Computerforensik. Wintersemester 2011/2012



Ähnliche Dokumente
GJU IT-forensics course

Computerforensik. Wintersemester 2010/2011

Computerforensik. Wintersemester 2010/2011

Inhalt. Allgemeines zu Dateisystemen. Linux-Dateisysteme am Beispiel von ext2/ext3. Microsoft-Dateisysteme FAT NTFS

Vorlesung Computerforensik. Kapitel 5: Dateisystemforensik und FAT-Analyse

Betriebssysteme K_Kap11B: Files, Filesysteme Datenstrukturen

Computerforensik. Wintersemester 2010/2011

Jeder Datenträger besitzt einen I-Node-Array. Jede Datei auf dem Datenträger hat einen I-Node-Eintrag.

Studienbrief 6 Analyse des FAT-Dateisystems Seite 83

6.2 FAT32 Dateisystem

Digital Forensics. Slackspace DI Robert Jankovics DI Martin Mulazzani

Übersicht. UNIX-Dateisystem (ext2) Super-User unter Linux werden MSDOS: FAT16 und FAT32

Ankündigungen

2. Darstellung von Information im Computer

OPERATIONEN AUF EINER DATENBANK

Computerforensik. Wintersemester 2009/2010

Umbenennen eines NetWorker 7.x Servers (UNIX/ Linux)

Partitionieren und Formatieren

Laufwerke unter Linux - Festplatten - - USB Sticks - September 2010 Oliver Werner Linuxgrundlagen 1

Leitfaden zum Sichern einer Festplatte als Image mit der System Rescue CD

Verwendung von SD-Speicherkarten über den SPI-Bus

Würfelt man dabei je genau 10 - mal eine 1, 2, 3, 4, 5 und 6, so beträgt die Anzahl. der verschiedenen Reihenfolgen, in denen man dies tun kann, 60!.

5.2 Analyse des File Slack

File Carving für Mediendateien. Multimedia Sicherheit, Martin Steinebach

Dateisystem: Einführung

Dateisystem: Einführung

Die Soforthilfe bei gelöschten Dateien! für Windows 95(OSR2)/98/ME/NT4/2000/XP

Stellen Sie bitte den Cursor in die Spalte B2 und rufen die Funktion Sverweis auf. Es öffnet sich folgendes Dialogfenster

Ontrack EasyRecovery 11 Neue Funktionen. S.M.A.R.T.-Analysefunktion Wiederherstellung von VMware VMDK-Images Datenlöschfunktion

Gibt Daten im erweiterten Format aus. Dies beinhaltet die Angabe von Zugriffsrechten, Besitzer, Länge, Zeitpunkt der letzten Änderung und mehr.

GFAhnen Datensicherung und Datenaustausch

Binäre Bäume. 1. Allgemeines. 2. Funktionsweise. 2.1 Eintragen

Master-Boot-Record sichern

Einfügen von Bildern innerhalb eines Beitrages

Übung 6. Tutorübung zu Grundlagen: Rechnernetze und Verteilte Systeme (Gruppen MI-T7 / DO-T5 SS 2015) Michael Schwarz

Kurzanleitung. Toolbox. T_xls_Import

Zahlen und das Hüten von Geheimnissen (G. Wiese, 23. April 2009)

Professionelle Seminare im Bereich MS-Office

SFTP SCP - Synology Wiki

Installation der SAS Foundation Software auf Windows

kleines keyword brevier Keywords sind das Salz in der Suppe des Online Marketing Gordian Hense

DNS 323 Datenwiederherstellung mit Knoppix (DVD) ab Firmware Version 1.04b84

Aufgaben zur Flächenberechnung mit der Integralrechung

Neuerungen in den SK-Programmen Version 3.1 Stand: Juni 2004

Leichte-Sprache-Bilder

Um über FTP Dateien auf Ihren Public Space Server - Zugang laden zu können benötigen Sie folgende Angaben:

RO-Serie CAN-Übertragungsprotokoll

Einrichten einer Festplatte mit FDISK unter Windows 95/98/98SE/Me

Dateien und Verzeichnisse

TECHNISCHE DOKUMENTATION ZUM TURBO-FREEZER XL 3 & XE 1

Grundbegriffe der Informatik

BACKUP Datensicherung unter Linux

So funktioniert die NetWorker 7.5 Eigenschaft zum Sichern umbenannter Verzeichnisse ( Backup renamed Directories )

mit SD-Karte SD-Karte Inhalt

Dateisystem 1, Suchpfad, Befehlstypen

Datensicherung EBV für Mehrplatz Installationen

Dateisystem 1, Suchpfad, Befehlstypen

2) Geben Sie in der Anmeldemaske Ihren Zugangsnamen und Ihr Passwort ein

Aber mancher braucht diese Funktionalität halt, doch wo ist sie unter Windows 8 zu finden?

Im Folgenden werden die jeweiligen Elemente erklärt. Im Anschluss folgt ein Beispieldatensatz in xml.

Diese Anleitung erläutert die Einrichtung des Active Directory Modus im DNS-343.

Kap. 8: Dateisysteme (E3 EXT2 Dateisystem) 1

Ordner Berechtigung vergeben Zugriffsrechte unter Windows einrichten

OUTLOOK-DATEN SICHERN

Inkrementelles Backup

Virtueller Seminarordner Anleitung für die Dozentinnen und Dozenten

Verschlüsseln Sie Ihre Dateien lückenlos Verwenden Sie TrueCrypt, um Ihre Daten zu schützen.

MORE Profile. Pass- und Lizenzverwaltungssystem. Stand: MORE Projects GmbH

SILVERBALL MAX. Technische Info V10 Update

Information zum SQL Server: Installieren und deinstallieren. (Stand: September 2012)

Olga Perevalova Universität Hamburg

Backup der Progress Datenbank

2. Zusätzliche tägliche Sicherung im Ordner Upload

Datensicherung. Beschreibung der Datensicherung

FILEZILLA HANDBUCH

3 ORDNER UND DATEIEN. 3.1 Ordner

Tutorial -

Excel-Anwendung Wartungsplan

Eine Anwendung mit InstantRails 1.7

Musterlösung für Schulen in Baden-Württemberg. Windows 200x. Lehrerfortbildung. Pflege des Exchange-Servers. Johannes Kühn

Typo3 - Inhalte. 1. Gestaltung des Inhaltsbereichs. 2. Seitenunterteilung einfügen

Timi2 Stick parametrieren

Theoretische Informatik SS 04 Übung 1

PHPNuke Quick & Dirty

Windows 7 Winbuilder USB Stick

Anleitung zur Einrichtung des USB-Speicherzugriffs (SharePort) Für DIR-506L (Stand April 2013)

Ohne Fehler geht es nicht Doch wie viele Fehler sind erlaubt?

Handbuch Fischertechnik-Einzelteiltabelle V3.7.3

Scannen mit dem Toshiba e-studio 281c / 2500c

Beheben von verlorenen Verknüpfungen

Festplatte defragmentieren Internetspuren und temporäre Dateien löschen

Die Soforthilfe bei Datenverlust! für Windows 95/98/ME/NT/2000/XP

Andy s Hybrides Netzwerk

Version 0.3. Installation von MinGW und Eclipse CDT

Informations- und Kommunikationsinstitut der Landeshauptstadt Saarbrücken. Upload- / Download-Arbeitsbereich

> Soft.ZIV. Maple Mathematisches Software System

FORUM HANDREICHUNG (STAND: AUGUST 2013)

Anleitung über den Umgang mit Schildern

Transkript:

Computerforensik Wintersemester 2011/2012 Harald Baier Kapitel 5: Analyse von FAT-Dateisystemen Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2011/2012 2

Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2011/2012 3 Grundlegendes zu FAT (1/2) Einfaches Dateisystem: Meist für DOS oder ältere Windows-Varianten Aber auch für UNIX u. Linux Verwendung z.b. für Flash-Speicher in Digitalkameras Wird daher auch in naher Zukunft von Bedeutung sein FAT = File Allocation Table Tabelle fester Größe, die Pointer auf FS-Blöcke enthält FS-Blöcke heißen in Microsoft-Terminologie Cluster Aus FAT-Pointern ist auch Belegtstatus der Cluster erkennbar Harald Baier Computerforensik h_da WS 2011/2012 4

Grundlegendes zu FAT (2/2) Drei unterschiedliche Grundvarianten: FATx mit x = 12, 16, 32 x ist die Länge eines FAT-Pointers in Bit Länge eines FAT-Eintrags bestimmt max. Cluster-Anzahl: Beispiel FAT16: Es gibt höchstens 2 1 6 = 65536 Cluster Aus Clustergröße folgt max. Größe des Dateisystems FAT folgt nicht dem abstrakten Dateisystemschema: Dateiname und Metadaten stehen gemeinsam in Verzeichniseinträgen Keine FS-Anwendungsdaten (insbesondere kein Journal) Harald Baier Computerforensik h_da WS 2011/2012 5 Datenverwaltung unter FAT (1/2) Verzeichniseintrag enthält unter Anderem: Dateiname Adresse des ersten Clusters des Dateiinhalts: n 1 Dateigröße Zeitstempel (MAC-Informationen) Weitere Datencluster ergeben sich aus FAT: Cluster Chain Eintrag n 1 in FAT: Verweis auf Clusteradresse n 2 des zweiten Datenclusters oder EOF Und so weiter bis EOF Anzahl der Cluster ergibt sich aus Datei- und Clustergröße Harald Baier Computerforensik h_da WS 2011/2012 6

Datenverwaltung unter FAT (2/2) Source: Carrier, Fig. 9.9 Harald Baier Computerforensik h_da WS 2011/2012 7 Aufteilungskonzept des Laufwerks unter FAT Drei Bereiche (von 'vorne' nach 'hinten' auf Laufwerk): Reserved area (Reservierter Bereich) FAT area (FAT-Bereich) Data area (Datenbereich) Wichtig: Nur im Datenbereich werden Cluster zur Adressierung verwendet Kleinste Cluster-Adresse ist 2!!! Lage von Cluster 2 im Datenbereich ist für FAT12/16 und FAT32 verschieden (siehe gleich) Harald Baier Computerforensik h_da WS 2011/2012 8

Reserved area = Reservierter Bereich Beginnt immer bei HDD-Block 0 des Laufwerks Dort steht Großteil der Dateisystemdaten Enthält Bootsektor sowie ggfls. weitere HDD-Blöcke: FAT12/16: Reserved area besteht typ. aus einem HDD-Block FAT32: Reserved area besteht aus mehreren HDD-Blöcken FSINFO in Block 1: Hinweise über freie Cluster Backup des Bootsektors (Default ist Block 6) Größe der reserved area steht im Bootsektor Vorsicht: Reserved area wird nicht über Cluster adressiert Harald Baier Computerforensik h_da WS 2011/2012 9 FAT area = FAT-Bereich Beginnt im HDD-Block direkt hinter reserved area Enthält eine oder mehrere FATs Typischerweise 2 FATs: Primary FAT (FAT0) Backup von FAT0 (FAT1): FAT0 und FAT1 inhaltsgleich Größe des FAT-Bereichs steht im Bootsektor: Anzahl der FATs Größe einer FAT Vorsicht: FAT area wird nicht über Cluster adressiert Harald Baier Computerforensik h_da WS 2011/2012 10

Data area = Datenbereich Beginnt im HDD-Block direkt hinter FAT area Enthält Verzeichnisse und Inhaltsdaten Wurzelverzeichnis: Bei FAT12/16 steht dieses direkt hinter FAT-Bereich Bei FAT32 kann es irgendwo im Datenbereich liegen (Cluster-Nummer steht im Bootsektor) Lage von Cluster 2: FAT12/16: Direkt hinter Wurzelverzeichnis FAT32: Direkt am Anfang des Datenbereichs Harald Baier Computerforensik h_da WS 2011/2012 11 Essentielle Daten des Bootsektors Byte-Nr. (dez.) Beschreibung 11 12 Größe eines HDD-Blocks in Bytes 13 13 Größe eines Clusters in HDD-Blöcken Erlaubt: 2 n, jedoch maximal 32 KByte 14 15 Größe der reserved area in HDD-Blöcken 16 16 Anzahl an FATs (typischerweise 2) 17 18 Maximale Einträge im Wurzelverzeichnis Für FAT32 = 0 (da in separater Datenstruktur) 19 20 Größe des Dateisystems in HDD-Blöcken Falls größer, benutze Bytes 32-35 22 23 Anzahl der HDD-Blöcke pro FATx (nur x=12,16) Harald Baier Computerforensik h_da WS 2011/2012 12

Nicht-Essentielle Daten des Bootsektors Byte-Nr. (dez.) Beschreibung 00 02 Jump-Anweisung zu Boot-Code Essentiell, falls bootfähig 03 10 OEM-Name oder Leerzeichen Gibt evtl. Hinweise auf verwendetes OS 21 21 Medientyp: Wechselmedium oder nicht 510 511 'Signatur': Hexdump 55aa (=0xaa55) Harald Baier Computerforensik h_da WS 2011/2012 13 Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2011/2012 14

Fallbeispiel: Analyse des Bootsektors Hexdump einer Flash-Speicherkarte aus Digitalkamera Ziel: Laufwerksaufteilung bestimmen Harald Baier Computerforensik h_da WS 2011/2012 15 Interpretation von Bytemustern im Bootsektor (1/4) OEM-Name (03-10, nicht-essentiell): Hexdump: Entspricht String: Größe eines HDD-Blocks in Bytes (11-12, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Harald Baier Computerforensik h_da WS 2011/2012 16

Interpretation von Bytemustern im Bootsektor (2/4) Größe eines Clusters in HDD-Blöcken (13, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe reserved area in HDD-Blöcken (14-15, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Dort beginnt die FAT Harald Baier Computerforensik h_da WS 2011/2012 17 Interpretation von Bytemustern im Bootsektor (3/4) Anzahl der FATs (16, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe einer FAT in HDD-Blöcken (22-23, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Harald Baier Computerforensik h_da WS 2011/2012 18

Interpretation von Bytemustern im Bootsektor (4/4) Max. Dateianzahl im Wurzelverzeichnis (17-18, essentiell): Hexdump: Entspricht folgender Hex-Zahl: Entspricht folgender Dezimalzahl: Größe des Wurzelverzeichnisses: Jeder Dateieintrag im Wurzelverzeichnis besteht aus 32 Byte Größe in Bytes: Größe in HDD-Blöcken: Harald Baier Computerforensik h_da WS 2011/2012 19 Layout des FAT-Systems der Digitalkamera Bereich HDD-Blöcke Reserved Area FAT area FAT0 FAT1 Wurzelverzeichnis Cluster 2 Cluster 3 Harald Baier Computerforensik h_da WS 2011/2012 20

Umrechnung Laufwerkadresse Clusteradresse Bekannt: Logische Laufwerkadresse von Cluster 2: A L (Cluster 2 ) Anzahl der HDD-Blöcke pro Cluster: N Clusteradresse des betrachteten Cluster n : n Gesucht: Logische Laufwerkadresse von Cluster n A L (Cluster n ) = (n - 2) N + A L (Cluster 2 ) Auflösen nach n ergibt umgekehrte Berechnung: n = ( A L (Cluster n ) - A L (Cluster 2 ) ) / N + 2 Harald Baier Computerforensik h_da WS 2011/2012 21 Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2011/2012 22

Metadaten: FAT-Einträge Zwei Ziele des FAT-Eintrags n: Gibt Belegtstatus des zugehörigen Clusters n an Falls Cluster n alloziert, gibt es folgende Alternativen: Weist auf den auf Cluster n folgenden Cluster Zeigt an, dass Cluster n der letzte Cluster der Cluster Chain ist Gibt an, dass Cluster n beschädigt ist (heute eigentlich überflüssig) FAT-Einträge starten direkt hinter reserviertem Bereich Nummerierung startet bei n = 0: Die ersten beiden FAT- Einträge werden für Datencluster nicht benötigt FAT-Eintrag 0: Media Type des Laufwerks FAT-Eintrag 1: Dirty status (z.b. gesetzt bei Systemabsturz) Harald Baier Computerforensik h_da WS 2011/2012 23 FAT12/16 FAT12: Jeder FAT-Eintrag hat Bitlänge 12 Cluster unbelegt: FAT-Eintrag ist 0x000 Cluster beschädigt: FAT-Eintrag ist 0xff7 EOF-Markierung: FAT-Eintrag ist 0xff8-0xfff Andernfalls Adresse des folgenden Clusters in Cluster Chain FAT16: Jeder FAT-Eintrag hat Bitlänge 16 Cluster unbelegt: FAT-Eintrag ist 0x0000 Cluster beschädigt: FAT-Eintrag ist 0xfff7 EOF-Markierung: FAT-Eintrag ist 0xfff8-0xffff Andernfalls Adresse des folgenden Clusters in Cluster Chain Harald Baier Computerforensik h_da WS 2011/2012 24

FAT32 und Dateilöschung Jeder FAT-Eintrag hat Bitlänge 32 Davon werden aber nur 28 Bit benutzt: Cluster unbelegt: FAT-Eintrag ist 0x00000000 Cluster beschädigt: FAT-Eintrag ist 0x0ffffff7 EOF-Markierung: FAT-Eintrag ist 0x0fffffff8-0x0fffffff Andernfalls Adresse des folgenden Clusters in Cluster Chain Dateilöschung: FAT-Einträge der Cluster werden auf 0 gesetzt Inhalte der Datencluster bleiben typischerweise erhalten Harald Baier Computerforensik h_da WS 2011/2012 25 Beispiel: FAT0 der Digitalkamera in HDD-Block 1 baier@watson $ dcat /dev/sdb1 1 xxd less 0000000: f8ff ffff ffff ffff ffff 0600 0700 0800... 0000010: 0900 0a00 0b00 0c00 0d00 0e00 0f00 1000... 0000020: 1100 1200 1300 1400 1500 1600 1700 1800... 0000030: 1900 1a00 1b00 1c00 1d00 1e00 1f00 2000.... 0000040: 2100 2200 2300 2400 2500 2600 2700 2800!.".#.$.%.&.'.(. 0000050: 2900 2a00 2b00 2c00 2d00 2e00 2f00 3000 ).*.+.,.-.../.0. 0000060: 3100 3200 3300 3400 3500 3600 3700 3800 1.2.3.4.5.6.7.8. 0000070: 3900 3a00 3b00 3c00 3d00 3e00 3f00 4000 9.:.;.<.=.>.?.@. 0000080: 4100 4200 4300 4400 4500 4600 4700 4800 A.B.C.D.E.F.G.H. [REMOVED] 00001b0: d900 da00 db00 dc00 dd00 de00 df00 e000... 00001c0: e100 e200 ffff e400 e500 e600 e700 e800... Harald Baier Computerforensik h_da WS 2011/2012 26

Analyse der nicht-allozierten Inhaltsdaten Gehe FAT durch: Suche alle FAT-Einträge mit Wert 0 Suche alle FAT-Einträge zu beschädigten Clustern Wird heute typischerweise von Festplatten direkt gemanagt Manche Tools lassen diese Cluster aus Lese alle zugehörigen Datencluster aus File System Slack und FAT-Slack nicht vergessen: Oft bleiben am 'Ende' des Laufwerks HDD-Blöcke übrig Vorsicht: Größe des Dateisystems in Bootsektor kann einfach mit Hex-Editor manipuliert werden FAT-Slack: Bereich zwischen letztem FAT-Eintrag und nächstem Bereich (nächster FAT oder Datenbereich) Harald Baier Computerforensik h_da WS 2011/2012 27 Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2011/2012 28

Verzeichnisse: Grundlagen (1/3) Verzeichniseinträge enthalten Dateinamen und Metadaten Jeder Verzeichniseintrag hat die Länge 32 Byte Inhalt eines Verzeichniseintrags: Dateiname Clusteradresse des ersten Datenclusters MAC-Zeitstempel: Unterschiedliche Genauigkeit Dateigröße In 4 Byte kodiert entspricht max. Dateigröße 4 GByte Attribute: Essentiell: Verzeichnis (Ja/Nein), Langer Dateiname (J/N) Nicht-essentiell: Zugriffsrechte, Systemdatei, Archiv (für Backup) Harald Baier Computerforensik h_da WS 2011/2012 29 Verzeichnisse: Grundlagen (2/3) Beim Anlegen eines neuen Verzeichnisses wird ein Cluster alloziert und zunächst mit Nullbytes überschrieben Dateigröße des neuen Verzeichnis im Elternverzeichnis = 0 Also kann Größe eines Verzeichnisses nur durch Abschreiten der Cluster Chain bestimmt werden Ausnahme: Rootverzeichnis, dessen Größe im Bootsektor steht Erste beiden Verzeichniseinträge sind. und.. Ausnahme: Rootverzeichnis Zeitstempel für. und.. werden nie verändert Inkonsistenz mit Zeitstempeln im Elternverzeichnis Harald Baier Computerforensik h_da WS 2011/2012 30

Verzeichnisse: Grundlagen (3/3) Löschen einer Datei: Erstes Zeichen des Dateinamens im Verzeichniseintrag wird auf den Wert 0xe5 gesetzt Der Rest des Verzeichniseintrags bleibt erhalten Insbesondere also der Verweis auf den ersten Datencluster Aber: In FAT werden alle Datencluster auf unbelegt gesetzt Cluster Chain geht dadurch bis auf ersten Cluster verloren Namenskonflikt: vase.jpg und nase.jpg nach Löschung Namenskonflikt Jeweils _ase.jpg Harald Baier Computerforensik h_da WS 2011/2012 31 Verzeichnisstruktur Byte-Nr. (dez.) Beschreibung 00 00 Erstes ASCII-Zeichen des Dateinamens oder 0x00 für nicht-alloziert oder 0xe5 für gelöscht 01 10 Restliche Zeichen des Dateinamens (8+3) 11 11 Attribute (Read only, Langer Name, Dir, ) 12 12 Reserviert 13 19 Zeitstempel für created und accessed 20 21 Nur FAT32: Höherwertige Bytes 1. Clusteradresse 22 25 Zeitstempel für last written 26 27 Niederwertige Bytes 1. Clusteradresse 28 31 Dateigröße in Bytes (= 0 für Verzeichnisse) Harald Baier Computerforensik h_da WS 2011/2012 32

Bytestruktur des Attribut-Bytes (Byte 11) Byte Bitmuster Beschreibung 01 0000 0001 Read-only 02 0000 0010 Hidden file 04 0000 0100 System file 08 0000 1000 Volume label 0f 0000 1111 Long file name 10 0001 0000 Directory 20 0010 0000 Archive Harald Baier Computerforensik h_da WS 2011/2012 33 Zugriffszeiten Byte-Nr. Beschreibung (dez.) 13 13 Created time (Tausendstel Sekunden) 14 15 Created time: HH:MM:SS (in 2-Sekunden-Intervallen) 16 17 Created day: YY:MM:DD (Jahr seit 1980) 18 19 Accessed day 22 23 Written time: HH:MM:SS 24 25 Written day: YY:MM:DD Harald Baier Computerforensik h_da WS 2011/2012 34

Codierung des Datums Source: Carrier, Fig. 10.2 Harald Baier Computerforensik h_da WS 2011/2012 35 Codierung der Uhrzeit Source: Carrier, Fig. 10.3 Harald Baier Computerforensik h_da WS 2011/2012 36

Suche nach gelöschten Verzeichnissen Annahme: Daten-Cluster wurde seit Löschung nicht wieder alloziert Suchen nach bestimmter Signatur: Bytes 0-10 stehen für '.' 2e20 2020 2020 2020 2020 20 Bytes 32-42 stehen für '..' 2e2e 2020 2020 2020 2020 20 Kann mit Tool sigfind aus TSK durchgeführt werden Angabe von Maximal 4 Suchbytes sigfind 2e202020 image sucht nach Signatur 2E202020 Suchergebnis: Zwei Strings im Abstand 33 Bytes Slack Space nicht vergessen! Harald Baier Computerforensik h_da WS 2011/2012 37 Adressierung von Metadaten im TSK Anlehnung an UNIX-Konvention für Inodes: Metadaten stehen in Verzeichnissen Wurzelverzeichnis hat 'Inode' 2 Unterteilung des Datenbereichs in 32-Byte-Segmente: Erste 32 Byte in Datenbereich haben 'Inode 3' Zweite 32 Byte in Datenbereich haben 'Inode 4' Ein bisschen Umrechnung ist nötig Nur sinnvolle Metadaten, falls in Cluster ein Verzeichnis steht Zugriff auf Root-Verzeichnis: istat device 2 Harald Baier Computerforensik h_da WS 2011/2012 38

Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2011/2012 39 Beispiel: Wurzelverzeichnis / der Digitalkamera baier@watson $ dcat /dev/sdb1 xxd less 0000000: 4443 494d 2020 2020 2020 2010 0000 4869 DCIM...Hi 0000010: 3d3a 4a3a 0000 dd8a 4a3a 0200 0000 0000 =:J:...J:... 0000020: 0000 0000 0000 0000 0000 0000 0000 0000... Erster Verzeichniseintrag: Dateiname: Adresse des ersten Datenclusters: Weitere Datencluster: Attribute: Dateigröße: Zugriff auf Metadaten mit TSK: Harald Baier Computerforensik h_da WS 2011/2012 40

Beispiel: Verzeichnis /DCIM der Digitalkamera (1/2) baier@watson $ dcat /dev/sdb1 xxd less 0000000: 2e20 2020 2020 2020 2020 2010 0000 4969....Ii 0000010: 3d3a 3d3a 0000 4969 3d3a 0200 0000 0000 =:=:..Ii=:... 0000020: 2e2e 2020 2020 2020 2020 2010 0000 4969.....Ii 0000030: 3d3a 3d3a 0000 4969 3d3a 0000 0000 0000 =:=:..Ii=:... 0000040: 3130 3044 5343 494d 2020 2010 0000 4969 100DSCIM...Ii 0000050: 3d3a 4a3a 0000 e68a 4a3a 0300 0000 0000 =:J:...J:... 0000060: 3130 3144 5343 494d 2020 2010 0064 5c51 101DSCIM..d\Q 0000070: 413b 7d3b 0000 a699 7d3b 0400 0000 0000 A;};...};... 0000080: 0000 0000 0000 0000 0000 0000 0000 0000... 0000090: 0000 0000 0000 0000 0000 0000 0000 0000... 00000a0: 0000 0000 0000 0000 0000 0000 0000 0000... 00000b0: 0000 0000 0000 0000 0000 0000 0000 0000... Harald Baier Computerforensik h_da WS 2011/2012 41 Beispiel: Verzeichnis /DCIM der Digitalkamera (2/2) 0000060: 3130 3144 5343 494d 2020 2010 0064 5c51 101DSCIM..d\Q 0000070: 413b 7d3b 0000 a699 7d3b 0400 0000 0000 A;};...};... Vierter Verzeichniseintrag: Dateiname: Adresse des ersten Datenclusters: Weitere Datencluster: Attribute: Dateigröße: Zugriff auf Metadaten mit TSK: Harald Baier Computerforensik h_da WS 2011/2012 42

Beispiel: Verzeichnis /DCIM/101DSCIM (1/2) baier@watson $ dcat /dev/sdb1 32 xxd less [REMOVED Entries for. and..] 0000040: 4249 4c44 3039 3433 4a50 4700 0000 f55e BILD0943JPG...^ 0000050: 853b 893b 0000 f65e 853b 0500 a545 3700.;.;...^.;...E7. 0000060: 4249 4c44 3039 3434 4a50 4700 0000 065f BILD0944JPG..._ 0000070: 853b 893b 0000 065f 853b e300 8f5b 2600.;.;..._.;...[&. 0000080: 4249 4c44 3039 3435 4a50 4700 0000 115f BILD0945JPG..._ 0000090: 853b 893b 0000 115f 853b 7d01 c483 3500.;.;..._.;}...5. 00000a0: 4249 4c44 3039 3436 4a50 4700 0000 1c5f BILD0946JPG..._ 00000b0: 853b 893b 0000 1c5f 853b 5402 7d92 3100.;.;..._.;T.}.1. 00000c0: 4249 4c44 3039 3437 4a50 4700 0000 6e78 BILD0947JPG...nx 00000d0: 853b 893b 0000 6e78 853b 1b03 2cad 3900.;.;..nx.;..,.9. 00000e0: 4249 4c44 3039 3438 4a50 4700 0000 7d78 BILD0948JPG...}x 00000f0: 853b 893b 0000 7d78 853b 0204 27b5 3500.;.;..}x.;..'.5. 0000100: e549 4c44 3039 3339 4a50 4700 0000 e08b.ild0939jpg... 0000110: 7d3b 7d3b 0000 e08b 7d3b ce04 b676 3100 };};...};...v1. Harald Baier Computerforensik h_da WS 2011/2012 43 Beispiel: Verzeichnis /DCIM/101DSCIM (2/2) baier@watson $ dcat /dev/sdb1 32 xxd less [REMOVED] 0001340: e549 4c44 3037 3539 4a50 4700 0000 448f.ILD0759JPG...D. 0001350: 343b 373b 0000 448f 343b efdd 1778 2900 4;7;..D.4;...x). 0001360: e549 4c44 3037 3630 4a50 4700 0000 478f.ILD0760JPG...G. 0001370: 343b 373b 0000 478f 343b 95de 7e44 3d00 4;7;..G.4;..~D=. 0001380: e549 4c44 3037 3631 4a50 4700 0000 4f8f.ILD0761JPG...O. 0001390: 343b 373b 0000 4f8f 343b 8bdf 082b 3500 4;7;..O.4;...+5. 00013a0: e549 4c44 3037 3632 4a50 4700 0000 2e7b.ILD0762JPG...{ 00013b0: 363b 373b 0000 2e7b 363b 60e0 c919 3700 6;7;...{6;`...7. 00013c0: e549 4c44 3037 3633 4a50 4700 0000 457b.ILD0763JPG...E{ 00013d0: 363b 373b 0000 457b 363b 3de1 853a 4300 6;7;..E{6;=..:C. 00013e0: 0000 0000 0000 0000 0000 0000 0000 0000... 00013f0: 0000 0000 0000 0000 0000 0000 0000 0000... 0001400: 0000 0000 0000 0000 0000 0000 0000 0000... 0001410: 0000 0000 0000 0000 0000 0000 0000 0000... Harald Baier Computerforensik h_da WS 2011/2012 44

Versuch einer Dateirekonstruktion 00013c0: e549 4c44 3037 3633 4a50 4700 0000 457b.ILD0763JPG...E{ 00013d0: 363b 373b 0000 457b 363b 3de1 853a 4300 6;7;..E{6;=..:C. Warum ist eine erfolgreiche Wiederherstellung wahrscheinlich? Vorgehen zur Rekonstruktion von BILD0763.JPG: Adresse des ersten Datenclusters: HDD-Block des ersten Datenclusters: Dateigröße: Anzahl HDD-Blöcke der Datei: Befehl zum Auslesen: Harald Baier Computerforensik h_da WS 2011/2012 45 Inhalt Layout eines FAT-Dateisystems Metadaten eines FAT-Dateisystems Verzeichnisse im FAT-Dateisystem Abschlussbemerkungen Harald Baier Computerforensik h_da WS 2011/2012 46

Defragmentierung vs. Dateiwiederherstellung Annahme: Defragmentierung nicht lange her Hohe Wahrscheinlichkeit für Dateiwiederherstellung: Dateien, die nach Defragmentierung gelöscht wurden Denn diese liegen typischerweise nicht fragmentiert vor Geringe Wahrscheinlichkeit für Dateiwiederherstellung: Dateien, die vor Defragmentierung gelöscht wurden Deren Speicherbereich wird typischerweise überschrieben Oder man findet nur ersten Datencluster Harald Baier Computerforensik h_da WS 2011/2012 47 Timelining der Digitalkamera baier@watson $ ils -am /dev/sdb1 > output1.ils baier@watson $ mactime -b output1.ils 01/01/2009 less [REMOVED] Sun Nov 29 2009 17:47:48 3712473 m.c -rwxrwxrwx 0 0 1549 <image-digitalkamera.dd-_ild0941.jpg-dead-1549> Sun Nov 29 2009 17:48:02 4154168..c -rwxrwxrwx 0 0 1550 <image-digitalkamera.dd-_ild0942.jpg-dead-1550> Sun Nov 29 2009 17:48:04 4154168 m.. -rwxrwxrwx 0 0 1550 <image-digitalkamera.dd-_ild0942.jpg-dead-1550> Sun Nov 29 2009 19:13:12 16384 m.. drwxrwxrwx 0 0 518 <image-digitalkamera.dd-101dscim-alive-518> Sat Dec 05 2009 11:55:42 3622309..c -rwxrwxrwx 0 0 1541 <image-digitalkamera.dd-bild0943.jpg-alive-1541> Sat Dec 05 2009 11:55:44 3622309 m.. -rwxrwxrwx 0 0 1541 <image-digitalkamera.dd-bild0943.jpg-alive-1541> Sat Dec 05 2009 11:56:12 2513807 m.c -rwxrwxrwx 0 0 1542 <image-digitalkamera.dd-bild0944.jpg-alive-1542> Harald Baier Computerforensik h_da WS 2011/2012 48