Аналіз файлової системи (Win) FAT Основи цифрової криміналістики

The project has been funded by the European Commission. The Education, Audiovisual and Culture Executive program (EACEA), TEMPUS IV. The content of this presentation reflects the opinion of the author.

шістнадцяткова система

0000 0010 1110 1111 = 02EF_hex

1110 1111 = 0EF_hex

якщо не починається з десяткової цифри

двійкова система

десяткова система

Повторення

Логіка адресації в файловій системі

Кожен кластер має свій номер. Нумерація кластерів йде з 0 до максимального на диску.

Розмір адреси:

FAT12 – 12 біт

FAT16 – 16 біт

FAT32 – 28 біт + 4 біта зарезервовані для додаткової інформації

Кластери з номерами

Кластер – це область певного розміру, в якій зберігаються дані файлу

Спрощена структура організації файлової системи FAT

​

​

​

Файлова система FAT (File Allocation Table)

5

• Файлова система FAT була розроблена наприкінці 1970-х років як проста файлова система для операційної системи MS-DOS.На даний момент існує три типи файлової системи FAT:
• FAT12
• FAT16
• FAT32
• exFAT
• Різниця в цих типах FAT і причина назв полягає в розмірі в бітах записів у фактичній структурі FAT на диску.
• Вони працюють однаково, але відрізняються кількістю адресних одиниць розподілу (кластерів)

FAT12 використовується лише на дискетах і томах FAT менше 16 Мб. FAT12 використовує 12-бітний запис таблиці розподілу файлів для адресації запису у файловій системі.

FAT16. MS-DOS, Windows 95/98/NT/2000/XP, Windows Server 2003 і деякі ОС UNIX підтримують FAT16. FAT16 також широко використовується для мультимедійних пристроїв, таких як цифрові камери та аудіоплеєри. FAT16 використовує 16-бітний запис таблиці розподілу файлів для адресації запису у файловій системі. Томи FAT16 обмежені максимальним розміром 2 ГБ у MS-DOS і Windows 95/98. Windows NT і новіші ОС збільшують максимальний розмір тому для FAT16 до 4 ГБ.

FAT32. Windows 95 Original Equipment Manufacturer (OEM) Service Release 2 (OSR2), Windows 98/2000/XP і Windows Server 2003 підтримують FAT32, як і деякі мультимедійні пристрої. FAT32 використовує 32-розрядний запис таблиці розподілу файлів для адресації запису у файловій системі. Максимальний розмір тому FAT32 становить 2 терабайти (ТБ).

7

Сектор

Сектор — це найменша записувана одиниця на жорсткому диску.

Один сектор = 512 байт

4096 байт (Розширений формат)

2048 байт (оптичні диски)

8

Кластер

Кластер — це найменша адресна одиниця в томі.

Він може мати розмір сектора => 1 сектор на кластер

512

Він також може містити 2 або більше секторів => від 2 до макс. 64 сектори на кластер. Кількість секторів на кластер зберігається в завантажувальному блоці (VBR)

Кількість секторів в кластері= 2^N

Один сектор = 512 байт

9

2 сектори в кластері = 1024 Байт

1024 байт в кластері

Кластер

Кластер — це найменша адресна одиниця в томі.

Він може мати розмір сектора => 1 сектор на кластер

Він також може містити 2 або більше секторів => від 2 до макс. 64 сектори на кластер. Кількість секторів на кластер зберігається в завантажувальному блоці (VBR)

FAT 12

• 12-бітний FAT означає, що запис FAT є 12-бітним значенням!
• З 12 бітами макс. значення буде 2^12
• 2⌃12 = 4096
• Загальна кількість адресних одиниць розподілу становить 4096
• одиниця розподілу = кластер

3

FAT 16

• 16-бітний FAT означає, що запис FAT є 16-бітним значенням!
• З 16 бітами макс. значення буде 2^16
• 2⌃16 = 65536
• Загальна кількість адресних одиниць розподілу становить 65536
• одиниця розподілу = кластер

​

4

FAT 32

• 32-бітний FAT означає, що запис FAT є 32-бітним значенням!
• Файлова система FAT 32 резервує для себе 4 біти, тому для адрес кластера залишається лише 28 бітів.
• З 28 біт макс. значення буде 2^28
• 2⌃28 = 268.435.456
• Загальна кількість адресних одиниць розподілу становить 268435456
• одиниця розподілу = кластер

​

5

Стандартна кількість секторів на кластер (з FAT12) становить

Стандартна кількість секторів на кластер (з FAT16) становить

Стандартна кількість секторів на кластер (з FAT32) становить

Розмітка

*

14

• Файлова система FAT складається з 4 областей (областей).
• «Системна область»
• «Область FAT»
• «Корневий каталог»
• «Область даних»

• Системна область (VBR - Volume Boot Record) - найменша за розміром. Вона містить дуже важливу інформацію: адреса таблиці FAT і області даних, розмір області даних, таблиці FAT і всього диска, розмір кластера, кількість кластерів.

*

15

Розмітка

• Область FAT починається безпосередньо після зарезервованої області та містить один або два FAT. Кількість FAT визначається у VBR.

Розмір цієї області = кількість FAT * розмір FAT

• Область даних містить фактичні дані (файли та каталоги), якими керують у кластерах. Область даних починається в першому секторі після області FAT.

• Область FAT (менше 1%) включає таблицю FAT елементів, що дорівнює кількості кластерів. Кожен елемент відповідає своєму кластеру. Елемент FAT є 12-бітним для FAT12, 16-бітним для FAT16 і 32-бітним для FAT32.

Копія основної таблиці FAT, вона ідентична. Використовується для відновлення у разі пошкодження основної

Boot area�32++ sectors

FAT 1�

FAT 2

Data + Root

Логічна організація FAT 32

*

16

FAT область

Область даних + кореневий каталог

Системна область

- Ці структури записуються під час форматування тому.

*

17

Розмітка

• Щоб проаналізувати файлову систему, ви повинні знати початкову адресу кожної області!

​

• Існуючи програмні продукти дозволяють переходити до цих областей

• Початкові адреси зарезервованої області та області FAT можна взяти з VBR.

Завантажувальний сектор

• Перший сектор логічного диска
• Містить BPB (блок параметрів BIOS), який містить всю інформацію про розмір і структуру тому
• Містить також підпис BIOS 0x55AA в останніх 2 байтах
• У системі FAT32 існує копія завантажувального сектора на 6 секторів після оригіналу

8

+000hex перехід до коду завантаження 3 байта

offset meaning content length

9

Завантажувальний сектор

зміщення значення контент довжина

+004hex OEM (original equipment manufacturer) -Name 8 байт

offset meaning content length

10

Завантажувальний сектор

зміщення значення контент довжина

BIOS-Parameter-Block (BPB)

11

offset meaning content length

+00Bhex кількість байт в секторі (512) 2 байта

12

Завантажувальний сектор

зміщення значення контент довжина

+00D hex кількість секторів в кластері 1 байт

offset meaning content length

13

Завантажувальний сектор

зміщення значення контент довжина

+00E hex кількість зарезервованих секторів 2 байта

offset meaning content length

14

Завантажувальний сектор

зміщення значення контент довжина

+010 hex кількість FAT-копій 1 байт

offset meaning content length

15

Завантажувальний сектор

зміщення значення контент довжина

+011 hex кількість записів корн. каталогу 2 байта� для FAT 32 – 0 не лімітовано

offset meaning content length

16

Завантажувальний сектор

зміщення значення контент довжина

+013 hex кількість секторів на дорожку 2 байта� �

offset meaning content length

17

Завантажувальний сектор

зміщення значення контент довжина

+015 hex медіа-дескриптор (F8 – HDD, F0 – FD) 1 байт

offset meaning content length

18

Завантажувальний сектор

зміщення значення контент довжина

20

Boot area�32++ sectors

FAT 1�

FAT 2

Data + Root

Логічна організація FAT 32

*

30

FAT область

Область даних + корневий каталог

Системна область

- Ці структури записуються під час форматування тому.

*

31

Метадані файлової системи

• Метадані файлової системи містять всю інформацію про файли та каталоги.

• Зокрема, номер початкового кластера (вміст файлу), а також позначки часу й атрибути.

• У системах FAT усі ці дані зберігаються в структурі каталогів FAT.

*

32

• Запис кореневого каталогу – це структура, яка створюється для кожного файлу та каталогу

• Структура кореневого каталогу може зберігатися десь в області даних, оскільки він зберігаються в кластері, який належить до каталогу.

• Запис корневого каталогу також містить назву файлів.

Метадані файлової системи

Кореневий каталог

• Зазвичай починається одразу після 2-го FAT
• Містить підкаталог і файли кореня
• Для FAT12/16 кореневий каталог має фіксований розмір
• Для FAT 32 кореневий каталог є частиною області даних і об’єднаний через FAT як файл
• Для кожного запису в кореневому каталозі зарезервовано 32 байти

22

Записи кореневого кталогу (приклад)

Приклад 6 записів

1 запис – 32 байти

Ім’я файлу

Розширення

Атрибут

Час

Дата

Стартовий кластер

Розмір файлу

Підкаталоги

• Містить записи каталогу та файлів
• Для кожного запису зарезервовано 32 байти
• Перші два записи є покажчиками на каталоги
• а) . = покажчик на себе
• іb) .. = покажчик на батьківський кластер

23

ISEC 2010 – Cybercrime Investigation Training

Стартовий кластер

24

File Allocation Table (FAT)

• Центральна організаційна структура файлової системи
• Для кожного кластера на диску є запис у FAT
• Кожен запис охоплює певну кількість секторів, фіксованих операційною системою, які називаються кластерами
• Містить інформацію про те, де на диску зберігаються файли

25

File Allocation Table (FAT)

Можливі значення

26

FAT-Ланцюг

Test.txt ………………… 249

із запису каталогу ми отримуємо початковий кластер, який є точкою входу для таблиці FAT

FAT

Стартовий кластер

0

678

249

678

355

355

EOF

У FAT ми знайдемо решту необхідних кластерів

27

Test.txt ………………… 249

FAT

Startcluster

0

EOF

249

678

355

27

FAT-Ланцюг

із запису каталогу ми отримуємо початковий кластер, який є точкою входу для таблиці FAT

У FAT ми знайдемо решту необхідних кластерів

ISEC 2010 – Cybercrime Investigation Training

41

File Allocation Table

ISEC 2010 – Cybercrime Investigation Training

Cluster 2

EOF

кластер 2 є початком області даних

Перші два кластера зарезервовані (може бути і більше)

42

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

File Allocation Table

43

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

вільний?

ні

no

так

9

11

EOF

вільний?

File Allocation Table

44

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

9

11

EOF

File Allocation Table

Структура кореневого каталогу

45

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

9

11

EOF

File Allocation Table

46

Структура кореневого каталогу

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

9

11

EOF

1 Кластер = 1024 байт

File Allocation Table

47

Структура кореневого каталогу

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

9

11

EOF

1 Кластер = 1024 байт

File Allocation Table

48

Структура кореневого каталогу

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

9

11

EOF

1 Кластер = 1024 байт

File Allocation Table

49

Структура кореневого каталогу

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

9

11

EOF

1 Кластер = 1024 байт

File Allocation Table

50

Структура кореневого каталогу

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

9

11

EOF

1 Кластер = 1024 байт

File Allocation Table

51

Структура кореневого каталогу

ISEC 2010 – Cybercrime Investigation Training

EOF

4

5

EOF

EOF

EOF

EOF

9

11

EOF

​

3 кластери

З каталогу отримуємо стартовий кластер у FAT

FAT знайде решту кластерів

1 Кластер = 1024 байт

Скільки потрібно кластерів?

File Allocation Table

52

Структура кореневого каталогу

Створення файлу

У процесі створення файлу ПК виконує 3 дії:

Буде створено запис файлу з необхідною інформацією

​

У FAT буде створено запис, який відповідає початковому кластеру із запису файлу

​

Дані записуються

​

53

Видалення файлів у FAT

1. Перший символ ім'я файлу в кореневому каталозі замінюється на значення E5.
2. Ланцюжок кластерів у таблиці FAT очищено. Замість номерів кластерів введено значення 00 - кластери позначаються як вільні.
3. У кореневому каталозі залишаються ім'я файлу (без першого символу), його атрибут, посилання на номер першого кластера файлу.
4. Операційна система робить запис нового файлу в кореневому каталозі. Подальша інформація записується на новий вільний кластер

Алгоритм відновлення файлів

1. Визначте номер першого кластера файлу з кореневого каталогу
2. Відновіть ланцюжок кластерів цього файлу

Вільний кластер

Кластер файлу

Зайнятий кластер

Сценарії відновлення файлу

Перший кластер – 56

Розмір файлу – 7094 B

Розмір кластера – 2048 B

Кількість кластерів в файлі - 4

А. Відновлюється інформація з перших 4 вільних кластерів. файл буде відновлено без помилок

В. Файл буде відновлено без помилок. ми повинні розуміти, що кластери 57 і 60 відносяться до іншого файлу (з FAT).

С. Якщо кластер 57 та 60 — це інформація з іншого видаленого файлу, відновлення містить помилки