[XP] Documents en Settings verdwenen

[Sando]

Help!

Ooit had ik mijn hele gebruiker in de map Documents and Settings ge-encrypt met EFS (NTFS dus), maar omdat sommige installers daar tijdelijk uitpakken en dan bestanden rond het systeem slingeren die nog EFS encrypted zijn besloot ik de boel te decrypten.

Dat zou een slordige 9 uur duren, dus ik zou het voortzetten wanneer ik toch slaap. Cancel dus. En dat heb ik vaker gedaan (cancellen tijdens decrypten), en wat er dan gebeurt is dat een aantal bestanden of mappen gewoon gedecrypt zijn en de rest niet.

Maar nu, na een reboot, is ALLES WEG! Ik krijg een default profiel, maar al mijn application settings, gecachte wachtwoorden, 10 gigabyte aan school- en werk spul in Mijn Documenten, allemaal weg! Als ik dat ook maar een beetje voor ook mogelijk heb had gehouden had ik dit nooooit gedaan zonder nieuwe backups te maken!

Wat kan ik doen?

Eerst heb ik natuurlijk wat recoverytools geprobeert. Ik weet niet of ze niets vinden omdat ze EFS signaturs niet kunnen lezen of wat, maar slechte resultaten:

TestDisk-6.10-win geprobeert, vindt geen losse bestanden.
EasyRecovery Pro geprobeert, vindt niets.
Recuva geprobeert, vindt alleen de cache4 map + contents van Opera.

Ik wil eerst een dd image (via linux die ik kan dubbelbooten) maken voordat de boel verder stuk gaat en dan gewoon checkdisk ofzo.. mss krijg ik dan 1000 van die .chk bestandjes en dan heb ik er nog wat aan, maar ik denk dat chkdsk.exe van voor EFS is..

Ik heb mijn certificaten gewoon voor elkaar. Als er iets is - een manier op aarde - om EFS encrypted files (inclusief encryptie natuurlijk - ik ken domme "ik ben mijn certificat kwijt, kan ik mijn bestanden recoveren" discussies) terug te halen dan zou me dat heel veel problemen schelen!

[NielsNL]

Ik heb hier niet veel ervaring mee, maar klopt je mapgrootte nog? Of heb je allemaal losse flarden bestanden op je schijf staan, die voor je het weet overschreven gaan worden?

[Sando]

Oeh ik heb mijn mapgrootte niet gecontroleerd, van schrik heb ik meteen mijn computer gereboot in Linux vanaf een andere schijf.

Als ik nu met ntfs-3g de schijf in linux mount, dan zie ik al mijn bestanden wel, wat natuurlijk heel cool is, maar als ik ze probeer te kopieren krijg ik foutmeldingen:

Error while copying "bestandsnaam":
Permission denied

wat natuurlijk komt door de EFS.

Ik weet werkelijk niet waarom Windows ze kwijt is en Linux ze nog ziet staan. ntfs-3g kan mijn certificaten niet gebruiken (http://www.ntfs-3g.org/support.html#compressed), maar ik durf echt niet in Windows te booten want zoals je zegt, alles staat op het punt overschreven te worden. Windows had namelijk wel een aantal mappen opnieuw aangemaakt, maar dan leeg.

[ Voor 5% gewijzigd door Sando op 28-11-2008 19:37 ]

[Guardian Angel]

Toch maar booten en systeemherstel de boel laten fixen? Tenzij je naast het niet maken van backups óók systeemherstel uit heb staan natuurlijk.

[Noork]

Kun je welllicht met een andere hd opstarten?

[Sando]

@Guardian Angel:
Je kan ook reageren zonder sarcasme. Dat ik de boel kwijt ben geraakt maakt dit topic grappig genoeg.
Ik dacht trouwens dat systeemherstel geen documenten meenam. Anyway, systeemherstel staat uit ja.

@Noork:
Ja, zoals gezegt heb ik dat nu ook gedaan. Genoeg boot-opties. Maar de truuk is dat ik mijn bestanden terug wil.

Ik ben nu een dd image aan het maken voordat ik weer in iets microsofts ga booten. Duurt ff want de hele partitie is 100 GB. Ondertussen ga ik maar even eten halen in de supermarkt.

[Guardian Angel]

Sando schreef op vrijdag 28 november 2008 @ 20:17:
@Guardian Angel:
Dat ik de boel kwijt ben geraakt maakt dit topic grappig genoeg.

Het gaat erom dat je met systeemherstel je settings e.d. terug kunt krijgen. Al haal je maar een paar % van je documenten terug, het is beter dan helemaal niets.

offtopic:
Ik zie geen sarcasme maar je toont daarentegen weinig respect voor een medegebruiker van dit forum die jou tracht te helpen. Voor iemand die vrijwel alleen maar topics opent is dat natuurlijk absurd.

[ Voor 3% gewijzigd door Guardian Angel op 28-11-2008 20:37 ]

[Sando]

Normaal gesproken heb ik dat (systeemherstel) helemaal niet nodig. Ik heb een TB speciaal voor backups. Sysherstel vind ik alleen maar irritant. Heb ik met een reden uitgezet. Ik weet er alles van. Als ik dat aan had staan was ik er wel opgekomen.

Mijn grote vergissing is het vergeten mijn backupscripts te updaten geweest nadat ik Documents and Settings van de C- naar de D-schijf heb verplaatst.

Na de DD image probeer ik eerst gewoon Windows' checkdisk. Misschien is alles dan gewoon goed, maar zo niet dan kan ik de image wel in een virtuele machine mounten en ben ik erg benieuwd naar salvage mogelijkheden van pientere tweakers met meer kennis dan ik.

offtopic:
Ik zie dat je meer moeite neemt om te onderzoeken hoe je mij offtopic de les kunt lezen dan ontopic met meerwaarde komt. Een karactertrekje van sarcasten. Misschien dat we in dit geval allebei beter af zijn als je mij gewoon niet probeert te helpen.

[Verwijderd]

@TS: Je hoeft niet zo te reageren hoor, het is nogal logisch dat als je data verliest mensen naar je backup mogelijkheden vragen.

Je begrijpt zelf ook dat het niet slim is om niet te backuppen, zeker voordat je een operatie op je files gaat doen die 9 uur gaat duren. Als je dan ook nog alle ingebouwde valnetten van Windows uitzet omdat je die irritant vind dan ben je niet goed bezig.

Het is beter om helemaal niet te reageren op dat soort opmerkingen, dan blijft het allemaal een stuk gezelliger. Statements als "Normaal gesproken heb ik dat helemaal niet nodig." en "Ik weet er alles van." zijn dan ook niet handig nadat je zo'n grote fout hebt gemaakt.

Ik vind het erg vreemd dat je een access denied krijgt als je vanuit Linux een file probeert te kopieren, ik zou verwachten dat je een geencrypt bestand krijgt waar je niets mee kunt.

Daarnaast heeft Guardian Angel gewoon helemaal gelijk, je verwacht wel hulp maar je helpt andere mensen niet...

[ Voor 6% gewijzigd door Verwijderd op 28-11-2008 21:17 ]

[Sando]

Ik vond het anders een gemene opmerking maar dat zal aan mij liggen. Mijn excuses voor mijn ongepaste communicatie.

De ntfs-3g driver is inmiddels erg sophisticated en weet wanneer een bestand encrypted is. Ik denk dat het gewoon de toegang weigert als nettere afhandeling dan wanneer gewoon 'junk' wordt geopend alsof er niets aan de hand is.

Het gewoon kopieren van deze junk is iets wat ik wel zou kunnen gebruiken. Als de DD klaar is zou ik nog eens kunnen proberen een oude liveCD te downloaden van linux waar een vroege versie van ntfs-3g inzit, misschien deed ie het toen wel gewoon.

offtopic:
Over dat helpen, offtopic wel belangrijk zo te merken, tja, op het ene forum ben je meer aan het vragen en op het andere ben je meer aan het antwoorden. Het heeft te maken met de hoeveelheid mensen die je voor zijn, de relevante kennis die je kunt geven, en de tijd die je er rondbrengt. Zelf zeg ik nooit tegen veel vragende mensen op forums waar ik vaak antwoordt dat ze wat meer moeten antwoorden voor ik ze gelijk behandel. Dat is serieus - zonder sarcasme - typisch een instelling die ik alleen op computerfora tegenkom. Ik antwoord omdat ik het leuk vind mijn kennis te delen in gevallen waar ik het gevoel heb dat het er echt toe doet. En ik vraag in kringen waar ik vermoed dat het gemiddelde kennisniveau hoger is dan dat van mijzelf.

[ Voor 44% gewijzigd door Sando op 28-11-2008 21:34 ]

[Verwijderd]

Noujah dan zou je het bestand handmatig kunnen decrypten eventueel.

[Sando]

Hij dd't steeds langzamer.. hoe moeilijk is een 1:1 copy?
Anyway to be continued.. ondertussen zoek ik naar undelete tools die signatures kunnen lezen icm een certificaat. EFS is al zo oud dat ik me kan voorstellen dat zoiets al gemaakt is.

-edit-

Voor mensen die met de search zoeken hoe ze een dd image kunnen mounten:
http://www.mountimage.com/ heeft een gratis 30 dagen versie waarmee je DD images kunt mounten. Read only dus het gaat niet kapot.

http://liveview.sourceforge.net/ (GPL - Free) kan een VMWare readable disk maken van je dd img. Maar is dan niet read-only (!).

[ Voor 42% gewijzigd door Sando op 28-11-2008 21:47 ]

[pedorus]

Sando schreef op vrijdag 28 november 2008 @ 21:39:
Hij dd't steeds langzamer.. hoe moeilijk is een 1:1 copy?

Ik hoop voor je dat je in de haast niet een foutje met dd gemaakt hebt, je zou niet de eerste zijn

En succes met recovery. Ik zou als eerste eens kijken of je de bestanden met "cipher /h" kan zien, net als in unix. Misschien zijn ze enkel verplaatst ofzo. En er zijn inderdaad tools die aan EFS doen (voorbeeld).

[Sando]

Bedankt voor de links. Uiteindelijk was het allemaal niet nodig:

Ik stopte dd na 37GB en herhaalde het met bs=1G count=36 op een nieuwe file om ze daarna met split en cat te mergen. Toen ging het veeeel sneller!

Verder downloadde ik BartPE Builder, maakte een LiveCD en bootte daarmee. Ik zag dat mijn Documents and Settings zo gewoon zichtbaar waren. Ik kon ze echter niet decrypten want de LiveCD had geen certificatenmanager als optie bij de managementconsole.

Iets bracht me op het briljante idee mijn profielfolder even naar iets anders te hernoemen en alles was weer zichtbaar in de problematische XP! Daarom maakte ik een nieuwe gebruiker aan in XP en verving de nieuwe profielmap door mijn hernoemde map (via de adminaccount), maar XP bleef mijn account weigeren.
(Alle profielen weigerden trouwens het start menu van 'all users', vreemd..)

Paar dingen geprobeert nog, dus uiteindelijk besloot ik XP's Repair Install eens te proberen. Die faalde steeds met een BSOD: BAD_POOL_CALLER op precies '34 minutes left'. Vanalles geprobeert met BIOS en aangesloten/ingebouwde hardware, of no avail.

Uiteindelijk vond ik het mooi geweest en zette ik een 3 maand oude image terug. Hiermee dacht ik me een hoop werk op de hals te halen (vandaar dat ik het niet eerder deed), maar omdat mijn Docs and Settings op een andere partitie staat was dit met een junction snel opgelost. Uiteindelijk was de oplossing uitgevoerd in 15 minuten effectieve tijd, en is de achterstand van het image uiteindelijk veel sneller te overkomen dan een fractie van de tijd die ik vandaag in deze grap heb gestopt!

Ik weet, dat verhaal kon veel korter.

[alt-92]

Mooi.

Als de beide kemphaantjes voortaan ook wat minder gepikeerd willen reageren op elkaar stelt de rest van ons op het forum dat ook zéér op prijs.

PS:
En volgende keer gewoon met NTbackup je documenten backuppen + de DRA meenemen van EFS.
Scheelt je een boel gehannes zoals je merkt.

offtopic:
Maar EFS werkt dus wel

[ Voor 36% gewijzigd door alt-92 op 29-11-2008 10:42 ]