eCDFP Module (5) File System Analysis (Part-5)

 Subdirectory Structure

အခုပုံမှာ Folder-1 က Subdirectory ဖြစ်ပါတယ်။ Root Directory ရဲ့အောက်မှာရှိပြီး “ . “ အနေနဲ့ပြသပါတယ်။ “..“   အနေနဲ့ပြသတာကတော့ Root Directory ဖြစ်ပြီး အပေါ်မှာ File System Directory ရှိတယ်ဆိုတာကိုပြသတာဖြစ်ပါတယ်။ Subdirectory Structure မှာ သူရဲ့ကိုယ်ပိုင် Attribute တွေရှိပြီး Subdirectory ရဲ့  Size ကအမြဲတမ်း  ၀ ဖြစ်ပါတယ်။ Folder-1 = 602 KB ဆိုတာက FM-LOG.jpg ရဲ့ File Size ဖြစ်ပါတယ်။ Subdirectory မှာလဲ File System ထဲမှာ ရှိတဲ့ အခြားသော File / Directory တွေလိုပဲ Date / Time (MAC) တွေရှိပါတယ်။ 

Forensics Myanmar


File Allocation 

FAT 32 File System မှာ File Location ကို File System ကနေ ဘယ်လို Allocation ပြု လုပ်တယ်ဆိုတာကိုပြသမှာဖြစ်ပါတယ်။ New Folder -1 ကို Create လုပ်လိုက်ပြီး Photo File  တစ်ခုကို ထည့်ထားပါတယ်။ 



အခုပုံနဲ့ အောက်ကစာကိုတွဲပြီးကြည့်ပေးပါ။ လက်တွေ့နဲ့ပါတွဲကြည့်ရင် ပိုပြီးနားလည်လွယ်မှာ ဖြစ်ပါတယ်။

Forensics Myanmar
File In FAT32 File System 


- Boot Sector ကနေ Data Area, FAT Area, Root Directory ကိုရောက်ရှိနိုင်ပါတယ်။

- Root Directory ကနေ New Folder – 1 ရှိတဲ့ နေရာကိုသွားမယ်ဆိုရင် New Folder – 1 ရှိတဲ့ နေရာက Cluster -3 ဖြစ်ပါတယ်။ 

- New Folder – 1 ရဲ့အောက်မှရှိတဲ့ FM-LOGO.JPG File ရဲ့နေရာက Cluster -4 ဖြစ်ပါတယ်။ Cluster – 4 မှာ FM-LOGO.JPG File ရဲ့ Content က နောက်ထပ် Cluster – 5 မှာလဲရှိ နေသေးကြောင်းထပ်ညွှန်ပြပါတယ်။ Cluster – 5 မှာလဲ File Content က နောက်ထက် Cluster -6 မှာရှိနေသေးကြောင်း ထပ်ပြီးညွှန်ပြပါတယ်။ အဲဒီလိုနဲ့သွားလိုက်ရင် Cluster – 16 ကိုရောက်ပါမယ်။ Cluster – 16 မှာတော့ File နေရာက နောက်ထပ် Cluster ကိုကူးစရာ မလိုတော့တာကြောင့် EOF (End OF File ) Marker ထည့်လိုက်ပါတယ်။ ဒီ File က ဒီ Cluster မှာပြီးပြီးဆိုတဲ့သဘောဖြစ်ပါတယ်။ 

- ဒါဆိုရင် FM-LOGO.JPG File ရဲ့တည်နေရာ Cluster 4 ကနေ Cluster 16 အထိရှိပါတယ်။ File က Cluster နေရာ 13 နေရာယူထားပါတယ်။ 


File Deletion 

FAT 32 File System မှာ File ကိုဖျက်လိုက်ရင် ဘယ်လိုဖြစ်သွားဆိုတာကိုပြသမှာဖြစ်ပါတယ်။ FM-LOGO.JPG File ကိုဖျက်လိုက်မှာ ဖြစ်ပါတယ်။ User ရဲ့ မျက်စိထဲမှာတော့ File ကရှိမနေတော့ပါဘူး။



ဖျက်လိုက်တဲ့အခါမှာ File Name ရဲ့ First Character ကို File System က  E5 ဆိုပြီးပြောင်းလိုက်ပါတယ်။ 

Forensics Myanmar


FAT ထဲမှာရှိတဲ့ ဖျက်လိုက်တဲ့ File ရဲ့ Cluster Entries တွေက 0 ဖြစ်ကုန်ပါတယ်။ File တည်ရှိနေတဲ့ Cluster ကနေ ဘယ် Cluster အထိ File ကရှိနေတယ် ဆိုတဲ့ ညွှန်ပြတာတွေ မရှိတော့ပါဘူး။ 


Subdirectory ဖြစ်တဲ့ New Folder -1 ထဲမှာလဲ File ရှိနေကြောင်းပြသပါတယ်။ 


ဒါပေမဲ့ ဖျက်လိုက်တဲ့ File ရဲ့ Content တွေကတော့ရှိနေဆဲဖြစ်ပါတယ်။ 
Forensics Myanmar


File Delete လုပ်လိုက်တဲ့အခါမှာ File System ထဲမှာပြောင်းလဲသွားတာကို ပြသထားပါတယ်။ 

Forensics Myanmar
Delete File In FAT32 File System 


END   FAT FILE SYSTEM  In Module (5).  NEXT NTFS FILE SYSTEM 

Comments

Popular posts from this blog

NTFS Index Attributes

B-Trees (NTFS)

eCDFP (Module-6) (Window Forensics) (Part - 1 )