💾 Disk slika .dd format originalni medij TSK + Linux Alati fdisk -l → particije (osnovne) testdisk -l → više particija (skrivene) mmls → offset (Start column) fiwalk → datotečni sustav pregled fsstat -o OFFSET → FS statistike fls -o OFFSET → lista datoteka istat -o OFFSET INODE → metadata tsk_recover → oporavak obrisanih losetup --partscan → loop uređaj Forenzički Nalazi 🔍 Skrivene particije u extended (IoC!) 🗑 Obrisane datoteke (* u fls = obrisano) ✂ File carving: Rebuild BS → List → Copy 📋 inode: metadata (bez imena ni sadržaja!)

Analiza particija disk slike

Digitalna forenzika disk slika (.dd format) omogućava analizu sadržaja diska bez mijenjanja originalnog medija. Ključni alati za forenzičku analizu su fdisk, testdisk i The Sleuth Kit (TSK).

Pregled particija

  • fdisk -l imagefile.dd — osnovne informacije o particijama iz slike
  • testdisk -l imagefile.dd — detaljnija analiza (pronalazi više od fdisk-a)
  • mmls imagefile.dd — layout particija s početnim sektorima (Start column)
  • fiwalk imagefile.dd | less — pregled datotečnog sustava (TSK-based)

MBR i Extended partition

  • MBR — Master Boot Record: max 4 primarne particije
  • 4. primarna particija može postati Extended partition
  • Unutar extended partition mogu biti logički diskovi (logical drives)
  • Skrivena particija unutar extended = IoC (Indicator of Compromise)
  • losetup --partscan --find --show imagefile.dd → /dev/loop0

TSK alati za forenziku

The Sleuth Kit (TSK) je kolekcija open-source CLI alata za analizu disk slika i datotečnih sustava.

TSK naredbe

  • fsstat -f fat16 imagefile.dd -o OFFSET — statistike datotečnog sustava
  • fls -f fat16 imagefile.dd -o OFFSET — popis datoteka na particiji
  • istat -f fat16 imagefile.dd -o OFFSET INODE — detalji o inode-u
  • mmls imagefile.dd — raspored particija s offsetima
  • tsk_recover imagefile.dd output_dir — oporavak obrisanih datoteka

Što je inode?

  • inode = metadata struktura datotečnog sustava
  • Sadrži: veličinu, vlasnika, grupu, dozvole, vremenske oznake
  • Ne sadrži: ime datoteke ni sadržaj
  • Svaka datoteka ima jedinstveni inode broj
  • Obrisan inode = datoteka je označena kao obrisana, ali sadržaj može ostati
OFFSET parametar: Parametar -o OFFSET specificira početni sektor particije unutar disk slike. Vrijednost se dobiva iz mmls naredbe (Start column). Bez točnog offseta, TSK ne može pravilno interpretirati datotečni sustav.

Oporavak datoteka i file carving

tsk_recover — oporavak obrisanih datoteka

  • tsk_recover imagefile.dd output_dir
  • Oporavlja datoteke čiji su inode-ovi označeni kao obrisani
  • Primjer: 7-ntfs-undel.dd — NTFS slika s obrisanim datotekama
  • Rezultat: datoteke kopirane u output direktorij

File carving s testdisk

  • File carving = oporavak datoteka iz oštećenih/nedostupnih sustava
  • testdisk → odabir slike → FAT16 → Rebuild BS (rekonstrukcija boot sektora)
  • Zatim: List (popis datoteka) → odaberi sve (a) → Copy (C)
  • Kopira u output direktorij
  • Primjer: 11-carve-fat.dd — FAT16 slika za carving

Razlozi za file carving

  • Oštećen boot sektor / MFT
  • Brisanje datoteke
  • Oštećenje particije
  • Namjerno skrivanje podataka

Skrivene particije kao IoC

  • Neiskorišten prostor unutar extended particije može sakriti podatke
  • testdisk otkriva više particija od fdisk-a
  • Montiranje skrivene particije: mount /dev/loop0p7
Na ispitu zapamti: MBR = max 4 primarne particije; 4. može biti Extended s logičkim diskovima. fdisk može propustiti skrivene particije — testdisk ih otkriva. mmls daje offset (Start column) za -o parametar. inode = metadata (veličina, vlasnik, dozvole, timestampovi) — NE sadrži ime ni sadržaj. * u fls = obrisana datoteka. File carving = oporavak iz oštećenih particija.

Kviz — 15 pitanja

0 / 15
Odgovori na pitanja da vidiš rezultat.

1. Koji alat prikazuje više particija od fdisk-a pri analizi disk slike?

testdisk je sposobniji od fdisk-a pri otkrivanju particija — posebno skrivenih. Testdisk može pronaći particije koje fdisk preskače.

2. Koji MBR ograničenje postoji za primarne particije?

MBR (Master Boot Record) podržava maksimalno 4 primarne particije. Četvrta primarna particija može postati Extended partition koja sadrži logičke diskove.

3. Koja naredba prikazuje raspored particija s početnim sektorima (offset)?

mmls prikazuje layout particija s Start (početni sektor), Length i tipom. Start vrijednost se koristi kao -o OFFSET parametar u ostalim TSK alatima.

4. Što je inode u kontekstu datotečnog sustava?

Inode = metadata struktura datotečnog sustava koja sadrži: veličinu, vlasnika, grupu, dozvole i vremenske oznake. NE sadrži ime datoteke ni sam sadržaj datoteke.

5. Koja TSK naredba prikazuje popis datoteka na specificiranoj particiji?

fls -f fat16 imagefile.dd -o OFFSET prikazuje popis datoteka na particiji (File Listing). fsstat = statistike datotečnog sustava. istat = detalji o inode-u.

6. Koja naredba kreira virtualni uređaj iz disk slike radi mountanja?

losetup --partscan --find --show imagefile.dd kreira loop uređaj (npr. /dev/loop0) i automatski skenira particije (--partscan), što omogućava pristup pojedinim particijama kao /dev/loop0p1, /dev/loop0p2 itd.

7. Koja TSK naredba prikazuje statistike datotečnog sustava (tip FS, veličinu klastera itd.)?

fsstat -f fat16 imagefile.dd -o OFFSET prikazuje statistike datotečnog sustava: tip FS, veličinu klastera, broj sektora po klasteru, raspon blokova itd.

8. Koja TSK naredba oporavlja obrisane datoteke iz disk slike?

tsk_recover imagefile.dd output_dir automatski skenira disk sliku i kopira sve oporavljive datoteke (uključujući obrisane) u output direktorij.

9. Što je "file carving" u digitalnoj forenzici?

File carving = oporavak datoteka koje su nedostupne zbog oštećenja, brisanja ili oštećenja particije. Alati poput testdisk skeniraju sektor po sektor tražeći poznate potpise datoteka.

10. Koji korak je prvi u testdisk file carving procesu za FAT16 sliku?

Redoslijed u testdisk: Rebuild BS → List → Select all (a) → Copy (C). Rebuild BS rekonstruira oštećeni boot sektor, što je preduvjet za čitanje sadržaja FAT16 particije.

11. Što je IoC vezan uz disk particije?

Neiskorišten prostor unutar extended particije može biti IoC — napadač može sakriti particiju ili podatke u tom prostoru koji nije vidljiv standardnim alatima poput fdisk-a.

12. Koja naredba prikazuje detalje o specifičnom inode-u u disk slici?

istat -f fat16 imagefile.dd -o OFFSET INODE prikazuje detalje o specificiranom inode-u: veličinu, vlasnika, dozvole, vremenske oznake (pristup, modifikacija, kreacija).

13. Što znači oznaka datoteke s asterisk (*) u izlazu fls naredbe?

U fls izlazu, zvjezdica (*) ispred inode broja označava obrisanu datoteku. Sama datoteka je obrisana, ali inode metadata može biti još uvijek dostupna za forenzičku analizu.

14. Koja naredba analizira datotečni sustav disk slike i prikazuje hijerarhiju datoteka (TSK-based)?

fiwalk imagefile.dd prolazi kroz datotečni sustav slike i ispisuje sve datoteke s metapodacima (filesystem walk). Rezultat je detaljan pregled cijele strukture.

15. U ext-part-test-2.dd, fdisk prikazuje extended particiju od 155232 sektora, a logički diskovi zauzimaju samo 52353 + 50337 sektora. Koji su mogući razlozi za preostale neobračunate sektore? (Označi dva)

155232 - 52353 - 50337 = 52542 neobračunata sektora. Mogući razlozi: (1) Neiskorišten prostor unutar extended particije koji nije dodijeljen niti jednom logičkom disku — normalna pojava pri particioniranju. (2) Skriveni logički disk koji fdisk nije otkrio — upravo što testdisk pronalazi (7 vs 6 particija). Loši sektori su fizički nedostatak, a .dd format je raw format.
0 / 15
Riješi kviz da vidiš rezultat.