Hallo,
ich beschäftige ich mich gerade mit dem Thema "Datenrettung gegen
Bezahlung". Die Preise, um z.B. Bilder von einer nicht mehr lesbaren
SD-Karte oder einem einem defekten USB-Stick zu retten, sind dabei
inzwischen(?) gar nicht mal so hoch...
Bis zu 1000 Bilder für unter 200 Euro sogar mit
Miniatur-Online-Vorschau, ob es auch die richtigen Bilder sind, finde
ich schon ziemlich gut und günstig, aber ich frage mich wie die Jungs
das machen? Treibt die das Wear-Leveling nicht in den Wahnsinn? Kennen
die jeden der auf dem Markt verfügbaren Controller inklusive der
angeblich so gut gehüteten Wear-Leveling-Algorithmen der Hersteller?
Ich meine, einen NAND-Flash-Reader kann ich mir auch besorgen, wenn der
Speicher-Chip noch intakt ist...privat habe ich nach einem Blitz-Studium
der JPEG-Spezifikation auch schon mal JPEG-Bilder mit WinHex gerettet,
da war aber noch der Zugriff auf das Dateisystem möglich. Aber was mache
ich mit einem per NAND-Flash-Reader manuell ausgelesenen "Datenklumpen",
oder sind die Bilder auf einer Karte grundsätzlich nie Fragmentiert -
weder durch das Dateisystem noch durch das Wear-Leveling?
Wenn keine Rettung möglich ist oder die Bilder nicht die gewünschten
sind, muss man übrigens nichts bezahlen. Nicht schlecht...
Falls jemand Ahnung von dem Thema hat oder selbst schon bei einer Firma
in D seine Bilder hat retten lassen, würde ich mich über mehr
Informationen bzw. Erfahrungsberichte freuen.
Gruß, Peter
Ich denke, die retten die Bilder nur falls nur das Directory
ueberschrieben wurde, die Daten aber noch da sind. Dann muss man nur das
gesammte Device, ohne Ruecksicht auf das Directory auslesen und
versuchen wie es sein koennte. Wenn der inhalt ueberschrieben wurde,
wird's nicht mehr gehen.
Beschäftige dich mal mit dem Aufbau einer FAT.
Wie auf einer Festplatte ist dien Bilddatei in mehreren Sektoren
gespeichert. Der Startsektor steht in der FAT. Die Sektoren sind
verlinkt.
Wenn man einen Sektor zufällig liest, dann kann man daraus den
nachfolgenden Sektor auslesen.
Nach diesem Prinzip sind Sektorketten zu erstellen, die in der Regel
vollständig werden, wenn kein Sektor überschrieben wurde.
Jede Sektorkette wird als neue Datei in eine neu zu erstellende FAT
eingetragen. Auch alle leeren Sektoren bilden eine Kette, auf die beim
Schreiben einer neuen Datei zurückgegriffen wird. Diese Kette kann
natürlich über die ganze Festplatte verteilt sein, dann ist die
Festplatte fragmentiert. Sektoren, die keiner Kette angehören, kann es
nicht geben. Werden solche Sektoren jedoch gefunden, so werden diese, je
nach Laune des Programmierers, z.B. als "Found" bezeichnet und als
einenständige Datei ausgewiesen.
Der Aufbau der FAT ist je nach Plattengröße oder Flash-Speicher-Größe
(FAT 16,FAT 32 u.a.) unterschiedlich.
Die Verlinkung kann relativ oder absolut sein.
Es gibt auch File-Systeme, die indizierte File-Sektor-Tabellen benutzen.
Viel Erfolg.
Hallo Peter,
Knoppix Live CD (bootbares Linux betriebssystem) und dann kannst du über
die Konsole einfach alle Verzeichnisse die windows z.B. nicht erkennt
mounten und die Daten runter kopieren. (bei CRC Fehlern oder wenn
Sektoren beschädigt sind)
Es gibt auch eine möglichkeit formatierte Daten zu retten (hab ich
persönlich aber noch keine Erfahrungen damit gemacht)
Hoffe ich konnte weiter helfen
MfG
Thomas
Dateien/Bilder retten bei noch funktionierender Hardware ist langweilig,
da gibts (auch freie) Tools wie Sand am Meer, z.B. scalpel, foremost,
photorec uvm.
Interessant wirds wenn NAND Chip oder NAND controller (teilweise oder
ganz) defekt sind, oder sonstige Hardware-Probleme vorliegen. Die
weniger professionellen Dienstleister haben da vermutlich wenig Chancen
was zu retten.
Bei defektem Controller könnte ein simples Tauschen/umlöten durch den
möglichst exakt gleichen Typ helfen, ich hab das mal bei CompactFlash
Karten halbwegs erfolgreich gemacht wo der Controller hinüber war aber
nicht der NAND Chip.
Und ja, proprietäre, undokumentierte Wear-Leveling Algorithmen in den
Controllern machen einem wohl das Leben als Datenretter schwer, keine
Ahnung ob die Doku per NDA von den Herstellern kriegen oder versuchen
Reverse-Engineering zu betreiben.
kommt immer auf die art des schadens an würde ich sagen. 400V aus einem
dicken kondensator an den flash (gibt dem namen flash-device eine ganz
neue bedeutung), dann rettet da niemand mehr was.
ansonsten ist die kenntnis des wear-leveling-algoritmus vonnöten, dann
kann man den kompletten flash auslesen und solange mit startwerten
experimentieren bis brauchbare daten rauskommen. ich denke die echten
spezis kennen oder finden ihn (z.b. analyse eines baugleichen
controllers).
Gnadenloser Labberer schrieb:> Wenn der inhalt ueberschrieben wurde, wird's nicht mehr gehen.
Genau da ist Flash im Vorteil. Prinzipiell ist es noch möglich, an
überschriebene Daten razukommen, wenn in Relation zur Gesamtgrösse nur
wenig Daten geschrieben wurden. Denn Flash überschreibt Daten zunächst
nicht, sondern platziert sie an anderer Stelle. Offen ist nur, ob es
einen Seitenpfad gibt, mit dem man an solche Daten sowie die
entsprechende Metainformation rankommt ohne die Chips auszulöten.
Deshalb ist man auch nicht vor Datenklau sicher, wenn man die für
Festplatten üblichen Tools zum definitiven Überschreiben einzelner
kritischer Files auf Flash-Medien anwendet.
