Dosya sistemleri adli incelemesi: FAT, NTFS ve ext4
Bölüm tablolarını okur, FAT, NTFS ve ext4’ün veriyi nasıl sakladığını ve sildiğini öğrenir, silinmiş dosyaları ve boşluk alanındaki kalıntıları bulursun.
Seviye 201 · 17 ders · 15 pratik lab
Dersler
Diskler ve bölümler
- Sektör, küme ve blok: diskin en küçük parçaları
- MBR bölüm tablosunu xxd ve mmls ile okumak
- GPT bölümleri ve yedek başlık
- Ayrılmamış alan: bölümler arasında saklanan veri
- Kısa görev: bir imajdaki gizli bölümü bul
FAT ve NTFS
- FAT: dizin girdileri ve küme zinciri
- FAT’te silinen dosyanın izi: ilk harfi giden ad
- NTFS ana dosya tablosu (MFT) ve kayıt yapısı
- NTFS öznitelikleri: $STANDARD_INFORMATION ve $FILE_NAME
- Alternatif veri akışları: dosyanın içindeki gizli dosya
- $UsnJrnl ve $LogFile ile değişiklik geçmişi
- Kısa görev: NTFS imajında silinen belgenin MFT kaydını bul
ext4 ve kurtarma
- ext4 inode’ları ve debugfs ile incelemek
- ext4 günlüğü: silinmiş dosyanın izini sürmek
- Dosya boşluğu (slack) ve içinde kalan eski veri
- icat ve tsk_recover ile silinmiş dosyayı geri almak
- Bitirme görevi: üç farklı dosya sisteminden silinen kanıtları kurtar
Pratik lablar
- Bölüm tablosunu oku: mmls ile bir imajın bölümlerini, başlangıç sektörlerini ve türlerini listele.
- MBR'yi onaltılık dökümde çöz: xxd ile ilk sektörü oku ve bir bölüm girdisinin tür ve başlangıç değerlerini elle çöz.
- İmajdaki gizli bölümü bul: Bölümler arasındaki ayrılmamış alanda saklanan dosya sistemini bul ve içeriğini listele.
- FAT dizin girdisini oku: Bir FAT imajında dizin girdilerini listele ve bir dosyanın ilk kümesini bul.
- Silinen dosyanın izini bul: İlk harfi silinmiş dizin girdisinden silinen dosyanın adını ve boyutunu çıkar.
- Küme zincirini izleyerek dosyayı geri al: Silinmiş bir FAT dosyasını kümelerini izleyerek geri al ve özetini verilen değerle doğrula.
- MFT kaydını oku: istat ile bir dosyanın MFT kaydındaki öznitelikleri ve zamanları listele.
- Alternatif veri akışını bul: NTFS imajında gizli akış taşıyan dosyayı bul ve akışın içeriğini çıkar.
- Silinen belgenin MFT kaydı ve değişiklik geçmişi: Silinen belgenin MFT kaydını bul ve $UsnJrnl girdilerinden oluşturma, yeniden adlandırma ve silme anlarını sırala.
- debugfs ile inode incele: Bir dosyanın inode numarasını, boyutunu ve zamanlarını debugfs ile çıkar.
- ext4 günlüğünde silinen dosyanın izi: Günlükten silinmiş dosyanın eski inode kopyasını bul ve blok adreslerini yaz.
- Silinmiş dosyayı günlükten geri getir: Günlükten bulduğun blok adresleriyle silinmiş dosyayı yeniden kur ve içeriğini doğrula.
- icat ile dosyayı inode'dan çıkar: fls ile silinmiş girdiyi bul ve icat ile içeriğini çıkar.
- Dosya boşluğunda kalan eski veri: Bir dosyanın boşluk alanında kalan eski metni bul ve hangi kümede olduğunu göster.
- Üç dosya sisteminden kanıt kurtar: FAT, NTFS ve ext4 imajlarından silinmiş birer dosyayı kurtar ve yöntem farklarını tabloya yaz.
Kurs hakkında
Bölüm tablolarını okur, FAT, NTFS ve ext4’ün veriyi nasıl sakladığını ve sildiğini öğrenir, silinmiş dosyaları ve boşluk alanındaki kalıntıları bulursun.
Ne öğreneceksin
- Diskler ve bölümler
- FAT ve NTFS
- ext4 ve kurtarma
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.