eCDFP (Disk Drives) - Lab

 ကျွန်တော်  Simple Disk ကို နမူနားထားပြီး Lab ကိုပြသထားပါတယ်။ Disk Drive အပိုင်းကို  Lab နဲ့ တွဲကြည့်ရင် ပိုပြီးရှင်းလင်းပါတယ်။ 

Sample Disk With X-Way 

Disk ရဲ့ Sector 0 ကတော့ Protective MBR ဖြစ်ပါတယ်။ 

Protective MBR

Disk ရဲ့ Sector 1 ကတော့ GPT Header ဖြစ်ပါတယ်။

GPT Header 

GPT Template ကြည့်ဖို့ဆိုရင် Start Sector ကနေကြည့်ရမှာ ဖြစ်ပါတယ်။ 

 


မြင်ရမဲ့  Disk  Information တွေကို အောက်မှာပြထားပါတယ်။ 


Protective MBR  From Template View

GUID Partition Table  From Template View

GUID Partition Table 1 And  2 From Template View 

GUID Partition Table 3 And 4 From Template View 


GPT Header
Signature and size of the header 

GPT ရဲ့ Signature က “EFI PART” ဖြစ်ပါတယ်။ EFI PART ရဲ့ Signature က 45 46 49 20 50 41 52 54

အပေါ်က GPT Header နဲ့တိုက်ကြည့်လိုက်ပါ။ တည်နေရာက Offset 512 – First Sector – LBA  Addressing – 1 


Size of the header?

GPT Header Size – 92


 
Header ပြီးရင် ကျန်တာတွေက Sector ဆုံးတဲ့အထိ အကုန်က Zero  ဖြစ်ပါတယ်။  Header Size 92 Bytes and Other Are Zero 

                                  Header Size 92 Bytes and Other Are Zero 

Revision and CRC CheckSum of header

Revision: 00 00 01 00 

CRC header: 63 3D 04 6C


Disk GUID

Disk GUID ကိုတော့ Template ကနေကြည့်နိုင်ပါတယ်။  Offset Number ကတော့ 568 ဖြစ်ပါတယ်။ 


Starting location Of partition table

Partition Table အစကတော့ Sector -2  ဖြစ်ပါတယ်။  Sector – 0 မှာ Protective MBR နဲ့ Sector – 1 မှာ GPT Header ရှိပါတယ်။ Template ကနေကြည့်ရင် Starting location of partition table အစက  Offset 1024 ဖြစ်ပြီး 1024 ကိုကြည့်ပြီး သူရဲ့အပေါ်မှာ Sector 2 ခုရှိတယ်ဆိုတာသိနိုင်ပါတယ်။ Partition LBA Address ကတော့ - 2 ဖြစ်ပါမယ်။ 


 
Last Available Sector For Partitions

Answer - 2097118 


Number of entries in the partition table

Partition – 3 ခုသာရှိပါတယ်။ Partition Entry မှာ 4 ခုရှိပေမဲ့ အောက်ဆုံး Partition က Zero တွေကြည့်ပဲရှိပါတယ်။ 



Size of each entry in the partition table

- 128


Backup Of Partition Table

Backup of partition table Location ကတော့ 33 Sector မှာဖြစ်ပါတယ်။ ဘာလို့လဲဆိုရင်  1 – Sector က Partition backup အတွက်ဖြစ်ပြီးကျန်တဲ့ 32 Sectors ကတော့ Partitions အတွက်ဖြစ်ပါတယ်။ 32 – Sector ဘယ်လိုရလဲဆိုရင် GPT  Disk Partition က 128 Partition ထိရှိနိုင်ပါတယ်။ Size Of Partition နညအမပ ကတော့ 128 Byte ဖြစ်ပါတယ်။ (128 x 128 = 16384) ရလာတဲ့  အဖြေကို Sector Size နဲ့ ပြန်စားပါမယ်။ 16384/512 = 32 ရပါတယ်။ 

Unique GUID of each entry

Answer - 


ဒီအဖြေကဘယ်ကနေရလဲဆိုရင် Template မှာ ကြည့်လို့ရပါတယ်။ 



Corrupt GPT Disk Fix 

Disk မှာ Partition တွေ မတွေ့ရတော့ပါဘူး။ 

ဘာတွေဖြစ်နေလဲဆိုတာ ဆက်ကြည့်ရင် နေရာ 3 နေရာစလုံးကို A, B, C, တွေနဲ့ Over Write လုပ်ထားတာတွေ့ရပါတယ်။ 

Sector -0 မှာရှိတဲ့  Protective MBR နေရာမှာ A တွေဖြစ်နေပါတယ်။ 

Sector -1 မှာရှိတဲ့  GPT Header နေရာမှာ B တွေဖြစ်နေပါတယ်။ 

GPT Partition Table  နေရာမှာ C တွေဖြစ်နေပါတယ်။ 


GPT Header အတွက် GPT Backup ကနေ Hex Value တွေယူပြီးး အစားထိုးပါမယ်။ 


GPT Header အတွက် GPT Backup ကနေ Hex Value တွေယူပြီးး အစားထိုးပါမယ်။ Sector Of Disk က 32 ဖြစ်တဲ့အတွက် 32 ကို Size Of Sector 512 နဲ့ မြှောက်ရင် 16384  ရပါတယ်။ ဒါကြောင့် နောက်ဆုံး  Sector ကနေ 16384 Offset ကိုသွားပြီး Partition Table ကို Copy ယူပါမယ်။ ပြီးရင်ခုနက C တွေကြည့်ရှိတဲ့နေရာမှာ Paste လုပ်ပါမယ်။ Protective MBR နေရာကိုတော့ မလိုအပ်လို့ မပြင်ဆင်တော့ပါဘူး။



Result 


Result 






Comments

Popular posts from this blog

TikTok (tiktok.com) Imvestigation #OSINT

Google Reverse Location Search Warrants (GEOFENCE SEARCH WARRANT) And Transparency Report