hacktricks/forensics/basic-forensic-methodology/partitions-file-systems-carving/ntfs.md

NTFS

NTFS

Learn AWS hacking from zero to hero with htARTE (HackTricks AWS Red Team Expert)!

Other ways to support HackTricks:

• If you want to see your company advertised in HackTricks or download HackTricks in PDF Check the SUBSCRIPTION PLANS!
• Get the official PEASS & HackTricks swag
• Discover The PEASS Family, our collection of exclusive NFTs
• Join the 💬 Discord group or the telegram group or follow me on Twitter 🐦 @carlospolopm.
• Share your hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

NTFS

NTFS (New Technology File System) एक प्रोप्राइटरी जर्नलिंग फाइल सिस्टम है जिसे Microsoft ने विकसित किया है।

क्लस्टर NTFS में आकार की सबसे छोटी इकाई है और क्लस्टर का आकार एक पार्टीशन के आकार पर निर्भर करता है।

पार्टीशन का आकार	क्लस्टर प्रति सेक्टर	क्लस्टर का आकार
512MB या कम	1	512 बाइट्स
513MB-1024MB (1GB)	2	1KB
1025MB-2048MB (2GB)	4	2KB
2049MB-4096MB (4GB)	8	4KB
4097MB-8192MB (8GB)	16	8KB
8193MB-16,384MB (16GB)	32	16KB
16,385MB-32,768MB (32GB)	64	32KB
32,768MB से अधिक	128	64KB

Slack-Space

चूंकि NTFS की सबसे छोटी इकाई एक क्लस्टर है। प्रत्येक फाइल कई पूर्ण क्लस्टर्स को घेर लेगी। इसलिए, यह बहुत संभावना है कि प्रत्येक फाइल आवश्यकता से अधिक स्थान घेर लेगी। ये अनुपयोगी स्थान जो एक फाइल द्वारा बुक किए गए हैं, उन्हें स्लैकिंग स्पेस कहा जाता है और लोग इस क्षेत्र का फायदा उठाकर जानकारी छिपा सकते हैं।

NTFS boot sector

जब आप एक NTFS वॉल्यूम को फॉर्मेट करते हैं, तो फॉर्मेट प्रोग्राम पहले 16 सेक्टर्स को बूट मेटाडेटा फाइल के लिए आवंटित करता है। पहला सेक्टर एक बूट सेक्टर होता है जिसमें "बूटस्ट्रैप" कोड होता है और बाकी 15 सेक्टर्स बूट सेक्टर के IPL (Initial Program Loader) होते हैं। फाइल सिस्टम की विश्वसनीयता बढ़ाने के लिए NTFS पार्टीशन के बहुत अंतिम सेक्टर में बूट सेक्टर की एक स्पेयर कॉपी होती है।

Master File Table (MFT)

NTFS फाइल सिस्टम में Master File Table (MFT) नामक एक फाइल होती है। NTFS फाइल सिस्टम वॉल्यूम पर हर फाइल के लिए MFT में कम से कम एक प्रविष्टि होती है, MFT खुद को भी शामिल करते हुए। एक फाइल के बारे में सभी जानकारी, जैसे कि इसका आकार, समय और तारीख के स्टैम्प्स, अनुमतियां, और डेटा सामग्री, MFT प्रविष्टियों में या MFT प्रविष्टियों द्वारा वर्णित MFT के बाहरी स्थान में संग्रहीत होती है।

जैसे-जैसे फाइलें NTFS फाइल सिस्टम वॉल्यूम में जोड़ी जाती हैं, MFT में और प्रविष्टियां जोड़ी जाती हैं और MFT का आकार बढ़ता है। जब फाइलें NTFS फाइल सिस्टम वॉल्यूम से हटाई जाती हैं, उनकी MFT प्रविष्टियां मुक्त के रूप में चिह्नित की जाती हैं और पुनः उपयोग की जा सकती हैं। हालांकि, इन प्रविष्टियों के लिए आवंटित डिस्क स्पेस को पुनः आवंटित नहीं किया जाता है, और MFT का आकार कम नहीं होता है।

NTFS फाइल सिस्टम MFT को जितना संभव हो सके संलग्न रखने के लिए MFT के लिए स्थान आरक्षित करता है क्योंकि यह बढ़ता है। NTFS फाइल सिस्टम द्वारा प्रत्येक वॉल्यूम के लिए MFT के लिए आरक्षित स्थान को MFT जोन कहा जाता है। फाइलों और डायरेक्टरीज के लिए स्थान भी इसी स्थान से आवंटित किया जाता है, लेकिन केवल MFT जोन के बाहर के सभी वॉल्यूम स्थान के आवंटित होने के बाद।

औसत फाइल आकार और अन्य चरों के आधार पर, या तो आरक्षित MFT जोन या डिस्क पर अनारक्षित स्थान को पहले आवंटित किया जा सकता है क्योंकि डिस्क क्षमता तक भर जाती है। अपेक्षाकृत बड़ी फाइलों वाले वॉल्यूम अनारक्षित स्थान को पहले आवंटित करेंगे, जबकि अपेक्षाकृत छोटी फाइलों वाले वॉल्यूम MFT जोन को पहले आवंटित करते हैं। किसी भी मामले में, MFT का विखंडन तब शुरू होता है जब एक क्षेत्र या दूसरा पूरी तरह से आवंटित हो जाता है। यदि अनारक्षित स्थान पूरी तरह से आवंटित हो जाता है, तो उपयोगकर्ता फाइलों और डायरेक्टरीज के लिए स्थान MFT जोन से आवंटित किया जाएगा। यदि MFT जोन पूरी तरह से आवंटित हो जाता है, तो नई MFT प्रविष्टियों के लिए स्थान अनारक्षित स्थान से आवंटित किया जाएगा।

NTFS फाइल सिस्टम एक $MFTMirror भी उत्पन्न करता है। यह MFT की पहली 4 प्रविष्टियों की एक प्रतिलिपि है: $MFT, $MFT Mirror, $Log, $Volume।

NTFS तालिका के पहले 16 रिकॉर्ड्स को विशेष जानकारी के लिए आरक्षित करता है:

सिस्टम फाइल	फाइल का नाम	MFT रिकॉर्ड	फाइल का उद्देश्य
मास्टर फाइल टेबल	$Mft	0	NTFS वॉल्यूम पर प्रत्येक फाइल और फोल्डर के लिए एक बेस फाइल रिकॉर्ड होता है। यदि किसी फाइल या फोल्डर के लिए आवंटन जानकारी एकल रिकॉर्ड में फिट होने के लिए बहुत बड़ी है, तो अन्य फाइल रिकॉर्ड्स भी आवंटित किए जाते हैं।
मास्टर फाइल टेबल 2	$MftMirr	1	MFT के पहले चार रिकॉर्ड्स की एक डुप्लिकेट छवि। यह फाइल एकल-सेक्टर विफलता के मामले में MFT तक पहुंच की गारंटी देती है।
लॉग फाइल	$LogFile	2	NTFS पुनर्प्राप्ति के लिए लेन-देन के चरणों की एक सूची होती है। लॉग फाइल का आकार वॉल्यूम के आकार पर निर्भर करता है और 4 MB तक बड़ा हो सकता है। यह Windows NT/2000 द्वारा सिस्टम विफलता के बाद NTFS को संगतता प्रदान करने के लिए उपयोग किया जाता है।
वॉल्यूम	$Volume	3	वॉल्यूम के बारे में जानकारी होती है,