Entwurf
Diese Seite ist noch unfertig; Abschnitte fehlen oder sind unvollständig.
FAT(32)¶
Bedeutung¶
Noch kein Inhalt.
Spezifische Kurzinformation¶
- Maximale Volumegröße: 2 TiB
- Maximale Dateigröße: 4 GiB
- Zeitstempel:
- Zeitstempel absolut abgespeichert
- Lokale/Systemzeit, keine Zeitzoneninformation
- Access Zeitstempel nur auf den Tag genau
- Die weiteren Zeitstempel (Creation und Modified) sind auf 2 Sekunden genau
- Zeitstempeltyp: DOStime/DOSdate
Komponenten¶
Das FAT Dateisystem teilt sich in drei Hauptbereiche:
- Reserved Space
- FAT Space
- Root Directory Space (nur FAT12/16)
- Data Space
Im Weiteren werden die Inhalte dieser Bereiche betrachtet.
Reserved Space¶
Volume Boot Record¶
Ort: Sektor 0 des Volumes
File System Information (FSINFO)¶
Noch kein Inhalt.
FAT Space¶
File Allocation Table (FAT)¶
Noch kein Inhalt.
Root Directory Space¶
ORt: Standard: CLusternummer 2, erster CLuster des Data Spaces in FAT32
Data Space¶
Directory Entries¶
Volume Label¶
Noch kein Inhalt.
Vorgehen manuelle Analyse¶
- VBR analysieren (Reserve area, FAT Area und Data area identifizieren)
- Analysieren des Root Directories
- Analysieren Subdirectories
- Wiederherstellen von Metadaten und Dateiinhalten
- Kleine Dateien (kleiner Clsuter)
- Große Dateien (größer Cluster)
Referenzen¶
2005-03: Brian Carrier: File System Forensic Analysis (Addison-Wesley, 2005), ISBN 978-0-321-26817-4
2000-12: https://www.cs.fsu.edu/~cop4610t/assignments/project3/spec/fatspec.pdf
https://www.ntfs.com/fat_systems.htm (Last Accessed: 2025-08-31)
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc776720(v=ws.10) (Last Accessed: 2025-09-07)
Tools¶
Sleuthkit - https://sleuthkit.org/sleuthkit/download.php