eCDFP Module (5) File System Analysis (Part-7) (NTFS File System Analysis)

 Volume Boot Record  (VBR) ($Boot)

 Disk Editor မသုံးပဲ ကြည့်နိုင်အောင်ရေးသားထားပါသည်။ But practice makes perfect...

 

Volume Boot Record (VBR) ကို Volume Boot Sector,  Partition Boot Record , Partition Boot Sector ဆိုပြီး အမျိုးမျိုးခေါ်ကြပါတယ်။ ကျွန်တော်တို့ NTFS File System Analysis ကို Volume Boot Record  (VBR) ($Boot)နဲ့ ပထမဦးဆုံး စတင်ပါမယ်။ VBR က MFT ရဲ့ Record (Entry) နံပတ် 7 မှာရှိပါတယ်။ အပေါ်ကပုံမှာဆိုရင် NTLDR က Boot.ini ကနေ Boot Partition (Example C:) ကိုညွန်ပြပါတယ်။ NTFS.sys ကတော့ Window ကနေ NTFS File  System ပေါ်ကို Data တွေRead, Write လုပ်ဖို့အတွက်အသုံးပြုပါတယ်။  NTFS.sys နဲ့ ntoskrnl.exe တို့ Error တက်ရင် Blue Screen  Error တက်ပါတယ်။ NTFS File System ရဲ့ Metadata File ဖြစ်တဲ့ ($Boot)  ကတော့ Master File Table (MFT) က ဘယ်နေရာမှာရှိတယ်ဆိုတာကို မှတ်သားထားပါတယ်။ MFT က File တစ်ခုဖြစ်တဲ့အတွက် Storage ရဲ့မည်သည့် နေရာမှာမဆိုရှိနိုင်ပါတယ်။ Storage Area ရဲ့  Sector ဘယ်လောက်မှာရှိရမယ် Cluster ဘယ်လောက် မှာရှိရမယ်ဆိုပြီး သတ်မှတ်ထား တာမရှိပါဘူး။ ($Boot)  က MFT ဘယ်နေရာမှာ ရှိတယ်ဆိုတာကိုညွှန်ပြပြီး ($Boot)  File က  NTFS File System ရဲ့  First Sector (Sector 0) , Cluster ဆိုရင် Cluster 0 မှာအမြဲရှိပါတယ်။ FAT File System ရဲ့ Boot Sector နဲ့တူညီပါတယ်။ $Boot ကနေ MFT ရှိတဲ့ Cluster Number, Cluster Size, Sector Size , File System Serial Number တို့ကိုသိရှိနိုင်ပါတယ်။ MFT က NTFS File System ရဲ့ Heart ဖြစ်တဲ့အတွက် MFT ရှိတဲ့နေ ရာကိုညွှန်ပြတဲ့ ($Boot)  ကလဲ အရေးကြီးပါတယ်။ ဒါကြောင့် ($Boot) File  က Backup အနေနဲ့  နောက်ဆုံး Sector မှာ ($Boot)  ထပ်ပြီးရှိပါတယ်။ ($Boot) ကအကြောင်းတစ်ခုခုကြောင့်ပျောက် ဆုံးသွားရင် Backup အနေနဲ့ရှိနေဖို့ဖြစ်ပါတယ်။ 




$Boot File က First Sector (Sector 0), Cluster ဆိုရင် Cluster 0 မှာရှိနေတာကို တွေ့နိုင်ပါတယ်။


အခု Storage မှာ $MFT File က Cluster 5461 မှာရှိနေပါတယ်။

အခုအောက်က ပုံ 2 ပုံကတော့ $MFT Table နဲ့ $MFTMirror File ဖြစ်ပါတယ်။ ($MFTMirror) ကတော့ $MFT Error ဖြစ်ခဲ့ရင် အသုံးပြုနိုင်ဖို့အတွက် $MFT ရဲ့  ပထမဆုံး Record (Entry) 4 ခုကိုသိမ်းထား တာဖြစ်ပါတယ်။ 





Over View Of NFTS Volume 



Volume Boot Record (VBR) Size က Storage Volume မှာအသုံးပြုတဲ့ Cluster Size အပေါ်မူ တည် ပြီးရှိနိုင်ပါတယ်။ Cluster Size က 4096 Bytes (4KB) ရှိရင် $Boot File က 8 Sector နေရာယူပါမယ်။ 


Volume က Bootable ဖြစ်နေရင် Bootstrap Code ရှိနေမှာဖြစ်ပြီး Bootable မဖြစ်ရင် Bootstrap Code နေရာမှာ A တွေပဲဖြစ်နေပါမယ်။ 


Detail Volume Boot Record 



Data Structure For the Boot Sector


အခုဖော်ပြမှာကတော့ Volume Boot Record (VBR) နဲ့  Bios Parameter Block (BPB) အကြောင်းပဲဖြစ်ပါတယ်။ Data Structure Of Boot Sector ပုံကတော့ NTFS Analysis အတွက် အရေးကြီးတဲ့အပိုင်းတွေကို သတိထားမိအောင် ဖော်ပြထားတာဖြစ်ပါတယ်။ 

အခုဆက်လက်ပြီးဖော်ပြမှာကတော့ Bios Parameter Block (BPB) , Extended Bios Parameter Block (EBPB)  အကြောင်းဖြစ်ပါတယ်။ 


BPB & EBPB   (Decimal ) 


BPB & EBPB   (Hex) 

Disk Editor တွေမှာ Offset ကို Hex Number (0-9) (A-F) နဲ့ဖတ်လို့ရနိုင်သလို (0-15) Decimal အနေနဲ့လဲဖတ်နိုင်ပါတယ်။ 

အောက်ကပုံကတော့ အပေါ်ကပုံမှာရှိတဲ့ အပိုင်းတစ်ပိုင်းခြင်းစီအလိုက်ကို အသေးစိတ်ဖော်ပြထားတာ ဖြစ်ပါတယ်။ 


အဝါရောင်နဲ့ပြထားတာက Jump Boot Code ကိုဖော်ပြထားတာဖြစ်ပါတယ်။ အခုပုံအတွက် Disk Editor ကို (0-15) Decimal အနေနဲ့ပြထားပါတယ်။ 
  • EB 52 = Jump 00000054
  • 90 = NOP




OEM ID ကိုဖော်ပြထားတာဖြစ်ပါတယ်။ 4E54465320202020 ဆိုတဲ့ Hex ကို Text (Word) ပြောင်းလိုက်တဲ့အခါမှာ NTFS ရပါတယ်။ NTFS File System ဆိုတာကို ဖော်ပြတာဖြစ်ပါတယ်။ Hex To Binary Or Text (Word) ကို Online မှာ အလွယ်တစ်ကူပြောင်းလဲနိုင်ပါတယ်။ 
Hexadecimal to Decimal Converter Online 



Byte Per Sector = 0002 လို့ Disk Editor မှာဖော်ပြထားပေမဲ့ Decimal ပြောင်းတဲ့အခါ 0200 လို့ပြောင်းလဲပြီးမှ Decimal ကိုပြောင်းပါတယ်။ 0200 = 512  ဖြစ်ပါတယ်။ 

Bytes Per Sector = 512 Bytes  (Sector တစ်ခုမှာ 512 Bytes ရှိပါတယ်။) 

Sector Per Cluster = 08 = 8  (Cluster တစ်ခုမှာ 8 Sectors ရှိပါတယ်။) 

Reversed Number Of Sector = 00 = 0 



Media Descriptor = F8  (F8) ဆိုတာက Hard Disk ဖြစ်တယ်ဆိုတာကိုဖော်ပြထာဖြစ်ပါတယ်။) F0 ဆိုရင် Floopy ဖြစ်ပါတယ်။ Unused နေရာတွေကတော့ 0 တွေဖြစ်ပါတယ်။ 
3F00 ဆိုတာက Sector Per Track Number ကိုပြောတာဖြစ်ပါတယ်။  Decimal အတွက် 3F00 = 63 
2000 Total Number Of Heads = 0020 = 32

Hidden Sector = 01000000 = 1

Total Number Of Sector 

Hex Number = FFFF010000000000

01FFFF  = 131071


Logical Cluster Number For $MFT 

Hex = 5515000000000000

1555 = 5461

$MFT က Cluster Number 5461 မှာရှိတယ်ဆိုတာကိုဖော်ပြတာဖြစ်ပါတယ်။ 


Logical Cluster Number For $MFT 

Logical Cluster Number For $MFTMirror 

Hex = 0200000000000000

02 = 2

$MFTMirror က Cluster Number 2 မှာရှိတယ်ဆိုတာကိုဖော်ပြတာဖြစ်ပါတယ်။ 

Logical Cluster Number For $MFTMirror 


Cluster Per MFT Record = F6 = 246 

Cluster Per Index = 1 

Volume Serial Number = 3741753E6F753E1E


Course မှာက ဒီအထိပဲပါပေမဲ့  ကျန်နေတဲ့ Volume Boot Record မှာပါတာတွေကို ပုံဖြင့်ဖော်ပြထားပါတယ်။
NTFS File System  ရဲ့  Volume Boot Record (VBR) မှာပါဝင်တဲ့အကြာင်းအရာတွေကို နားလည် အောင်ဖော်ပြတာဖြစ်ပါတယ်။ Disk Editor တွေမှာ အခုလိုတွက်ချက်စရာမလိုပဲ အဆင့်သင့် ကြည့်နိုင်တဲ့ Template တွေရှိပါတယ်။ 

Boot Sector NTFS Template 


Comments

Post a Comment

Popular posts from this blog

B-Trees (NTFS)

Image
  B-Trees An NTFS index sort attributes into a tree, specifically a B-tree. A tree is a group of data structures called nodes that are linked together such that there is a head node and its branches out to the other nodes. Consider Figure 11.13(A), where we see node A on top and it links to nodes B and C. Node B links to nodes D and E. A parent node is one that links to other nodes, and a child node is one that is linked to. For example, A is a parent node to B and C, which are children of A. A leaf node is one that has no links from it. Nodes C, D, and E are leaves. The example shown is a binary tree because there are a maximum of two children per node. Figure 11.13. Examples of A) a tree with 5 nodes and B) the same tree that is sorted by the node values FIG- 11.3 Trees are useful because they can be used to easily sort and find data. Figure 11.13(B) shows the same tree as we saw on the left side, but now with values that are assigned to each node. If we are trying to look up a valu
Read more

NTFS Index Attributes

Image
  NTFS Index Attributes Now that we have described the general concept of B-trees, we need to describe how they are implemented in NTFS to create indexes. Each entry in the tree uses a data structure called an index entry to store the values in each node. There are many types of index entries, but they all have the same standard header fields, which are given in Chapter 13. For example, a directory index entry contains a few header values and a $FILE_NAME attribute. The index entries are organized into nodes of the tree and stored in a list. An empty entry is used to signal the end of the list. Figure 11.18 shows an example of a node in a directory index with four $FILE_NAME index entries. Figure 11.18. A node in an NTFS directory index tree with four index entries. Figure 11.18 The index nodes can be stored in two types of MFT entry attributes. The $INDEX_ROOT attribute is always resident and can store only one node that contains a small number of index entries. The $INDEX_ROOT attrib
Read more

Volatility Workbench (GUI) for the Volatility tool

Image
 Memory Dump ကနေ Artifacts တွေကို ရယူနိုင်ဖို့ Volatility (Command Line) ကို တော်တော်များများ အသုံးပြုကြပါတယ်။ Pass Mark OS Forensics ကနေ GUI မသုံးချင်သူတွေ / နှစ်မျိုးလုံး အသုံးပြုချင်သူတွေအတွက် Volatility Workbench (GUI) ကိုပြုလုပ်ထားပါတယ်။ တွဲပြီးအသုံးပြုရမဲ့ Profile တွေကိုလဲ အသင့် Download ရယူနိုင်ပါတယ်။ Sample File တွေလဲပေးထားပါတယ်။ Open Source Computer Forensics Tool ဖြစ်တဲ့ Autopsy အပြင် Commercial Computer Forensics Tools တွေကလဲ လက်ရှိအချိန်ထိ Open Source ဖြစ်တဲ့ Volatility ကိုပဲ သူတို့ရဲ့ Software ထဲမှာ အသုံးပြုထားပါတယ်။                                                           Link  Volatility Workbench (GUI) for the Volatility tool
Read more