Herstel corrupte/verdwenen macOS partitie

[MFR90]

Beste Tweakers,

Tijdens eeen trip voor werk afgelopen week is de partitie(tabel?) van mijn SSD corrupt geraakt. De schijf heeft nu slechts een enkele RAW indeling.
Ik heb met behulp van DiskDrill alle bestanden kunnen redden, maar ik zou graag ook de partitie herstell, en. DiskDrill kan geen partitie vinden/herkennen, dus ik zou graag aternatieven weten.

Heeft er iemand ervaring met- of tips m.b.t. het herstellen van de partitie (of partitietabel)?

Alvast bedankt!

[WhatsappHack]

@MFR90 Probeer je geluk eens met https://www.cgsecurity.org/wiki/TestDisk
Vind ik persoonlijk een van de beste en fijnste tools voor dit soort werk.

[ Voor 34% gewijzigd door WhatsappHack op 10-08-2019 13:47 ]

[MFR90]

WhatsappHack schreef op zaterdag 10 augustus 2019 @ 13:46:
@MFR90 Probeer je geluk eens met https://www.cgsecurity.org/wiki/TestDisk
Vind ik persoonlijk een van de beste en fijnste tools voor dit soort werk.

Ik ben inmiddels met TestDisk aan de slag aan het gaan, en hij is ellenlang aan het scannen. Het was niet geheel intuitief welke partitionering ik moest kiezen, vanwege de (Legacy) die bij Mac er achter staat...

Fingers Crossed!

[WhatsappHack]

@MFR90 Ellenlang? Het zou een paar seconden moeten duren normaal gesproken.
Hoe ga je er precies in?

diskutil list, vind device identifier (/dev/diskX)
-edit- ^^ let op, als je een encrypted HFS+ volume hebt raak dan niet in de war tussen de twee disks die verschijnen; je moet de werkelijke hardware hebben, niet de container.
sudo ./testdisk /dev/diskX
"Select a media", enter als de schijf grijs is
Selecteer "Mac" <enter>
Seleteer "Analyse" <enter>
Als het goed is staat "Quick search" onderin beeld geselecteerd, druk nogmaals op enter.
Nu gaat ie scannen, binnen een paar seconden moet je resultaat hebben met je partities.
(Als ie niets vindt om te recoveren kan je een diepere scan doen, die kan wel even duren!)

Als je de schijf niet met Schijfhulpprogramma hebt geformatteerd kan het overigens zou zijn dat je een EFI GPT moet selecteren in plaats van Mac, maar dan geeft ie meestal zelf al aan dat "Partitions that cannot be recovered: <lijstje>".

[ Voor 16% gewijzigd door WhatsappHack op 10-08-2019 15:14 ]

[MFR90]

Ik heb de schijf nu in een enclosure aan mijn Win-PC op mijn werk hangen. Als ik testdisk open, dan krijg ik de opties

Use arrow keys to select, then press Enter key:
>[ Create ] Create a new log file
[ Append ] Append information to log file
[ No Log ] Don't record anything

Na [ Create] te kiezen, krijg ik

Select a media (use Arrow keys, then press Enter):
>Disk /dev/sda - 256 GB / 238 GiB - KXG60ZNV256G NVMe TOSHIBA 256GB
Disk /dev/sdb - 2000 GB / 1863 GiB - WD Ext HDD 1021
Disk /dev/sdc - 512 GB / 476 GiB - ASMT 2115
Disk /dev/sdd - 15 GB / 14 GiB
Drive E: - 15 GB / 14 GiB

en vervolgens

Please select the partition table type, press Enter when done.
[Intel ] Intel/PC partition
[EFI GPT] EFI GPT partition map (Mac i386, some x86_64...)
[Humax ] Humax partition table
[Mac ] Apple partition map (legacy)
[None ] Non partitioned media
[Sun ] Sun Solaris partition
[XBox ] XBox partition
[Return ] Return to disk selection

Wat is hier de juiste keuze?

[WhatsappHack]

@MFR90
Dat is afhankelijk van de schijf en waarmee je die geformatteerd en gepartitioneerd hebt.
Het is meestal met redelijk recent geformatteerde schijven EFI GPT of Mac. Het kan normaliter geen kwaad om de verkeerde keuze te maken, hij voert in eerste instantie enkel een scan uit en geeft je resultaten waar je vervolgens iets mee kan doen of niet. Als het resultaat allemaal groen is en het lijkt heel erg op de partitionering die je had, dan is het 99% van de tijd het juiste resultaat en kan je het terugschrijven naar de disk. Geeft ie leipe foutmeldingen of "can't be recovered" dan kan je kiezen om dan niet verder te gaan.

Gezien ie op Windows blijkbaar ook met de /dev bla werkt kan je ook testdisk /dev/sdX als commando invoeren, dan springt ie als 't goed is rechtstreeks naar de gewenste schijf.
Let wel goed op dat je de juiste disk scant, niet dat je opeens gaat proberen je interne schijf te recoveren ofzo. Ik gok dat het in jouw geval om /dev/sdc gaat?

[ Voor 12% gewijzigd door WhatsappHack op 10-08-2019 16:37 ]

[johnkeates]

Wat probeer je nu waarmee te 'scannen'? Als je een relatief recente Mac hebt met een van de laatste paar major versies macOS heb je APFS en dat kan bijna niks 'scannen'. Op Windows en Linux nagenoeg totaal niet en op macOS kom je bij spul als DR3 van ProSoft uit (https://www.prosofteng.com/mac-data-recovery/)

Als je partitietabel stuk is en je filesystem en containers niet meer werken, dan is een complete scan de enige optie en dat duurt verrekte lang.

[MFR90]

Inmiddels ben ik zover gekomen na een quick search

Partition Start End Size in sectors
1 P EFI System 40 409639 409600 [EFI System Partition]
2 P Apple APFS 409640 1000215175 999805536 [Macintosh HD]

echter weet ik niet wat nu de vervold stap is.

[johnkeates]

De vervolgstap is dat je een disk image maakt, daar je partitietabel op wegschrijft en daarna je APFS containers op macOS start. Wat je nu in elk geval hebt staan lijkt wel op een normale APFS setup.

Op een normale macOS disk staat:

code:

   #:                       TYPE NAME                    SIZE       IDENTIFIER
   0:      GUID_partition_scheme                        *1.0 TB     disk0
   1:                        EFI EFI                     209.7 MB   disk0s1
   2:                 Apple_APFS Container disk1         999.7 GB   disk0s2

En dat komt aardig overeen met wat jij hebt gevonden.

[ Voor 66% gewijzigd door johnkeates op 10-08-2019 16:49 ]

[WhatsappHack]

@MFR90 Als je comfortabel bent met de output (en ik ben het met @johnkeates eens dat dat er verdacht veel uitziet als een healthy drive, precies dezelfde partities - dat biedt in ieder geval goede hoop ), dan kun je op dat scherm waar je nu zit op Q drukken op je toetsenbord. Dan verschijnt de partitietabel die ie wilt schrijven en kun je rechtsonderin naar 'Write" navigeren, zou het klaar moeten zijn en moet je Mac hem weer herkennen. Vind je het eng en wil je zeker weten dat er niets fout gaat, dan kan je altijd nog eerst een image maken van de drive met bijvoorbeeld dd of CloneZilla; maar gezien je zegt toch al alle data te hebben hersteld kan je dan misschien net zo goed de schijf formatteren en handmatig de bestanden weer terugzetten.

[ Voor 4% gewijzigd door WhatsappHack op 10-08-2019 18:39 ]

[MFR90]

WhatsappHack schreef op zaterdag 10 augustus 2019 @ 18:37:
@MFR90 Als je comfortabel bent met de output (en ik ben het met @johnkeates eens dat dat er verdacht veel uitziet als een healthy drive, precies dezelfde partities - dat biedt in ieder geval goede hoop ), dan kun je op dat scherm waar je nu zit op Q drukken op je toetsenbord. Dan verschijnt de partitietabel die ie wilt schrijven en kun je rechtsonderin naar 'Write" navigeren, zou het klaar moeten zijn en moet je Mac hem weer herkennen. Vind je het eng en wil je zeker weten dat er niets fout gaat, dan kan je altijd nog eerst een image maken van de drive met bijvoorbeeld dd of CloneZilla; maar gezien je zegt toch al alle data te hebben hersteld kan je dan misschien net zo goed de schijf formatteren en handmatig de bestanden weer terugzetten.

Alles lijkt groen, en TestDisk geeft uiteindelijk dit aan:

Disk /dev/sdc - 512 GB / 476 GiB - CHS 62260 255 63
Partition Start End Size in sectors
>P EFI System 40 409639 409600 [EFI System Partition] [EFI]
P Mac HFS 2755283 897889301 895134019 [0CBE73F9E4AA38415990ABCE0E2]
P Mac HFS 925797948 925947347 149400 [D8M-v^SE,vjE~ EM-4!EM-vo~VDM-(h M-=
P Mac HFS 981618000 982668559 1050560
P Mac HFS 986659250 988707169 2047920
Structure: Ok. Use Up/Down Arrow keys to select partition.

Ik maak voor de zekerheid eerst overnacht nog even een 1-op-1 clone en dan ga ik morgen de partitietabel schrijven.

Dank voor alle hulp tot zover beide!

[WhatsappHack]

@MFR90 Had je meerdere partities op die schijf?

[MFR90]

Nee, had ik niet. Derhalve vreemd dat hij na de EFI GPT search dat aangeeft. Nieuwe search met [MAC] is in prep.

[MFR90]

@WhatsappHack Update;
Ik heb overnacht met DiskDrill een image van de schijf gemaakt. Vanmorgen een "Quick Scan" gedaan met EFI GPT en dan vindt hij 4 HFS partities, hoewel het 1 APFS zou horen te zijn (ik kan me niet herrineren welke instelling ik gister gebruikte toen ik wel een enkele APFS partitie als resultaat kreeg). Ik heb echter zonder er goed over na te denken de partitietabel wel naar de schijf uitgeschreven. Ik ben nu aan het herscannen met Apple legacy. Is dit de juiste vervolgstap? Of kan ik de partitietabel verwijderen of in het ergste geval beter de diskimage terugzetten?

Nota bene: Quick Scans duren in any case heel erg lang in de huidige set up. TestDisk analyseert ongeveer 1 cylinder per seconde... kan dit komen omdat de schijf in een externe enclosure zit?

[Jrz]

Is dit je interne of een externe ssd?
M’n broertje HD een MacBook een aantal jaar terug die het probleem van ssd corruptie had. Daar kan je iig niets aan doen volgens mij

[WhatsappHack]

@MFR90 Ja vandaar dat ik het vroeg, dat was een raar resultaat en zag er ook vaag uit; vroeg me al af of ‘t wel slim was om dat resultaat te gaan schrijven ipv die eerste output met maar 2 partities. Als je weer scant zóu hij in principe weer de EFI + APFS moeten zien en kan je de tabel dacht ik overschrijven. Ik gok dat je in “Mac” modus scande toen je ‘t juiste resultaat kreeg? (Dat was ook de bedoeling als ie onder MacOS gepartitioneerd was.) Je kan t dus opnieuw proberen in die modus en anders als dat niet werkt idd image terugschrijven en dan weer scannen.

Ja, als de enclosure leip doet kan het traag worden. Al heb ik ‘t niet eerder gezien, maar zeker de vage cheapass dingen kunnen soms echt raar doen. Dan zit er niets anders op dan inbouwen in je PC of de scan uitzitten.

[ Voor 7% gewijzigd door WhatsappHack op 12-08-2019 00:00 ]

[MFR90]

WhatsappHack schreef op zondag 11 augustus 2019 @ 23:58:
@MFR90 Ja vandaar dat ik het vroeg, dat was een raar resultaat en zag er ook vaag uit; vroeg me al af of ‘t wel slim was om dat resultaat te gaan schrijven ipv die eerste output met maar 2 partities. Als je weer scant zóu hij in principe weer de EFI + APFS moeten zien en kan je de tabel dacht ik overschrijven. Ik gok dat je in “Mac” modus scande toen je ‘t juiste resultaat kreeg? (Dat was ook de bedoeling als ie onder MacOS gepartitioneerd was.) Je kan t dus opnieuw proberen in die modus en anders als dat niet werkt idd image terugschrijven en dan weer scannen.

Ja, als de enclosure leip doet kan het traag worden. Al heb ik ‘t niet eerder gezien, maar zeker de vage cheapass dingen kunnen soms echt raar doen. Dan zit er niets anders op dan inbouwen in je PC of de scan uitzitten.

Dat is wat ik nu wil gaan doen inderdaad. Ik moet nog even uitvogelen met welke software ik handig de partitie terug kan schrijven...

[Jrz]

Ah. Extern. Ik zou hem lekker ff inbouwen. Ik heb al best veel controllers kapot ziet gaan van enclosures.

[WhatsappHack]

@MFR90 Met TestDisk? Of wat bedoel je nu precies?

[MFR90]

WhatsappHack schreef op maandag 12 augustus 2019 @ 17:41:
@MFR90 Met TestDisk? Of wat bedoel je nu precies?

Ik heb een nieuwe scan gedaan, maar zelfs met de Mac Legacy versie krijg ik niet hetzelfde resultaat wat ik de eerste keer had, en dus meerdere partities. (Dwz niet de "gezonde schijf" die ik op het begin postte, maar de rare uitkomst met de 4 HFS partities).

Ik heb met DiskDrill een kopie image gemaakt van de gehele HD (.dmg file). Deze wil ik terug zetten op de HD en dan from scratch TestDisk nog een keer runnen. Probleem is dat is daar nog geen goede software voor heb gevonden, en ik gebonden ben aan mijn werk-windows PC voor al deze capriolen..

Mocht je een betere approach hebben, dan hou ik me aanbevolen!

[MFR90]

@WhatsappHack
Korte update;
Overnacht heb ik met behulp van transMac (trial) de .dmg teruggeschreven naar de schijf. Interessant genoeg kon transMac de .dmg netjes openen, en kon ik mijn hele schijfindeling daar zien.. Onverwacht! Dit gaf wat valse hoop, want bij terugplaatsen in mijn MBP kon hij nogsteeds niet booten.

Zojuist TestDisk weer opgestart. Bij het selecteren van de schijf en voortgang met ESI GPT indeling geeft hij (zonder search) volgende aan:

Disk /dev/sdb - 512 GB / 476 GiB - CHS 62260 255 63
Current partition structure:
Partition Start End Size in sectors
1 P EFI System 40 409639 409600 [EFI System Partition]
2 P Apple APFS 409640 1000215175 999805536 [Macintosh HD]
P=Primary D=Deleted
>[Quick Search] [ Backup ]
Try to locate partition

Echter geeft het zoeken in deze modus de versprijde HFS indelingen. Zonder zoeken lijkt TestDisk dus de juiste indeling te herkennen. Ook transMac lijkt de partitie goed te herkennen. Alleen het booten in mijn MBP lukt dus niet.. Enig idee wat ik hiermee moet?

[MFR90]

@WhatsappHack
Zojuist een kleine stroke of genious gehad;
Aangezien Testdisk de partities "gezond" weergeeft en Windows de HD lijkt te herkennen in TransMac, kan hij niet corrupt zijn. Vervolgens de HD kabel vervangen (ik heb nog een orgaandonor MBP liggen) en de Mac werkt weer als een zonnetje!

Dank voor het meedenken en alle hulp!

[WhatsappHack]

@MFR90 Kijk, dat is goed nieuws! Gefeliciteerd, goed gedaan en geen dank!