Datenrettung von NTFS-HDD

    Hallo,


    ich habe folgendes Problem:


    Gegeben:


    - HHD mit einer 15 GB großen Systempartiton (Laufwerk c:\) unter WinXP (also NTFS) mit noch etwa 2GB freiem Speicherplatz.


    - Diese Partition wurde vor einigen Tagen defragmentiert.


    - Der freie Speicherplatz wurde dann zur Aufnahme einer Audiodatei benutzt (PCM 44.1kHz/16Bit)


    - Die mögliche Aufnahmelänge wurde überschritten und das Soundeditor-Progi sagte dann singemäß "Festplatte voll! Ich kann nicht mehr."


    - Dann gab es auch noch ein Problem mit dem Mixer der Soundkarte. Nix ging mehr. Windows war tot.


    - Reset; Neustart



    Nach dem Neustart waren wieder gut 2 GB auf der HDD frei. Das gerade aufgezeichnete File war also nicht mehr da. Keine große Überrschung nach einem harten Reset.



    Gesucht:


    Wie bekomme ich das File wieder? Sie Suche mit einigen Tools zur Datenrettung brachte bisher keinen Erfolg, denn die suchen und finden nur Files, die "offiziell" gelöscht wurden. Mich interessiert aber nur der (vermeintlich) freie Speicherplatz auf der Partition. Denn dort ist die Wave-Datei sicherlich zu großen Teilen erhalten.


    Mit welchen (kostenlosen) Tools kann ich die freien Sektoren auslesen und in ein File wandeln?


    Winhex hat diese Option, schreibt aber in der Demoversion nur 2MB als File...
    Nun gut.


    Da die Partition kurz vorher defragmentiert wurde, gehe ich davon aus, daß die Festplatte die "Wave" einfach so - also Sektor für Sektor - aufgezeichnet hat. Warum soll die FW ìn diesem Fall auch großartig auf der Platte "rumsuchen?


    Das Problem ist aber zum Beispiel, daß ich in den Images von "Drive Snapschot" und mit Speicherung der "freien Sektoren" (http://www.drivesnapshot.de/en/intro.htm) bisher keine Fragmente entdecken konnte, die auch nur entfernt an eine Wavedatei erinnern. Ich habe das Image von Cooedit als PCM in verschiedenen Moden interpretieren lassen - nur weißes Rauschen - keine Strukturen.


    Da diese Images (als Datei) immer kleiner sind als die eigentliche Partition, "riecht" das verdammt nach interner (RLE?) Kompression des Images. Das hilft mir also nicht weiter.


    Ich brauche ein Tool, welches die Bytes in den Sektoren 1:1 ausliest und in das Imagefile schreibt - in der Hoffnung, daß ich daraus die Samples herausextrahieren kann. Noch besser wäre natürlich ein Tool, welches die Verkettung im Filesystem beachtet und mir alle "übriggebliebenen" Datei-Fragmente serviert.


    Hat jemand eine Idee? Sonst muß ich mir selbst ein Lese-Tool schreiben. Das wollte ich natürlich vermeiden. Außerdem muß ich die Festplatte bald wieder zum allgemeinen Gebrauch "freigeben".



    TIA hevo2

    Salve hevo,
    vorausgeschickt, bin selbst kein "Bitklauber", sondern eher MS-Systemheini,
    aber, wenn ich die Vorgensweise von MS bei NTFS halbwegs verstanden habe, sieht es schlecht für dich aus:
    Du findest zwar irgendwo im Dateirecord der Platte den Dateiheader der Datei, aber da NTFS die Dateien immer gestückelt auf die Platte schreibt und erst im eof-Eintrag die Positionen registriert, wird es ohne eof-Eintrag nahezu unmöglich sein, die Dateifragmente aufzufinden.
    Es sei denn, Du findest ein Tool, das die Bitsequenzen deiner *.wav Datei zweifelsfrei von anderen Sequenzen differenzieren kann. Das Tool müsste seeeeehr mächtig sein und Du brauchst viel Zeit und Systempower.


    Gruß -- Pinguin

    Hallo,


    du bist mir vielleicht ein "Mutmacher" zum Montag... ;)


    Soweit ich das bisher recherchiert habe, schreibt NTFS die Daten möglichst linear auf die Platte. Das ist meine Hoffnung, da die Platte ja relativ frisch defragmentiert war. Ansonsten siehts natürlich Zappenduster aus.


    Heute Abend werde ich wohl mal eine c't aus dem Jahre 2000 ausgraben, um dann mit dem Hexeditor etwas auf Jagd zu gehen.


    bfn hevo2

    Einmal editiert, zuletzt von hevo2 ()

    Hallo Harald!


    Erstmal Danke für den Tip mit dem Convar-Progi. Leider hat mir das Programm bisher nicht weitergeholfen.



    Aber dafür habe ich noch etwas mit WinHex rumgespielt und auch den "Knopf" gefunden bei dem die freien Cluster einer Partition von vorn bis hinten in ein File geschrieben werden. Ich habe jetzt also ein etwa 2GB großes File rumliegen, in dem sich auch Musik findet. Aber leider ist das Musik von einer CD, die nach dem Unfall von der Platte gelöscht wurde. Der Rest der Daten "rauscht und pfeift" - das klingt wie serielle Schnittstelle. ;)


    Na ja, vielleicht fällt mir noch etwas ein.



    bfn hevo2