DD-Image - Partition um halben Sektor verschoben.

[DKK007]

Hallo an alle,

Eine Bekannte kam heute mit einem USB Stick an, der sich plötzlich nur mehr lesen ließ. Jedoch wurde im GParted die NTFS-Partition noch erkannt, deshalb habe ich direkt diese mit dd gesichert.

dd if=/dev/sdc of=./media/Daten/Data.dd bs=4096

Beim auswerten der Datei im Hex-Editor ist mir aufgefallen, das der NTFS-Bootblock erst bei 0x100 beginnt, also um 256 Byte bzw. einen halben Sektor verschoben.

Hat da dd noch eine Art Header davorgesetzt, oder ist die Partition, bzw. das Offset dieser in der Partitionstabelle, wirklich um einen halben Sektor verschoben. Das kann doch eigentlich nicht sein??

siehe Bild:


mfg. DKK007

PS: Daten ließen sich letztendlich mit Autopsy aus dem Image auslesen. Einen Dongle für X-Ways habe ich ja gerade nicht.

 

[Inzersdorfer]

Möglicherweise weil der BiosParameterBlock, der extended BPB und der Boot Code unlesbar sind.

 

[DKK007]

Wobei der BootCode ja im MBR liegt und der ist auch 446 Byte lang. Dahinter kommen ja die Partitionseinträge und das MagicByte 55AA.
Wenn da irgendwas gewesen wäre, wäre auch die Partition nicht erkannt worden.

Ich werde wohl einfach am Montag mal meinem Professor ne Mail schreiben, vielleicht hat er ja eine Idee, woran es liegen könnte.