Computerforensik. Wintersemester 2010/2011

Transkript

1 Computerforensik Wintersemester 2010/2011 Harald Baier Kapitel 5: Analyse von FAT-Dateisystemen

2 Inhalt Layout eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Metadaten eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Verzeichnisse im FAT-Dateisystem Anwendungs-Beispiel: Digitalkamera Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2010/2011 2

3 Inhalt Layout eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Metadaten eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Verzeichnisse im FAT-Dateisystem Anwendungs-Beispiel: Digitalkamera Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2010/2011 3

4 Grundlegendes zu FAT (1/2) Einfaches Dateisystem: Meist für DOS oder ältere Windows-Varianten Aber auch für UNIX u. Linux Verwendung z.b. für Flash-Speicher in Digitalkameras Wird daher auch in naher Zukunft von Bedeutung sein FAT = File Allocation Table Tabelle fester Größe, die Pointer auf FS-Blöcke enthält FS-Blöcke heißen in Microsoft-Terminologie Cluster Aus FAT-Pointern ist auch Belegtstatus der Cluster erkennbar Harald Baier Computerforensik h_da WS 2010/2011 4

5 Grundlegendes zu FAT (2/2) Drei unterschiedliche Grundvarianten: FATx mit x = 12, 16, 32 x ist die Länge eines FAT-Pointers in Bit Länge eines FAT-Eintrags bestimmt max. Cluster-Anzahl: Beispiel FAT16: Es gibt höchstens = Cluster Aus Clustergröße folgt max. Größe des Dateisystems FAT folgt nicht dem abstrakten Dateisystemschema: Dateiname und Metadaten stehen gemeinsam in Verzeichniseinträgen Keine FS-Anwendungsdaten (insbesondere kein Journal) Harald Baier Computerforensik h_da WS 2010/2011 5

6 Datenverwaltung unter FAT (1/2) Verzeichniseintrag enthält unter Anderem: Dateiname Adresse des ersten Clusters des Dateiinhalts: n 1 Dateigröße Zeitstempel (MAC-Informationen) Weitere Datencluster ergeben sich aus FAT: Cluster Chain Eintrag n 1 in FAT: Verweis auf Clusteradresse n 2 des zweiten Datenclusters oder EOF Und so weiter bis EOF Anzahl der Cluster ergibt sich aus Datei- und Clustergröße Harald Baier Computerforensik h_da WS 2010/2011 6

7 Datenverwaltung unter FAT (2/2) Source: Carrier, Fig. 9.9 Harald Baier Computerforensik h_da WS 2010/2011 7

8 Aufteilungskonzept des Laufwerks unter FAT Drei Bereiche (von 'vorne' nach 'hinten' auf Laufwerk): Reserved area (Reservierter Bereich) FAT area (FAT-Bereich) Data area (Datenbereich) Wichtig: Nur im Datenbereich werden Cluster zur Adressierung verwendet Kleinste Cluster-Adresse ist 2!!! Lage von Cluster 2 im Datenbereich ist für FAT12/16 und FAT32 verschieden (siehe gleich) Harald Baier Computerforensik h_da WS 2010/2011 8

9 Reserved area = Reservierter Bereich Beginnt immer bei HDD-Block 0 des Laufwerks Dort steht Großteil der Dateisystemdaten Enthält Bootsektor sowie ggfls. weitere HDD-Blöcke: FAT12/16: Reserved area besteht typ. aus einem HDD-Block FAT32: Reserved area besteht aus mehreren HDD-Blöcken FSINFO in Block 1: Hinweise über freie Cluster Backup des Bootsektors (Default ist Block 6) Größe der reserved area steht im Bootsektor Vorsicht: Reserved area wird nicht über Cluster adressiert Harald Baier Computerforensik h_da WS 2010/2011 9

10 FAT area = FAT-Bereich Beginnt im HDD-Block direkt hinter reserved area Enthält eine oder mehrere FATs Typischerweise 2 FATs: Primary FAT (FAT0) Backup von FAT0 (FAT1): FAT0 und FAT1 inhaltsgleich Größe des FAT-Bereichs steht im Bootsektor: Anzahl der FATs Größe einer FAT Vorsicht: FAT area wird nicht über Cluster adressiert Harald Baier Computerforensik h_da WS 2010/

11 Data area = Datenbereich Beginnt im HDD-Block direkt hinter FAT area Enthält Verzeichnisse und Inhaltsdaten Wurzelverzeichnis: Bei FAT12/16 steht dieses direkt hinter FAT-Bereich Bei FAT32 kann es irgendwo im Datenbereich liegen (Cluster-Nummer steht im Bootsektor) Lage von Cluster 2: FAT12/16: Direkt hinter Wurzelverzeichnis FAT32: Direkt am Anfang des Datenbereichs Harald Baier Computerforensik h_da WS 2010/

12 Essentielle Daten des Bootsektors Byte-Nr. (dez.) Beschreibung Größe eines HDD-Blocks in Bytes Größe eines Clusters in HDD-Blöcken Erlaubt: 2 n, jedoch maximal 32 KByte Größe der reserved area in HDD-Blöcken Anzahl an FATs (typischerweise 2) Maximale Einträge im Wurzelverzeichnis Für FAT32 = 0 (da in separater Datenstruktur) Größe des Dateisystems in HDD-Blöcken Falls größer, benutze Bytes Anzahl der HDD-Blöcke pro FATx (nur x=12,16) Harald Baier Computerforensik h_da WS 2010/

13 Nicht-Essentielle Daten des Bootsektors Byte-Nr. (dez.) Beschreibung Jump-Anweisung zu Boot-Code Essentiell, falls bootfähig OEM-Name oder Leerzeichen Gibt evtl. Hinweise auf verwendetes OS Medientyp: Wechselmedium oder nicht 'Signatur': Hexdump 55aa (=0xaa55) Harald Baier Computerforensik h_da WS 2010/

14 Inhalt Layout eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Metadaten eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Verzeichnisse im FAT-Dateisystem Anwendungs-Beispiel: Digitalkamera Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2010/

15 Fallbeispiel: Analyse des Bootsektors Hexdump einer Flash-Speicherkarte aus Digitalkamera Ziel: Laufwerksaufteilung bestimmen Harald Baier Computerforensik h_da WS 2010/

16 Interpretation von Bytemustern im Bootsektor (1/4) OEM-Name (03-10, nicht-essentiell): Hexdump: Entspricht String: Größe eines HDD-Blocks in Bytes (11-12, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Harald Baier Computerforensik h_da WS 2010/

17 Interpretation von Bytemustern im Bootsektor (2/4) Größe eines Clusters in HDD-Blöcken (13, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe reserved area in HDD-Blöcken (14-15, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Dort beginnt die FAT Harald Baier Computerforensik h_da WS 2010/

18 Interpretation von Bytemustern im Bootsektor (3/4) Anzahl der FATs (16, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe einer FAT in HDD-Blöcken (22-23, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Harald Baier Computerforensik h_da WS 2010/

19 Interpretation von Bytemustern im Bootsektor (4/4) Max. Dateianzahl im Wurzelverzeichnis (17-18, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe des Wurzelverzeichnisses: Jeder Dateieintrag im Wurzelverzeichnis besteht aus 32 Byte Größe in Bytes: Größe in HDD-Blöcken: Harald Baier Computerforensik h_da WS 2010/

20 Layout des FAT-Systems der Digitalkamera Bereich HDD-Blöcke Reserved Area FAT area FAT0 FAT1 Wurzelverzeichnis Cluster 2 Cluster 3 Harald Baier Computerforensik h_da WS 2010/

21 Umrechnung Laufwerkadresse Clusteradresse Bekannt: Logische Laufwerkadresse von Cluster 2: A L (Cluster 2 ) Anzahl der HDD-Blöcke pro Cluster: N Clusteradresse des betrachteten Cluster n : n Gesucht: Logische Laufwerkadresse von Cluster n A L (Cluster n ) = (n - 2) N + A L (Cluster 2 ) Auflösen nach n ergibt umgekehrte Berechnung: n = ( A L (Cluster n ) - A L (Cluster 2 ) ) / N + 2 Harald Baier Computerforensik h_da WS 2010/

22 Inhalt Layout eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Metadaten eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Verzeichnisse im FAT-Dateisystem Anwendungs-Beispiel: Digitalkamera Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2010/

23 Metadaten: FAT-Einträge Zwei Ziele des FAT-Eintrags n: Gibt Belegtstatus des zugehörigen Clusters n an Falls Cluster n alloziert, gibt es folgende Alternativen: Weist auf den auf Cluster n folgenden Cluster Zeigt an, dass Cluster n der letzte Cluster der Cluster Chain ist Gibt an, dass Cluster n beschädigt ist (heute eigentlich überflüssig) FAT-Einträge starten direkt hinter reserviertem Bereich Nummerierung startet bei n = 0: Die ersten beiden FAT- Einträge werden für Datencluster nicht benötigt FAT-Eintrag 0: Media Type des Laufwerks FAT-Eintrag 1: Dirty status (z.b. gesetzt bei Systemabsturz) Harald Baier Computerforensik h_da WS 2010/

24 FAT12/16 FAT12: Jeder FAT-Eintrag hat Bitlänge 12 Cluster unbelegt: FAT-Eintrag ist 0x000 Cluster beschädigt: FAT-Eintrag ist 0xff7 EOF-Markierung: FAT-Eintrag ist 0xff8-0xfff Andernfalls Adresse des folgenden Clusters in Cluster Chain FAT16: Jeder FAT-Eintrag hat Bitlänge 16 Cluster unbelegt: FAT-Eintrag ist 0x0000 Cluster beschädigt: FAT-Eintrag ist 0xfff7 EOF-Markierung: FAT-Eintrag ist 0xfff8-0xffff Andernfalls Adresse des folgenden Clusters in Cluster Chain Harald Baier Computerforensik h_da WS 2010/

25 FAT32 und Dateilöschung Jeder FAT-Eintrag hat Bitlänge 32 Davon werden aber nur 28 Bit benutzt: Cluster unbelegt: FAT-Eintrag ist 0x Cluster beschädigt: FAT-Eintrag ist 0x0ffffff7 EOF-Markierung: FAT-Eintrag ist 0x0fffffff8-0x0fffffff Andernfalls Adresse des folgenden Clusters in Cluster Chain Dateilöschung: FAT-Einträge der Cluster werden auf 0 gesetzt Inhalte der Datencluster bleiben typischerweise erhalten Harald Baier Computerforensik h_da WS 2010/

26 Beispiel: FAT0 der Digitalkamera in HDD-Block 1 baier@watson $ dcat /dev/sdb1 1 xxd less : f8ff ffff ffff ffff ffff : a00 0b00 0c00 0d00 0e00 0f : : a00 1b00 1c00 1d00 1e00 1f : !.".#.$.%.&.'.( : a00 2b00 2c00 2d00 2e00 2f ).*.+.,.-.../ : : a00 3b00 3c00 3d00 3e00 3f :.;.<.=.>.?.@ : A.B.C.D.E.F.G.H. [REMOVED] 00001b0: d900 da00 db00 dc00 dd00 de00 df00 e c0: e100 e200 ffff e400 e500 e600 e700 e Harald Baier Computerforensik h_da WS 2010/

27 Analyse der nicht-allozierten Inhaltsdaten Gehe FAT durch: Suche alle FAT-Einträge mit Wert 0 Suche alle FAT-Einträge zu beschädigten Clustern Wird heute typischerweise von Festplatten direkt gemanagt Manche Tools lassen diese Cluster aus Lese alle zugehörigen Datencluster aus File System Slack und FAT-Slack nicht vergessen: Oft bleiben am 'Ende' des Laufwerks HDD-Blöcke übrig Vorsicht: Größe des Dateisystems in Bootsektor kann einfach mit Hex-Editor manipuliert werden FAT-Slack: Bereich zwischen letztem FAT-Eintrag und nächstem Bereich (nächster FAT oder Datenbereich) Harald Baier Computerforensik h_da WS 2010/

28 Inhalt Layout eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Metadaten eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Verzeichnisse im FAT-Dateisystem Anwendungs-Beispiel: Digitalkamera Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2010/

29 Verzeichnisse: Grundlagen (1/3) Verzeichniseinträge enthalten Dateinamen und Metadaten Jeder Verzeichniseintrag hat die Länge 32 Byte Inhalt eines Verzeichniseintrags: Dateiname Clusteradresse des ersten Datenclusters MAC-Zeitstempel: Unterschiedliche Genauigkeit Dateigröße In 4 Byte kodiert entspricht max. Dateigröße 4 GByte Attribute: Essentiell: Verzeichnis (Ja/Nein), Langer Dateiname (J/N) Nicht-essentiell: Zugriffsrechte, Systemdatei, Archiv (für Backup) Harald Baier Computerforensik h_da WS 2010/

30 Verzeichnisse: Grundlagen (2/3) Beim Anlegen eines neuen Verzeichnisses wird ein Cluster alloziert und zunächst mit Nullbytes überschrieben Dateigröße des neuen Verzeichnis im Elternverzeichnis = 0 Also kann Größe eines Verzeichnisses nur durch Abschreiten der Cluster Chain bestimmt werden Ausnahme: Rootverzeichnis, dessen Größe im Bootsektor steht Erste beiden Verzeichniseinträge sind. und.. Ausnahme: Rootverzeichnis Zeitstempel für. und.. werden nie verändert Inkonsistenz mit Zeitstempeln im Elternverzeichnis Harald Baier Computerforensik h_da WS 2010/

31 Verzeichnisse: Grundlagen (3/3) Löschen einer Datei: Erstes Zeichen des Dateinamens im Verzeichniseintrag wird auf den Wert 0xe5 gesetzt Der Rest des Verzeichniseintrags bleibt erhalten Insbesondere also der Verweis auf den ersten Datencluster Aber: In FAT werden alle Datencluster auf unbelegt gesetzt Cluster Chain geht dadurch bis auf ersten Cluster verloren Namenskonflikt: vase.jpg und nase.jpg nach Löschung Namenskonflikt Jeweils _ase.jpg Harald Baier Computerforensik h_da WS 2010/

32 Verzeichnisstruktur Byte-Nr. (dez.) Beschreibung Erstes ASCII-Zeichen des Dateinamens oder 0x00 für nicht-alloziert oder 0xe5 für gelöscht Restliche Zeichen des Dateinamens (8+3) Attribute (Read only, Langer Name, Dir, ) Reserviert Zeitstempel für created und accessed Nur FAT32: Höherwertige Bytes 1. Clusteradresse Zeitstempel für last written Niederwertige Bytes 1. Clusteradresse Dateigröße in Bytes (= 0 für Verzeichnisse) Harald Baier Computerforensik h_da WS 2010/

33 Bytestruktur des Attribut-Bytes (Byte 11) Byte Bitmuster Beschreibung Read-only Hidden file System file Volume label 0f Long file name Directory Archive Harald Baier Computerforensik h_da WS 2010/

34 Zugriffszeiten Byte-Nr. Beschreibung (dez.) Created time (Tausendstel Sekunden) Created time: HH:MM:SS (in 2-Sekunden-Intervallen) Created day: YY:MM:DD (Jahr seit 1980) Accessed day Written time: HH:MM:SS Written day: YY:MM:DD Harald Baier Computerforensik h_da WS 2010/

35 Codierung des Datums Source: Carrier, Fig Harald Baier Computerforensik h_da WS 2010/

36 Codierung der Uhrzeit Source: Carrier, Fig Harald Baier Computerforensik h_da WS 2010/

37 Suche nach gelöschten Verzeichnissen Annahme: Daten-Cluster wurde seit Löschung nicht wieder alloziert Suchen nach bestimmter Signatur: Bytes 0-10 stehen für '.' 2e Bytes stehen für '..' 2e2e Kann mit Tool sigfind aus TSK durchgeführt werden Angabe von Maximal 4 Suchbytes sigfind 2e image sucht nach Signatur 2E Suchergebnis: Zwei Strings im Abstand 33 Bytes Slack Space nicht vergessen! Harald Baier Computerforensik h_da WS 2010/

38 Adressierung von Metadaten im TSK Anlehnung an UNIX-Konvention für Inodes: Metadaten stehen in Verzeichnissen Wurzelverzeichnis hat 'Inode' 2 Unterteilung des Datenbereichs in 32-Byte-Segmente: Erste 32 Byte in Datenbereich haben 'Inode 3' Zweite 32 Byte in Datenbereich haben 'Inode 4' Ein bisschen Umrechnung ist nötig Nur sinnvolle Metadaten, falls in Cluster ein Verzeichnis steht Zugriff auf Root-Verzeichnis: istat device 2 Harald Baier Computerforensik h_da WS 2010/

39 Inhalt Layout eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Metadaten eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Verzeichnisse im FAT-Dateisystem Anwendungs-Beispiel: Digitalkamera Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2010/

40 Beispiel: Wurzelverzeichnis / der Digitalkamera baier@watson $ dcat /dev/sdb1 xxd less : d DCIM...Hi : 3d3a 4a3a 0000 dd8a 4a3a =:J:...J: : Erster Verzeichniseintrag: Dateiname: Adresse des ersten Datenclusters: Weitere Datencluster: Attribute: Dateigröße: Zugriff auf Metadaten mit TSK: Harald Baier Computerforensik h_da WS 2010/

41 Beispiel: Verzeichnis /DCIM der Digitalkamera (1/2) $ dcat /dev/sdb1 xxd less : 2e Ii : 3d3a 3d3a d3a =:=:..Ii=: : 2e2e Ii : 3d3a 3d3a d3a =:=:..Ii=: : d DSCIM...Ii : 3d3a 4a3a 0000 e68a 4a3a =:J:...J: : d c51 101DSCIM..d\Q : 413b 7d3b 0000 a699 7d3b A;};...}; : : a0: b0: Harald Baier Computerforensik h_da WS 2010/

42 Beispiel: Verzeichnis /DCIM der Digitalkamera (2/2) : d c51 101DSCIM..d\Q : 413b 7d3b 0000 a699 7d3b A;};...};... Vierter Verzeichniseintrag: Dateiname: Adresse des ersten Datenclusters: Weitere Datencluster: Attribute: Dateigröße: Zugriff auf Metadaten mit TSK: Harald Baier Computerforensik h_da WS 2010/

43 Beispiel: Verzeichnis /DCIM/101DSCIM (1/2) $ dcat /dev/sdb1 32 xxd less [REMOVED Entries for. and..] : c a f55e BILD0943JPG...^ : 853b 893b 0000 f65e 853b 0500 a ;.;...^.;...E : c a f BILD0944JPG..._ : 853b 893b f 853b e300 8f5b 2600.;.;..._.;...[& : c a f BILD0945JPG..._ : 853b 893b f 853b 7d01 c ;.;..._.;} a0: c a c5f BILD0946JPG..._ 00000b0: 853b 893b c5f 853b d ;.;..._.;T.} c0: c a e78 BILD0947JPG...nx 00000d0: 853b 893b e78 853b 1b03 2cad 3900.;.;..nx.;.., e0: c a d78 BILD0948JPG...}x 00000f0: 853b 893b d78 853b b ;.;..}x.;..' : e549 4c a e08b.ild0939jpg : 7d3b 7d3b 0000 e08b 7d3b ce04 b };};...};...v1. Harald Baier Computerforensik h_da WS 2010/

44 Beispiel: Verzeichnis /DCIM/101DSCIM (2/2) $ dcat /dev/sdb1 32 xxd less [REMOVED] : e549 4c a f.ILD0759JPG...D : 343b 373b f 343b efdd ;7;..D.4;...x) : e549 4c a f.ILD0760JPG...G : 343b 373b f 343b 95de 7e44 3d00 4;7;..G.4;..~D= : e549 4c a f8f.ILD0761JPG...O : 343b 373b f8f 343b 8bdf 082b ;7;..O.4; a0: e549 4c a e7b.ILD0762JPG...{ 00013b0: 363b 373b e7b 363b 60e0 c ;7;...{6;` c0: e549 4c a b.ILD0763JPG...E{ 00013d0: 363b 373b b 363b 3de1 853a ;7;..E{6;=..:C e0: f0: : : Harald Baier Computerforensik h_da WS 2010/

45 Versuch einer Dateirekonstruktion 00013c0: e549 4c a b.ILD0763JPG...E{ 00013d0: 363b 373b b 363b 3de1 853a ;7;..E{6;=..:C. Warum ist eine erfolgreiche Wiederherstellung wahrscheinlich? Vorgehen zur Rekonstruktion von BILD0763.JPG: Adresse des ersten Datenclusters: HDD-Block des ersten Datenclusters: Dateigröße: Anzahl HDD-Blöcke der Datei: Befehl zum Auslesen: Harald Baier Computerforensik h_da WS 2010/

46 Inhalt Layout eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Metadaten eines FAT-Dateisystems Anwendungs-Beispiel: Digitalkamera Verzeichnisse im FAT-Dateisystem Anwendungs-Beispiel: Digitalkamera Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2010/

47 Defragmentierung vs. Dateiwiederherstellung Annahme: Defragmentierung nicht lange her Hohe Wahrscheinlichkeit für Dateiwiederherstellung: Dateien, die nach Defragmentierung gelöscht wurden Denn diese liegen typischerweise nicht fragmentiert vor Geringe Wahrscheinlichkeit für Dateiwiederherstellung: Dateien, die vor Defragmentierung gelöscht wurden Deren Speicherbereich wird typischerweise überschrieben Oder man findet nur ersten Datencluster Harald Baier Computerforensik h_da WS 2010/

48 Timelining der Digitalkamera $ ils -am /dev/sdb1 > output1.ils $ mactime -b output1.ils 01/01/2009 less [REMOVED] Sun Nov :47: m.c -rwxrwxrwx <image-digitalkamera.dd-_ild0941.jpg-dead-1549> Sun Nov :48: c -rwxrwxrwx <image-digitalkamera.dd-_ild0942.jpg-dead-1550> Sun Nov :48: m.. -rwxrwxrwx <image-digitalkamera.dd-_ild0942.jpg-dead-1550> Sun Nov :13: m.. drwxrwxrwx <image-digitalkamera.dd-101dscim-alive-518> Sat Dec :55: c -rwxrwxrwx <image-digitalkamera.dd-bild0943.jpg-alive-1541> Sat Dec :55: m.. -rwxrwxrwx <image-digitalkamera.dd-bild0943.jpg-alive-1541> Sat Dec :56: m.c -rwxrwxrwx <image-digitalkamera.dd-bild0944.jpg-alive-1542> Harald Baier Computerforensik h_da WS 2010/