Peinlich: Festplatte /dev/sda auf dem PC mit dd überschrieben

Kein Backup, kein Mitleid -- brauche trotzdem Hilfe!

Mir ist letztens etwas Saublödes passiert:

Ich habe auf meinem Linux-PC wie gefühlt schon 1543 Male vorher folgendes Kommando abgesetzt:

sudo dd if=<neues RPi-Image> of=/dev/sda bs=1M

Anstelle von sonst /dev/sdb oder /dev/sdc habe ich wohl in einem Anfall geistiger Umnachtung /dev/sda eingegeben und mir damit die ersten max. 8GB meiner PC-Festplatte (1TB Samsung EVO860) überschrieben. Dadurch wurden folgende Teile meiner Installation überschrieben:

* MBR (Master Boot Record) mit der Partitionstabelle EDIT: bzw GPT (danke Rasp-Berlin )

* UEFI-Bootpartiton /dev/sda1

* Win7-Partition /dev/sda2 mit ca. 100GB Größe (wohl nur teilweise überschreiben, allerdings kein wirklicher Verlust, da mittlerweile unproduktiv)

Nach wie vor unbeschädigt dürften meine produktiven Linux-Partitionen sein:

* Linux Mint / (Rootverzeichnis) /dev/sda3

* /dev/sda4 Merker im/für MBR, dass noch max. 4 logische Partitionen folgen

* Partition für die Linux Homeverzeichnisse /dev/sda5

* große NTFS-Datenpartition /dev/sda6

Ein Zugriff auf die grünen Partitonen lief nach Absetzen des dd-Befehls noch einwandfrei, da das laufende Linux-Betriebssystem die Partitionen offenbar beim Booten davor noch erfolgreich gemountet hatte. Dabei sah ich, dass die Daten physikalisch noch da sind. Die Win7-Partition war weg.
Nach einem Reboot des PCs habe ich darauf keinen Zugriff mehr, ich sehe auf der Festplatte nur die beiden drübergebügelten RPi-Partitionen /rootfs und /bootDass mein PC überhaupt noch läuft, liegt daran, dass er eine zweite M.2-Festplatte (Samsung 970EVOplus NVMe M.2) hat, von der gebootet wird:

Dateisystem    Größe Benutzt Verf. Verw% Eingehängt auf
/dev/nvme0n1p1  286M    5,1M  281M    2% /boot/efi
/dev/nvme0n1p3  220G     49G  160G   24% /
udev            7,7G       0  7,7G    0% /dev
tmpfs           1,6G    9,4M  1,6G    1% /run
tmpfs           7,7G    120M  7,6G    2% /dev/shm
tmpfs           5,0M    4,0K  5,0M    1% /run/lock
tmpfs           7,7G       0  7,7G    0% /sys/fs/cgroup
tmpfs           1,6G     32K  1,6G    1% /run/user/1000
/dev/sda2       3,0G    2,0G  831M   72% /media/peter/rootfs
/dev/sda1       253M     52M  202M   21% /media/peter/boot

Ich werde nachher, wenn die Geschäfte geöffnet haben, in die Stadt fahren und mir eine genügend große 2TB-HDD kaufen, auf der ich eine dd-Sicherung der jetzigen Festplatte /dev/sda vornehmen werde, um wenigstens die Rohdaten zu sichern, bevor ich weitere gefährliche Experimente machen werde...

Ich habe auch eine etwa drei Monate alte Sicherung meiner Daten, so dass im Zweifelsfalle nicht alles weg ist. Auf der Sicherung befinden sich aber keine Rohdaten des ersten Sektoren der Festplatte mit dem MBR etc. für die Wiederherstellung einer gültigen Partitionstabelle.

Meine Fragen:

* Kann ich die Partitionierung der Platte wieder irgendwie herstellen?

* Kann man die Sektoren der Festplatte so durchsuchen, dass man den Anfang einer neuen Partition erkennt?

* Gibt es andere Wege oder Ideen?

EDIT: hilfreiche(?) Links, die ich ausprobieren werde:

* Suchmaschinenergebnis: https://www.giga.de/downloads/ease…kann-s-klappen/

* https://www.giga.de/software/siche…letzte-rettung/

* Low-Level-Software: https://www.giga.de/downloads/testdisk-photorec/

* Downloadseite von Testdisk (CGSecurity): https://www.cgsecurity.org/

EDIT2: Es geht unter Linux (debian-basierend) ja noch einfacher:

sudo apt-get install testdisk

Dann Aufruf mit testdisk

Quote from RTFM

3x ja.

Das ist ja schon mal vielversprechend

Ich werde jetzt in diesem Thread beschreiben, wie ich vorgehen werde. Vielleicht hilft es ja mal anderen...

Zumindest wenn ich gewinnen sollte, aber das weiß ich ja noch nicht.

1:1-Sicherung der vermurksten Festplatte auf einer gleich großen neuen Festplatte

Sodala, jetzt wollte ich mir in der Stadt eigentlich eine 2,5Zoll 2TB HDD mit SATA-Schnittstelle (z.B. sowas [Anzeige]) kaufen: Das gibt's nicht (mehr)! Nur portable USB3.x-HDDs Ginge vielleicht auch, aber die kann ich nicht direkt in den PC einbauen. Es sollen schon so viele Parameter wie möglich gleich sein. Also habe ich mir eine cruci(fünf)al MX500 2,5Zoll SATA SSD mit 1TB [Anzeige] gekauft, in der Hoffnung, dass bei echten Festplatten 1TB = 1TB ist. Nicht wie bei den SD-Karten, wo die genaue Größe eher zufällig ist. Doch es schaut gut aus, beide Platten haben laut lsblk 931,5GiB:

Dateisystem    Größe Benutzt Verf. Verw% Eingehängt auf
udev            7,7G       0  7,7G    0% /dev
tmpfs           1,6G    9,4M  1,6G    1% /run
/dev/nvme0n1p3  220G     49G  160G   24% /
tmpfs           7,7G       0  7,7G    0% /dev/shm
tmpfs           5,0M    4,0K  5,0M    1% /run/lock
tmpfs           7,7G       0  7,7G    0% /sys/fs/cgroup
/dev/nvme0n1p1  286M    5,1M  281M    2% /boot/efi
tmpfs           1,6G     32K  1,6G    1% /run/user/1000

NAME        MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
sda           8:0    0 931,5G  0 disk 
nvme0n1     259:0    0 232,9G  0 disk 
├─nvme0n1p1 259:1    0   286M  0 part /boot/efi
├─nvme0n1p2 259:2    0   8,2G  0 part [SWAP]
└─nvme0n1p3 259:3    0 224,4G  0 part /

NAME        MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
sda           8:0    0 931,5G  0 disk 
sdb           8:16   0 931,5G  0 disk 
├─sdb1        8:17   0   256M  0 part /media/peter/boot
└─sdb2        8:18   0     3G  0 part /media/peter/rootfs
nvme0n1     259:0    0 232,9G  0 disk 
├─nvme0n1p1 259:1    0   286M  0 part /boot/efi
├─nvme0n1p2 259:2    0   8,2G  0 part [SWAP]
└─nvme0n1p3 259:3    0 224,4G  0 part /

umount: /dev/sda: not mounted.

Der Sicherungsvorgang mit dd über USB3.0 nach SATA dauerte für 1TB ca. 40 Minuten.

Wiederherstellen der Partitionen mit testdisk

Dieses testdisk ist ja (entgegen der Ankündigungen in den obigen Links von giga.de) relativ intuitiv. Jedenfalls fand es schon mal meine Linux-Partitionen (grün)

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/sda - 1000 GB / 931 GiB - CHS 121601 255 63
     Partition               Start        End    Size in sectors
 D FAT32                    0 130  3    33  37  4     524288 [boot]
 D HPFS - NTFS             12 223 20 10198 177 27  163635200
 D Linux                   33  37  5   422 218 52    6260736 [rootfs]
 * Linux Swap           10198 177 28 10928  37 53   11718656
 P Linux                10928  70 23 15105 155 26   67108864
>P Linux                15105 187 59 35303 157 54  324478976
 D HPFS - NTFS          35303 190 24 121601  57 56 1386369024
 D HPFS - NTFS          35303 190 31 121601  57 56 1386369017




Structure: Ok.  Use Up/Down Arrow keys to select partition.
Use Left/Right Arrow keys to CHANGE partition characteristics:
*=Primary bootable  P=Primary  L=Logical  E=Extended  D=Deleted
Keys A: add partition, L: load backup, T: change type, P: list files,
     Enter: to continue
ext4 blocksize=4096 Large_file Sparse_SB, 166 GB / 154 GiB

* Die Linux-Swap-Partition besteht aus 11718656 Sektoren à 512 Bytes, d.h. ca. 6 GB

* Die Linux-Root-Partition bestheht aus 67108864 Sektoren, d.h. genau 32 GB

* Die Linux-home-Partition mit meinen Daten besteht aus 324478976 Sektoren, d.h. ca. 154 GB

--> Das ist schon mal schlüssig und passt zu dem, was ich von gparted in Erinnerung habe

* Zuletzt kommt eine NTFS-Partition mit meiner flac-Musik für's Auflegen. Mal schauen, ob die wiederherstellbar ist. Aber davon hätte ich eine recht aktuelle Sicherung. Mir gefallen da die beiden letzten Zeilen mit den unterschiedlichen Größen 1386369024 und 1386369017 nicht...

Wie gesagt, dass die überschriebene Win7-Systempartition futsch ist, das tangiert mich äußerst peripher. Die kam vom alten PC und lief auf dem neuen PC eh nicht mehr.

EDIT: Wiederherstellung der Partitionen:

Wenn man eine Anzeige ähnlich zur obigen bekommt, wählt man die gewünschte Partition mit den Cursortasten aus und stößt deren Wiederherstellung mit Druck auf die ENTER-Taste an. Man erhält eine Anzeige ähnlich der folgenden:

Mit [ Write ] versucht man nun sein Glück. Anschließend fordert testdisk zum Reboot auf. Die ursprünglich grün markierten Partitionen sind nun vorhanden.

Bei mir war es jetzt so, dass im ersten Durchlauf "nur" die Linux-Partitionen aus dem ersten Screenshot rekonstruiert werden konnten. Ein zweiter testdisk-Lauf nach dem Reboot erkannte auch die in der Liste ganz unten stehende NTFS-Partition mit meinen gerippten CDs und konnte sie anscheinend ebenfalls fehlerfrei wiederherstellen.

Fazit -- oder was lernen wir daraus?

1. ganz klar, es gilt wie immer: Kein Backup, kein Mitleid!

2. Die Partitionierung der Festplatte auf einem Linux-PC ausgeklügelt vornehmen:

a) bei neuen Rechnern mit UEFI sollte die erste Partition immer die UEFI-Bootpartition sein. Größe <=512MB (>=100MB empfohlen)

b) Danach gleich eine großzügige Linux-SWAP-Partition erstellen. Am besten >8GB

c) Dahinter die Betriebssystempartition (Linux-Rootpartition). Auch die ist ggf. durch Linux-Neuinstallation schnell wieder hergestellt. Wie es diesbezüglich bei Windows aussieht, kann ich jetzt nicht sagen.

d) ganz hinten die Partition mit den persönlichen/wichtigen Daten: In Linux eine separate /home-Partition, in Windows ein Laufwerk D:

==> Bei einem dd-Kommando zum Flashen einer RPi-SD-Karte mit falscher Zielangabe überschreibt man sich "nur" die UEFI-Bootpartiton und

die Linux-Swappartition. Die dahinter liegenden eigentlichen Nutzdaten werden somit durch ein RPi-Image <8GB nicht mehr beschädigt.

Das werde ich jetzt dann noch testen:

Eine Sicherung des 1. GB der Festplatte /dev/sda, nicht /dev/sda1, mit dd vornehmen. Dort sind der MBR, die UEFI-Bootpartition und der erste Teil der Linux-SWAP-Partiton enthalten. Das kann man dann bei versehentlichem Überschreiben wie's mir heute passiert ist, wieder mit wenig Aufwand rückgängig machen. EDIT: Das hat nicht gefunzt, nicht mal mit 8GB...

Ich hatte hier ja richtig Glück im Unglück: Das relativ schadlose Abfangen des fehlerhaft geschriebenen RPi-Images übernahm bei mir die nicht mehr benötigte Windows-Partition. Ich war Gott sei Dank zu faul, sie zu löschen und meine Nutzdaten nach vorne zu schieben

Der Tag ist gerettet!

Zuletzt möchte ich mich bei Euch allen bedanken, die mich hier moralisch unterstützten und mir Tipps gaben! Super Community hier!

Danke an:

RTFM

framp, der alte Backup-Guru

@DeaD_EyE

kle

Interessant zu wissen!

Das wird aber meine Win7-Partition auch nicht retten können, da deren Anfang wohl vom RPi-Image überschreiben wurde. Aber die habe ich eh nicht mehr verwendet.

Da soll noch mal einer sagen, Windows sei nicht sicher. Ich habe es Windows zu verdanken, dass meine Daten komplett erhalten geblieben sind, siehe oben.

Quote from Rasp-Berlin

Bei Festplatten, die per GPT formatiert wurden, befindet sich ganz am Ende der Platte immer eine Kopie der gültigen Partitionstabelle.

Quote from RTFM

Es ist ziemlich unwahrscheinlich, dass eine GPT Kopie am Plattenende abgelegt ist.

Die HD war DOS/MBR partitioniert, sonst wäre keine "erweiterte Partition" vorhanden.

Wie auch immer:
Ich werde keine "Energie" in die Wiederherstellung der Windows7-Partition (/dev/sda2) stecken, da ich sie definitiv nicht mehr benötige. Die wenigen Windows-Daten habe ich in der letzten Partition (NTFS-partitioniert) mit meiner Musik abgelegt.

Die "Sicherung" gegen ein derartiges Überschreiben wird künftig die Linux-Systempartition (Root-Partition) übernehmen. Das Linux-System ist im Zweifelsfalle "schnell" wieder installiert (15 Minuten auf meinem Laptop mit SSD). Wichtig ist (für mich), dass die Datenpartitionen genügend weit hinten beginnen.

Quote from llutz

Zusätzlich einfach per  sfdisk -d /dev/yxz  die Partitionstabelle wiederherstellbar sichern

Cool, sowas habe ich schon lange gesucht!

Wie immer unter Linux nur ein Befehl.