Lab 25 — Digitalna forenzika disk slika

Analiza particija disk slike

Digitalna forenzika disk slika (.dd format) omogućava analizu sadržaja diska bez mijenjanja originalnog medija. Ključni alati za forenzičku analizu su fdisk, testdisk i The Sleuth Kit (TSK).

Pregled particija

fdisk -l imagefile.dd — osnovne informacije o particijama iz slike
testdisk -l imagefile.dd — detaljnija analiza (pronalazi više od fdisk-a)
mmls imagefile.dd — layout particija s početnim sektorima (Start column)
fiwalk imagefile.dd | less — pregled datotečnog sustava (TSK-based)

MBR i Extended partition

MBR — Master Boot Record: max 4 primarne particije
4. primarna particija može postati Extended partition
Unutar extended partition mogu biti logički diskovi (logical drives)
Skrivena particija unutar extended = IoC (Indicator of Compromise)
losetup --partscan --find --show imagefile.dd → /dev/loop0

TSK alati za forenziku

The Sleuth Kit (TSK) je kolekcija open-source CLI alata za analizu disk slika i datotečnih sustava.

TSK naredbe

fsstat -f fat16 imagefile.dd -o OFFSET — statistike datotečnog sustava
fls -f fat16 imagefile.dd -o OFFSET — popis datoteka na particiji
istat -f fat16 imagefile.dd -o OFFSET INODE — detalji o inode-u
mmls imagefile.dd — raspored particija s offsetima
tsk_recover imagefile.dd output_dir — oporavak obrisanih datoteka

Što je inode?

inode = metadata struktura datotečnog sustava
Sadrži: veličinu, vlasnika, grupu, dozvole, vremenske oznake
Ne sadrži: ime datoteke ni sadržaj
Svaka datoteka ima jedinstveni inode broj
Obrisan inode = datoteka je označena kao obrisana, ali sadržaj može ostati

OFFSET parametar: Parametar -o OFFSET specificira početni sektor particije unutar disk slike. Vrijednost se dobiva iz mmls naredbe (Start column). Bez točnog offseta, TSK ne može pravilno interpretirati datotečni sustav.

Oporavak datoteka i file carving

tsk_recover — oporavak obrisanih datoteka

tsk_recover imagefile.dd output_dir
Oporavlja datoteke čiji su inode-ovi označeni kao obrisani
Primjer: 7-ntfs-undel.dd — NTFS slika s obrisanim datotekama
Rezultat: datoteke kopirane u output direktorij

File carving s testdisk

File carving = oporavak datoteka iz oštećenih/nedostupnih sustava
testdisk → odabir slike → FAT16 → Rebuild BS (rekonstrukcija boot sektora)
Zatim: List (popis datoteka) → odaberi sve (a) → Copy (C)
Kopira u output direktorij
Primjer: 11-carve-fat.dd — FAT16 slika za carving

Razlozi za file carving

Oštećen boot sektor / MFT
Brisanje datoteke
Oštećenje particije
Namjerno skrivanje podataka

Skrivene particije kao IoC

Neiskorišten prostor unutar extended particije može sakriti podatke
testdisk otkriva više particija od fdisk-a
Montiranje skrivene particije: mount /dev/loop0p7

0 / 14

Odgovori na pitanja da vidiš rezultat.

1. Koji alat prikazuje više particija od fdisk-a pri analizi disk slike?

fiwalk testdisk mmls fsstat

testdisk je sposobniji od fdisk-a pri otkrivanju particija — posebno skrivenih. Testdisk može pronaći particije koje fdisk preskače.

2. Koji MBR ograničenje postoji za primarne particije?

Maksimalno 2 primarne particije Maksimalno 8 primarnih particija Maksimalno 4 primarne particije Nema ograničenja

MBR (Master Boot Record) podržava maksimalno 4 primarne particije. Četvrta primarna particija može postati Extended partition koja sadrži logičke diskove.

3. Koja naredba prikazuje raspored particija s početnim sektorima (offset)?

fdisk -l imagefile.dd fiwalk imagefile.dd mmls imagefile.dd fsstat imagefile.dd

mmls prikazuje layout particija s Start (početni sektor), Length i tipom. Start vrijednost se koristi kao -o OFFSET parametar u ostalim TSK alatima.

4. Što je inode u kontekstu datotečnog sustava?

Ime datoteke i njena lokacija Sadržaj datoteke pohranjen u blokovima Metadata struktura s veličinom, vlasnikom, dozvolama i vremenskim oznakama Zaglavlje boot sektora particije

Inode = metadata struktura datotečnog sustava koja sadrži: veličinu, vlasnika, grupu, dozvole i vremenske oznake. NE sadrži ime datoteke ni sam sadržaj datoteke.

5. Koja TSK naredba prikazuje popis datoteka na specificiranoj particiji?

fsstat istat fls mmls

fls -f fat16 imagefile.dd -o OFFSET prikazuje popis datoteka na particiji (File Listing). fsstat = statistike datotečnog sustava. istat = detalji o inode-u.

6. Koja naredba kreira virtualni uređaj iz disk slike radi mountanja?

mount -o loop imagefile.dd /mnt fdisk -l imagefile.dd losetup --partscan --find --show imagefile.dd kpartx -a imagefile.dd

losetup --partscan --find --show imagefile.dd kreira loop uređaj (npr. /dev/loop0) i automatski skenira particije (--partscan), što omogućava pristup pojedinim particijama kao /dev/loop0p1, /dev/loop0p2 itd.

7. Koja TSK naredba prikazuje statistike datotečnog sustava (tip FS, veličinu klastera itd.)?

fls istat mmls fsstat

fsstat -f fat16 imagefile.dd -o OFFSET prikazuje statistike datotečnog sustava: tip FS, veličinu klastera, broj sektora po klasteru, raspon blokova itd.

8. Koja TSK naredba oporavlja obrisane datoteke iz disk slike?

fls -r istat --recover tsk_recover imagefile.dd output_dir testdisk --recover

tsk_recover imagefile.dd output_dir automatski skenira disk sliku i kopira sve oporavljive datoteke (uključujući obrisane) u output direktorij.

9. Što je "file carving" u digitalnoj forenzici?

Enkripcija datoteka radi zaštite dokaza Fizičko rezanje diska na manje komade za analizu Oporavak datoteka iz oštećenih ili nedostupnih particija/sektora Kopiranje datoteka na forenzički siguran medij

File carving = oporavak datoteka koje su nedostupne zbog oštećenja, brisanja ili oštećenja particije. Alati poput testdisk skeniraju sektor po sektor tražeći poznate potpise datoteka.

10. Koji korak je prvi u testdisk file carving procesu za FAT16 sliku?

List (popis datoteka) Copy (C) — kopiranje datoteka Rebuild BS (rekonstrukcija boot sektora) Select all (a)

Redoslijed u testdisk: Rebuild BS → List → Select all (a) → Copy (C). Rebuild BS rekonstruira oštećeni boot sektor, što je preduvjet za čitanje sadržaja FAT16 particije.

11. Što je IoC vezan uz disk particije?

Particija formatirana s FAT32 umjesto NTFS Particija s malo slobodnog prostora Neiskorišten prostor unutar extended particije koji skriva podatke Particija bez dodijeljenog slova pogona

Neiskorišten prostor unutar extended particije može biti IoC — napadač može sakriti particiju ili podatke u tom prostoru koji nije vidljiv standardnim alatima poput fdisk-a.

12. Koja naredba prikazuje detalje o specifičnom inode-u u disk slici?

fls -i INODE imagefile.dd fsstat -n INODE imagefile.dd istat -f fat16 imagefile.dd -o OFFSET INODE mmls -i INODE imagefile.dd

istat -f fat16 imagefile.dd -o OFFSET INODE prikazuje detalje o specificiranom inode-u: veličinu, vlasnika, dozvole, vremenske oznake (pristup, modifikacija, kreacija).

13. Što znači oznaka datoteke s asterisk (*) u izlazu fls naredbe?

Datoteka je zaštićena lozinkom Datoteka je duplicirana (postoji više kopija) Datoteka je obrisana (ali inode informacije su još uvijek čitljive) Datoteka je sistemska (zaštićena od brisanja)

U fls izlazu, zvjezdica (*) ispred inode broja označava obrisanu datoteku. Sama datoteka je obrisana, ali inode metadata može biti još uvijek dostupna za forenzičku analizu.

14. Koja naredba analizira datotečni sustav disk slike i prikazuje hijerarhiju datoteka (TSK-based)?

fsstat imagefile.dd fiwalk imagefile.dd | less tsk_recover imagefile.dd mmls imagefile.dd

fiwalk imagefile.dd prolazi kroz datotečni sustav slike i ispisuje sve datoteke s metapodacima (filesystem walk). Rezultat je detaljan pregled cijele strukture.

0 / 14

Riješi kviz da vidiš rezultat.