CF2 02 - Linux Filesystems.pdf

(633 KB) Pobierz
Forensics II
Linux
file systems
Ext4, Btrfs and ZFS
Repetition begin
See forensic 1
http://users.du.se/~hjo/cs/dt1059/presentation/CF1_9_filesystems.pdf
ext4 is important since most Android devices run it ==
Actually most of the computers in the world!
Slides from forensic 1 begin
UNIX filsystem UFS, ext2… osv.
• Använder datastrukturer som kallas för index noder i en tabell
för att representera filer, bibliotek och symboliska länkar
• Inode fälten (128 byte) är av ett fixt antal och lagrar metadata
• Varje fil och mapp har ett associerat entry i inode tabellen
• Inodens nr som hanterar filen/mappen kan visas med ls -i
• Inode nr 1 används vanligen för att lagra bad blocks
• Inode nr 2 används alltid för root directory
• Bra program för lågnivå diskundersökning
– The Sleuth Kit – fsstat och istat kommandot
– Linux Disk Editor – lde
– Tune2fs – visar filsystem info mm. för ext2/ext3
• Vissa icke traditionella UNIX filsystem har en ganska olik
uppbyggnad på låg nivå tex. ReiserFS
– Kräver sina egna program/verktyg
UNIX filsystem UFS, ext2… osv.
• Delar upp partitionen i ett antal block grupper för
redundans, ca: 128MB (32k*4k) per grupp för file space
• Superblocket (1 kB) innehåller viktig filsysteminfo som
block size, ant. block, block per grupp, last mounted mm.
– Sparse superblock, group desc.
• Group descriptor håller reda på grupperna och var saker
finns (bitmaps, inode table)
• Block/inode - bitmappar hanterar allokeringsstatus
tune2fs
kommandot
• Ger info om inoders
index/fält- och block
size
• Antalet inodes och
blocks per grupp
• Mm. mm.
linuxbox:~#
tune2fs -l /dev/hda2
tune2fs 1.40-WIP (14-Nov-2006)
Filesystem volume name: <none>
Last mounted on:
<not available>
Filesystem UUID:
70be05e9-3e15-4456-be27-4153e420d320
Filesystem magic number: 0xEF53
Filesystem revision #: 1 (dynamic)
Filesystem features:
filetype sparse_super
Default mount options: (none)
Filesystem state:
not clean
Errors behavior:
Continue
Filesystem OS type:
Linux
Inode count:
14469312
Block count:
14460508
Reserved block count: 723025
Free blocks:
9935321
Free inodes:
14340692
First block:
0
Block size:
4096
Fragment size:
4096
Blocks per group:
32768
Fragments per group:
32768
Inodes per group:
32736
Inode blocks per group: 1023
Last mount time:
Sun Mar 28 21:06:36 2010
Last write time:
Mon Apr 26 21:31:38 2010
Mount count:
1
Maximum mount count:
37
Last checked:
Sun Mar 28 21:02:21 2010
Check interval:
15552000 (6 months)
Next check after:
Fri Sep 24 21:02:21 2010
Reserved blocks uid:
0 (user root)
Reserved blocks gid:
0 (group root)
First inode:
11
Inode size:
128

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika:

Zgłoś jeśli naruszono regulamin