hacktricks/forensics/basic-forensic-methodology/partitions-file-systems-carving/ntfs.md

NTFS

NTFS

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

• サイバーセキュリティ企業で働いていますか？ HackTricksで会社を宣伝したいですか？または、PEASSの最新バージョンにアクセスしたり、HackTricksをPDFでダウンロードしたいですか？SUBSCRIPTION PLANSをチェックしてください！
• The PEASS Familyを発見しましょう。独占的なNFTのコレクションです。
• 公式のPEASS＆HackTricksのグッズを手に入れましょう。
• 💬 Discordグループまたはtelegramグループに参加するか、Twitterでフォローしてください🐦@carlospolopm。
• ハッキングのトリックを共有するには、hacktricks repoとhacktricks-cloud repoにPRを提出してください。

NTFS

NTFS（New Technology File System）は、Microsoftによって開発されたプロプライエタリなジャーナリングファイルシステムです。

NTFSでは、クラスタが最小のサイズ単位であり、クラスタのサイズはパーティションのサイズに依存します。

パーティションのサイズ	クラスタあたりのセクタ数	クラスタのサイズ
512MB以下	1	512バイト
513MB-1024MB（1GB）	2	1KB
1025MB-2048MB（2GB）	4	2KB
2049MB-4096MB（4GB）	8	4KB
4097MB-8192MB（8GB）	16	8KB
8193MB-16,384MB（16GB）	32	16KB
16,385MB-32,768MB（32GB）	64	32KB
32,768MBより大きい	128	64KB

スラックスペース

NTFSの最小のサイズ単位はクラスタです。各ファイルは複数の完全なクラスタを占有します。そのため、各ファイルが必要以上のスペースを占有している可能性が非常に高いです。ファイルによって予約されたこれらの未使用のスペースは、スラックスペースと呼ばれ、人々はこの領域を利用して情報を隠すことができます。

NTFSブートセクタ

NTFSボリュームをフォーマットすると、フォーマットプログラムは最初の16セクタをブートメタデータファイルに割り当てます。最初のセクタはブートセクタであり、「ブートストラップ」コードが含まれており、次の15セクタはブートセクタのIPL（Initial Program Loader）です。ファイルシステムの信頼性を高めるために、NTFSパーティションの最後のセクタにはブートセクタの予備コピーが含まれています。

マスターファイルテーブル（MFT）

NTFSファイルシステムには、マスターファイルテーブル（MFT）と呼ばれるファイルが含まれています。NTFSファイルシステムボリューム上のすべてのファイルには、MFT自体を含む少なくとも1つのエントリがあります。ファイルのすべての情報（サイズ、時刻と日付のスタンプ、アクセス許可、データ内容など）は、MFTエントリまたはMFTエントリによって記述されるMFTの外部のスペースに格納されます。

NTFSファイルシステムボリュームにファイルが追加されると、MFTにはさらにエントリが追加され、MFTのサイズが増加します。NTFSファイルシステムボリュームからファイルが削除されると、そのMFTエントリは無料とマークされ、再利用される可能性があります。ただし、これらのエントリに割り当てられたディスクスペースは再割り当てされず、MFTのサイズは減少しません。

NTFSファイルシステムは、MFTをできるだけ連続した状態に保つために、MFTのためにスペースを予約します。各ボリュームのNTFSファイルシステムによってMFTのために予約されたスペースは、MFTゾーンと呼ばれます。ファイルとディレクトリのスペースもこのスペースから割り当てられますが、MFTゾーンの外側のボリュームスペースがすべて割り当てられた後にのみ割り当てられます。

平均ファイルサイズやその他の変数に応じて、ディスクが容量いっぱいになると、予約されたMFTゾーンまたはディスク上の未予約スペースのどちらかが最初に割り当てられます。比較的大きな数のファイルを持つボリュームは、未予約スペースを最初に割り当てますが、比較的小さな数のファイルを持つボリュームは、MFTゾーンを最初に割り当てます。いずれの場合でも、MFTの断片化は、いずれかの領域が完全に割り当てられると始まります。未予約スペースが完全に割り当てられる場合、ユーザーファイルとディレクトリのスペースはMFTゾーンから割り当てられます。MFTゾーンが完全に割り当てられる場合、新しいMFTエントリのスペースは未予約スペースから割り当てられます。

NTFSファイルシステムは、$MFTMirrorも生成します。これはMFTの最初 | ブートセクター | $Boot | 7 | ボリュームをマウントするために使用されるBPBと、ボリュームがブート可能な場合に使用される追加のブートストラップローダーコードを含みます。 | | バッドクラスターファイル | $BadClus | 8 | ボリュームのバッドクラスターを含みます。 | | セキュリティファイル | $Secure | 9 | ボリューム内のすべてのファイルに対する固有のセキュリティディスクリプタを含みます。 | | 大文字変換テーブル | $Upcase | 10 | 小文字の文字を対応するUnicodeの大文字に変換します。 | | NTFS拡張ファイル | $Extend | 11 | クォータ、リパースポイントデータ、オブジェクト識別子などのさまざまなオプションの拡張機能に使用されます。 | | | | 12-15 | 将来の使用のために予約されています。 | | クォータ管理ファイル | $Quota | 24 | ボリュームスペースに対するユーザーによるクォータ制限を含みます。 | | オブジェクトIDファイル | $ObjId | 25 | ファイルオブジェクトIDを含みます。 | | リパースポイントファイル | $Reparse | 26 | このファイルには、リパースポイントデータを含むボリューム上のファイルとフォルダに関する情報が含まれています。 |

MFTの各エントリは次のようになります：

各エントリは「FILE」で始まることに注意してください。各エントリは1024ビットを占有します。したがって、MFTエントリの開始から1024ビット後に次のエントリが見つかります。

Active Disk Editorを使用すると、MFT内のファイルのエントリを簡単に検査できます。ファイルを右クリックし、「Inspect File Record」をクリックします。

**「In use」**フラグをチェックすることで、ファイルが削除されたかどうかを簡単に判断できます（0x0の値は削除されたことを意味します）。

FTKImagerを使用して削除されたファイルを回復することも可能です：

MFT属性

各MFTエントリには、次の画像に示すように、いくつかの属性があります：

各属性は、次のようにタイプによって識別されるエントリ情報を示します：

タイプ識別子	名前	説明
16	$STANDARD_INFORMATION	フラグ、最終アクセス、書き込み、作成時刻、所有者、セキュリティIDなどの一般情報。
32	$ATTRIBUTE_LIST	ファイルの他の属性が見つかるリスト。
48	$FILE_NAME	ファイル名（Unicode）、最終アクセス、書き込み、作成時刻。
64	$VOLUME_VERSION	ボリューム情報。バージョン1.2（Windows NT）のみ存在します。
64	$OBJECT_ID	ファイルまたはディレクトリの16バイトの一意の識別子。バージョン3.0以降（Windows 2000以降）のみ存在します。
80	$SECURITY_ DESCRIPTOR	ファイルのアクセス制御とセキュリティプロパティ。
96	$VOLUME_NAME	ボリューム名。
112	$VOLUME_ INFORMATION	ファイルシステムのバージョンとその他のフラグ。
128	$DATA	ファイルの内容。
144	$INDEX_ROOT	インデックスツリーのルートノード。
160	$INDEX_ALLOCATION	$INDEX_ROOT属性にルートされたインデックスツリーのノード。
176	$BITMAP	$MFTファイルおよびインデックスのためのビットマップ。
192	$SYMBOLIC_LINK	ソフトリンク情報。バージョン1.2（Windows NT）のみ存在します。
192	$REPARSE_POINT	リパースポイントに関するデータが含まれており、バージョン3.0以降（Windows 2000以降）でソフトリンクとして使用されます。
208	$EA_INFORMATION	OS/2アプリケーション（HPFS）との後方互換性のために使用されます。
224	$EA	OS/2アプリケーション（HPFS）との後方互換性のために使用されます。
256	$LOGGED_UTILITY_STREAM	バージョン3.0以降（Windows 2000以降）で暗号化属性に関するキーと情報が含まれています。

たとえば、タイプ48（0x30）はファイル名を識別します：

また、これらの属性がresident（MFTレコード内に存在する）かnonresident（MFTレコード内の他の場所に存在し、レコード内で参照されるだけ）であることを理解することも役立ちます。たとえば、属性$Dataがresidentである場合、これはファイル全体がMFTに保存されていることを意味します。nonresidentの場合、ファイルの内容はファイルシステムの別の場所にあります。

いくつかの興味深い属性：

• $STANDARD_INFORMATION（他にもあります）：
• 作成日時
• 変更日時
• アクセス日時
• MFT更新日時
• DOSファイルの許可
• $FILE_NAME（他にもあります）：
• ファイル名
• 作成日時
• 変更日時
• アクセス日時
• MFT更新日時
• 割り当てられたサイズ
• 実際のサイズ
• 親ディレクトリへのファイル参照。
• $Data（他にもあります）：
• ファイルのデータまたはデータが存在するセクターの指示を含みます。次の例では、属性データがresidentでないため、属性はデータが存在するセクターに関する情報を提供します。

NTFSタイムスタンプ

MFTを分析するための便利なツールとして、MFT2csvがあります（mftファイルまたはイメージを選択し、すべてをダンプして抽出してオブジェクトを抽出します）。
このプログラムは、すべてのMFTデータを抽出し、CSV形式で表示します。また、ファイルのダンプにも使用できます。

$LOGFILE

$LOGFILEファイルには、ファイルに対して実行されたアクションに関するログが含まれています。また、やり直しが必要なアクションと、前の状態に戻るために必要なアクションも保存されます。
これらのログは、MFTがファイルシステムを再構築するために使用されます。このファイルの最大サイズは65536KBです。

$LOGFILEを調査するには、MFT2csvを使用して、事前に$MFTを抽出して調査します。
次に、LogFileParserをこのファイルに対して実行し、エクスポートされた$LOGFILEファイルと$MFTの検査のCSVを選択します。$LOGFILEログによって記録されたファイルシステムのアクティビティのログが含まれたCSVファイルが生成されます。

ファイル名でフィルタリングすると、ファイルに対して実行されたすべてのアクションを確認できます。

$USNJnrl

ファイル$EXTEND/$USNJnrl/$Jは、ファイル$EXTEND$USNJnrlの代替データストリームです。このアーティファクトには、$LOGFILEよりも詳細なNTFSボリューム内で発生した変更のレジストリが含まれています。

このファイルを調査するには、ツールUsnJrnl2csvを使用できます。

ファイル名でフィルタリングすると、ファイルに対して実行されたすべてのアクションを確認できます。また、親フォルダのMFTReferenceを見つけることもできます。そのMFTReferenceを見ることで、親フォルダの情報を取得できます。

$I30

ファイルシステムのすべてのディレクトリには、ディレクトリの内容に変更がある場合に維持する必要がある**$I30属性があります。ディレクトリからファイルまたはフォルダが削除されると、$I30インデックスレコードが適切に再配置されます**。ただし、インデックスレコードの再配置により、削除されたファイル/フォルダのエントリの残骸がスラックスペースに残ることがあります。これは、ドライブ上に存在した可能性のあるファイルを特定するためのフォレンジック分析に役立ちます。

ディレクトリの$I30ファイルをFTK Imagerから取得し、ツールIndx2Csvで調査できます。

このデータを使用すると、フォルダ内で実行されたファイルの変更に関する情報を見つけることができますが、ファイルの削除時刻はこのログに保存されません。ただし、$I30ファイルの最終変更日を見ることができ、ディレクトリで実行された最後のアクションがファイルの削除である場合、時刻は同じである可能性があります。

$Bitmap

**$BitMap**は、NTFSファイルシステム内の特別なファイルです。このファイルは、NTFSボリューム上のすべての使用済みおよび未使用のクラスタを追跡します。ファイルがNTFSボリューム上のスペースを占有すると、使用される場所は$BitMapでマークされます。

ADS（代替データストリーム）

代替データストリームを使用すると、ファイルに複数のデータストリームを含めることができます。すべてのファイルには少なくとも1つのデータストリームがあります。Windowsでは、このデフォルトのデータストリームは:$DATAと呼ばれます。
このページでは、コンソールから代替データストリームを作成/アクセス/発見するさまざまな方法を確認できます。過去には、これがIISの脆弱性を引き起こし、人々がhttp://www.alternate-data-streams.com/default.asp::$DATAのように:$DATAストリームにアクセスすることでページのソースコードにアクセスできるようになりました。

ツールAlternateStreamViewを使用すると、いくつかのADSを持つすべてのファイルを検索してエクスポートできます。

FTKイメージャを使用してADSを持つファイルをダブルクリックすると、ADSデータにアクセスできます。

上記の画像で**Zone.Identifier**というADSが見つかった場合、これには通常、ファイルのダウンロード方法に関する情報が含まれています。以下の情報が含まれます。

• ゾーンID = 0 -> マイコンピュータ
• ゾーンID = 1 -> イントラネット
• ゾーンID = 2 -> 信頼済み
• ゾーンID = 3 -> インターネット
• ゾーンID = 4 -> 信頼されていない

さらに、異なるソフトウェアは追加の情報を保存する場合があります。

ソフトウェア	情報
Google Chrome、Opera、Vivaldi、	ZoneId=3、ReferrerUrl、HostUrl
Microsoft Edge	ZoneId=3、LastWriterPackageFamilyName=Microsoft.MicrosoftEdge_8wekyb3d8bbwe
Firefox、Torブラウザ、Outlook2016、Thunderbird、Windows Mail、Skype	ZoneId=3
μTorrent	ZoneId=3、HostUrl=about:internet

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥