Linktipp Re: Tutorial/Tipps für Dateien-Wiederherstellung FAT16/Smartmedia

[Robert Michel <news@robertmichel.de>]

Salve Frank!

Ersteinmal ein Linktipp für alle:
"How a Corrupted USB Drive Was Saved by GNU/Linux"
http://www.linuxjournal.com/article/8366


Und quasi ein Zwischenbericht - ich bin einem erfolgreichem
Recovery schon recht nahe - wenn es jetzt nicht nur für 
Dateien < 16 kB klappen würde...

Frank Dietrich schrieb am Mittwoch, den 08. Juni 2005 um 19:13h:

> Hallo Robert,
> 
> Robert Michel <news@robertmichel.de> wrote:
> > Ersteinmal vielen dank für die Hilfe - mit foremost würden die
> > Dateinamen verlohren gehen, 
> 
> Jain. Weil man foremost zur Wiederherstellung verwenden kann, wenn
> die Dateinamen (sprich das Inhaltsverzeichnis) bereits nicht mehr
> vorhanden sind.

Dateinamen sind noch vorhanden *g*

cfdisk liefert:

cfdisk 2.12p
Disk Drive: /dev/hde
Size: 131072000 bytes, 131 MB
Heads: 16   Sectors per Track: 32   Cylinders: 500
Name        Flags      Part Type  FS Type          [Label]        Size (MB)
                        Pri/Log   Free Space                           0,03* 
hde1        Boot        Primary   FAT16                              131,05*


Bei einer neuformatierten Karte sind 64Bit bei 24063 "auffällig",
also:

dd if=/hd1/smartmedia128/neu/ddsmart128-neu-050616 ibs=1 skip=24063 bs=1 coun
t=64 seek=24063 of=/dev/hde 

nun sagt cfdisk:
hde1        Boot        Primary   FAT16          [AXXPAC/TH  ]       131,05*
    
hde1 ist nun mountbar, mit "ls -lAR" sehe ich auch alle Verzeichnisse,
Dateien, nur mache Dateien und Verzeichnisse haben das Datum Uhrzeites
des Crashes: 2005-06-08 01:01 obwohl sie älter sind.
Alle Verzeichnisse nehmen 0x4000 Bit (16384) Platz weg.

Lesbar sind nur die Dateien < 16384 Byte.

msfsck meldet das einige Speicherbereiche von 
Verzeichnisse/Dateien sich überlappen und kürzt alle Dateien
auf 16384 Byte. :(

> > habe aber mit dem Rechnen von Hexadressen keine Erfahrung - also
> > wird es zusätzlich noch etwas länger dauern, soetwas wäre nett:
> > 
> > hexdumpapart Anfangsadresse Endadresse rawdata exportname
> 
> Genauso geht foremost auch vor. Und es übernimmt für Dich die Suche
> nach Anfangsadresse. Wenn das Dateiformat eine Längenangabe
> beinhaltet, dann sogar auch noch für Endadresse. Exportname, wie oben
> schon erwähnt einfach danach umbenennen.

Kann man mit ls oder einem anderen Tool die Anfangsadressen sich
auflisten lassen?

Wenn die 128MB cluster in 16kB größe haben ist es ein Puzzel mit
4000 Teilen. 

Sehe ich das richtig, das in einem 16kB Cluster immer nur Daten
einer Datei ligen? Dann wäre dieses 128 MB carte ein Puzzel mit
vielleicht 400 Mustern (Dateien) und 4000 Teilen. *g*

> > 
> > Wie sieht es aus, wenn eine Datei zerstückelt ist?
> > Der zweite Teil hat keinen Header. Gibt es irgendwie
> > Sprungadressen/Zeiger?

> Schlecht. Angenommen Du hast eine leere Karte und speicherst darauf
> > Wie kann Verzeichnisstruckturen wiederherstellen?
> 
> Informationen über FAT (oder das betreffende Dateisystem) lesen.

Ja, ich bin dabei FAT16 einwenig zu verstehen... 

> > Und wenn wenn man Teile erfolgreich zugeordnet hat, wie verwaltet
> > man die Wiederherstellung am besten? Eintragen der bekannten
> > Bereiche in eine Liste/Tabelle/Papier???
> 
> Kommt drauf an wie wichtig die zu rekonstruierenden Daten sind.
> Allgemein würde ich sagen, im privaten ist es oft den Aufwand
> nicht wert. Sich ein brauchbares Backup einzurichten ist wesentlich
> weniger aufwendig.
*g*

Wie bereits geschrieben sind die Daten nicht wichtig,
aber dieser Fehler für mich eine sehr gute Übungsaufgabe ;)
(Tipps und Anregungen weiterhin willkommen)

In diesem Sinne, allen ein schönes WE!

Gruß
rob