Undelete für vfat-Partionen

[Thomas Sachs]

Hi an alle,

ich habe vorhin leider meine Digitalkamera via USB an mein Kubuntu-Notebook
angeschlossen und vor lauter Unfähigkeit die Bilder auf der in vfat
formartierten Karte gelöscht. Gibt es unter Linux ein Tool, mit welchem ich
einen Wiederherstellungsversuch starten kann?

Danke für eventuelle Tipps!

Thomas Sachs

[Heiko Schlenker]

Post by Thomas Sachs
Danke für eventuelle Tipps!

Ich würde (mit dd(1)) ein Totalbackup machen und dann in einer
Windows-Newsgroup Tipps einholen.

Gruß, Heiko

[Markus Wichmann]

Post by Thomas Sachs
Hi an alle,
ich habe vorhin leider meine Digitalkamera via USB an mein Kubuntu-Notebook
angeschlossen und vor lauter Unfähigkeit die Bilder auf der in vfat
formartierten Karte gelöscht. Gibt es unter Linux ein Tool, mit welchem ich
einen Wiederherstellungsversuch starten kann?

Ha, ich habe es gefunden:

Also erstmal das Gerät umounten, wir wollen doch nicht unsere schönen
Bilder von Fremdprogrammen zerstören lassen.

Dann mit dd ein Image ziehen, was man danach loopmounten kann. Und
schließlich hilft dosfsck.

In Skriptform:

sudo -i
umount /dev/$DIGICAM
dd if=/dev/$DIGICAM of=tmp.img bs=1024
mount -o loop tmp.img /mnt
dosfsck -u /mnt/$BILDER

Das bringt einzelne Dateien wieder zurück. Hoffentlich. Darum das
Backup. Wenn dann in /mnt wieder alle Bilder da sind:

umount /mnt
dd if=tmp.img of=/dev/$DIGICAM

Dabei ist $DIGICAM die Gerätedatei der Digitalkamera (sda oder sde oder
so) und $BILDER jede Bilddatei einzeln. Mehrere Dateien kann man mit

dosfsck -u Datei1 -u Datei2 -u Datei3 ...

spezifizieren.

Post by Thomas Sachs
Danke für eventuelle Tipps!
Thomas Sachs

HTH,
Markus
P.S.: dosfsck ist Teil der dosfstools.

[Thomas Sachs]

Post by Markus Wichmann
sudo -i
umount /dev/$DIGICAM
dd if=/dev/$DIGICAM of=tmp.img bs=1024
mount -o loop tmp.img /mnt
dosfsck -u /mnt/$BILDER
Das bringt einzelne Dateien wieder zurück. Hoffentlich. Darum das
umount /mnt
dd if=tmp.img of=/dev/$DIGICAM
Dabei ist $DIGICAM die Gerätedatei der Digitalkamera (sda oder sde oder
so) und $BILDER jede Bilddatei einzeln. Mehrere Dateien kann man mit

So wie das rauslese brauche ich zum Wiederhersellen den originalen
Dateinamen der gelöschten Datei? Na ja, das ist aber mein Problem. Das
Image ist zwar geclont und wie von Dir beschrieben eingehängt, aber dosfsck
funktionert nicht mit Ordner oder Platzhaltern. Zumindest bringe ich das
nicht hin.

Mir ist so ein Rotz mit ungewolltem Löschen schon Jahre nicht mehr
passiert... :-(


Trotzdem Danke.

Grüße

Thomas

[Sebastian Waschik]

Hallo,

Post by Thomas Sachs
So wie das rauslese brauche ich zum Wiederhersellen den originalen
Dateinamen der gelöschten Datei? Na ja, das ist aber mein Problem. Das
Image ist zwar geclont und wie von Dir beschrieben eingehängt, aber dosfsck
funktionert nicht mit Ordner oder Platzhaltern. Zumindest bringe ich das
nicht hin.

fällt dir nicht vielleicht ein, wie der Pfad heißt und wie die
Dateinamen ungefähr heißen? Digitalkameras machen die Dateinamen doch
immer nach dem gleichen Schema. Also müsste es doch herauszu kriegen
sein, wie die Dateinamen lauten, wenn du den Pfad kennst. Da
Digitalkamars denke ich nur vier bis fünf Ziffern verwendet werden,
sollte es höchstens 100000 Möglichkeiten geben. Die skriptgesteuert
zu testen, sollte nicht das Problem sein.

i=0
while [ "$i" -lt 10 ]
do
name=$(printf "IMG%04d.JPG" "$i")
echo "$name"
((i++))
done

"echo" durch entsprechenden Befehl ersetzen. "10" durch die Anzahl
der Möglichkeiten ersetzen. Statt "printf" kann man natürlich auch
"seq -w" benutzen. Es kann nur sein, dass dann die Liste zu groß
wird.

Viele Grüße
Sebastian Waschik

[Thomas Sachs]

Hallo Sebastian,

danke für Deine Mühen. Ich habe aus Zeitmangel mein virtuelles XP angeworfen
und mit einem Tool namens PhotoRec die Bilder wiederherstellen können.

Grüße

Thomas Sachs

[Florian Diesch]

Post by Thomas Sachs

Post by Markus Wichmann
sudo -i
umount /dev/$DIGICAM
dd if=/dev/$DIGICAM of=tmp.img bs=1024
mount -o loop tmp.img /mnt
dosfsck -u /mnt/$BILDER
Das bringt einzelne Dateien wieder zurück. Hoffentlich. Darum das
umount /mnt
dd if=tmp.img of=/dev/$DIGICAM
Dabei ist $DIGICAM die Gerätedatei der Digitalkamera (sda oder sde oder
so) und $BILDER jede Bilddatei einzeln. Mehrere Dateien kann man mit

So wie das rauslese brauche ich zum Wiederhersellen den originalen
Dateinamen der gelöschten Datei? Na ja, das ist aber mein Problem. Das
Image ist zwar geclont und wie von Dir beschrieben eingehängt, aber dosfsck
funktionert nicht mit Ordner oder Platzhaltern. Zumindest bringe ich das
nicht hin.

,----[ magicrescue ]
| Package: magicrescue
| Description: recovers files by looking for magic bytes
| Magic Rescue scans a block device for file types it knows how to recover
| and calls an external program to extract them. It looks at "magic bytes"
| in file contents, so it can be used both as an undelete utility and for
| recovering a corrupted drive or partition. As long as the file data is
| there, it will find it.
| .
| Homepage: http://jbj.rapanden.dk/magicrescue/
`----

,----[ foremost ]
| Package: foremost
| Description: Forensics application to recover data
| This is a console program to recover files based on their headers and
| footers for forensics purposes.
| .
| Foremost can work on disk image files, such as those generated by dd,
| Safeback, Encase, etc, or directly on a drive. The headers and footers
| are specified by a configuration file, so you can pick and choose which
| headers you want to look for.
| .
| Homepage: http://foremost.sourceforge.net/
`----

,----[ recoverjpeg ]
| Package: recoverjpeg
| Description: Recover jpeg pictures from a filesystem image
| Recoverjpeg tries to identify jpeg pictures from a filesystem image.
| To achieve this goal, it scans the filesystem image and looks for a
| jpeg structure at blocks starting at 512 bytes boundaries.
`----

,----[ testdisk ]
| Package: testdisk
| Description: Partition scanner and disk recovery tool
| TestDisk checks the partition and boot sectors of your disks.
| It is very useful in recovering lost partitions.
| It works with :
| * DOS/Windows FAT12, FAT16 and FAT32
| * NTFS ( Windows NT/2K/XP )
| * Linux Ext2 and Ext3
| * BeFS ( BeOS )
| * BSD disklabel ( FreeBSD/OpenBSD/NetBSD )
| * CramFS (Compressed File System)
| * HFS and HFS+, Hierarchical File System
| * JFS, IBM's Journaled File System
| * Linux Raid
| * Linux Swap (versions 1 and 2)
| * LVM and LVM2, Linux Logical Volume Manager
| * Netware NSS
| * ReiserFS 3.5 and 3.6
| * Sun Solaris i386 disklabel
| * UFS and UFS2 (Sun/BSD/...)
| * XFS, SGI's Journaled File System
| .
| PhotoRec is file data recovery software designed to recover
| lost pictures from digital camera memory or even Hard Disks.
| It has been extended to search also for non audio/video headers.
| It searchs for
| * Sun/NeXT audio data (.au)
| * RIFF audio/video (.avi/.wav)
| * BMP bitmap (.bmp)
| * bzip2 compressed data (.bz2)
| * Source code written in C (.c)
| * Canon Raw picture (.crw)
| * Canon catalog (.ctg)
| * FAT subdirectory
| * Microsoft Office Document (.doc)
| * Nikon dsc (.dsc)
| * HTML page (.html)
| * JPEG picture (.jpg)
| * MOV video (.mov)
| * MP3 audio (MPEG ADTS, layer III, v1) (.mp3)
| * Moving Picture Experts Group video (.mpg)
| * Minolta Raw picture (.mrw)
| * Olympus Raw Format picture (.orf)
| * Portable Document Format (.pdf)
| * Perl script (.pl)
| * Portable Network Graphics (.png)
| * Raw Fujifilm picture (.raf)
| * Contax picture (.raw)
| * Rollei picture (.rdc)
| * Rich Text Format (.rtf)
| * Shell script (.sh)
| * Tar archive (.tar )
| * Tag Image File Format (.tiff)
| * Microsoft ASF (.wma)
| * Sigma/Foveon X3 raw picture (.x3f)
| * zip archive (.zip)
`----



Florian

[Björn Bosselmann]

Post by Thomas Sachs
Hi an alle,

Hallo Thomas,

Post by Thomas Sachs
ich habe vorhin leider meine Digitalkamera via USB an mein
Kubuntu-Notebook angeschlossen und vor lauter Unfähigkeit die Bilder auf
der in vfat formartierten Karte gelöscht. Gibt es unter Linux ein Tool,
mit welchem ich einen Wiederherstellungsversuch starten kann?

Also mir hat PhotoRec [1] schonmal geholfen, Bilder von einer Speicherkarte
mit zerstörtem Dateisystem zu retten. Da vfat die Dateien beim Löschen
nicht überschreibt und Fragmentierung bei Fotoapparaten eher selten
vorkommen sollte, stehen die Chancen nicht schlecht, dass es auch bei dir
klappt.
Vorher ein Image von der Speicherkarte anzulegen, wie die anderen bereits
geschrieben haben, ist sicher nicht verkehrt. Außerdem kann PhotoRec auch
direkt auf dem Image operieren.

[1] http://www.cgsecurity.org/wiki/PhotoRec

Viele Grüße,
Björn

[Thomas Sachs]

Post by Björn Bosselmann
Also mir hat PhotoRec [1] schonmal geholfen, Bilder von einer
Speicherkarte mit zerstörtem Dateisystem zu retten. Da vfat die Dateien
beim Löschen nicht überschreibt und Fragmentierung bei Fotoapparaten eher
selten vorkommen sollte, stehen die Chancen nicht schlecht, dass es auch
bei dir klappt.
Vorher ein Image von der Speicherkarte anzulegen, wie die anderen bereits
geschrieben haben, ist sicher nicht verkehrt. Außerdem kann PhotoRec auch
direkt auf dem Image operieren.
[1] http://www.cgsecurity.org/wiki/PhotoRec

Danke für den Tipp. Auch wenn es dann indirekt offtopic wird hier, aber ich
habe es auf mein Virtualbox-Windows installiert. Die Bilder ließen sich mit
PhotoRec alle einwandfrei wiederherstellen.

Danke für den Tipp!

Thomas Sachs

[Heiko Kuerschner]

Post by Thomas Sachs
ich habe vorhin leider meine Digitalkamera via USB an mein
Kubuntu-Notebook angeschlossen und vor lauter Unfähigkeit die Bilder auf
der in vfat formartierten Karte gelöscht. Gibt es unter Linux ein Tool,
mit welchem ich einen Wiederherstellungsversuch starten kann?

Hexeditor ;)
In der FAT-Systemen wird beim einfachen Löschen nur der erste Buchstabe (mit
DEL) überschrieben. Also einfach dafür ein Zeichen einsetzen und gut ist.
Da es sich um Bilder von der Digitalkamera handelt, dürftest Du das Zeichen
sogar wissen.

P.s.: Hexeditoren haben Suchen und Ersetzen, so das dies sehr schnell
erledigt sein kann (teste es mit einer Kopie mittels dd)

[Sieghard Schicktanz]

Hallo Heiko,

Post by Heiko Kuerschner
Hexeditor ;)
In der FAT-Systemen wird beim einfachen Löschen nur der erste Buchstabe
(mit DEL) überschrieben. Also einfach dafür ein Zeichen einsetzen und gut

Mal probiert? Soo einfach wird das eher nicht gehen - um die Datei richtig
anzusprechen, sofern sie aus mehr als einem Block besteht, muß näamlich
auch die FAT-Liste verfolgt werden. Und die wird beim Löschen ausgenullt...

----

[Helmut Hullen]

Hallo, Sieghard,

Post by Sieghard Schicktanz

Post by Heiko Kuerschner
In der FAT-Systemen wird beim einfachen Löschen nur der erste
Buchstabe (mit DEL) überschrieben. Also einfach dafür ein Zeichen
einsetzen und gut

Mal probiert? Soo einfach wird das eher nicht gehen - um die Datei
richtig anzusprechen, sofern sie aus mehr als einem Block besteht,
muß näamlich auch die FAT-Liste verfolgt werden. Und die wird beim
Löschen ausgenullt...

Nein - Löschen unter Windows bedeutet einzig, das 1. Zeichen im
Dateinamen durch ein bestimmtes anderes zu ersetzen (war es 0xe5? Bei
Peter Norton nachlesbar ...).

Deshalb geht ja das "undelete" unter DOS so einfach.
(Die ganz alten Leute werden sich erinnern: DR-DOS konnte auch das 1.
Zeichen rekonstruieren)

Erst wenn anschliessend auf die Platte geschrieben wird und der Platz
knapp wird, dann werden solche unbenutzten Ketten in der FAT-Liste
verfolgt und als "frei" interpretiert.

Viele Gruesse!
Helmut

[Henning Paul]

Post by Helmut Hullen
Hallo, Sieghard,

Post by Sieghard Schicktanz

Post by Heiko Kuerschner
In der FAT-Systemen wird beim einfachen Löschen nur der erste
Buchstabe (mit DEL) überschrieben. Also einfach dafür ein Zeichen
einsetzen und gut

Mal probiert? Soo einfach wird das eher nicht gehen - um die Datei
richtig anzusprechen, sofern sie aus mehr als einem Block besteht,
muß näamlich auch die FAT-Liste verfolgt werden. Und die wird beim
Löschen ausgenullt...

Nein - Löschen unter Windows bedeutet einzig, das 1. Zeichen im
Dateinamen durch ein bestimmtes anderes zu ersetzen (war es 0xe5? Bei
Peter Norton nachlesbar ...).

Wenn man nur das tut, ist die Datei zwar nicht mehr sichtbar, der
Plattenplatz aber nicht wieder freigegeben. Ein chkdsk wird diese
Einträge dann als "verlorene Cluster" finden. BTDT, noch zu DOS-Zeiten.

Post by Helmut Hullen
Deshalb geht ja das "undelete" unter DOS so einfach.
(Die ganz alten Leute werden sich erinnern: DR-DOS konnte auch das 1.
Zeichen rekonstruieren)
Erst wenn anschliessend auf die Platte geschrieben wird und der Platz
knapp wird, dann werden solche unbenutzten Ketten in der FAT-Liste
verfolgt und als "frei" interpretiert.

Das Überschreiben mit dem kleinen Sigma (in cp437) reicht aber definitiv
_nicht_ aus.

Gruß
Henning

[Sebastian Waschik]

Hallo,

Post by Henning Paul

Post by Helmut Hullen

Post by Sieghard Schicktanz
Mal probiert? Soo einfach wird das eher nicht gehen - um die Datei
richtig anzusprechen, sofern sie aus mehr als einem Block besteht,
muß näamlich auch die FAT-Liste verfolgt werden. Und die wird beim
Löschen ausgenullt...

Nein - Löschen unter Windows bedeutet einzig, das 1. Zeichen im
Dateinamen durch ein bestimmtes anderes zu ersetzen (war es 0xe5? Bei
Peter Norton nachlesbar ...).

Wenn man nur das tut, ist die Datei zwar nicht mehr sichtbar, der
Plattenplatz aber nicht wieder freigegeben. Ein chkdsk wird diese
Einträge dann als "verlorene Cluster" finden. BTDT, noch zu
DOS-Zeiten.

Wie das unter Windows funktioniert weiß ich nicht. Aber so weit ich
mich an DOS erinnere lief das alles primitiv ab. Deshalb wurden auch
beim Löschen die Einträge in der FAT gelöscht (habe aber gerade keine
Literatur dazu), sonst hätte das ja Erfordert, dass wenn beim
Erstellen einer Datei nicht genügend Platz vorhanden ist, dass erst
einmal auf der Platte nach gelöschten Dateien gesucht werden muss.
Diese könnten sich auch sehr verzweigt im Verzeichnisbaum befinden und
somit würde es beim Erstellen einer Datei u.U. zu einer Erheblichen
Verzögerung kommen. Auch das Löschen von Verzeichnissen wird durch so
ein versetzes Löschen teuer werden, da erst einmal alle Einträge für
die enthaltenen gelöschten Dateien gelöscht werden müssten. Bei alle
dem läuft man außerdem Gefahr, dass man obige "verlorene Cluster"
bekommt, selbst wenn Cluster von gelöschten Dateien nicht "verlorene
Cluster" sind. Im Übrigen ist die Undelte-Funktion von DOS nicht
denke ich nicht explizit entworfen worden, sondern hinterher wurde
festgestellt, dass es meistens möglich ist.

Alles IIRC: Innerhalb des Verzeichniseintrages blieb der erste
verwendete Cluster der Datei und die Dateigröße erhalten. Zur
Wiederherstellung wurde die Annahme gemacht, dass die Datei nicht
zerstückelt war (bei DOS gabe es auch nicht so viele große Dateien)
und es werden beim Wiederherstellen solange darauffolgende Cluster an
den Anfangssektor gehängt, bis die erforderliche Größe erreicht ist.
Sind vermeindlich zu der Datei zugehörige Cluster von einer anderen
Datei belegt wird ein Fehlschlagen der Wiederherstellung erkannt. War
die Datei zerstückelt und wird ein Fehlschlagen nicht erkannt, wird
sie mit falschem Inhalt wiederhergestellt.

Viele Grüße
Sebastian Waschik

[Helmut Hullen]

Hallo, Sebastian,

Post by Sebastian Waschik

Post by Henning Paul

Post by Helmut Hullen
Nein - Löschen unter Windows bedeutet einzig, das 1. Zeichen im
Dateinamen durch ein bestimmtes anderes zu ersetzen (war es 0xe5?
Bei Peter Norton nachlesbar ...).

Wenn man nur das tut, ist die Datei zwar nicht mehr sichtbar, der
Plattenplatz aber nicht wieder freigegeben. Ein chkdsk wird diese
Einträge dann als "verlorene Cluster" finden. BTDT, noch zu
DOS-Zeiten.

Wie das unter Windows funktioniert weiß ich nicht. Aber so weit ich
mich an DOS erinnere lief das alles primitiv ab. Deshalb wurden auch
beim Löschen die Einträge in der FAT gelöscht (habe aber gerade keine
Literatur dazu),

Nein - nur das Hauptverzeichnis war unsichtbar (vielleicht gelöscht).

Viele Gruesse!
Helmut

[Juergen Ilse]

Hallo,

Post by Helmut Hullen

Post by Sebastian Waschik
Wie das unter Windows funktioniert weiß ich nicht. Aber so weit ich
mich an DOS erinnere lief das alles primitiv ab. Deshalb wurden auch
beim Löschen die Einträge in der FAT gelöscht (habe aber gerade keine
Literatur dazu),

Nein - nur das Hauptverzeichnis war unsichtbar (vielleicht gelöscht).

Du schreibst noch immer Bloedsinn. Ja, ich kenne das ganze noch aus der
MS-DOS-Zeit, und du liegst mit deiner Beschreibung flacsh. Mit dem loeschen
der Datei wurden auch die entsprechenden FAT-Eintraege als frei markiert
und zwar durch "ausnullen"). Das einzige Unterschiedungskriterium zwischen
"freien Clustern" und "belegten Clustern" war die eingetragene Cluster-
nummer in der FAT (die auf das Nachfolgecluster der Datei zeigte). Einige
solcher "Clusternummern" waren noch fuer besondere Zwecke reserviert (z.B.
"Dateiende" oder "unbrauchbares Cluster"). Das Betriebssystem hat die
Cluster einer geloeschten Datei unverzueglich (modulo "Plattencache" wie
z.B. "Smartdrive") durch ausnullen als geloescht markiert, was auch gar
nicht anders ging, weil es ueber die "freigewordenen Datencluster" nicht
in igrend einer anderen Weise Buch gefuehrt hat.

Tschuess,
Juergen Ilse (***@usenet-verwaltung.de)

[Heike C. Zimmerer]

Post by Sebastian Waschik
Hallo,

Post by Helmut Hullen

Post by Sebastian Waschik
Wie das unter Windows funktioniert weiß ich nicht. Aber so weit ich
mich an DOS erinnere lief das alles primitiv ab. Deshalb wurden auch
beim Löschen die Einträge in der FAT gelöscht (habe aber gerade keine
Literatur dazu),

Nein - nur das Hauptverzeichnis war unsichtbar (vielleicht gelöscht).

Du schreibst noch immer Bloedsinn. Ja, ich kenne das ganze noch aus der
MS-DOS-Zeit, und du liegst mit deiner Beschreibung flacsh. Mit dem loeschen
der Datei wurden auch die entsprechenden FAT-Eintraege als frei markiert
und zwar durch "ausnullen").

So ist es. Möglich wäre allenfalls noch eine Verwechslung mit
Recovery-Tools. Manche können tatsächlich verkettete Dateien
wiederherstellen, indem sie die FAT nach Einträgen durchsuchen, die
nicht ausgenullt sind, die aber auch nicht Bestandteil einer Kette
sind, auf die ein Verzeichniseintrag verweist.

Das hat aber dann mit Undelete gar nichts zu tun. Denn die Dateien,
die auf diese Weise wiederhergestellt werden können, sind durch Crash
und nicht durch ordnungsgemäßes Löschen verloren gegangen. Wobei ich
nicht ausschließen möchte, dass trotzdem irgendein Hersteller den
Spruch "Undelete" auf so'n Tool draufpappt.

[Helmut Hullen]

Hallo, Heike,

Post by Heike C. Zimmerer

Post by Juergen Ilse

Post by Helmut Hullen
Nein - nur das Hauptverzeichnis war unsichtbar (vielleicht
gelöscht).

Du schreibst noch immer Bloedsinn. Ja, ich kenne das ganze noch aus
der MS-DOS-Zeit, und du liegst mit deiner Beschreibung flacsh. Mit
dem loeschen der Datei wurden auch die entsprechenden FAT-Eintraege
als frei markiert und zwar durch "ausnullen").

So ist es. Möglich wäre allenfalls noch eine Verwechslung mit
Recovery-Tools. Manche können tatsächlich verkettete Dateien
wiederherstellen, indem sie die FAT nach Einträgen durchsuchen, die
nicht ausgenullt sind, die aber auch nicht Bestandteil einer Kette
sind, auf die ein Verzeichniseintrag verweist.
Das hat aber dann mit Undelete gar nichts zu tun. Denn die Dateien,
die auf diese Weise wiederhergestellt werden können, sind durch Crash
und nicht durch ordnungsgemäßes Löschen verloren gegangen. Wobei ich
nicht ausschließen möchte, dass trotzdem irgendein Hersteller den
Spruch "Undelete" auf so'n Tool draufpappt.

So wie DigitalResearch/Novell bei DR-DOS 3.41.
"undelete" hat auch vorsätzlich gelöschte Dateien und Verzeichnisse
restauriert.

Hat aber nicht viel mit Linux zu tun.

Viele Gruesse!
Helmut

[Helmut Hullen]

Hallo, Juergen,

Post by Helmut Hullen
So wie DigitalResearch/Novell bei DR-DOS 3.41.
"undelete" hat auch vorsätzlich gelöschte Dateien und Verzeichnisse
restauriert.

Bei fragmentierten Dateien und Verzeichnissen (und wenn dazwischen
vor dem loeschen auch noch unbelegte Cluster dazwischengelegen haben)
nicht zuverlaessig, weil fuer ein wirklich zuverlaessiges undelete
die not- wendigen Informationen fehlten.

Sorry - die nötigen Informationen waren da (solange niemand nach dem
Löschen auf die Platte geschrieben hatte).
Hat aber nichts mit Linux zu tun - Norton (das Buch) hilft weiter.

Viele Gruesse!
Helmut

[Juergen Ilse]

Hallo,

Post by Helmut Hullen

Bei fragmentierten Dateien und Verzeichnissen (und wenn dazwischen
vor dem loeschen auch noch unbelegte Cluster dazwischengelegen haben)
nicht zuverlaessig, weil fuer ein wirklich zuverlaessiges undelete
die not- wendigen Informationen fehlten.

Sorry - die nötigen Informationen waren da (solange niemand nach dem
Löschen auf die Platte geschrieben hatte).

Das ist flacsh, wie man leicht sieht, wenn man die entsprechenden
Codeteile von MSDOS ansieht (ich habe sie vor etlichen Jahren mal
disassembliert: die Fateintraege werden bereits beim loeschen der
Dateien "genullt". Und die daraus resultierenden Probleme bei der
Zuverlaessigkeit eines undelete wies natuerlich auch das undelete
aus den Norton utilities auf.

Post by Helmut Hullen
Hat aber nichts mit Linux zu tun - Norton (das Buch) hilft weiter.

Dir wuerde an dieser Stelle etwas Wissen und etwas weniger Vertrauen
in ominoese Literatur weiterhelfen ...

Tschuess,
Juergen Ilse (***@usenet-verwaltung.de)

[Helmut Hullen]

Hallo, Juergen,

Post by Juergen Ilse

Post by Helmut Hullen
Hat aber nichts mit Linux zu tun - Norton (das Buch) hilft weiter.

Dir wuerde an dieser Stelle etwas Wissen und etwas weniger Vertrauen
in ominoese Literatur weiterhelfen ...

Post by Helmut Hullen

Nein!

Doch!

Nein!

Doch!

Nein!

Doch!

Nein!

Doch!

Nein!

Doch!

Nein!

Doch!

Nein!

Doch!

usw.
Stell Dir vor: ich habe die FAT ausgelesen, ich habe mit Hilfe der dort
abgelegten Informationen (und der Erläuterungen vor allem von Peter
Norton) eine Platte mit 700 MB Daten (das war damals viel) restauriert.

Und mit "undelete" von DR-DOS habe ich auch sehr viele Dateien und
Verzeichnisse entlöscht.
Die "Norton Utilities" und die "PC-Tools" lieferten ebenfalls ein
"undelete"/"unerase"-Programm mit.

Und selbst Microsoft zog ab DOS 6.22 nach:
http://www.i8086.de/dos-befehle/undelete.html

Windows lieferte (damals) "mwundel.exe" mit:
http://www.pcwelt.de/start/software_os/tipps_tricks/windows/sicherung/5361/

Praxis schlägt Theorie. Auch wenn es sich nicht um Linux handelt.

Und noch ein wenig Theorie:

http://www.tipps-zur-datenrettung.de/datenrettungssoftware/ubersicht/
uberblick-uber-datenrettungsprogramme-teil-ii-25-34.html

Zitate:
In diesem Hauptverzeichnis werden folgende Informationen vermerkt:

* Der Dateiname
* Die Dateigröße in Byte
* Datum und Uhrzeit der letzten Änderung

Zusätzlich wird auch die die Nummer des ersten Clusters gespeichert. Das
ist wichtig, da das Betriebssystem dort beginnt die Datei zu lesen.

Daran anschließend nutzt es die Informationen, die am Beginn der
Festplatte in einer so genannten Dateizuordnungstabelle, quasi ein
Inhaltsverzeichnis der Festplatte, entweder (FAT, File Allocation Table)
oder aber (MFT, Master File Table)abgelegt sind. Dabei ist zu bemerken,
dass das MFT erst ab der NT Technologie Verwendung findet und im Prinzip
aus einer Kombination von Hauptverzeichnis und Dateizuordnungstabelle
besteht. Der korrekte Name hierfür lautet NTFS (NT File System)

Im FAT System sind zum Beispiel folgende Infos gespeichert: die Nummer
des folgenden Clusters, wenn die Datei über mehrere Cluster verteilt
ist. Die Adresse einer jeden Datei wird so beschrieben: Der erste
Cluster wird im Haupt- oder einem Unterverzeichnis- Eintrag gelesen. Die
folgenden Cluster-Nummern werden aus der FAT gelesen.

--------------------------------------

Wo wir schon in den Untiefen von FAT usw. sind: "format" löscht nicht
komplett, sondern löscht (neben einigen anderen, hier unwichtigen
Aktionen) nur alle Einträge im Hauptverzeichnis und die erste (von 2)
FAT. Mehr nicht.

http://www.pc-magazin.de/common/forum/forum.php?forum=1&expand=1&id=35004804

--------------------------------

Und für Freunde der maschinellen Übersetzung:

http://www.tech-faq.com/lang/de/free-data-recovery-software.shtml

Die Seite werde ich meiner Englischlehrer-Kollegin ans Herz legen.

Viele Gruesse!
Helmut

[Juergen Ilse]

Hallo,

Post by Helmut Hullen

Post by Juergen Ilse

Post by Helmut Hullen
Hat aber nichts mit Linux zu tun - Norton (das Buch) hilft weiter.

Dir wuerde an dieser Stelle etwas Wissen und etwas weniger Vertrauen
in ominoese Literatur weiterhelfen ...

Stell Dir vor: ich habe die FAT ausgelesen, ich habe mit Hilfe der dort
abgelegten Informationen (und der Erläuterungen vor allem von Peter
Norton) eine Platte mit 700 MB Daten (das war damals viel) restauriert.

Es kann sein, dass M$ das Verhalten von DOS mit Win95 geaendert hat, so
dass nicht immer alle Exemplare der FAT (wenn denn mehrere existierten)
"auf dem laufenden" gehalten wurden (was im Endeffekt *eigentlich* ein
"inkonsistentes Filesystem bedeutet), aber aeltere DOS-Versionen haben
immer *alle* Exemplare der FAT auf dem laufenden gehalten. Uebrigens
gab es durchaus auch DOS-Datentraeger, die ueberhaupt nur eine FAT hatten:
DOS war schon zu Urzeiten flexibel genug, um auch damit umzugehen ... Im
Gegensatz zu manchen "Datenrettungstools", die einen solchen Datentraeger
dann grundsaetzlich als "kaputt" ansahen ...

Post by Helmut Hullen
Und mit "undelete" von DR-DOS habe ich auch sehr viele Dateien und
Verzeichnisse entlöscht.
Die "Norton Utilities" und die "PC-Tools" lieferten ebenfalls ein
"undelete"/"unerase"-Programm mit.

Bei den von mir noch verwendeten DOS-Versionen haette keines davon zuver-
laessig funktioniert (haette aus den bereits dargelegten Gruenden nicht
funktionieren *koennen*).

Post by Helmut Hullen
http://www.i8086.de/dos-befehle/undelete.html

Zitat daraus:
-------------
Der Modus Löschprotokoll ist bezüglich der Wirksamkeit der mittlere
der drei Schutzmodi. In diesem Modus wird eine versteckte Datei namens
PCTRACKER.DEL verwendet, um die Positionen gelöschter Dateien festzu-
halten. Wenn Sie eine Datei löschen, ändert MS-DOS die Dateizuordnungs-
tabelle (File Allocation Table, FAT) dahingehend, dass die ursprünglich
von dieser Datei belegten Sektoren wieder für andere Dateien zur Verfü-
gung stehen. Unter der Voraussetzung, dass keine andere Datei in diesen
Sektoren abgelegt wurde, können Sie die gelöschte Datei wiederherstellen.
Wurde dort eine andere Datei abgelegt, können Sie die gelöschte Datei
eventuell nur teilweise wiederherstellen.
Der Modus Löschprotokoll erfordert für den speicherresidenten Teil des
Programms Undelete 13,5 KByte an Arbeitsspeicher sowie für die Datei
PCTRACKER.DEL einen sehr kleinen Betrag an Speicherplatz der Festplatte.
--------------
Dort wird also in diesem Modus anscheinend eine *zusaetzliche* Datei
verwendet, um die vor dem loeschen verwendete FAT-Belegung zu speichern,
und dort steht auch, dass " MS-DOS die Dateizuordnungstabelle (File
Allocation Table, FAT) dahingehend" aendert, "dass die ursprünglich
von dieser Datei belegten Sektoren wieder für andere Dateien zur
Verfügung stehen". Dies geschieht bei FAT durch "ausnullen" der ent-
sprechenden eintraege in der FAT (eine andere Methode einer solchen
"Markierung als freien Cluster" hat es bei DOS nie gegeben). Alle von
mir benutzten DOS-Versionen hielten auch *alle* vorhandenen Versionen
der FAT konsistent (wenn mehrere Exemplare existierten), so dass fuer
evt. "Dateiwiederherstellungen" der Zugriff auf ein weiteres Exemplar
der FAT nicht zielfuehrend gewesen waere ...

Post by Helmut Hullen
http://www.pcwelt.de/start/software_os/tipps_tricks/windows/sicherung/5361/

Ich schrieb von DOS, nicht von Windows.

Post by Helmut Hullen
http://www.tipps-zur-datenrettung.de/datenrettungssoftware/ubersicht/
uberblick-uber-datenrettungsprogramme-teil-ii-25-34.html
* Der Dateiname
* Die Dateigröße in Byte
* Datum und Uhrzeit der letzten Änderung
Zusätzlich wird auch die die Nummer des ersten Clusters gespeichert. Das
ist wichtig, da das Betriebssystem dort beginnt die Datei zu lesen.

Richtig. Und wo wir gerade beim zitieren waren:
------------------
Wenn eine Datei tatsächlich gelöscht wird, markiert das Betriebssystem
den Dateinamen mit einem speziellen Zeichen, der so genannten Löschmar-
kierung in der Masterdateitabelle MFT, die dem Computer anzeigt, dass
diese Datei gelöscht wurde.
Der Computer schaut sich daraufhin die Cluster an, die von dieser Datei
in Anspruch genommen wurden und markiert diese als freien, leeren Speicher-
platz.
-------------------
Abgesehen davon, dass IMHO der Begriff "MFT" fuer ein Directory schlicht
falsch ist, steht dort aber auch, dass die von der Datei belegten Cluster
in der FAT als frei markiert werden. Die einzige unter DOS implementierte
Methode, um Cluster in der FAT als frei zu markieren war aber das "auf 0
setzen" des zugehoerigen Eintrags in der FAT (nein, eine andere Methode
gab es wirklich nicht).

Post by Helmut Hullen
Wo wir schon in den Untiefen von FAT usw. sind: "format" löscht nicht
komplett, sondern löscht (neben einigen anderen, hier unwichtigen
Aktionen) nur alle Einträge im Hauptverzeichnis und die erste (von 2)
FAT. Mehr nicht.
http://www.pc-magazin.de/common/forum/forum.php?forum=1&expand=1&id=35004804

... was aber nicht fuer alle DOS-Versionen zutrifft ...
Es gab genuegend DOS-Versionen, deren "format" *alle* vorhandenen Versionen
der FAT geloescht haben, und es gab auch Datentraeger, die nur eine FAT auf-
wiesen (es waeren auch Datentraeger mit 3, 4 oder 12 FATs denkbar gewesen,
auch wenn das ziemlich unsinnig gewesen waere: fruehere DOS-Versionen
haetten damit umgehen koennen, wenn ihnen die Funktion "buildbpb" des ent-
sprechenden Laufwerkstreibers solche Informationen zurueckgeliefert haette).

Post by Helmut Hullen
--------------------------------
http://www.tech-faq.com/lang/de/free-data-recovery-software.shtml

Zitat:
--------------
Freie Datenwiederaufnahme Software nie auf den Antrieb anbringen, daß du
versuchst, Daten von zu erholen.
Freie Datenwiederaufnahme Software von einem unterschiedlichen Antrieb,
wie einer externen Festplatte oder einem grellen Antrieb immer anbringen
und laufen lassen.
...
PC Prüfer-Akte Wiederaufnahme ist ein Datenwiederaufnahme Programm, das
FAT 12/16/32 und NTFS Dateisysteme stützt.

* Findet Fächer automatisch, selbst wenn der Aufladung Sektor oder
das FAT gelöscht worden oder beschädigt worden ist
* Gewinnt Akten mit der ursprünglichen Zeit und dem Datumsstempel zurück
* Stützt die Einsparung der zurückgewonnenen Akten auf Netz-Antrieben
* Gewinnt Akte Inhalt zurück, selbst wenn die Akte überschrift nicht
mehr vorhanden ist.
--------------
Das meinst du nicht wirklich ernst, oder?

Tschuess,
Juergen Ilse (***@usenet-verwaltung.de)

[Helmut Hullen]

Hallo, Juergen,

Post by Juergen Ilse
Es kann sein, dass M$ das Verhalten von DOS mit Win95 geaendert hat,

Ok - räume ich gern ein.

Post by Juergen Ilse

Post by Helmut Hullen
http://www.tech-faq.com/lang/de/free-data-recovery-software.shtml

--------------
Freie Datenwiederaufnahme Software nie auf den Antrieb anbringen, daß
du versuchst, Daten von zu erholen.
Freie Datenwiederaufnahme Software von einem unterschiedlichen
Antrieb, wie einer externen Festplatte oder einem grellen Antrieb
immer anbringen und laufen lassen.

[...]

Post by Juergen Ilse
--------------
Das meinst du nicht wirklich ernst, oder?

Doch - für Freunde der maschinellen Übersetzung.

Viele Gruesse!
Helmut

[Helmut Hullen]

Hallo, Juergen,

Post by Helmut Hullen
Deshalb geht ja das "undelete" unter DOS so einfach.

Bei stark fragmentierten Platten und Dateien, die aus mehr als einem
Datencluster bestehen, geht das eben nicht so einfach (bzw. ist alles
ausser dem ersten Cluster eher "Gluecksache" ob man den richtigen
Cluster erwischt hat ...).

Nein.

Viele Gruesse!
Helmut

[Sebastian Waschik]

Bei stark fragmentierten Platten und Dateien, die aus mehr als einem
Datencluster bestehen, geht das eben nicht so einfach (bzw. ist alles
ausser dem ersten Cluster eher "Gluecksache" ob man den richtigen
Cluster erwischt hat ...).

Nein.

also Wikipedia [1] zweifels du schon mal an. Wenn mir das nächste Mal
PC Intern von Michael Tischer in die Hand fällt schaue ich noch einmal
nach, ich gehe aber schon davon aus, dass du das auch nicht für
richtig hälst.

Viele Grüße
Sebastian Waschik

[1] http://en.wikipedia.org/wiki/Undeletion#FAT_file_system

[Helmut Hullen]

Hallo, Sebastian,

Post by Sebastian Waschik

Bei stark fragmentierten Platten und Dateien, die aus mehr als
einem Datencluster bestehen, geht das eben nicht so einfach (bzw.
ist alles ausser dem ersten Cluster eher "Gluecksache" ob man den
richtigen Cluster erwischt hat ...).

Nein.

also Wikipedia [1] zweifels du schon mal an. Wenn mir das nächste
Mal PC Intern von Michael Tischer in die Hand fällt schaue ich noch
einmal nach, ich gehe aber schon davon aus, dass du das auch nicht
für richtig hälst.

Ich habe schon oft mit "undelete" von DR-DOS komplette Partitionen
restauriert.
Hat aber nichts mit Linux zu tun.

Viele Gruesse!
Helmut

[Juergen Ilse]

Hallo,

Post by Helmut Hullen
Ich habe schon oft mit "undelete" von DR-DOS komplette Partitionen
restauriert.

Stark fragmentierte Partitionen (mit fragmentierten Dateien und
fragmentierten Verzeichnissen) waren das mit Sicherheit nicht,
sonst waere nahezu nichts mehr vom wiederhergestellten Inhalt
brauchbar gewesen. Bei solcher Verteilung der Daten auf der Platte
war eine automatisierte Wiederherstellung *unmoeglich*, da die
dazu notwendigen Informationen nicht mehr existierten. Das ist
eine Tatsache. Wenn bei dir die Wiederherstellung geklappt haben
sollte, war das Glueck oder purer Zufall (je weniger fragmentiert
die Platte war desto groesser die Chancen fuer erfolgreiche
Wiederherstellung, aber von wirklich zuverlaessig konnte eher
keine Rede sein ...

Tschuess,
Juergen Ilse (***@usenet-verwaltung.de)

[Helmut Hullen]

Hallo, Juergen,

Post by Juergen Ilse

Post by Helmut Hullen
Ich habe schon oft mit "undelete" von DR-DOS komplette Partitionen
restauriert.

Stark fragmentierte Partitionen (mit fragmentierten Dateien und
fragmentierten Verzeichnissen) waren das mit Sicherheit nicht,
sonst waere nahezu nichts mehr vom wiederhergestellten Inhalt
brauchbar gewesen. Bei solcher Verteilung der Daten auf der Platte
war eine automatisierte Wiederherstellung *unmoeglich*, da die
dazu notwendigen Informationen nicht mehr existierten.

Hmmm - dieses Problem hat "undelete" nie bemerkt, es hat immer brav
restauriert.
Hat aber nichts mit Linux zu tun.

Viele Gruesse!
Helmut

[Henning Paul]

Post by Helmut Hullen

Post by Juergen Ilse
Stark fragmentierte Partitionen (mit fragmentierten Dateien und
fragmentierten Verzeichnissen) waren das mit Sicherheit nicht,
sonst waere nahezu nichts mehr vom wiederhergestellten Inhalt
brauchbar gewesen. Bei solcher Verteilung der Daten auf der Platte
war eine automatisierte Wiederherstellung *unmoeglich*, da die
dazu notwendigen Informationen nicht mehr existierten.

Hmmm - dieses Problem hat "undelete" nie bemerkt, es hat immer brav
restauriert.

Ich habe zu MS-DOS 6.22-Zeiten aber ab und zu Dateien auch _nicht_
wieder restauriert bekommen. Obwohl zwischenzeitlich nichts neues auf
die Platte geschrieben worden war.

Post by Helmut Hullen
Hat aber nichts mit Linux zu tun.

Das stimmt.

[Helmut Hullen]

Hallo, Henning,

Post by Henning Paul

Post by Helmut Hullen
Hat aber nichts mit Linux zu tun.

Das stimmt.

Da bin ich inzwischen ein wenig unsicher: Linux bietet ja "vfat" als
eines der erlaubten Dateisysteme an, und wenn es die Speicher von
Digitalkameras oder von USB-Sticks verarbeiten soll, dann muss es vfat
benutzen.
Also könnte auch ein "undelete" oder "unformat" für vfat unter Linux ins
System passen (und irgendwann auch für NTFS unter Linux ...).

Wenn sich aber aus der Diskussion zwischen Jürgen und mir ergibt, dass
schon Microsoft einige Varianten produziert hat, dass es dazu noch die
DR-DOS-Variante und vielleicht noch einige weitere Varianten gibt, dann
dürfte das Programm sich vor allem mit "welches Schweinderl hätten's
denn gern?" beschäftigen.

Viele Gruesse!
Helmut

[Martin Vaeth]

Post by Helmut Hullen
Also könnte auch ein "undelete" oder "unformat" für vfat unter Linux ins
System passen (und irgendwann auch für NTFS unter Linux ...).

photorec. Einziger Nachteil, den ich bisher bemerkt habe:
Es will nur "echte" Partitionen, keine Loopback-Devices.
Vielleicht kann man das aber mit Symlinks auch austricksen...

[Helmut Hullen]

Hallo, Martin,

Post by Martin Vaeth

Post by Helmut Hullen
Also könnte auch ein "undelete" oder "unformat" für vfat unter Linux
ins System passen (und irgendwann auch für NTFS unter Linux ...).

Es will nur "echte" Partitionen, keine Loopback-Devices.
Vielleicht kann man das aber mit Symlinks auch austricksen...

Pure Neugier: kann "photorec" mit langen Dateinamen umgehen?

Viele Gruesse!
Helmut

[Martin Vaeth]

Post by Helmut Hullen
Pure Neugier: kann "photorec" mit langen Dateinamen umgehen?

Nein, es hat eine andere Philosophie als die alten DOS undelete-Tools:
Es kümmert sich überhaupt nicht um die Dateinamen, sondern versucht,
für gewisse Dateien bekannten Typs (wie z.B. jpg und noch so 30-50
andere Typen) durch Analyse des Inhalts die tatsächlichen Blocks
korrekt herauszufinden (und natürlich zusammenzusetzen) und ist
dabei erstaunlich erfolgreich. Inwiefern es dabei noch die (Reste der)
FAT-Struktur berücksichtigt, habe ich mir nicht genauer angeschaut.

[Björn Bosselmann]

Post by Martin Vaeth

Post by Helmut Hullen
Also könnte auch ein "undelete" oder "unformat" für vfat unter Linux ins
System passen (und irgendwann auch für NTFS unter Linux ...).

Es will nur "echte" Partitionen, keine Loopback-Devices.
Vielleicht kann man das aber mit Symlinks auch austricksen...

Da muss ich widersprechen.
photorec kann neben "echten" Partitionen auch mit Image-Dateien umgehen, da
sind Loopback-Geräte natürlich auch kein Problem.
Man muss beim Starten von photorec nur den Pfad der (Geräte-) Datei als
Parameter angeben.

Viele Grüße,
Björn

[Martin Vaeth]

Post by Martin Vaeth
Es will nur "echte" Partitionen, keine Loopback-Devices.

Da muss ich widersprechen. [...]
Man muss beim Starten von photorec nur den Pfad der (Geräte-) Datei als
Parameter angeben.

Danke, gut zu wissen. Im Menü später ging es nicht mehr, und da
das Programm rein curses-gesteuert zu sein schien...
Ich muss zugeben, dass ich nicht sehr lange gesucht hatte,
weil ich diese Funktionalität bislang nicht wirklich gebraucht
habe.

[Juergen Ilse]

Hallo,

Post by Helmut Hullen
Deshalb geht ja das "undelete" unter DOS so einfach.

Bei stark fragmentierten Platten und Dateien, die aus mehr als einem
Datencluster bestehen, geht das eben nicht so einfach (bzw. ist alles
ausser dem ersten Cluster eher "Gluecksache" ob man den richtigen
Cluster erwischt hat ...).

Nein.

Doch. Ich kenne das Verhalten von Dos beim loeschen von Dateien
(ich habe sogar mal Teile des entsprechenden Codes disassembliert).
Du liegst mit deinen Behauptungen *definitv* falsch (sowohl fuer
alle MSDOS- als auch IBM PC-DOS als auch DR-DOS, Novell-DOS und
vermutlich auch Caldera OpenDOS Versionen). Das von dir beschriebene
Verhalten (dass die entsprechenden Stellen der FAT nicht sofort
mit dem loeschen der Datei "ausgenullt" wurden) gab es bei *keiner*
dieser DOS-Versionen.

Tschuess,
Juergen Ilse (***@usenet-verwaltung.de)

[Helmut Hullen]

Hallo, Juergen,

Post by Juergen Ilse
Doch. Ich kenne das Verhalten von Dos beim loeschen von Dateien
(ich habe sogar mal Teile des entsprechenden Codes disassembliert).
Du liegst mit deinen Behauptungen *definitv* falsch (sowohl fuer
alle MSDOS- als auch IBM PC-DOS als auch DR-DOS, Novell-DOS und
vermutlich auch Caldera OpenDOS Versionen). Das von dir beschriebene
Verhalten (dass die entsprechenden Stellen der FAT nicht sofort
mit dem loeschen der Datei "ausgenullt" wurden) gab es bei *keiner*
dieser DOS-Versionen.

Hmmm - und wieso haben sowohl "undelete" als auch meine BASIC-Programme
diese Informationen auslesen und füs Restaurieren verwenden können?

Viele Gruesse!
Helmut

[Heiko Kuerschner]

Post by Sieghard Schicktanz

Post by Heiko Kuerschner
Hexeditor ;)
In der FAT-Systemen wird beim einfachen Löschen nur der erste Buchstabe
(mit DEL) überschrieben. Also einfach dafür ein Zeichen einsetzen und gut

Mal probiert?

Vor Jahren öfters mal gemacht.

Post by Sieghard Schicktanz
Soo einfach wird das eher nicht gehen - um die Datei richtig
anzusprechen, sofern sie aus mehr als einem Block besteht, muß näamlich
auch die FAT-Liste verfolgt werden.

Richtig. Wenn ich mich recht erinnere, ging das auch relativ einfach.
Zumindest bei überschaubaren Datenträgergrößen.

Post by Sieghard Schicktanz
Und die wird beim Löschen
ausgenullt...

Da es sich um den Datenträger einer Digitalkamera handelt, werden mit großer
Wahscheinlichkeit die Blöcke schön der Reihe nach vorliegen.

[Sieghard Schicktanz]

Hallo Heiko,

Post by Heiko Kuerschner

Post by Sieghard Schicktanz
anzusprechen, sofern sie aus mehr als einem Block besteht, muß näamlich
auch die FAT-Liste verfolgt werden.

Richtig. Wenn ich mich recht erinnere, ging das auch relativ einfach.
Zumindest bei überschaubaren Datenträgergrößen.

Unbenommen. Sofern die überhaupt noch existiert.

Post by Heiko Kuerschner

Post by Sieghard Schicktanz
Und die wird beim Löschen
ausgenullt...

Da es sich um den Datenträger einer Digitalkamera handelt, werden mit
großer Wahscheinlichkeit die Blöcke schön der Reihe nach vorliegen.

Dem widerspreche ich auch durchaus garnicht. Du wirst nur "evtl." auf ein
gewisses "Unverständnis" beim Dateisystem stoßen, wenn Du ihm eine Datei
mit einer Größe > 1 Block zeigst, und dessen FAT-Liste lauter Null-Einträge
aufweist. Wo sollen denn da die Daten hergeholt werden, wenn der zweite
Block (und die folgenden) drankommen sollen?
(Daß _Du_ die sequentiell erwartest, weiß das System ja nicht, und welche
Erwartungen der Programmierer der Zugriffsroutine - über die einer korrekt
geschriebenen FAT-Liste hinaus - implementiert haben könnte, weißt _Du_
nicht. Evtl. könntest Du sogar Glück haben...)

----

[Heiko Kuerschner]

Sieghard Schicktanz schrieb:

Ok, ich gebe zu, das ich zu schnell geschossen habe.
Ich konnte mich erinnern, das ich früher (ja, war voriges Jahrtausend) ab
und an gelöschte Dateien mit einem Hexeditor restauriert habe. Dank dem
wohl einzigen brauchbaren Buch vom Data Becker-Verlag hatte ich zu diesem
Zeitpunkt das entsprechende Knowhow und mit der Zeit die Erfahrung.

[Philipp Pagel]

Post by Thomas Sachs
ich habe vorhin leider meine Digitalkamera via USB an mein Kubuntu-Notebook
angeschlossen und vor lauter Unfähigkeit die Bilder auf der in vfat
formartierten Karte gelöscht. Gibt es unter Linux ein Tool, mit welchem ich
einen Wiederherstellungsversuch starten kann?

Daß Du zuerst eine filesystem image anlegen solltest und wie das geht
haben andere schon geschrieben. In Deinem speziellen Fall würde ich
anschließend das tool recoverjpeg verwenden. In Debian Etch ist es als
package vorhanden. Ansonsten findest Du es hier:

http://www.rfc1149.net/devel/recoverjpeg

cu
Philipp