Partitions/File Systems/Carving
分区
硬盘或 SSD 磁盘可以包含不同的分区,目的是物理上分隔数据。 磁盘的 最小 单位是 扇区(通常由 512B 组成)。因此,每个分区的大小需要是该大小的倍数。
MBR(主引导记录)
它分配在 引导代码后第一个扇区的 446B。这个扇区对于指示 PC 应该从哪里挂载分区至关重要。 它最多允许 4 个分区(最多 只有 1 个 可以是活动的/可引导)。但是,如果需要更多分区,可以使用 扩展分区。这个第一个扇区的 最后一个字节 是引导记录签名 0x55AA。只能标记一个分区为活动。 MBR 允许 最大 2.2TB。
从 MBR 的 440 到 443 字节 可以找到 Windows 磁盘签名(如果使用 Windows)。硬盘的逻辑驱动器字母取决于 Windows 磁盘签名。更改此签名可能会导致 Windows 无法启动(工具:Active Disk Editor)。
格式
偏移 | 长度 | 项目 |
---|---|---|
0 (0x00) | 446(0x1BE) | 引导代码 |
446 (0x1BE) | 16 (0x10) | 第一个分区 |
462 (0x1CE) | 16 (0x10) | 第二个分区 |
478 (0x1DE) | 16 (0x10) | 第三个分区 |
494 (0x1EE) | 16 (0x10) | 第四个分区 |
510 (0x1FE) | 2 (0x2) | 签名 0x55 0xAA |
分区记录格式
偏移 | 长度 | 项目 |
---|---|---|
0 (0x00) | 1 (0x01) | 活动标志 (0x80 = 可引导) |
1 (0x01) | 1 (0x01) | 起始磁头 |
2 (0x02) | 1 (0x01) | 起始扇区(位 0-5);气缸的高位(6-7) |
3 (0x03) | 1 (0x01) | 起始气缸最低 8 位 |
4 (0x04) | 1 (0x01) | 分区类型代码 (0x83 = Linux) |
5 (0x05) | 1 (0x01) | 结束磁头 |
6 (0x06) | 1 (0x01) | 结束扇区(位 0-5);气缸的高位(6-7) |
7 (0x07) | 1 (0x01) | 结束气缸最低 8 位 |
8 (0x08) | 4 (0x04) | 分区前的扇区(小端) |
12 (0x0C) | 4 (0x04) | 分区中的扇区 |
为了在 Linux 中挂载 MBR,您首先需要获取起始偏移(可以使用 fdisk
和 p
命令)
然后使用以下代码
LBA (逻辑块寻址)
逻辑块寻址 (LBA) 是一种常用的方案,用于指定存储在计算机存储设备上的数据块的位置,通常是硬盘驱动器等二级存储系统。LBA 是一种特别简单的线性寻址方案;块通过整数索引定位,第一个块为 LBA 0,第二个为 LBA 1,依此类推。
GPT (GUID 分区表)
GUID 分区表,称为 GPT,因其相较于 MBR(主引导记录)具有增强的能力而受到青睐。GPT 以其全局唯一标识符为分区而独树一帜,具体体现在几个方面:
位置和大小:GPT 和 MBR 都从扇区 0 开始。然而,GPT 采用64位,而 MBR 则是 32位。
分区限制:GPT 在 Windows 系统上支持最多128个分区,并可容纳高达9.4ZB的数据。
分区名称:提供最多 36 个 Unicode 字符的分区命名能力。
数据弹性和恢复:
冗余:与 MBR 不同,GPT 不将分区和引导数据限制在一个地方。它在磁盘上复制这些数据,从而增强数据完整性和弹性。
循环冗余校验 (CRC):GPT 使用 CRC 来确保数据完整性。它主动监控数据损坏,并在检测到时,尝试从另一个磁盘位置恢复损坏的数据。
保护性 MBR (LBA0):
GPT 通过保护性 MBR 维持向后兼容性。此功能位于传统 MBR 空间中,但旨在防止较旧的基于 MBR 的工具错误地覆盖 GPT 磁盘,从而保护 GPT 格式磁盘上的数据完整性。
混合 MBR (LBA 0 + GPT)
在支持通过 BIOS 服务而非 EFI 的GPT 启动的操作系统中,第一个扇区仍可能用于存储引导加载程序代码的第一阶段,但经过修改以识别GPT 分区。MBR 中的引导加载程序不得假设扇区大小为 512 字节。
分区表头 (LBA 1)
分区表头定义了磁盘上可用的块。它还定义了构成分区表的分区条目的数量和大小(表中的偏移量 80 和 84)。
偏移量 | 长度 | 内容 |
---|---|---|
0 (0x00) | 8 字节 | |
8 (0x08) | 4 字节 | 版本 1.0 (00h 00h 01h 00h) 适用于 UEFI 2.8 |
12 (0x0C) | 4 字节 | 小端的头部大小(以字节为单位,通常为 5Ch 00h 00h 00h 或 92 字节) |
16 (0x10) | 4 字节 | CRC32 头部的 CRC(偏移量 +0 直到头部大小)的小端,计算时此字段置为零 |
20 (0x14) | 4 字节 | 保留;必须为零 |
24 (0x18) | 8 字节 | 当前 LBA(此头部副本的位置) |
32 (0x20) | 8 字节 | 备份 LBA(另一个头部副本的位置) |
40 (0x28) | 8 字节 | 分区的第一个可用 LBA(主分区表最后 LBA + 1) |
48 (0x30) | 8 字节 | 最后可用 LBA(辅助分区表第一个 LBA − 1) |
56 (0x38) | 16 字节 | 磁盘 GUID 的混合字节序 |
72 (0x48) | 8 字节 | 分区条目数组的起始 LBA(主副本中始终为 2) |
80 (0x50) | 4 字节 | 数组中分区条目的数量 |
84 (0x54) | 4 字节 | 单个分区条目的大小(通常为 80h 或 128) |
88 (0x58) | 4 字节 | 分区条目数组的小端 CRC32 |
92 (0x5C) | * | 保留;对于块的其余部分必须为零(对于 512 字节的扇区大小为 420 字节;但对于更大的扇区大小可以更多) |
分区条目 (LBA 2–33)
GUID 分区条目格式 | ||
---|---|---|
偏移量 | 长度 | 内容 |
0 (0x00) | 16 字节 | 分区类型 GUID (混合字节序) |
16 (0x10) | 16 字节 | 唯一分区 GUID (混合字节序) |
32 (0x20) | 8 字节 | 第一个 LBA (小端) |
40 (0x28) | 8 字节 | 最后 LBA(包含,通常为奇数) |
48 (0x30) | 8 字节 | 属性标志(例如,位 60 表示只读) |
56 (0x38) | 72 字节 | 分区名称(36 UTF-16LE 代码单元) |
分区类型
更多分区类型请见 https://en.wikipedia.org/wiki/GUID_Partition_Table
检查
在使用 ArsenalImageMounter 挂载取证镜像后,可以使用 Windows 工具 Active Disk Editor** 检查第一个扇区**。在下图中,在扇区 0 检测到一个 MBR 并进行了解释:
如果是GPT 表而不是 MBR,则在扇区 1 中应出现签名 EFI PART(在前面的图像中是空的)。
文件系统
Windows 文件系统列表
FAT12/16: MSDOS, WIN95/98/NT/200
FAT32: 95/2000/XP/2003/VISTA/7/8/10
ExFAT: 2008/2012/2016/VISTA/7/8/10
NTFS: XP/2003/2008/2012/VISTA/7/8/10
ReFS: 2012/2016
FAT
FAT (文件分配表) 文件系统围绕其核心组件——文件分配表设计,该表位于卷的开始。该系统通过维护两个副本的表来保护数据,确保即使一个损坏也能保持数据完整性。该表及根文件夹必须位于固定位置,这对系统的启动过程至关重要。
文件系统的基本存储单位是簇,通常为 512B,由多个扇区组成。FAT 通过版本演变:
FAT12,支持 12 位簇地址,处理最多 4078 个簇(与 UNIX 一起为 4084)。
FAT16,增强为 16 位地址,从而容纳最多 65,517 个簇。
FAT32,进一步发展为 32 位地址,允许每个卷高达 268,435,456 个簇。
所有 FAT 版本的一个显著限制是最大文件大小为 4GB,这是由于用于文件大小存储的 32 位字段所致。
根目录的关键组件,特别是对于 FAT12 和 FAT16,包括:
文件/文件夹名称(最多 8 个字符)
属性
创建、修改和最后访问日期
FAT 表地址(指示文件的起始簇)
文件大小
EXT
Ext2 是最常见的非日志分区(不经常更改的分区)的文件系统,如引导分区。Ext3/4 是日志文件系统,通常用于其余分区。
元数据
某些文件包含元数据。这些信息是关于文件内容的,有时对分析师可能很有趣,因为根据文件类型,它可能包含如下信息:
标题
使用的 MS Office 版本
作者
创建和最后修改日期
相机型号
GPS 坐标
图像信息
您可以使用 exiftool 和 Metadiver 等工具获取文件的元数据。
已删除文件恢复
记录的已删除文件
如前所述,有几个地方在文件“删除”后仍然保存文件。这是因为通常从文件系统中删除文件只是将其标记为已删除,但数据并未被触及。因此,可以检查文件的注册表(如 MFT)并找到已删除的文件。
此外,操作系统通常会保存大量关于文件系统更改和备份的信息,因此可以尝试使用它们来恢复文件或尽可能多的信息。
File/Data Carving & Recovery Tools文件雕刻
文件雕刻是一种尝试在大量数据中查找文件的技术。此类工具的主要工作方式有三种:基于文件类型的头部和尾部、基于文件类型的结构和基于内容本身。
请注意,此技术无法检索碎片化文件。如果文件未存储在连续扇区中,则此技术将无法找到它,或至少无法找到其部分。
您可以使用多种工具进行文件雕刻,指明您要搜索的文件类型。
File/Data Carving & Recovery Tools数据流 Carving
数据流雕刻类似于文件雕刻,但不是查找完整文件,而是查找有趣的信息片段。 例如,代替查找包含记录的 URL 的完整文件,此技术将搜索 URL。
File/Data Carving & Recovery Tools安全删除
显然,有一些方法可以**“安全”删除文件及其部分日志**。例如,可以多次用垃圾数据覆盖文件的内容,然后删除关于该文件的**$MFT** 和 $LOGFILE 的日志,并删除卷影副本。 您可能会注意到,即使执行该操作,仍可能有其他部分记录了文件的存在,这确实是事实,取证专业人员的工作之一就是找到它们。
参考文献
iHackLabs 认证数字取证 Windows
Last updated