101 - Dateisystemanalyse im FAT-Dateisystem - Kapitel 4

FAT ist eine Familie von Dateisystemen, die verschiedene Versionen wie FAT12, FAT16 und FAT32 umfasst.

Die verschiedenen FAT-Versionen unterscheiden sich in der Größe der Einträge in der FAT-Tabelle, die die Verknüpfung von Clusters für Dateien speichert.

Das FAT-Dateisystem organisiert Daten auf der Festplatte in Blöcken, die als Cluster bezeichnet werden. Dateien bestehen aus einer Folge von Clustern.

Die FAT-Struktur enthält eine Tabelle, die die Zuordnung von Clustern zu Dateien verwaltet. Diese Tabelle dient als Verzeichnis und ermöglicht das Auffinden von Dateien auf dem Datenträger.

Ein Directory Entry enthält Informationen zu einer Datei, wie z.B. Dateiname, Größe, Erstellungsdatum und Startcluster.

Die FAT-Struktur, die Directory Entries und die Cluster arbeiten zusammen, um die Organisation der Dateien auf der Festplatte sicherzustellen.

End of File (EOF) markiert das Ende einer Datei und signalisiert dem Betriebssystem, dass keine weiteren Daten folgen.

Die FAT-Struktur und die Dateiorganisation spielen eine wichtige Rolle bei der forensischen Datenermittlung, da sie Hinweise auf Dateimodifikationen und andere Aktivitäten auf dem Datenträger liefern.

Der erste Sektor einer Partition, der Informationen über das Dateisystem enthält.

Die Analyse des Dateisystems zielt darauf ab, die Konfiguration, den grundlegenden Aufbau und die Typen von Dateisystemen (FAT12, FAT16, FAT32 etc.) zu bestimmen.

Eine Einheit zur Speicherung von Daten, die aus einem oder mehreren zusammenhängenden Sektoren besteht. Die Größe eines Clusters kann variieren und ist vom Dateisystem abhängig.

Die FAT-Tabelle (File Allocation Table) ist eine wichtige Tabelle, die Informationen darüber enthält, wo sich die Daten auf der Festplatte befinden. Sie speichert die Zuordnung von Clustern zu Dateien.

Ein spezifischer Bereich auf der Festplatte, der die FAT-Tabelle enthält und die Datenbereiche voneinander trennt.

Die Festplatte ist in mehrere Bereiche geteilt, die aus verschiedenen Sektoren bestehen. Die Datenbereiche speichern die Inhalte der Dateien.

Der Root Directory ist ein wichtiger Verzeichnisbaum, der Informationen über alle Dateien und Verzeichnisse auf der Festplatte enthält.

Die Sektoradresse ist einzigartig und gibt die genaue Position eines Sektors auf der Festplatte an.

Die FAT-Struktur speichert den Status der Cluster-Zuweisung in einem Dateisystem. Ein Eintrag in der FAT repräsentiert einen Cluster. Die Größe jedes Eintrags definiert den Typ des FAT-Dateisystems: 12 Bit für FAT12, 16 Bit für FAT16 und 32 Bit für FAT32 (mit 28 Bit tatsächlicher Nutzung).

Das Betriebssystem bestimmt die Cluster-Allokationsstrategie.

Die FAT-Struktur beinhaltet Einträge, die den Allokierungsstatus eines Clusters repräsentieren. Jedes Dateisystem verwendet eine eindeutige Setzung von Werten für einen Cluster:

• 0: Nicht allokiert
• 0xFF7 (FAT12), 0xFFF7 (FAT16), 0x0FFF FFF7 (FAT32): Beschädigt
• Alle anderen Werte: Cluster ist belegt (Details in Metadaten)

Diese Werte zeigen an, ob ein Cluster frei ist, beschädigt oder für Daten verwendet wird.

Ein Verzeichniseintrag (Directory Entry) enthält Informationen zu Dateien oder Ordnern, wie z.B. Zeitstempel, Adressen und Dateinamen. Im FAT-Dateisystem verfügt jeder Eintrag über eine feste Größe von 32 Byte und ist Teil eines Verzeichnisses. Diese Einträge ähneln einer Tabelle, da sie eine definierte Größe und Struktur haben.

Die Größe eines Eintrags im FAT-Dateisystem bestimmt den Typ des Dateisystems. FAT12 verwendet 12 Bit, FAT16 16 Bit und FAT32 32 Bit (wobei 28 Bit tatsächlich genutzt werden). Die Größe des Eintrags beeinflusst die maximale Anzahl der Cluster, die ein Dateisystem unterstützen kann.

Ein Cluster ist eine Einheit von Speicherplatz auf einer Festplatte, die im FAT-Dateisystem verwendet wird. Dateien bestehen aus einer Folge von Clustern. Die Größe eines Clusters variiert je nach Dateisystem.

Die FAT (File Allocation Table) ist eine Tabelle, die den Festplatten-Platz für jede Datei auf dem Datenträger verwaltet. Sie speichert für jeden Cluster Informationen darüber, ob er frei, belegt oder Teil einer bestimmten Datei ist.

Im FAT-Dateisystem werden Daten in Blöcke aufgeteilt, die als Cluster bezeichnet werden. Eine Datei besteht aus einer Folge von Clustern. Die FAT speichert die Zuordnung dieser Cluster zu Dateien.

Ein neues Verzeichnis wird erstellt, indem ein Cluster allokiert und mit Nullen gefüllt wird. Die Dateigröße wird im Directory Entry nicht gespeichert, sondern durch die Cluster-Verkettung bestimmt.

Ein Cluster mit dem Wert EOF markiert das Ende einer Datei. Der letzte Cluster enthält diesen Wert, der dem Betriebssystem signalisiert, dass keine weiteren Daten folgen.

Die Datei wird im Directory Entry mit dem ersten Cluster der Datei verlinkt. Der Eintrag in der FAT zeigt dann auf den nächsten Cluster der Datei, der ebenfalls einen Eintrag in der FAT hat. So wird die Verkettung der Cluster bis zum EOF-Eintrag fortgesetzt.

Die Größe eines Verzeichnisses kann nicht direkt im Directory Entry ermittelt werden, sondern wird durch die Cluster-Verkettung bestimmt. Die Verkettung beginnt mit dem ersten Cluster des Verzeichnisses und enthält die Informationen zu den enthaltenen Dateien.

Wenn ein Verzeichniseintrag gelöscht wird, wird nur das erste Byte des Eintrags überschrieben. Das bedeutet, dass die restlichen Informationen im Eintrag noch vorhanden sind und mit speziellen Tools wiederhergestellt werden können.

Eine Datei kann mit ihrer Metadaten-Struktur über die Daten des Dateinamens identifiziert werden. Diese Informationen werden im FAT-System unter der Nummer des Verzeichniseintrags im Directory Entries zusammengeführt.

Bei FAT-Dateisystemen wird die Datei in einzelne Blöcke, genannt Cluster, aufgeteilt. Die Startcluster der Datei wird in Directory Entries gespeichert.

Um verlorene Verzeichniseinträge zu finden, wird im nicht-allokierten Bereich nach den Einträgen für '.' und '..' gesucht. Diese Einträge stehen für das aktuelle Verzeichnis und das übergeordnete Verzeichnis.

Der Dateiname kann maximal 8 Buchstaben lang sein, und optional kann eine 3-buchstabige Endung (z.B. .txt, .jpg) angefügt werden.

Der Boot-Sektor ist der erste Sektor einer Partition, der wichtige Informationen über das Dateisystem enthält, z.B. die Position der FAT-Tabelle, des Root Directorys und des Datenbereichs.

Die FAT-Tabelle ist eine Tabelle, die die Zuordnung von Clustern zu Dateien speichert. Sie ermöglicht das Auffinden der Daten auf der Festplatte.

Cluster sind Blöcke auf der Festplatte, die zur Speicherung von Daten verwendet werden. Dateien bestehen aus einer Kette von Clustern.

Das Root Directory ist ein spezielles Verzeichnis, das Informationen über alle Dateien und Unterverzeichnisse auf der Festplatte enthält.

Die Data Area ist der Bereich auf der Festplatte, in dem die Inhalte der Dateien gespeichert werden.

Das Löschen einer Datei im FAT-Dateisystem erfolgt durch das Zurücksetzen der Cluster der Datei in der FAT-Tabelle auf den unbenutzten Status (0) und das Markieren des Directory Entry als gelöscht.

Das FAT-Dateisystem speichert die Datei „file1.txt“ im Cluster 200, 201 und 202. Die FAT-Tabelle enthält die Links: 200 → 201, 201 → 202, 202 → EOF. Um die Datei zu löschen, werden die Links in der FAT-Tabelle auf 0 gesetzt, was bedeutet, dass die Cluster wieder verfügbar sind.