# datenrettung, HILFE!!! :(

## fisch.auge

Hallo,

eines vorweg... ich bin soooo dumm!!!!! ich würde am liebsten auf den speicher gehen und mich hängen... naja, aber erstmal zu meiner situation:

Ich wollte mein /home sichern welches auf /dev/hda4 lag... gesagt getan, also schön alles wie folgt gepackt

```

tar cvjf backup.tar.bz2 /home

```

hat natürlich auch wunderbar geklappt und das backup wurde auf einem externen datenträger, welcher mit ext3 formatiert wurde, gespeichert.

nun wollte ich /dev/hda4 von ext3 auf reiserfs umstellen, also mal schön die festplatte mit mkreiserfs /dev/hda4 formatiert.

das hat bis hierhin auch alles wunderbar geklappt!

aber jetzt könnt ihr meiner absoluten dummheit tribut zollen... geistlos auf den fernseher geschaut und folgendes getippt

```

tar cvjf backup.tar.bz2 /home

```

kommt euch bekannt vor, oder? nunja, das ende vom lied ist jetzt, dass ich weder unter /home meine daten hab, wegen der formatierung, noch unter backup.tar.bz2... 0 byte wegen der überschreibung...

ich bräuchte die daten unbedingt wieder und hoffe deshalb auf hilfe!!!

schonmal vielen dank im voraus!!!!!!!!

gruß fisch

----------

## slick

Also ich würde mal behaupten die Changen stehen ziemlich schlecht (bin aber darin kein Spezi). Aber auf jeden Fall würde ich, entsprechend großer anderer Plattenplatz vorrausgesetzt, ein Image der beiden Platten mit dd anfertigen. Dann hast Du später die Möglichkeit mehrere Rettungs-Versuche zu starten und kannst derweil die Partitionen benutzen, denn aktuell würde auch nur die kleinste Benutzung die Change weiter verschlechtern. Leider kann ich nicht mehr dazu sagen ... ohne dd Backup auf jeden Fall jeden Schreibzugriff auf die Partitionen vermeiden.

----------

## schachti

Vielleicht hilft Dir das hier:

http://lists.suse.com/archive/suse-linux/2004-May/4023.html

Ist zwar ein etwas anderer Fall (ReiserFS überschrieben mit ReiserFS), aber geht vielleicht analog mit den entsprechenden Tools für ext3.

Vielleicht hilft Dir auch eines der Tools aus app-forensics (foremost, magicrescue) oder testdisk weiter...

----------

## fisch.auge

danke... also ich mach jetzt erstmal en backup von der usb platte... hat zum glück nur 20 gb... dann experimentiere ich erstmal mit der rumm... wenn ich dort nicht weiterkomme geh ich an die notebookplatte... oder denkt ihr es hat keinen sinn nach den überschriebenen daten zu suchen? ich hoffe das ich noch ne chance habe da ich relativ schnell wieder abgebrochen hab, nachdem ich meinen fehler bemerkt habe.

danke nochmal!

----------

## schachti

Ob es Sinn macht, hängt davon ab, wie wichtig Dir die Daten sind.   :Wink: 

Ich denke mal, wenn Du lediglich ein mkreiserfs ausgeführt, dieses dann abgebrochen und noch nichts auf die Platte geschrieben hast, sind die Chancen relativ gut, einen großen Teil der Daten retten zu können (hängt halt davon ab, was mkreiserfs so anstellt - da ReiserFS AFAIK keine festen Inodes nutzt, sollte da nicht allzu viel auf die Platte geschrieben werden, was bedeutet, daß nicht allzu viele Daten überschrieben werden). Letztendlich mußt Du wohl abwägen zwischen Aufwand und Nutzen der Datenrettung.

----------

## fisch.auge

nee mkreiserfs ist durchgelaufen... beim überschreiben der .tar.bz2 hab ich schnell nochmal abgebrochen... ein teil der zu rettenden daten ist mir sehr wichtig!

----------

## schachti

Ach so, das bedeutet, Du hast sogar 2 Ansatzpunkte für die Datenrettung:

- die formatierte Partition: wenn nach dem mkreiserfs nichts dort gespeichert wurde, kann man auf dieser Partition evtl. viele Daten wieder herstellen

- das überschriebene Backup: Wenn lediglich die Datei mit einer 0 Byte großen Datei überschrieben wurde (und anschließend nichts mehr dort gespeichert wurde), dürfte die überschriebene Datei noch so gut wue vollständig erhalten sein.

----------

## fisch.auge

genauso siehts aus! ich hoffe nur das es klappt und ich die mir wichtigen daten zurückbekomme... zusätzlich hab ich gerade gesehen das ein teil des backups noch auf nem andern rechner liegt...

----------

## fisch.auge

 *schachti wrote:*   

> Ach so, das bedeutet, Du hast sogar 2 Ansatzpunkte für die Datenrettung:
> 
> - die formatierte Partition: wenn nach dem mkreiserfs nichts dort gespeichert wurde, kann man auf dieser Partition evtl. viele Daten wieder herstellen
> 
> - das überschriebene Backup: Wenn lediglich die Datei mit einer 0 Byte großen Datei überschrieben wurde (und anschließend nichts mehr dort gespeichert wurde), dürfte die überschriebene Datei noch so gut wue vollständig erhalten sein.

 

die frage ist nur wie ich das jetzt anstelle... muss mich auch erstmal reinlesen... ist mein erster verpatzer in diese richtung

----------

## schachti

Der wichtigste Schritt wurde von slick ja schon erwähnt: Backup aller betroffenen Datenträger mittels dd anfertigen. Ich würde dann Kopien der Backups anfertigen und bei den ersten Rettungsversuchen nur mit diesen Kopien arbeiten. Geht was schief, kannst Du die Kopien löschen und die Backups wieder neu kopieren für den nächsten Versuch.

Und dann heißt es halt, Dr. Google zu befragen und zu probieren...

----------

## mQx

Vielleicht besorgst du dir mal eine "Backtrack" LiveCD?

Die kann mit diversen forensischen Tools aufwarten.

Zudem kannst du so sicher sein, dass du keine Daten auf deine Festplatten schreibst.

Wärend du sie mit Hilfe der Tools auf der CD untersuchst.

Hier ist ein Link zu der Distribution

=> http://www.remote-exploit.org/index.php/BackTrack

Ich habe mir Backtrack allerdings nie genau angesehen, kann natürlich sein, 

dass dort keine entsprechenden Programme für dich drauf sind.

----------

## Der Unglaubliche

 *fisch.auge wrote:*   

> Hallo,
> 
> eines vorweg... ich bin soooo dumm!!!!! ich würde am liebsten auf den speicher gehen und mich hängen... naja, aber erstmal zu meiner situation:
> 
> Ich wollte mein /home sichern welches auf /dev/hda4 lag... gesagt getan, also schön alles wie folgt gepackt
> ...

 

wenn du noch nichts auf die Platte geschrieben hast:

1. emerge testdisk

2. man testdisk lesen

3. man testdisk nochmal lesen

4. die partition mit testdisk wieder herstellen.

Wie schon erwähnt wurde hat ein mkfs.reiserfs warscheinlich nur den 1. Sektor überschrieben. sonst ist also noch alles vorhanden und testdisk erkennt, das es eine ext2/3 partition war und kann alle Daten wiederherstellen, schreibt den 1, Sektor und die Partitionstabelle neu  und du kannst alles wieder nutzen.

----------

