Image von HDD mit NTFS-Partition und ddrescuelog: Dateien in defekten Sektoren finden.

Ich habe 2 HDDs, bei denen im Smart unkorrigierbare Sektoren zu finden waren. Allerdings ist bei beiden die vorhandene NTFS-Partition und das Dateisystem intakt.
Ich habe jeweils ein Image der gesamten Disk erstellt und ddrecue hat die defekten Blöcke im Log vermerkt.

Gibt es ein Programm, das die betreffenden Stellen mit der MFT abgleicht und sagt, ob und welche Dateien betroffen sind?

Die Defragmentierungstools, können einem ja auch anzeigen, welche Datei an welcher Stelle liegt, also muss es gehen.

Laß einfach mal
chkdsk c: /r /f
im Konsolenfenster laufen.

Wenn da nichts gefixed wird, werden die Sektoren markiert und vom Dateisystem ausgeschlossen.

Solange die Platte fehlerfrei weiterläuft, würde ich mir da keine Gedanken machen.

Geht eher darum, welche Dateien schon defekt sind.

Bei der ersten HDD wurde schon das ganz Notebook ersetzt, da es sich noch um ein IDE-Laufwerk handelte. Die andere HDD wird diese Woche ersetzt.

Welches Notebook?

Ich würde das MS-Tool "NTFS File Sector Information Utility (NFI)" mal testen
siehe 2. Antwort im folgenden Link (und dort u.U. den allerletzen Kommentar):
hard drive - How do I determine what file occupies a given sector? - Super User

NFI scheint auch im "c't-Notfall-Windows 2017" enthalten zu sein, wofür man aber die entsprechende C't haben müsste.

Alternativ ist es auch noch im Web-Archiv zu finden (kein Wunder, dass noch große HDDs konstruiert werden, wenn die allen MS-Mist archivieren)
Google Groups

Ob es dann auch mit Diskimages funktioniert, bleibt wohl zu testen.

Weißt du welche c't?

Das mit fsutil in der letzten Antwort scheint auch vielversprechend zu klingen. Der Partitionsstart lässt sich auch recht leicht mit 55AA finden.

You may use fsutil from Administrator command prompt. Subcommand volume has querycluster subsubcommand. See Windows Command-line Reference Fsutil.Fsutil takes cluster number in Logical drive is input. But it should be easy to calculate this number: cluster# = (absolute_sector - start_of_partition_sector) / sectors_per_cluster.
Example output:
c:\tmp> fsutil volume querycluster C: 5235
Cluster 0x0000000000001473, verwendet von ----D \Program Filesx86)\LibreOffice 4\program\fwilo.dll::$DATA

Zum Vergrößern anklicken....

Auch Diskview sieht nicht schlecht aus.

DKK007 schrieb:

Weißt du welche c't?

Zum Vergrößern anklicken....

Der Link in den Google-Groups funktioniert noch und dort ist auch ein 22 KB File mit dem Namen nfi.exe enthalten.

Wenn ich dashier im Forum zurück verfolge, dann war es wohl 26/2016.
NTFS File Sector Information Utility (NFI) | Forum - heise online

U.U.sind die Sachen aber im Notfall-Windows von 21/2017 auch enthalten (die DVD lade ich erst runter, wenn mein VDSL geschaltet ist). Mit der DVD aus 26/2016 muss man sich eber erst einmal eine Rettungs-CD erstellen lassen, auf der DVD scheinen nur die Scripte zur Nutzung zu sein, der Rest wird beim Erstellen aus dem Internet geladen. Eine Beschreibung zur Nutzung des Scriptes mit NFI.exe kann ich in der C't-Ausgabe auf die Schnelle nicht finden.

Schon WinHex aus der ersten Antwort liest sich gut, falls die Demoversion dies auch unterstützt. Ich würde erst einmal das Archiv aus den Google-Groups (bzw. dem Web-Archiv) testen. Sollte sich ja alles mit ein paar VMs Viren- und Host-PC-sicher durchführen lassen.

WinHex ist ja nur ein Teil von XWays. Das XWays hab ich auch da. Allerdings ohne den Dongle mit Lizenz. Danach kann ich morgen aber mal in der Hochschule nachfragen und mir einen ausleihen. Wobei das mit dem 2. Image wohl noch länger dauert als gehofft.

Ich hab mal mit nfi auf meiner lokalen Platte getestet. Scheint zu mit logischen Sectoren auf der Partition zu funktionieren. Nur wie ein gültiger Devicename für die Suche auf dem kompletten Device mit physischen Sektoren aussehen soll, hab ich noch nicht rausgefunden.

Der 0xBB reported uncorrectable errors zeigt nur die Anzahl der wiederholten Versuche der Fehlerkorrektur an. Werden keine Lesefehler gemeldet sollte doch noch erfolgreich Korrigiert worden sein.

Wie genau meinst du das?

Edit: Hatte heute mal mit meinem Professor gesprochen, er fand das Thema auch sehr interessant hatte sich damit aber noch nicht weiter beschäftigt. Ich hatte auch gleich mal wegen dem XWays gefragt.

In modernen Massenspeichern läuft die Fehlerkorrektur immer (bei manchen Herstellern wird dieser Wert auch angezeigt), kann ein Lesevorgang nicht fehlerfrei durchgeführt werden wird die Fehlerkorrektur auch mehrmals wiederhohlt und der Zähler 0xBB steigt entsprechend. Kann dabei doch noch korrigiert werden gibts auch keinen Lesefehler.

OK. Wobei die 2. Platte mehrere hunderttausend Lese+Suchfehler im SMART meldete, bevor die ersten Werte != 0 bezüglich der Sektoren ausgegeben wurden.

Mit 0xBB meinst du einen der Zähler im SMART? Den scheint es bei WD nicht zu geben.
Edit: Hab gerade mal das Imaging pausiert und die defekte Platte unter Windows angeschlossen dort wird bei BB die "Gemeldete unkorrigierbare Fehler angezeigt". Sind derzeit 155.



Was ich gestern Abend noch festgestellt habe ist, dass man die Geschwindigkeit extrem erhöhen kann, wenn man als Ziel eine Platte mit ext4 anstelle NTFS Partition verwendet. Die Geschwindigkeit hat sich so von etwa 330 kB/s auf 300000 kB/s fast verhundertfacht. Insbesondere war mir das Problem durch die hohe CPU-Last von mount.ntfs und das ich beim Kopieren nicht auf die Zielplatte zugreifen konnte aufgefallen.
Scheint da wohl ein Problem mit dem NTFS-Treiber von Linux zu geben. Krazy About Technology: Solution to Linux NTFS performance woes :- Bad performance / 100% CPU usage when using VirtualBox / VMWare and In general

Edit2: finished
Rescued: 931,51 GiB
Bad sectors: 60,50 KiB