Disk 2 - Dynamisk -Ogiltigt, disk verkar vara kass vad göra?

Precis sådana saker som gör att jag skyr MS hittepå med olika virtuella diskar i en frestande form så att noob börja använda dem utan att förstå vad man ger sig in i - det finns en framtid också när ingen längre kommer ihåg hur det en gång var uppsatt eller om det var beroende mellan flera diskar...

Vet du om detta var en ensam disk eller om det tillhörde en diskset med flera diskar och datat kanske är stripat över flera enheter, även om det är som jbod så kan $MFT vara på den andra, nu icke existerande disken och det du ser är datadelen som identifieras nu med programmet letade efter med magic-word och hoppas på att filerna ligger sekventiellt.

ha i minnet att MS kan totalt scrappa diskarna så fort det pluggas in pga missiriktade aktiviteter av 'chkdsk' som körs dolt när man kopplar in en ny disk.

---

innan du börja med proffessiella diskräddningstool (betalvara) som R-studio mfl.

först ett par USB-diskar som är beytdligt större än den disken du skall jobba med - helst med marginal dubbel större för den disken man skall jobba på och så en för backup av diskimage för disken som du har problem med.

de flesta av programmen som man hittar för diskmanipulering och forensic bygger på linuxplattform vare sig man gillar det eller inte.

det beror på att linux/unix har ett naturligt förhållade där man betrakta diskar som en blockenhet som man läsa och skriva direkt som om det vore filer även utan filsystem alls på dem - något som är krångligt göra likadant i windows-världen

med andra ord.

först gör du en backupkopia av den disken du har krångel med - man jobbar aldrig på disk man har problem med - bara på dess diskimagekopia,

man starta en linux på en USB-sticka typ https://www.system-rescue-cd.org/Download/

lägger det på en USB-sticka med typ rufus som hjälp och boota upp din dator där du helst har ingen disk alls inmonterad (och disken du har problem med i en USB-docka som kan senare anslutas, liksom dina externa USB-diskar som du skall arbeta med

när det hela är uppstartad (och du har valt rätt nation på tangentbord...)

börja med 'lsblk <enter>' (efter förutsätts alltid <enter> efter varge kommandorad)

där bör bara 'sda' finnas om du bara hade USB-stickan som du startade upp på.

anslut den USB-disken som du lägga diskimage för backup på.

när det startat upp och man provar med 'lsblk'

så har förmodligen en sdb och en sdb1 dykt upp.

montera sdb1 (som är partionen på disken) med:

'mount /dev/sdb1 /mnt'

med 'cd /mnt/' och 'ls' bör du se eventuella filer på din disk om den hade några sedan innan, jag bruka köra 'mc' för bekvämlighet och med ctrl-o växlar man mellan paneler och terminal

därefter koppla in disk med problem (i USB-dockan)

när det hela varvat upp bör med 'lsblk' dykt upp en sdc och kanske sdc1, sdc2 om det är flertal partitioner.

nu gör vi dock en heldisk-backup - inte partitioner _om_ den finner några partitioner, det görs på den disken som är minst av dina två USB-diskar men skall ändå rymma hela problematiska diskens storlek

detta görs med ddrescue då den är en smula barnsäker mot fatala misstag.

nu kopierar vi hela den trubbliga disken från först till sista sektor till USB-disken som en fil.

'ddrescue /dev/sdc /mnt/diskimage_av_sdc /mnt/logfil_sdc'

nu kommer det vara progress och det kommer ta ett tag - kanske hel dag om disken är på flera TB storlek.

---

när det är klart skall du ta bord USB-disken och lägga undan denna - det är en backup!!

det innan borttagande görs med:

'cd /'

'umount /mnt'

kolla med lsblk

'lsblk'

att disken sdb inte är kopplad till någon mapp

ryck ur sladden för den externa disken och lägg undan denna

nu tar du den stora USB-disken disken - om trubbliga disken är 2TB så bör denna arbetsdisken vara på minst 6TB ledig utrymme, kan gå med 4 TB men...

gör samma procedur som ovan, dvs.

lsblk ; om sdb har kommit tillbaka eller nya disken heter sdd och sdd1 - vi antar att nya USB-disken döptes till sdd

mount /dev/sdd1 /mnt

ls /mnt/* ; bör se enstaka filer här

'ddrescue /dev/sdc /mnt/diskimage_av_sdc /mnt/logfil_sdc'

vänta troligen minst halvdag innan det är klart om stor disk

när det är klart, koppla ur USB-dockan med sladd - behövs inte mer i övningen (den är inte monterad och därmed inget extra innan borttagandet)

imagen kan man prova flera olika sätt om man hittar en windows filsystem även om den inte finns synlig i partitionstabellen

det första man kan prova är med 'file'

file /mnt/diskimage_av_sdc

/mnt/diskimage_av_sdc: DOS/MBR boot sector MS-MBR XP english at offset 0x12c "Invalid partition table" at offset 0x144 "Error loading operating system" at offset 0x163 "Missing operating system", disk signature 0x4766211d; partition 1 : ID=0x7, active, start-CHS (0x3ff,254,63), end-CHS (0x3ff,254,63), startsector 1024, 407616001 sectors

sista raden är det intressanta och dess startsektor 'startsector 1024' måste multipliceras med 512, mount vill ha i antal byte offset då det är 512 byte/sektor vilket blir 524288 byte i offset.

men innan mount måste vi skapa en mapp att montera diskimagen emot

'mkdir /mnt1'

prova att montera partionen i readonly mode. - om NTFS är nedstängd 'dirty' (dvs inte hållt skift nere när man stänger av windows så är filsystemet öppet och då vill det inte montera i read/write)

mount -t ntfs /mnt/diskimage_av_sdc /mnt -o loop,offset=524288,ro

om allt fungerar bra så kommer du att hitta dina filer under /mnt1 och kan
flytta dessa till tex. /mnt/ - görs enklast med 'mc'

---

Är partitionen borta eller det hela är förskjutet i någon ytterligare partitions-kapsling för den virtuella filsystemet och man vet att ntfs förhoppningsvis finns där någonstans - så kan man försöka leta efter starten på ntfs-filsystemet

då kan man med cat och grep försöka hitta ett magic number "NTFS " - observera att 4 mellanslag ingår i magick number efter NTFS (försvinner i forum-visningen)

cat  /mnt/diskimage_av_sdc | grep  -a -o -b "NTFS    "

fösta träffen bruka gå ganska fort och ser liknande:

524291:NTFS
126677916:NTFS
314879600:NTFS
535166206:NTFS
535226276:NTFS
1174170136:NTFS

ser man på tex https://en.wikipedia.org/wiki/NTFS en bit ned under rubriken "Partition Boot Sector (VBR)"

så ser man att 'N' i "NTFS " är på position 0x03. - alltså fjärde positionen från starten av NTFS-filsystemet och skall backas 3 steg för position 1 (0x00)

det betyder att "524291:NTFS" som var den första raden som spottades så skall dess byte-värde minskas 3

dvs 524291 - 3 = 524288 - en siffra vi känner igen från tidigare i texten och kan då monteras med

mount -t ntfs /mnt/diskimage_av_sdc /mnt -o loop,offset=524288,ro

precis som innan.

hittar man inte någon 524291:NTFS utrapporterat när man kör

  cat  /mnt/diskimage_av_sdc | grep  -a -o -b "NTFS    "

trots att man kört igenom hela diskimagen så är prognosen extremt låg att hitta någon duglig NTFS-filsystem i diskimagen och då likaså med någon kommersiell diskräddningsprogram.

dock kan man prova med lite program liknande

https://eforensicsmag.com/extracting-data-damaged-ntfs-drives...
https://www.caine-live.net/

bara tagen hur högen när det gäller forensic-paket när man skall gräva på diskar - de flesta ligger på linux och att skriva olika kommandon i terminal... vill man klicka och dra i gui i windows så är det kommersiella diskräddningsprogram som gäller och det är ingen garanti att de lyckas bättre heller - det finns många med olika kvalitet och att prova och betala för var och en blir lätt dyrt...

när det är klart så kan man avmotera filerna med umount /mnt och umount /mnt1

och sedan stänga av datorn och ta ut sin USB-bootsticka - koppla in de vanliga diskarna och radera diskimagefilerna när man bedömmer att det inte behövs längre