Partition zerschossen - Rettung?

[Dirk1]

Akuter Notfall - bitte um Hilfe

Hallo,

gerade ist mir der Super-Gau passiert.

Die Ausgangssituation ist ein Dual-boot-System mit WinXP auf der ersten und Lenny auf der zweiten Festplatte.

Ich habe nun als root irrtümlicherweise folgendes Kommando abgesetzt:
zcat boot.img.gz > /dev/sda

sda ist aber nicht der USB-Stick, den ich eigentlich beschreiben wollte,
sondern meine erste Festplatte auf der Windows (sda1, ntfs, eigentlich readonly gemounted) liegt und natürlich der boot-manager.

Ich habe den Fehler auch sofort gemerkt und mit Ctrl-C abgebrochen - aber offensichtlich zu spät.

In der aktiven Partitionstabelle ist jetzt sda mit 238 MB
sda1 mit ursprünglich 120 GB taucht nirgendwo auf.
Wie die boot-Partion hiess weiss ich nicht.

Kann mich jemand retten?

Frage:
1. Ist die Windows-Partition nun unrettbar verloren, obwohl nennenswert Daten sind darauf ja nicht weiter bewegt worden?
2. Wie bringe ich den grub-loader wieder zum Laufen?

Oder ist jetzt alles verloren?
Ich wäre für Unterstützung wirklich seeehr dankbar - bitte

Dirk

[Spasswolf]

Du kannst versuchen die Partitionstabelle mittels testdisk wiederherzustellen.

[Danielx]

Du kannst versuchen die Partitionstabelle mittels testdisk wiederherzustellen.

Ja, wird aber nur funktionieren, wenn der Anfang der Partition nicht auch überschrieben wurde.

Ich habe nun als root irrtümlicherweise folgendes Kommando abgesetzt:
zcat boot.img.gz > /dev/sda

Damit hast du also den Anfang der Festplatte überschrieben, also den MBR (Boot-Loader, Partitionstabelle u.s.w.) und möglicherweise auch den Anfang der ersten Partition (was ich für sehr wahrscheinlich halte, denn so schnell kann man eigentlich kaum abbrechen).
Wenn der Anfang der Partition überschrieben wurde, dann wird ein neuer Eintrag in die Partitionstabelle nicht helfen (das bezieht sich jetzt nur auf die erste Partition), außerdem werden dann auch einige "Nutz"-Daten auf der Partition überschrieben worden sein.

In der aktiven Partitionstabelle ist jetzt sda mit 238 MB

Sorry, das habe ich jetzt nicht verstanden.
Kannst du das etwas genauer darstellen?

Waren denn wichtige Daten auf der ersten Partition der Festplatte?
Backup vorhanden?
Hatte diese Festplatte mehrere Partitionen (die zweite und darauf folgende Partitionen könntest du sehr wahrscheinlich wieder herstellen).

Gruß,
Daniel

[Dirk1]

Hallo Daniel, Spasswolf,

vielen Dank erst mal für die Hinweise.

Du kannst versuchen die Partitionstabelle mittels testdisk wiederherzustellen.

Das werde ich mir nachher mal ansehen. Ist testdisk bei knoppix mit drauf?

Hatte diese Festplatte mehrere Partitionen (die zweite und darauf folgende Partitionen könntest du sehr wahrscheinlich wieder herstellen).

Tja, ich weiss es ehrlich gesagt nicht genau.
Es handelte sich ursprünglich um ein reines Windows-System, in das ich eine zusätzliche Festplatte eingebaut hatte auf die ich Linux installiert hatte. Der boot-sektor wurde dabei von grub überschrieben.

Neben sda gab es in jedem Fall sda1 (Windows C:) - das geht eindeutig aus der fstab hervor.

In der aktiven Partitionstabelle ist jetzt sda mit 238 MB

Das lässt sich mit df anzeigen.
Ich kann den genauen Output nachher noch posten. Ich sitze nur gerade an einem anderen Rechner.

Da nun aber nur 238 MB verwendet werden, ist der Großteil der Festplatte ja gar nicht angefasst worden. Oder ist das ein Trugschluss?

Eine Verständnisfrage habe ich noch: sda1 war als ntfs-HD readonly gemounted. Wieso wurde sie da dennoch überschrieben?

Ich merke gerade - ich bin in vielem noch Anfänger.
Vielen Dank für die Mühe.

Gruß
Dirk

[Danielx]

Ist testdisk bei knoppix mit drauf?

Ich gehe davon aus, alles andere würde mich doch sehr wundern.

Das lässt sich mit df anzeigen.

Mich wundert, dass df überhaupt etwas bei der ersten Festplatte anzeigt, denn wenn die Partitionstabelle fehlt, kann die Partition von Debian gar nicht gemountet werden und df zeigt nur gemountete Partitionen an...

Da nun aber nur 238 MB verwendet werden, ist der Großteil der Festplatte ja gar nicht angefasst worden.

Ich kann dir leider nicht folgen.

Oder ist das ein Trugschluss?

Ja.

Eine Verständnisfrage habe ich noch: sda1 war als ntfs-HD readonly gemounted. Wieso wurde sie da dennoch überschrieben?

Du hast ja am Dateisystem vorbei gearbeitet und direkt auf das Block-Device geschrieben.
Da ist es völlig egal, ob die Partition read-only gemountet ist oder ob diese überhaupt gemountet ist.

Gruß,
Daniel

[cirrussc]

Hi,

Das werde ich mir nachher mal ansehen. Ist testdisk bei knoppix mit drauf?

testen

Es handelte sich ursprünglich um ein reines Windows-System, in das ich eine zusätzliche Festplatte eingebaut hatte auf die ich Linux installiert hatte.
[...] Neben sda gab es in jedem Fall sda1 (Windows C:) - das geht eindeutig aus der fstab hervor.

Also eine Partition.

In der aktiven Partitionstabelle ist jetzt sda mit 238 MB

Das lässt sich mit df anzeigen.
Ich kann den genauen Output nachher noch posten. Ich sitze nur gerade an einem anderen Rechner.

Das verwirrt ja gerade, wie kannst du etwas mit df anzeigen, was doch gar nicht gemountet ist? Df kann nur die Belegung von ein gehangenen Partitionen anzeigen.

Eine Verständnisfrage habe ich noch: sda1 war als ntfs-HD readonly gemounted. Wieso wurde sie da dennoch überschrieben?

Weil:

• du nicht in die gemountete Partition, also nicht ins Dateisystem, geschrieben hast
• du direkt in das ganze Gerät (dev/sda) als root geschrieben hast

Versuch also mal testdisk von einer Live CD aus und poste dann gleich mal.

Code: Alles auswählen

fdisk -l

edit: ohh zu spät

[Dirk1]

Ok. Ich danke allen für die Unterstützung - sehe aber mehr und mehr schwarz.

testing ist bei knoppix drauf - funktioniert aber nicht:
libntfs.so.9 - no such file or directory

Das verwirrt ja gerade, wie kannst du etwas mit df anzeigen, was doch gar nicht gemountet ist? Df kann nur die Belegung von ein gehangenen Partitionen anzeigen.

Wenn man in knoppix auf eine device klickt, wird es gleich gemounted.
df gibt für sda folgendes aus:

Code: Alles auswählen

Dateisystem 1k-blöcke benutzt verfügbar ben% mount-point
/dev/sda       244480   15560   228920    7%    /media/sda

Händisch abgeschrieben - ich hoffe ohne Fehler - das sind weniger als 250MB - ist das ein Hoffnungsschimmer?

In einem tool namens qtparted steht für dieselbe device (ob gemounted oder nicht):

Code: Alles auswählen

Partition  Typ    Status   Größe     Benutzer-Platz  Anfang  Ende
/dev/sda1  fat16  hidden  111.76GB   32.17MB         0MB     111.76GB

Jetzt steht also auch sda1 wieder da - auch ohne mounten.
Was mache ich jetzt?

Dirk

[Spasswolf]

testdisk ist bei knoppix drauf - funktioniert aber nicht:
libntfs.so.9 - no such file or directory

Den Fehler kannst du eventuell reparieren mit

Code: Alles auswählen

ln -s $(file /usr/lib/libntfs.so* | grep ELF | cut -d : -f1) /usr/lib/libntfs.so.9

Dann kannst du testdisk nochmal auf die Platte loslassen.

[Dirk1]

ln -s $(file /usr/lib/libntfs.so* | grep ELF | cut -d : -f1) /usr/lib/libntfs.so.9

Genau das war's. Woher weiß man so was?

Ich habe jetzt erst einmal den Basistest gemacht.
Er beginnt mit folgender Ausgabe:

Code: Alles auswählen

Disk /dev/sda - 119 GB / 111 GiB - CHS 14589 255 63
Current partition structure:
     Partition                  Start        End    Size in sectors
 1 * SpeedStor FAT16 ext  188018 149 36 188050  31 27     506638

Warning: Bad starting sector (CHS and LBA don't match)
 2 * Sys=98               62655 150 49 186400 224  7 1987968046

Bad relative sector.
 3 * Sys=7D               105610  17 55 225118 182 57 1919906418

Bad relative sector.
Only one partition must be bootable
Space conflict between the following two partitions
 2 * Sys=98               62655 150 49 186400 224  7 1987968046
 3 * Sys=7D               105610  17 55 225118 182 57 1919906418

*=Primary bootable  P=Primary  L=Logical  E=Extended  D=Deleted

Der nachfolgende Platten-check verläuft ergebnislos.

Jetzt noch die Ausgabe von fdisk:

Code: Alles auswählen

fdisk -l /dev/sda

Platte /dev/sda: 120.0 GByte, 120000000000 Byte
255 Köpfe, 63 Sektoren/Spuren, 14589 Zylinder
Einheiten = Zylinder von 16065 × 512 = 8225280 Bytes

Das sieht nicht wie eine Partitionstabelle aus.
Sie haben wahrscheinlich das falsche Gerät ausgewählt.

    Gerät  boot.     Anfang        Ende     Blöcke   Id  System
/dev/sda1   ?      188019      188051      253319   e4  SpeedStor
Partition 1 endet nicht an einer Zylindergrenze.
/dev/sda2   ?       62656      186401   993984023   98  Unbekannt
Partition 2 endet nicht an einer Zylindergrenze.
/dev/sda3   ?      105611      225119   959953209   7d  Unbekannt
Partition 3 endet nicht an einer Zylindergrenze.
/dev/sda4   ?        2085        2603     4161536    0  Leer
Partition 4 endet nicht an einer Zylindergrenze.

Partitionstabelleneinträge sind nicht in Platten-Reihenfolge

Sieht irgendwie doch aus, als wären da mehrere Partitionen. Oder täusche ich mich?

Gute Nacht erst einmal.
Und vielen, vielen Dank für die kompetenten Tipps bis hierher.

Dirk

[cirrussc]

Wenn man in knoppix auf eine device klickt, wird es gleich gemounted.
df gibt für sda folgendes aus:

Code: Alles auswählen

Dateisystem 1k-blöcke benutzt verfügbar ben% mount-point
/dev/sda       244480   15560   228920    7%    /media/sda

Händisch abgeschrieben - ich hoffe ohne Fehler - das sind weniger als 250MB - ist das ein Hoffnungsschimmer?

In einem tool namens qtparted steht für dieselbe device (ob gemounted oder nicht):

Code: Alles auswählen

Partition  Typ    Status   Größe     Benutzer-Platz  Anfang  Ende
/dev/sda1  fat16  hidden  111.76GB   32.17MB         0MB     111.76GB

Jetzt steht also auch sda1 wieder da - auch ohne mounten.

Das ist leider alles ohne Belange, durch den überschriebenen MBR, mit dem Inhalt einer uns unbekannten boot.img.gz. Dadurch wurde natürlich die Partitionstabelle überschrieben, insofern kann man davon aus gehen, diese nicht mehr der originalen entspricht. Deshalb sollte tesdisk nach verlorenen [ Analyse ], und das sind sie durch den fehlerhaft beschriebenen MBR, Partitionen suchen und bei Erfolg eintragen.

Der nachfolgende Platten-check verläuft ergebnislos.

Das ist nun fehl geschlagen, so sieht es sehr schlecht aus.
Vielleicht hat noch jemand eine Idee.

Seinen MBR kann man mit testdisk übrigens auch sichern und rückspielen. Ebenso wie es mit dd möglich ist.

[Dirk1]

Also kann ich Windows vergessen!? Quasi als Wink des Schicksals?
Kann man nicht noch wenigstens ein paar Daten davon retten?

Und wie boote ich jetzt meine Linux-Installation?
Die Partitionen sind ja alle da.

Kann ich mit grub den MBR neu beschreiben.
Auf eine passende menu.lst habe ich Zugriff.

Da sehe ich gerade 2 Einträge zu Windows.

Code: Alles auswählen

title		Windows XP
root		(hd0,1)
savedefault
makeactive
chainloader	+1

title		Dell Utility
root		(hd0,0)
savedefault
makeactive
chainloader	+1

Kann man daraus vielleicht noch etwas machen?

Dirk

[cirrussc]

Also kann ich Windows vergessen!? Quasi als Wink des Schicksals?
Kann man nicht noch wenigstens ein paar Daten davon retten?

Naja, wenn diese boot.img.gz nur 512 Byte groß ist, wäre nur der MBR überschrieben, testdisk hätte vielleicht noch was finden können.

Kann ich mit grub den MBR neu beschreiben.
Auf eine passende menu.lst habe ich Zugriff.

Das wurde aber nun wirklich oft beschrieben
Grub Floppy,CD oder Live CD mit grub starten und den MBR neu schreiben.
Beim start von grub, "c" für command drücken.
Ich kann nur vermuten, das die Rootpartition auf die 1. der zweiten HDD ist.

Code: Alles auswählen

root (hd1.0)
setup (hd(1.0) #hier den grub schreiben
#Linux booten
kernel /boot/vmlinuz- <tab> root=/dev/sdb1 ro #tab zur Vervollständigung/Auswahl nutzen; block device anpassen
initrd /boot/initrd- tab
boot
<enter>

Kann man daraus vielleicht noch etwas machen?

Ohne die vorhandene/korrekte Partition bringt das doch nix

[Danielx]

Kann man nicht noch wenigstens ein paar Daten davon retten?

Ja, vielleicht, probiere es mal mit photorec (nicht vom Namen irritieren lassen!), ist auch bei Knoppix dabei.

Und wie boote ich jetzt meine Linux-Installation?
Die Partitionen sind ja alle da.

Zeitmangel, später mehr...

Kann ich mit grub den MBR neu beschreiben.

Ja.

Da sehe ich gerade 2 Einträge zu Windows.

Sehr interessant!
Du hast also doch zwei Partitionen.
Die erste (sda1) ist eine "Dell Utility"-Partition (dürfte FAT16 sein) und ist schätzungsweise so um die 50MB groß.
Die zweite (sda2) ist die eigentliche "Windows XP"-Partition (NTFS).

D.h. wenn die von dir versehentlich geschriebenen Daten kleiner als die erste Partition waren, dann sollte der Anfang der NTFS-Partition noch intakt sein.
Genau diesen Anfang musst du nur finden und dann kannst du die zweite Partition wieder mounten.

Woher hast du denn diese boot.img.gz, wie groß ist diese (entpackt)?
Von hier (das wären dann entpackt 239 MB):
ftp://ftp.debian.org/debian/dists/etch/ ... oot.img.gz

Wie schnell hast du denn abgebrochen (in Sekunden), falls du dich noch erinnern kannst?

Da es ja doch zwei Partitionen waren, würde ich doch nochmal versuchen den Anfang der NTFS-Partition zu finden.

Gruß,
Daniel

[Danielx]

edit: Beitrag ergänzt!

Ich habe jetzt erst einmal den Basistest gemacht.

Hm, was heißt das?

edit:
Wie lange hat dieser Test gedauert?
testdisk sollte die ganze Platte durchsuchen um den magischen Wert ("magic value") deiner NTFS-Partition zu finden, was meiner Meinung nach lange dauern müsste.

Versuche es doch mal nach dieser Anleitung:
http://www.cgsecurity.org/wiki/Schritt_ ... gsbeispiel

edit:
Besonders "Deeper Search" (bei meinem testdisk steht da allerdings "Search!" also nicht verwirren lassen, wenn das bei dir auch so sein sollte) näher ansehen!

Wenn du diesen Test komplett durchgemacht hast und testdisk nicht fündig wurde, ist die Partition wahrscheinlich verloren (du hast also mehr als die genannten ca. 50 MB geschrieben).
Dann kannst du mit photorec versuchen noch wichtige Daten zu retten (keine Ahnung ob du da Erfolg haben wirst) und danach bleibt dir letztendlich nur noch die Platte neu zu formatieren oder in einen Schrank zu legen.

Gruß,
Daniel

[Dirk1]

Hallo cirrussc,

Das wurde aber nun wirklich oft beschrieben

Da hast du selbstverständlich recht.
Es ist mir inzwischen auch gelungen zumindest eine boot-Diskette zu erstellen.
In meinem Linux bin ich damit jetzt wieder drin.
Das ist doch mal ein Silberstreif.

Hast du noch eine Empfehlung, wie ich jetzt mit der ersten Festplatte umgehen soll?
Der MBR muß da wieder rein - soviel ist klar. Muss ich die Platte dazu vorher komplett platt machen?

Ich möchte einfach nicht noch einen fatalen Fehler machen. Die Nacht hat mir gereicht.
Ich habe jetzt schon einen kleinen Mann im Ohr.

Gruß
Dirk

..und Danke nochmal

[Dirk1]

Hallo Daniel,

das werde ich alles gleich mal ausprobieren.

Woher hast du denn diese boot.img.gz, wie groß ist diese (entpackt)?

http://ftp.nl.debian.org/debian/dists/e ... oot.img.gz
..müsste es gewesen sein.

Das ist m.E. genau die von dir verlinkte Datei. Entpackt 239MB.

Auch dir vielen Dank bis hierher.

Gruß
Dirk

[Danielx]

In meinem Linux bin ich damit jetzt wieder drin.

Ok, das ist gut.

Der MBR muß da wieder rein - soviel ist klar. Muss ich die Platte dazu vorher komplett platt machen?

Nein, platt machen musst du die Platte erstmal nicht.
Du kannst den Grub-Bootloader einfach aus deinem (alten) Linux heraus wieder in den MBR der ersten Platte schreiben:

Code: Alles auswählen

grub-install /dev/sda

(Bitte nochmal verifizieren (lassen), ich garantiere heute für nichts. )
Du könntest aber auch den Bootloader auf die zweite Platte schreiben, du musst dann aber in deinem Bios einstellen, dass er von der zweiten Platte booten soll.

edit: Das Verzeichnis /boot ist ja auf deiner zweiten Festplatte, oder?
Ist /boot eigentlich eine eigene Partition (Info ist für meine Methode erstmal egal).

Gruß,
Daniel

[Dirk1]

Hallo Daniel,

Du könntest aber auch den Bootloader auf die zweite Platte schreiben, du musst dann aber in deinem Bios einstellen, dass er von der zweiten Platte booten soll.

Ich glaube, dass lasse ich lieber. Reicht, wenn ich eine Platte zerschossen habe.

Inzwischen bin ich mit testdisk ein Stück weiter.
Ich konnte die Verzeichnisstruktur augenscheinlich komplett sehen und habe auch schon etliches fehlerfrei kopieren können.

Wenn das kein Fortschritt ist? Hatte ich mich schon bedankt?

edit: Das Verzeichnis /boot ist ja auf deiner zweiten Festplatte, oder?

Richtig.

Ist /boot eigentlich eine eigene Partition (Info ist für meine Methode erstmal egal).

Ich denke schon.

[Danielx]

Inzwischen bin ich mit testdisk ein Stück weiter.
Ich konnte die Verzeichnisstruktur augenscheinlich komplett sehen und habe auch schon etliches fehlerfrei kopieren können.

Na, das ist doch mal erfreulich!
Dann lasse doch testdisk die Partitionstabelle (von sda) neu schreiben, diese wurde ja sowieso von dir überschrieben, du kannst also definitiv nichts kaputt machen!
Und dann installierst du (von deinem Debian aus) Grub wieder:

Code: Alles auswählen

grub-install /dev/sda

edit: Endgültiges Ergebnis:
Die Option "--root-directory=/boot" legt bei mir (habe auch eine extra /boot-Partition) fälschlicherweise das Verzeichnis /boot/boot/grub an, ist also definitiv falsch!
Einfach "grub-install /dev/sda" verwenden.

Dann kannst du sowohl Debian als auch dein Windows (wenn du mit testdisk die Tabelle geschrieben hast) wieder booten!
Allerdings musst du für Windows die menu.lst evtl. etwas anpassen, da du ja nur noch eine Partition in der Partitionstabelle auf sda hast (hd0,1 durch hd0,0 ersetzen):

title Windows XP
root (hd0,0)

edit:
Aber am Besten versuchst du erstmal beim Start mit der Auswahl "Dell Utility" zu booten (ist ja hd0,0), bevor du die menu.lst änderst!

Gruß,
Daniel

[Dirk1]

Hallo Daniel,

ich fürchte, ich muß doch noch eine extra-Schleife machen.
Denn plötzlich funktioniert die Boot-Diskette nicht mehr.

Es liegt aber wohl aber eher nicht an der Diskette selbst, denn die Auswahlliste kommt.
Aber nach der Auswahl steigt er aus, weil er sdb1 nicht mounten kann
Unknown Filesystem o.ä.


Fällt dir dazu auch noch was ein?

Und ich dachte schon, ich könnte heute mal wieder ruhig schlafen.

Gruß
Dirk

Mit Knoppix kann alles einwandfrei gemounted werden. Inzwischen sogar die windows-Partition.
Das einzige was geändert wurde ist die Wiederherstellung der defekten Partition auf sda. Die andere Festplatte habe ich definitiv nicht angefasst.

[Danielx]

Aber nach der Auswahl steigt er aus, weil er sdb1 nicht mounten kann
Unknown Filesystem o.ä.

Ähm, hast du denn inzwischen irgendwelche (evtl. meiner) Befehle ausgeführt/ausprobiert?

edit:
Was für eine Boot-Diskette ist das genau (welche Anleitung hast du benutzt)?

Gruß,
Daniel

[Dirk1]

Ähm, hast du denn inzwischen irgendwelche (evtl. meiner) Befehle ausgeführt/ausprobiert?

Nein, nein. Da wollte ich erst einmal nichts überstürzen.
Ich habe nur mit testdisk sda wieder hergestellt.

Code: Alles auswählen

Was für eine Boot-Diskette ist das genau (welche Anleitung hast du benutzt)?

http://www.kanotix.com/FAQ-id_cat-2.html#q118

Analog dazu. Und das Ganze hat ja schon funktioniert.
Kann es sein das testdisk heimlich auch sdb manipuliert hat.
..
Aber knoppix kann ja mounten - macht alles überhaupt keinen Sinn. Oder?

[Danielx]

Kann es sein das testdisk heimlich auch sdb manipuliert hat.

Hm, das wäre ungewöhnlich.

Aber knoppix kann ja mounten - macht alles überhaupt keinen Sinn. Oder?

Ja, seltsam.

Mit Knoppix kann alles einwandfrei gemounted werden. Inzwischen sogar die windows-Partition.

Also hat das Schreiben der Partitionstabelle mit testdisk funktioniert.

Kannst du mal unter Knoppix "grub" starten und dort dann eingeben (nimmt keine Änderungen vor):

Code: Alles auswählen

find /boot/grub/stage1

Und die Ausgabe dann hier posten?
Das zeigt an, wo sich die /boot-Partition nach Meinung von grub befindet.

Gruß,
Daniel

[Dirk1]

Code: Alles auswählen

find /boot/grub/stage1
(fd0)
(hd1,0)

Ich habe mir die Sache jetzt mal mit einer Partionsutility unter kde angesehen:
Danach ist sdb1vom Type ext3 - so wie es sein sollte.

Aber sda ist fat16.
Kann das überhaupt sein? NTFS ist doch eigentlich grundverschieden von fat16. Oder?

PS: Was habe ich da gerade gepostet?
(hd1,0) !
hd1 gibt es auf meinem System überhaupt nicht
?????????????????????
Quark - ist ja nur die Entsprechung unter grub

[Danielx]

Ok, hattest du da die Boot-Diskette noch eingelegt, wegen (fd0)?
Grub hat also auf sdb1 (hd1,0) die /boot-Partition gefunden.
Stimmt das mit der fstab deines Debian-Systems bzw. mit der menu.lst auf der Boot-Diskette überein?

Unknown Filesystem o.ä.

Kam diese Meldung von grub?

Gruß,
Daniel