GJU IT-forensics course

Transkript

1 GJU IT-forensics course Harald Baier Analyse von FAT-Dateisystemen

2 Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Harald Baier IT-forensics course GJU

3 Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Harald Baier IT-forensics course GJU

4 Grundlegendes zu FAT (1/2) Einfaches Dateisystem: Meist für DOS oder ältere Windows-Varianten Aber auch für UNIX u. Linux Verwendung z.b. für Flash-Speicher in Digitalkameras Wird daher auch in naher Zukunft von Bedeutung sein FAT = File Allocation Table Tabelle fester Größe, die Pointer auf FS-Blöcke enthält FS-Blöcke heißen in Microsoft-Terminologie Cluster Aus FAT-Pointern ist auch Belegtstatus der Cluster erkennbar Harald Baier IT-forensics course GJU

5 Grundlegendes zu FAT (2/2) Drei unterschiedliche Grundvarianten: FATx mit x = 12, 16, 32 x ist die Länge eines FAT-Pointers in Bit Länge eines FAT-Eintrags bestimmt max. Cluster-Anzahl: Beispiel FAT16: Es gibt höchstens = Cluster Aus Clustergröße folgt max. Größe des Dateisystems FAT folgt nicht dem abstrakten Dateisystemschema: Dateiname und Metadaten stehen gemeinsam in Verzeichniseinträgen Keine FS-Anwendungsdaten (insbesondere kein Journal) Harald Baier IT-forensics course GJU

6 Datenverwaltung unter FAT (1/2) Verzeichniseintrag enthält unter Anderem: Dateiname Adresse des ersten Clusters des Dateiinhalts: n 1 Dateigröße Zeitstempel (MAC-Informationen) Weitere Datencluster ergeben sich aus FAT: Cluster Chain Eintrag n 1 in FAT: Verweis auf Clusteradresse n 2 des zweiten Datenclusters oder EOF Und so weiter bis EOF Anzahl der Cluster ergibt sich aus Datei- und Clustergröße Harald Baier IT-forensics course GJU

7 Datenverwaltung unter FAT (2/2) Source: Carrier, Fig. 9.9 Harald Baier IT-forensics course GJU

8 Aufteilungskonzept des Laufwerks unter FAT Drei Bereiche (von 'vorne' nach 'hinten' auf Laufwerk): Reserved area (Reservierter Bereich) FAT area (FAT-Bereich) Data area (Datenbereich) Wichtig: Nur im Datenbereich werden Cluster zur Adressierung verwendet Kleinste Cluster-Adresse ist 2!!! Lage von Cluster 2 im Datenbereich ist für FAT12/16 und FAT32 verschieden (siehe gleich) Harald Baier IT-forensics course GJU

9 Reserved area = Reservierter Bereich Beginnt immer bei HDD-Block 0 des Laufwerks Dort steht Großteil der Dateisystemdaten Enthält Bootsektor sowie ggfls. weitere HDD-Blöcke: FAT12/16: Reserved area besteht typ. aus einem HDD-Block FAT32: Reserved area besteht aus mehreren HDD-Blöcken FSINFO in Block 1: Hinweise über freie Cluster Backup des Bootsektors (Default ist Block 6) Größe der reserved area steht im Bootsektor Vorsicht: Reserved area wird nicht über Cluster adressiert Harald Baier IT-forensics course GJU

10 FAT area = FAT-Bereich Beginnt im HDD-Block direkt hinter reserved area Enthält eine oder mehrere FATs Typischerweise 2 FATs: Primary FAT (FAT0) Backup von FAT0 (FAT1): FAT0 und FAT1 inhaltsgleich Größe des FAT-Bereichs steht im Bootsektor: Anzahl der FATs Größe einer FAT Vorsicht: FAT area wird nicht über Cluster adressiert Harald Baier IT-forensics course GJU

11 Data area = Datenbereich Beginnt im HDD-Block direkt hinter FAT area Enthält Verzeichnisse und Inhaltsdaten Wurzelverzeichnis: Bei FAT12/16 steht dieses direkt hinter FAT-Bereich Bei FAT32 kann es irgendwo im Datenbereich liegen (Cluster-Nummer steht im Bootsektor) Lage von Cluster 2: FAT12/16: Direkt hinter Wurzelverzeichnis FAT32: Direkt am Anfang des Datenbereichs Harald Baier IT-forensics course GJU

12 Essentielle Daten des Bootsektors Byte-Nr. (dez.) Beschreibung Größe eines HDD-Blocks in Bytes Größe eines Clusters in HDD-Blöcken Erlaubt: 2 n, jedoch maximal 32 KByte Größe der reserved area in HDD-Blöcken Anzahl an FATs (typischerweise 2) Maximale Einträge im Wurzelverzeichnis Für FAT32 = 0 (da in separater Datenstruktur) Größe des Dateisystems in HDD-Blöcken Falls größer, benutze Bytes Anzahl der HDD-Blöcke pro FATx (nur x=12,16) Harald Baier IT-forensics course GJU

13 Nicht-Essentielle Daten des Bootsektors Byte-Nr. (dez.) Beschreibung Jump-Anweisung zu Boot-Code Essentiell, falls bootfähig OEM-Name oder Leerzeichen Gibt evtl. Hinweise auf verwendetes OS Medientyp: Wechselmedium oder nicht 'Signatur': Hexdump 55aa (=0xaa55) Harald Baier IT-forensics course GJU

14 Fallbeispiel: Analyse des Bootsektors Hexdump einer Flash-Speicherkarte aus Digitalkamera Ziel: Laufwerksaufteilung bestimmen Harald Baier IT-forensics course GJU

15 Interpretation von Bytemustern im Bootsektor (1/4) OEM-Name (03-10, nicht-essentiell): Hexdump: Entspricht String: Größe eines HDD-Blocks in Bytes (11-12, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Harald Baier IT-forensics course GJU

16 Interpretation von Bytemustern im Bootsektor (2/4) Größe eines Clusters in HDD-Blöcken (13, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe reserved area in HDD-Blöcken (14-15, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Dort beginnt die FAT Harald Baier IT-forensics course GJU

17 Interpretation von Bytemustern im Bootsektor (3/4) Anzahl der FATs (16, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe einer FAT in HDD-Blöcken (22-23, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Harald Baier IT-forensics course GJU

18 Interpretation von Bytemustern im Bootsektor (4/4) Max. Dateianzahl im Wurzelverzeichnis (17-18, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe des Wurzelverzeichnisses: Jeder Dateieintrag im Wurzelverzeichnis besteht aus 32 Byte Größe in Bytes: Größe in HDD-Blöcken: Harald Baier IT-forensics course GJU

19 Layout des FAT-Systems der Digitalkamera Bereich HDD-Blöcke Reserved Area FAT area FAT0 FAT1 Wurzelverzeichnis Cluster 2 Cluster 3 Harald Baier IT-forensics course GJU

20 Umrechnung Laufwerkadresse Clusteradresse Bekannt: Logische Laufwerkadresse von Cluster 2: A L (Cluster 2 ) Anzahl der HDD-Blöcke pro Cluster: N Clusteradresse des betrachteten Cluster n : n Gesucht: Logische Laufwerkadresse von Cluster n A L (Cluster n ) = (n - 2) N + A L (Cluster 2 ) Auflösen nach n ergibt umgekehrte Berechnung: n = ( A L (Cluster n ) - A L (Cluster 2 ) ) / N + 2 Harald Baier IT-forensics course GJU

21 Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Harald Baier IT-forensics course GJU

22 Metadaten: FAT-Einträge Zwei Ziele des FAT-Eintrags n: Gibt Belegtstatus des zugehörigen Clusters n an Falls Cluster n alloziert, gibt es folgende Alternativen: Weist auf den auf Cluster n folgenden Cluster Zeigt an, dass Cluster n der letzte Cluster der Cluster Chain ist Gibt an, dass Cluster n beschädigt ist (heute eigentlich überflüssig) FAT-Einträge starten direkt hinter reserviertem Bereich Nummerierung startet bei n = 0: Die ersten beiden FAT- Einträge werden für Datencluster nicht benötigt FAT-Eintrag 0: Media Type des Laufwerks FAT-Eintrag 1: Dirty status (z.b. gesetzt bei Systemabsturz) Harald Baier IT-forensics course GJU

23 FAT12/16 FAT12: Jeder FAT-Eintrag hat Bitlänge 12 Cluster unbelegt: FAT-Eintrag ist 0x000 Cluster beschädigt: FAT-Eintrag ist 0xff7 EOF-Markierung: FAT-Eintrag ist 0xff8-0xfff Andernfalls Adresse des folgenden Clusters in Cluster Chain FAT16: Jeder FAT-Eintrag hat Bitlänge 16 Cluster unbelegt: FAT-Eintrag ist 0x0000 Cluster beschädigt: FAT-Eintrag ist 0xfff7 EOF-Markierung: FAT-Eintrag ist 0xfff8-0xffff Andernfalls Adresse des folgenden Clusters in Cluster Chain Harald Baier IT-forensics course GJU

24 FAT32 und Dateilöschung Jeder FAT-Eintrag hat Bitlänge 32 Davon werden aber nur 28 Bit benutzt: Cluster unbelegt: FAT-Eintrag ist 0x Cluster beschädigt: FAT-Eintrag ist 0x0ffffff7 EOF-Markierung: FAT-Eintrag ist 0x0fffffff8-0x0fffffff Andernfalls Adresse des folgenden Clusters in Cluster Chain Dateilöschung: FAT-Einträge der Cluster werden auf 0 gesetzt Inhalte der Datencluster bleiben typischerweise erhalten Harald Baier IT-forensics course GJU

25 Beispiel: FAT0 der Digitalkamera in HDD-Block 1 baier@watson $ dcat /dev/sdb1 1 xxd less : f8ff ffff ffff ffff ffff : a00 0b00 0c00 0d00 0e00 0f : : a00 1b00 1c00 1d00 1e00 1f : !.".#.$.%.&.'.( : a00 2b00 2c00 2d00 2e00 2f ).*.+.,.-.../ : : a00 3b00 3c00 3d00 3e00 3f :.;.<.=.>.?.@ : A.B.C.D.E.F.G.H. [REMOVED] 00001b0: d900 da00 db00 dc00 dd00 de00 df00 e c0: e100 e200 ffff e400 e500 e600 e700 e Harald Baier IT-forensics course GJU

26 Analyse der nicht-allozierten Inhaltsdaten Gehe FAT durch: Suche alle FAT-Einträge mit Wert 0 Suche alle FAT-Einträge zu beschädigten Clustern Wird heute typischerweise von Festplatten direkt gemanagt Manche Tools lassen diese Cluster aus Lese alle zugehörigen Datencluster aus File System Slack und FAT-Slack nicht vergessen: Oft bleiben am 'Ende' des Laufwerks HDD-Blöcke übrig Vorsicht: Größe des Dateisystems in Bootsektor kann einfach mit Hex-Editor manipuliert werden FAT-Slack: Bereich zwischen letztem FAT-Eintrag und nächstem Bereich (nächster FAT oder Datenbereich) Harald Baier IT-forensics course GJU

27 Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Harald Baier IT-forensics course GJU

28 Verzeichnisse: Grundlagen (1/3) Verzeichniseinträge enthalten Dateinamen und Metadaten Jeder Verzeichniseintrag hat die Länge 32 Byte Inhalt eines Verzeichniseintrags: Dateiname Clusteradresse des ersten Datenclusters MAC-Zeitstempel: Unterschiedliche Genauigkeit Dateigröße In 4 Byte kodiert entspricht max. Dateigröße 4 GByte Attribute: Essentiell: Verzeichnis (Ja/Nein), Langer Dateiname (J/N) Nicht-essentiell: Zugriffsrechte, Systemdatei, Archiv (für Backup) Harald Baier IT-forensics course GJU

29 Verzeichnisse: Grundlagen (2/3) Beim Anlegen eines neuen Verzeichnisses wird ein Cluster alloziert und zunächst mit Nullbytes überschrieben Dateigröße des neuen Verzeichnis im Elternverzeichnis = 0 Also kann Größe eines Verzeichnisses nur durch Abschreiten der Cluster Chain bestimmt werden Ausnahme: Rootverzeichnis, dessen Größe im Bootsektor steht Erste beiden Verzeichniseinträge sind. und.. Ausnahme: Rootverzeichnis Zeitstempel für. und.. werden nie verändert Inkonsistenz mit Zeitstempeln im Elternverzeichnis Harald Baier IT-forensics course GJU

30 Verzeichnisse: Grundlagen (3/3) Löschen einer Datei: Erstes Zeichen des Dateinamens im Verzeichniseintrag wird auf den Wert 0xe5 gesetzt Der Rest des Verzeichniseintrags bleibt erhalten Insbesondere also der Verweis auf den ersten Datencluster Aber: In FAT werden alle Datencluster auf unbelegt gesetzt Cluster Chain geht dadurch bis auf ersten Cluster verloren Namenskonflikt: vase.jpg und nase.jpg nach Löschung Namenskonflikt Jeweils _ase.jpg Harald Baier IT-forensics course GJU

31 Verzeichnisstruktur Byte-Nr. (dez.) Beschreibung Erstes ASCII-Zeichen des Dateinamens oder 0x00 für nicht-alloziert oder 0xe5 für gelöscht Restliche Zeichen des Dateinamens (8+3) Attribute (Read only, Langer Name, Dir, ) Reserviert Zeitstempel für created und accessed Nur FAT32: Höherwertige Bytes 1. Clusteradresse Zeitstempel für last written Niederwertige Bytes 1. Clusteradresse Dateigröße in Bytes (= 0 für Verzeichnisse) Harald Baier IT-forensics course GJU