TestDisk User Manual

Datenrettung

Festplattenaufbau

LogischerDatentrageraufbau

Datentrager klonenunter Linux

Testdisk -MBR/FS-Recovery

Testdisk - Undelete

Photorec -SignaturbasierteSuche

Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Datenrettung mittels Testdisk und

Photorec / Backupkonzepte

Christian Franzen

Chaos Computer Club Stuttgart

3. April 2009

1 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Agenda

1 DatenrettungFestplattenaufbauLogischer DatentrageraufbauDatentrager klonen unter LinuxTestdisk - MBR/FS-RecoveryTestdisk - UndeletePhotorec - Signaturbasierte Suche

2 BackupkonzepteMedientypenDatentypenBackupkonzepte

2 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Innenansicht Festplatte

Quelle: Wikipedia3 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Datentechnischer Aufbau

Quelle: Wikipedia

4 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Begriffe

FachbegriffeHeads Lesekopfe

Tracks Spuren

Cylinders Spuren uber alle Plattenscheiben (ohneLesekopfbewegung erreichbar)

Block Kleinste adressierbare Einheit (512 Byte)

Sektor Alle in einer Winkelkoordinate befindlichenBlocke

Cluster Zusammenfassung von Blocken aufgrundvon Adressierungs-Einschrankungen imDateisystem

5 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

LBA / CHS

Quelle: pcguide.com

Logical Block Addressing: Durchnummerierung aller Sektoren

6 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Datenkodierung

Quelle: Wikipedia

7 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

MFM

1 0 0 1

Schwel lwertbest immung

8 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

MFM vs. EPRML

MFM vs. ePRMLMFM: Digitalisierung des Signals, dann Bestimmungder Codesequenz

ePRML: DSP vergleicht analoge Messwerte mit“maximum likelihood”.

→ effizientere Kodierung von Daten und Taktsignal

9 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Grenzen der Datenrettung

Einmal uberschriebene Blocke lassen sich nichtwiederherstellen!

→ ePRML-Kodierung, Datendichte

Beschrankung auf Softwarerettung innerhalb dieserPrasentation.

10 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Ausfalle

AusfalleOberflachendefekt

Headcrash, defekter Lesekopf

Motorschaden

defekte Steuerelektronik

11 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Logischer Aufbau“Master Boot Record” erster Block der FestplatteBei EFI-Bios - GUID Partition Table (GPT)

Quelle: Wikipedia

12 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Logischer Aufbau“Master Boot Record” erster Block der FestplatteBei EFI-Bios - GUID Partition Table (GPT)

Quelle: Wikipedia12 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Partitiontable

Quelle: Wikipedia

13 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Partitiontable - Eintrag

Quelle: Wikipedia

14 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Erweiterte Partition

nur eine erweiterte Partition (Typ 5) moglich

Startsektor enthalt Informationen uber 1. logischePartition

und Adresse der nachsten erweitertenPartitionstabelle

logische Partitionen in erweiterter Partitionenthalten relative Sektorangaben

15 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Weitere Informationen

Partitionsbeginn an Cylinder-Grenze - 62 freieSektoren zw. MBR und Partition

Vista: Partitionsbeginn an Megabyte-Grenze

16 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Linux-Laufwerke

/dev/hda Erste IDE-Disk

/dev/hdb Zweite IDE-Disk

/dev/sda Erste SCSI / USB / SATA-Disk

/dev/sdb Zweite SCSI / USB / SATA-Disk

/dev/hda1 Erste primare Partition der ersten IDE-Disk

/dev/hda4 Vierte primare Partition der ersten IDE-Disk

/dev/hda5 erstes logisches LW der erweitertenPartition...

17 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Linux-Laufwerke








17 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Linux-Laufwerke








17 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Linux-Laufwerke








17 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Linux-Laufwerke








17 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Linux-Laufwerke








17 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Partition klonen unter Linux

Backup in Datei:dd if=/dev/hda1 of=datei bs=512

sudo testdisk /path/to/partitionfile→ Partition-Type=None

alternativ:

(sudo mkdir /media/klon)

sudo mount -o loop,ro -t vfat/mnt/Windows/Stuff/blub /media/klon/

18 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Partition klonen unter Linux

Backup in Datei:dd if=/dev/hda1 of=datei bs=512

sudo testdisk /path/to/partitionfile→ Partition-Type=None

alternativ:

(sudo mkdir /media/klon)

sudo mount -o loop,ro -t vfat/mnt/Windows/Stuff/blub /media/klon/

18 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Datentrager klonen unter

Linux

Backup in Datei:dd if=/dev/hda of=datei bs=512

sudo testdisk /path/to/imagefile→ Partition-Type=Intel

alternativ:

sudo fdisk -l -u /mnt/Windows/Stuff/blub

sudo mount -o loop,ro,offset=32256 -t vfat/mnt/Windows/Stuff/blub /media/cdrom0/

19 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt


Linux

Backup in Datei:dd if=/dev/hda of=datei bs=512

sudo testdisk /path/to/imagefile→ Partition-Type=Intel

alternativ:

sudo fdisk -l -u /mnt/Windows/Stuff/blub

sudo mount -o loop,ro,offset=32256 -t vfat/mnt/Windows/Stuff/blub /media/cdrom0/

19 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt


Linux

Offset = Sektorgroße x Offset (512 x 63)

df -h; mount

20 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Testdisk

Debian-Linux: sudo apt-get install testdisk

Windows: http://www.cgsecurity.org/wiki/TestDisk

21 / 38

http://www.cgsecurity.org/wiki/TestDisk

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Testdisk MBR Recovery

Uberschreiben des MBR:

sudo dd if=/dev/zero of=/dev/sdb bs=512count=1

Kontrolle mittels gparted

Normal Search: 1. Partition suchen, amPartitionsende nach nachster Partition suchen

Deeper Search: Am Anfang jedes Cylinders nachBootsektor sowie am Ende nach dessen Backupsuchen

22 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Testdisk MBR Recovery

Uberschreiben des MBR:

sudo dd if=/dev/zero of=/dev/sdb bs=512count=1

Kontrolle mittels gparted

Normal Search: 1. Partition suchen, amPartitionsende nach nachster Partition suchen

Deeper Search: Am Anfang jedes Cylinders nachBootsektor sowie am Ende nach dessen Backupsuchen

22 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Windows-Dateisysteme

File Allocation Table:

Bootsektor: Informationen uber FAT-TypFiletable am Dateisystembeginn + Kopie am EndeFAT referenziert verkettete Liste von Clustern mitDateiinhalt

New Technology File System:

“Master File Table” als Datei zu Beginn des FSMFT nutzt 12,5% Speicherplatz und kannerweitert werden (Fragmentierung)kleine Dateien in der MFT direkt gespeichertMFT verlinkt auf verwendete Blocke

23 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Windows-Dateisysteme

File Allocation Table:

Bootsektor: Informationen uber FAT-TypFiletable am Dateisystembeginn + Kopie am EndeFAT referenziert verkettete Liste von Clustern mitDateiinhalt

New Technology File System:

“Master File Table” als Datei zu Beginn des FSMFT nutzt 12,5% Speicherplatz und kannerweitert werden (Fragmentierung)kleine Dateien in der MFT direkt gespeichertMFT verlinkt auf verwendete Blocke

23 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Linux-Dateisysteme (ext2)

Superblock speichert Dateisysteminformationen

mehrere Superblockkopien uber das FS verteiltvorhanden

Verzeichnisse sind Dateiobjekte, beinhaltenDateinamen mit Inode-Link

Inodes verlinken Datenblocke und speichernDatei-Metainformationen

24 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Bootsektor und Filesystem

wiederherstellen

Wiederherstellungsversuch mittels Backup derBootsektor / FAT-Kopie

Falls Kopie nicht vorhanden: Annahme vonStandardwerten und Plausibilitatsprufung

Bootsektor zerstoren: sudo dd if=/dev/zeroof=/dev/sdb1 bs=512 count=5

FAT zerstoren: sudo dd if=/dev/zero of=/dev/sdb1bs=512 count=10000 seek=10

25 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Bootsektor und Filesystem

wiederherstellen

Wiederherstellungsversuch mittels Backup derBootsektor / FAT-Kopie

Falls Kopie nicht vorhanden: Annahme vonStandardwerten und Plausibilitatsprufung

Bootsektor zerstoren: sudo dd if=/dev/zeroof=/dev/sdb1 bs=512 count=5

FAT zerstoren: sudo dd if=/dev/zero of=/dev/sdb1bs=512 count=10000 seek=10

25 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Geloschte Dateien

wiederherstellen

Datenblocke werden nicht uberschrieben,Verzeichniseintrage nur als geloscht markiert

Unterstutzung seitens Testdisk:

seit Version 6.10 fur: FAT, ext2 (kein ext3!)

seit Version 6.11 (WiP) fur: NTFS

26 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Geloschte Dateien

wiederherstellen

Datenblocke werden nicht uberschrieben,Verzeichniseintrage nur als geloscht markiert

Unterstutzung seitens Testdisk:

seit Version 6.10 fur: FAT, ext2 (kein ext3!)

seit Version 6.11 (WiP) fur: NTFS

26 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Photorec

Sucht nach (wahlbare) Signaturen bekannterDateiformate

Killer: Fragmentierung

Gefundene Dateien auf anderem Datentragerabspeichern

Kann bedingt Fragmentierung korrigieren(Zeitintensiv)

Unterstutzt Windows- und Linux-Dateisysteme

opt.: Scannen nur in freien Bereichen

i.d.R. sehr viel “Ausschuss”

27 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Zugriff auf

Truecrypt-Partitionen

Truecryptlaufwerk Read-Only mounten

sudo testdisk /dev/mapper/truecrypt1

Partition-Table-Type: None

→ kein MBR, “Partition-Only”

28 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Backupkonzepte

Backupkonzepte

29 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Grunde fur Backups

versehentliches Loschen / Datenverlust durch Viren

Datentragerdefekt

defekter Rechner

Diebstahl

30 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Achtung!

Backup regelmaßig testen

Backup getrennt vom Rechner aufbewahren(Diebstahl!)

1-Click-Losung

nicht am Medium sparen!

Großvater - Vater - Sohn-Konzept

31 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

MedienUSB-Stick

mittlere Speicherkapazitat (1 GB bis 16 GB)

geringer Preis

externe Festplatte

hohe Speicherkapazitat (300 GB bis 2 TB)

hohe Anfalligkeit

hoher Preis

WORM:

geringe Speicherkapazitat (0,7 GB bis 8 GB)

Uberschreibschutz

kein differentielles Backup

keine mehrfache Mediennutzung

sehr geringer Preis

32 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

MedienUSB-Stick


geringer Preis

externe Festplatte


hohe Anfalligkeit

hoher Preis

WORM:


Uberschreibschutz



sehr geringer Preis

32 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

MedienUSB-Stick


geringer Preis

externe Festplatte


hohe Anfalligkeit

hoher Preis

WORM:


Uberschreibschutz



sehr geringer Preis32 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Unterteilung von Daten

MediadateienBilder, Videos, Musik

große Dateienkeine Anderung der InhalteHinzufugen neuer Inhalte

ArbeitsdateienExcel-Sheets, Textdateien, Briefe

kleine Dateienhaufige Anderung bestehender Dateienhinzufugen neuer Inhalte

33 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Unterteilung von Daten

MediadateienBilder, Videos, Musik

große Dateienkeine Anderung der InhalteHinzufugen neuer Inhalte

ArbeitsdateienExcel-Sheets, Textdateien, Briefe

kleine Dateienhaufige Anderung bestehender Dateienhinzufugen neuer Inhalte

33 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Backupkonzepte

Mediadateien

chronologische Reihenfolge (Urlaubsbilder)→ Brennen auf WORM

alphabetische Reihenfolge (Musikarchiv)→ Synchronisieren auf externe Festplatte,zusatzlich Brennen auf WORM

34 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Backupkonzepte

Arbeitsdateien

Excel-Sheets, Textdateien, Briefe→ Synchronisieren auf USB-Stickzusatzlich regelmaßiges Archivieren auf WORM

35 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

weitere Ratschlage

“Outlook”-Daten: groß, haufige Anderungen→ Outlook-Archivierungs-Fkt. an Backupzyklusanpassen

Synchronisierungsskript (Windows) auf Rsync-Basishttp://www.heise.de/ct/ftp/06/09/126

36 / 38

http://www.heise.de/ct/ftp/06/09/126

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

weitere Ratschlage

Vermeiden: gemeinsames Backup Arbeitsdaten +Mediadaten (hoher Zeitaufwand)

Tipp: Truecrypt-Partition (2 GB oder 4 GB)kombiniert Verschlusselung + Datensparsamkeit→ Partition sichern auf WORM oder USB-Stick

37 / 38

Datenrettung

Festplattenaufbau




Testdisk - Undelete


Backupkonzepte

Medientypen

Datentypen

Backupkonzepte

Kontakt

Kontakt

Christian FranzenMail: [email protected]: 0x46CA2565

Quellen:Heise C’t Backup-Tool: http://www.heise.de/ct/ftp/06/09/126

PC-Guide.com: http://pcguide.com

Wikipedia: http://wikipedia.org

Webprasenz zu Testdisk: http://www.cgsecurity.org/wiki/TestDisk

Testdisk-Wiki (deutsch): http://www.cgsecurity.org/wiki/Ausf%C3%BChren von TestDisk

Computerbase-Artikel zur Datenrettung mittels Testdisk

http://www.computerbase.de/artikel/hardware/laufwerke/2008/beratung datenrettung testdisk

38 / 38

http://www.heise.de/ct/ftp/06/09/126

http://pcguide.com

http://wikipedia.org

http://www.cgsecurity.org/wiki/TestDisk

http://www.cgsecurity.org/wiki/Ausf%C3%BChren_von_TestDisk

http://www.computerbase.de/artikel/hardware/laufwerke/2008/beratung_datenrettung_testdisk