mit Photorec gemacht:


photorec /home/alexsch/Daten/Rettung/sicherung.img

Nach Durchlaufen des Menüs und Auswählen der entsprechenden Optionen, Dateitypen etc. war das Resultat vier Ordner mit knapp 2.000 Dateien, zusammen ca. 30GB, aus denen ich immerhin einige vollständige mp3s heraus“filtern“ konnte, sämtliche größeren Dateien (pdf, Videos) waren aber nicht zu öffnen oder trotz großer Dateigröße leer.


Erste Frage:
Wenn ich mit einen Wiederherstellungstool diese Sicherungs-Datei bearbeite, verändert das Tool möglicherweise diese Datei, so wie eine Originalpartition? (weshalb man diese ddrescue-Geschichte ja wohl auch macht?)
Anders gesagt, sollte ich für jeden neuen Versuch ddrescue wiederholen?

Zweite Frage:
Welches der beiden Tools (oder ein ganz anderes?) ist für meinen Fall zu empfehlen?

Dritte Frage:
Habe ich was (möglicherweise Offensichtliches) falsch gemacht oder übersehen? Oder war's das mit der Datenrettung, also keine Chance auf weitere, bessere Ergebnisse mehr?

Vierte Frage:
Gibt ein mehrmaliges Durchlaufen mit demselben Tool jedesmal zwangsläufig das gleiche Ergenbis? Oder gibt es da vielleicht auch für Software sowas wie „Interpretationsspielraum“? Vielleicht ne doofe Frage, aber kann ja sein?!


So, das reicht wohl, vielleicht hat sich ja der eine oder andere doch die Mühe gemacht, bis hierher gelesen zu haben, dann freue ich mich über jeden Hinweis, danke!

Achso, ich arbeite zwar schon einige Jahre mit Linux, würde mich aber nun wirklich nicht als Experten bezeichnen und Datenrettung war für mich (glücklicherweise) noch nie ein Thema. Also, bitte um Verständnis für mögliche Begriffstutzigkeiten diesbezüglich meinerseits ;-)

mfg
Alex

[nopes]

Denkmal über http://extundelete.sourceforge.net/ nach...

[anoxde]

Hi,
so, nach ein paar Tagen Pause widme ich mich wieder meinem Problem...

danke für den Tip mit extundelete, auch das habe ich auf meine gesicherte Partitions-Datei angewandt



extundelete sicherung.img --restore-all


mit niederschmetterndem Ergebnis ;-), keine vollständige, zu gebrauchende Datei hat's ergeben.

Daher nochmal meine Frage: Hat es Zweck, die ddrescue-Geschichte vor jedem neuen Rettungsversuch mit den verschiedenen Programmen zu wiederholen? Reagiert also die Datei genauso auf "Zugriffe" wie die alte Partition mit Veränderung der Struktur und damit weiterer Zerstörung bzw. Nicht-mehr-Wiederherstellbarkeit?? Oder ist die dd-Datei dagegen immun und ich kann mir weitere Versuche schenken?

[corresponder]

testdisk mal versucht?

gruss

c.

[nopes]

wie viel hier von:
If extundelete was unable to recover your files, then you may try to recover your files with debugfs, a tool included with the e2fsprogs package. If you unmounted the partition before the file system got a chance to fully delete the files you are interested in, running debugfs may allow you to recover the files before the file system deletes them (which it may do the next time the partition is mounted). The 'dump' and 'rdump' commands in debugfs may be useful to you for these purposes. If you were unable to recover your files using extundelete or debugfs, then you may try to recover your files with ext3grep or ext4magic. The generation of ext3grep's stage2 cache file depends on the size and speed of your hard drive's partition, with typical speeds close to one minute for every 2 GB (30 s per GB, or 8 hours per TB).

If the above options didn't recover your files, then you may try a program that searches for identifying patterns throughout the entire partition, like foremost, scalpel, or Photorec. ext3grep's --search options may also be used for this purpose. hast du denn schon hinter dir?

[anoxde]

Ok, extundelete ist durch, ext4magic und Photorec auch...

debugfs noch nicht, ebenso ext3grep, foremost und scalpel.

Da hab ich ja noch einiges, was ich probieren kann!

In dem Zusammenhang nochmal die Frage: Sollte ich vor jedem neuen Versuch die sicherung.img erneuern, wegen möglicher Beeinflussung der Daten durch das jeweilige tool oder ist die Datei im Gegensatz zur originalen Partition dagegen immun? Vielleicht ist's auch ne blöde Frage, aber ich weiß es halt nicht und ddrescue kostet ja auch einiges an Zeit...

Testdisk habe ich grade laufen, ich werde bei Bedarf hier drauf zurückkommen.

mfg

[corresponder]

normalerweise schreiben die rettungsprogramme nicht, sondern greifen nur lesend zu.
somit brauchste nur eine sicherung, damit du dir das original nicht kaputt machst.

gruss

c.