Académique Documents
Professionnel Documents
Culture Documents
Pg. 1 de 4
Entry: 7 Sequence: 7
$LogFile Sequence Number: 0
Allocated File
Links: 1
$STANDARD_INFORMATION Attribute Values:
Flags: Hidden, System
Owner ID: 0
Security ID: 0 ()
Created: Thu Jan 26 23:54:55 2012
File Modified:
Thu Jan 26 23:54:55 2012
MFT Modified:
Thu Jan 26 23:54:55 2012
Accessed:
Thu Jan 26 23:54:55 2012
$FILE_NAME Attribute Values:
Flags: Hidden, System
Name: ?
Parent MFT Entry: 5 Sequence: 5
Allocated Size: 8192 Actual Size: 8192
Created: Thu Jan 26 23:54:55 2012
File Modified:
Thu Jan 26 23:54:55 2012
MFT Modified:
Thu Jan 26 23:54:55 2012
Accessed:
Thu Jan 26 23:54:55 2012
Attributes:
Type: $STANDARD_INFORMATION (16-0) Name: N/A Resident size: 48
Type: $FILE_NAME (48-2) Name: N/A Resident size: 76
Type: $SECURITY_DESCRIPTOR (80-3) Name: N/A Resident size: 116
Type: $DATA (128-1) Name: N/A Non-Resident size: 8192 init_size: 8192
0 1
3. Revisemos ahora las entradas al archivo $MFT. El MFT tiene un nico atributo: $BITMAP. En este
caso el atributo tendr un 1 en aquellas entradas ocupadas del MFT ( no confundir con el
FileSystem, ni el archivo de metadata $BITMAP).
Podemos ver el atributo $BITMAP con el siguiente comando:
icat -f ntfs imagen2.ntfs 0-176 | xxd
que (como ejemplo) tiene la siguiente salida:
0000000: ffff 0007 0000 0000
Lo cual significa que las entradas 0-15 y 31 estn ocupadas. Puede explicar este resultado?
4. Ahora analizaremos el contenido del ARCHIVO de metadata $Bitmap (no confundir con el atributo
$Bitmap que vimos anteriormente). El archivo $Bitmap contiene la descripcin de los clusters del
disco utilizados. (1 indica que el cluster est utilizado mientras que el 0 indica que est disponible,
aunque puede contener datos!) La estructura debe leerse de derecha a izquierda, lo cual significa
que si aparece una informacin como FE significa que el cluster inicial est libre (recuerde no
vaco), mientras que los dems se encuentran ocupados.
Para determinar la localizacin de un cluster dividimos la direccin del cluster /8. Por ejemplo el
cluster 5 se encuentra en el byte 0, mientras que el cluster 8 se encuentra en el 1.
Si el $bitmap tiene el siguiente valor en el byte 0: 0xF5(11110101) el cluster 5 se encuentra
ocupado.
Utilice el comando siguiente para ver el archivo $Bitmap.
#icat f ntfs imagen2.ntfs 6-128|xxd
Analice los resultados Es cnsono con el resto de los resultados obtenidos?
5. Obtenga una imagen NTFS, por ejemplo, imagen3.ntfs. Revise los resultados con un editor
hexadecimal. Podra hacer una descripcin completa del FS mostrado especificando si existen
archivos borrados, cuales, etc?
6. Ahora utilice el comando fls y verifique sus resultados. A continuacin se muestra un ejemplo de
las salidas del comando.
Pg. 2 de 4
fls -r imagen2.ntfs
r/r 4-128-4:
r/r 8-128-2:
r/r 8-128-1:
r/r 6-128-1:
r/r 7-128-1:
d/d 11-144-4:
+ r/r 25-144-2:
+ r/r 24-144-3:
+ r/r 24-144-2:
+ r/r 26-144-2:
r/r 2-128-1:
r/r 0-128-1:
r/r 1-128-1:
r/r 9-128-8:
r/r 9-144-6:
r/r 9-144-5:
r/r 10-128-1:
r/r 3-128-3:
d/d 32:
$AttrDef
$BadClus
$BadClus:$Bad
$Bitmap
$Boot
$Extend
$ObjId:$O
$Quota:$O
$Quota:$Q
$Reparse:$R
$LogFile
$MFT
$MFTMirr
$Secure:$SDS
$Secure:$SDH
$Secure:$SII
$UpCase
$Volume
$OrphanFiles
7. El comando fls tambin permite crear lneas de tiempo de las imgenes. A continuacin
mostramos un ejemplo. Realice este ejercicio con la imagen del ejercicio 5 y valide los resultados
obtenidos en el mismo.
root@bt:~# fls -m / imagen2.ntfs -r
0|/$AttrDef|4-128-4|r/rr-xr-xr-x|48|0|2560|1327640095|1327640095|1327640095|1327640095
0|/$BadClus|8-128-2|r/rr-xr-xr-x|0|0|0|1327640095|1327640095|1327640095|1327640095
0|/$BadClus:$Bad|8-128-1|r/rr-xr-xrx|
0|0|984080384|1327640095|1327640095|1327640095|1327640095
0|/$Bitmap|6-128-1|r/rr-xr-xr-x|0|0|30032|1327640095|1327640095|1327640095|1327640095
0|/$Boot|7-128-1|r/rr-xr-xr-x|48|0|8192|1327640095|1327640095|1327640095|1327640095
....
Ejemplo:
0|0|30032|1327640095|1327640095|1327640095|1327640095
UID|GID|size|atime|mtime|ctime|crtime
Pg. 3 de 4
Volumen name
Pg. 1 de 4