datenrettung+raw-dateien+mit-foremost

[michaelbischof]

Hallo,

ich hatte einen USB-Drive von 40 GB unter Linux mit vfat formatiert und dann
Bilder drauf gespeichert. Als ich bei einem Bekannten unter XP diesen
USB-Drive gemountet habe hatte er ohne irgendeine Warnung offenbar diesen
Drive verändert: er ,,sah" nur noch 15 GB - und einige Ordner mit Bildern
waren auch unter Linux nicht mehr verwendbar: alle Dateien hatten absurd
schräge Namen, nichts ließ sich mehr öffnen.

Daraufhin habe ich mir das Programm foremost installiert um meine Bilder
wieder zu gewinnen. Mit jpg-Bildern klappte das leicht. Aber nicht mit
raw-Bildern meiner Lumix Fz-50-Kamera.

Foremost arbeitet so:

In der Datei /etc/foremost.conf werden die Dateitypen, die foremost finden
soll, beschrieben resp. für foremost definiert.
Ein Auschnitt für das Format *.bmp sieht so aus:

# BMP
# (NOTE THIS FORMAT HAS A BUILTIN EXTRACTION FUNCTION)
# bmp y 100000 BM??\x00\x00\x00

Mein Ziel ist aber das Wiedergewinnen von *.raw-Dateien (der Kamera lumix
Fz-50). Wenn ich das Prinzip richtig verstanden habe müßte man in dieser
Datei /etc/foremost.conf die richtige Definition unterbringen - und dann
findet foremost diese Dateien.

Das Format *.bmp ist wohl so definiert:
,,bmp y 100000 BM??\x00\x00\x00"

Frage an die großen Jungs hier: wie kriegt man solch eine richtige Definition
der raw-Dateien hin? Muß man dazu eine raw-Datei in einem Hex-Editor öffnen
(von dem ich nichts verstehe), irgendwelche verborgenen Header auslesen -
oder wie geht das?

Wenn man (Tip von einem Linux-Freund: foremost geht nur unter Linux) die Zeile

,,raw y 100000000 IIU\x00"
einfügt und dann in einer Konsole das Kommando aufruft
foremost -c -a -t all -o /media/LaCie/foremost.2 -i /dev/sdc1
dann wird auf dem USB-Drive /media/LaCie im Ordner foremost.2 eine ganze Reihe von Ordnern eingerichtet, z.B. einer ,,jpg", auch einer mit ,,raw". Sehr schnell sind dann alle jpg-Dateien des Geräts /dev/sdc1, um das es hier geht, im Ordner ../foremost.2/jpg/ - aber mit den raw-Dateien klappt es nicht recht. Es werden zwar viele gefunden, die sind aber z.T. bis 90 MB groß und können von Gimp/ufraw nicht geöffnet werden. Das heißt wohl dass die Phrase ,,y 100000000 IIU\x00" die Lumix Fz-50-raw-Dateien nicht richtig definiert.

Weiß hier Jemand weiter?

Gruß,

Michael Bischof

 

[erwins_cat]

weiß nicht ob dir das weiterhilft:

ich habe zur wiederherstellung von verlorenen dateien unter windows immer "recuva" (freeware) genutzt. mit dem "tiefenscan" habe ich alles wieder gefunden was ich ausversehen gelöscht hatte und konnte es wiederherstellen. man kann dort auch angeben welche datei-typen man genau sucht man genau sucht oder man kann auch nach allen dateien suchen. recuva gibt es aber (noch) nicht explizit für unix betriebssysteme.

 

[Gast_108416]

Bevor Du selbst mit dem Hexeditor ansetzt, würde ich erstmal alles probieren, was geht.

Ziehe bitte erstmal ein sauberes Image mit dd von der gesamten Platte. Dann hast Du Zeit um einiges auszuprobieren, ohne Daten zu gefährden.

Du schreibst auch nicht, ob Du auch nur die 15 GB oder 40 GB siehst. Wenn Du 15 GB siehst, würde ich Testdisk laufen lassen. Vielleicht ist einfach nur die Partitionstabelle verbogen.

Ansonsten nimm Dir einen Win-Rechner und versuche dort die Widerherstellung. Programmtechnisch kannst Du da aus dem vollen schöpfen und dank Image alle Programme ausprobieren: http://www.heise.de/software/download/o0g0s3l11k222

Sandisk liefert bei den grossen Speicherkarten ein hervorragendes Programm mit: http://www.lc-tech.com/software/rprodeluxedetail.html Vielleicht hast Du das ja sogar zuhause. Läuft mittels Java unter Linux...

 

[Mu Lei]

Ohne mich inhaltlich mit den obigen Beiträgen auseinandergesetzt zu haben, würde ich dir empfehlen im Unterforum Datenrettung bei Computerbase einen Beitrag zu schreiben.

http://www.computerbase.de/forum/forumdisplay.php?f=78

Die Moderatoring Fiona ist sehr fit in Rettungsdingen. Ihre Tipps haben mir schon einige Male geholfen.

 

[michaelbischof]

Danke für die Tips!

Ja, Windows sieht nur 15 GB, Linux sieht 40 GB. Mit testdisk unter Windows und unter Linux konnte ich 2 Ordner mit jeweils den jpg- und raw-Dateien wiederherstellen.
Mit foremost in nullkommanix alle jpg-Dateien auf der Platte. Freilich eben nicht die raw-Dateien. Dafür muß man wohl den raw-Dateityp der Lumix Fz-50 in der conf-Datei richtig definieren.
Eure Tips werde ich morgen ausprobieren. Herzlichen Dank erst einmal!

Gruß,

Michael Bischof

 

[michaelbischof]

So, geschafft...

Die Tipps habe ich ausprobiert. Recuva scheint ganz ordentlich, reichte aber an Testdisk nicht heran. Das wirkliche ultimative Teil ist foremost (geht nur unter Linux). Es stellt die meisten Dateien am schnellsten wieder her, freilich werden die zu nichts sagenden Nummern umbenannt. Man muß dann selber sehen wie man die hinterher wieder ordnet. Auf jeden Fall habe ich auch die raw-Dateien wieder erhalten. Dies erst, nachdem in unserer hiesigen PUG-Gruppe ein IT-Techniker mir dabei half, diese raw-Dateien richtig in die foremost.conf-Dateien zu schreiben. Nur dann kann foremost diese Dateien erkennen - und wieder herstellen.

In die Datei /etc/foremost.conf. wurde die raw-Zeile so eingefügt:
raw y 20303916 IIU\x00
Dann wurde mit
,,foremost -t all -o /media/LaCie-1/foremost.2/ -i /dev/sdd1"
das Programm foremost aufgerufen. Es brauchte ca. eine Stunde.
,,foremost.2" war der Zielordner, /dev/sdd1 die fragliche Partition. Für 33 GB brauchte foremost rund eine Stunde. => Achtung: diese Phrase ,,20303916 IIU\x00" gilt vermutlich nur für die raw-Dateien einer Lumix Fz-50.