Corrupte FAT partitie recoveren onder Linux

[dawuss]

Ik heb basically hetzelfde probleem als de topicstarter van Fat reparaties onder linux : lekker op vakantie geweest, thuisgekomen en aii, geheugenkaartje corrupt. Onder linux er direct met dd een image van getrokken en vanaf daar de nodige diagnostische tools overheen gehaald, met helaas nog geen teruggevonden data als resultaat:

De partitietabel lijkt nog in orde:

dawuss@papaya:~$ sudo fdisk -l /dev/loop1

Disk /dev/loop1: 64 MB, 64749568 bytes
16 heads, 32 sectors/track, 247 cylinders
Units = cylinders of 512 * 512 = 262144 bytes

      Device Boot      Start         End      Blocks   Id  System
/dev/loop1p1   *           1         246       62960    6  FAT16

loop2 is een dump van de partitie zelf:

dawuss@papaya:~$ sudo fsck.vfat -rtlV -v /dev/loop2
dosfsck 2.11 (12 Mar 2005)
dosfsck 2.11, 12 Mar 2005, FAT32, LFN
Checking we can access the last sector of the filesystem
Boot sector contents:
System ID "PwrShot "
Media byte 0xf8 (hard disk)
       512 bytes per logical sector
      2048 bytes per cluster
         1 reserved sector
First FAT starts at byte 512 (sector 1)
         2 FATs, 16 bit entries
     62976 bytes per FAT (= 123 sectors)
Root directory starts at byte 126464 (sector 247)
       512 root directory entries
Data area starts at byte 142848 (sector 279)
     31410 data clusters (64327680 bytes)
32 sectors/track, 16 heads
        32 hidden sectors
    125920 sectors total
Starting check/repair pass.
Both FATs appear to be corrupt. Giving up.

dosfsck benadert de partitie dus als FAT32, terwijl deze 16-bits is. In dit linuxjournal artikel staan nog wat dingen die ik geprobeerd heb, maar eveneens tevergeefs.

Kan iemand me hier in de goede richting helpen bij het recoveren van mijn FAT? Ik zou m'n vakantiefoto's graag nog eens terugzien namelijk

[DataGhost]

Volgens mij is dat FAT32 wat je ziet gewoon een soort version string ofzo, ik zie toch duidelijk dat ie FATs met 16-bit entries heeft gevonden. Ik weet niet of er vergelijkbare tooltjes zijn voor NOS maar GetDataBack zoekt de bestanden terug zonder de FAT te gebruiken, dat is waarschijnlijk de enige optie die je nog hebt.

[u_nix_we_all]

Het is mij destijds niet gelukt om de FAT16 te herstellen.
Het lijkt er inderdaad op dat voor FAT16 de tools niet aanwezig zijn.

Ik ben toen bezig geweest met grep en dd, en heb toen wel het meeste terug kunnen krijgen.

[Verwijderd]

Waar ik veel FAT- en NTFS-recovery succes mee heb gehad, is GetDataBack. Dat is een payware Windows-programma. Er is een demo waarmee je kan controleren of het programma je data kan vinden. Je moet het kopen ($70) om de data daadwerkelijk te recoveren.

[igmar]

dawuss schreef op maandag 02 april 2007 @ 11:41:
loop2 is een dump van de partitie zelf:
[cmd]dawuss@papaya:~$ sudo fsck.vfat -rtlV -v /dev/loop2
dosfsck 2.11 (12 Mar 2005)
dosfsck 2.11, 12 Mar 2005, FAT32, LFN

dosfsck benadert de partitie dus als FAT32, terwijl deze 16-bits is.

Daar vraag je tenslotte zelf om : vfat is per definitie fat32. D'r is ook een fsck.msdos, en die snapt wel 16 bits FAT.

[dawuss]

igmar schreef op maandag 02 april 2007 @ 14:08:
[...]


Daar vraag je tenslotte zelf om : vfat is per definitie fat32. D'r is ook een fsck.msdos, en die snapt wel 16 bits FAT.

Nope, fsck.msdos is exact hetzelfde als fsck.vfat (symlink naar dosfsck).

Verder wil ik het wel graag bij *nix tools houden. Ik heb zelf geen Windows-machine en sowieso heb ik eigenlijk weinig zin om $70,- uit te geven voor een commerciëel pakket

[igmar]

dawuss schreef op maandag 02 april 2007 @ 14:14:
Nope, fsck.msdos is exact hetzelfde als fsck.vfat (symlink naar dosfsck).

Dat zegt op zich niks. Ik heb de source bekeken, maar die andere naam dit in dit geval niks speciaals.

Ben je alleen geinteresseert in de foto's ? Dan kan ik je photorec aanbevelen. Gratis en goed, daarna kun je de flashkaart simpelweg formatteren

[dawuss]

igmar schreef op maandag 02 april 2007 @ 15:00:
[...]


Dat zegt op zich niks. Ik heb de source bekeken, maar die andere naam dit in dit geval niks speciaals.

Ben je alleen geinteresseert in de foto's ? Dan kan ik je photorec aanbevelen. Gratis en goed, daarna kun je de flashkaart simpelweg formatteren

Dat is inderdaad wat ik wil. Ondertussen heb ik een groot deel van de foto's terug op een soortgelijke manier: met jpeg-extractor. Helaas is een groot deel wel corrupt.

[Pim.]

Een memorystick heeft geen partities alleen volumes
Ik doe dit soort dingen voor mijn beroep en gebruik voor een image maken FTK imager lite. Daarna kan ik dan met EnCase of de Forensic Toolkit de data wel terug halen. Maar dat is vanuit het werk

Onder Linux doe ik het met Linen (een image proggie van EnCase)
GetDataBack heb ik goede dingen overgelezen in de bladen, dus dat zou een serieuze optie zijn.

mocht dat niet lukken mail je me maar een image gemaakt met FTK imager en kijk ik er wel naar

ik ben wel benieuwd of ik meer kan terug halen

[ Voor 9% gewijzigd door Pim. op 02-04-2007 15:18 ]

[moto-moi]

dawuss schreef op maandag 02 april 2007 @ 14:14:
[...]

Nope, fsck.msdos is exact hetzelfde als fsck.vfat (symlink naar dosfsck).

Soms willen programmeurs wel eens ranzige trucs uithalen zoals het kijken naar de filename waarmee het programma is aangeroepen en daar dan ander gedrag aan vasthangen.
* moto-moi heeft een paar van dat soort tooltjes bij nagios gevonden en het zou me niet verbazen als dat bij deze tools ook zo is

[dawuss]

moto-moi schreef op maandag 02 april 2007 @ 15:20:
[...]

Soms willen programmeurs wel eens ranzige trucs uithalen zoals het kijken naar de filename waarmee het programma is aangeroepen en daar dan ander gedrag aan vasthangen.
* moto-moi heeft een paar van dat soort tooltjes bij nagios gevonden en het zou me niet verbazen als dat bij deze tools ook zo is

* dawuss shivers in awe

Anyway, bij fsck is dat niet zo (had ik ook al geprobeerd, in verschillende bronnen op internet gebruiken ze de tools ook doorelkaar).

[moto-moi]

dawuss schreef op maandag 02 april 2007 @ 15:37:
[...]

* dawuss shivers in awe

C:

len = strlen(progname);
        if(len > 6 && !memcmp(progname, "check_", 6)) {
                SERVICE = progname + 6;
                for(i = 0; i < len - 6; i++)
                        SERVICE[i] = toupper(SERVICE[i]);
        }

        /* set up a resonable buffer at first (will be realloc()'ed if
         * user specifies other options) */
        server_expect = calloc(sizeof(char *), 2);

        /* determine defaults for this service's protocol */
        if (!strncmp(SERVICE, "UDP", 3)) {
                PROTOCOL = IPPROTO_UDP;
        }
        else if (!strncmp(SERVICE, "FTP", 3)) {
                EXPECT = "220";
                QUIT = "QUIT\r\n";
                PORT = 21;
        }

Tis wel creatief

Anyway, bij fsck is dat niet zo (had ik ook al geprobeerd, in verschillende bronnen op internet gebruiken ze de tools ook doorelkaar).

OK, in dat geval moet je je fat opbouwen zonder de originelen, geen idee welk linuxprogramma dat kan

[Pim.]

Fat hoeft nog niet eens opgebouwd te worden, een simpele datacarve in de rauwe data op headers en footers van de image bestanden is genoeg.

neemt niet weg dat het corrupte gedeelte daarwerkelijk weg is

[blaataaps]

dawuss schreef op maandag 02 april 2007 @ 15:37:
[...]

* dawuss shivers in awe

Heel busybox (de basis voor veel kleine en installatie-systemen) is op dit principe gebaseerd

[u_nix_we_all]

Pim. schreef op maandag 02 april 2007 @ 15:52:
Fat hoeft nog niet eens opgebouwd te worden, een simpele datacarve in de rauwe data op headers en footers van de image bestanden is genoeg.

neemt niet weg dat het corrupte gedeelte daarwerkelijk weg is

Hangt er ook wel een beetje vanaf; als je de kaart na het formatteren achter elkaar volgeschoten hebt, zullen de foto's als aaneengesloten blokken terug te vinden zijn. Maar het kan ook dat je eerst een zooitje foto's schiet, er dan 1 of 2 van weggooit, en dan weer verder schieten. In dat geval heb je kans dat foto's verdeeld over meerdere niet aaneengesloten blokken zijn, en dan wordt het vrij lastig.