thewhiteninja/ntfstoolNTFS向けフォレンジックツール (parser, mft, bitlocker, 削除ファイル)
NTFSTool は、NTFS ボリュームに特化したフォレンジックツールです。 パーティション情報（MBR、パーティションテーブル、VBR）の読み取りに加え、マスターファイルテーブル、BitLocker 暗号化ボリューム、EFS 暗号化ファイル、USN ジャーナルなどの情報も取得できます。
最新のバイナリは AppVeyor から、または GitHub の最新 アーティファクト を確認してダウンロードしてください。
機能の例については、以下の 例 を参照してください！
deepwiki による別のドキュメントはこちらにあります：https://deepwiki.com/thewhiteninja/ntfstool/
NTFSTool は、マスターブートレコード、ボリュームブートレコード、パーティションテーブル、$MFT ファイルレコードの完全な構造を表示します。 また、任意のファイル（$MFT や SAM も含む）のダンプや、USN ジャーナル、LogFile（代替データストリーム ADS のストリームを含む）の解析・分析も可能です。$MFT は、Zone.Identifier 解析付きで CSV または JSON としてダンプでき、ダウンロードされたファイルを迅速に特定できます。 削除取り消しコマンドは、「使用中でない」とマークされたファイルレコードを検索し、ファイル（または既に上書きされている場合はその一部）を復元できます。 イメージファイル、ライブディスク、または VeraCrypt や TrueCrypt のような仮想ディスクからの入力に対応していますが、OSFMount のようなツールを使用してディスクイメージをマウントすることもできます。 スパースファイルや圧縮ファイル（lznt1、xpress）もサポートされています。
BitLocker で暗号化されたパーティションの場合、FVE レコードの表示、パスワードとキー（bek、パスワード、回復キー）の確認、VMK と FVEK の抽出が可能です。 ブルートフォース機能はありません。GPU ベースのクラッキングの方が優れているためです（Bitcracker および Hashcat 参照）。ただし、これらのツール用のハッシュを取得することはできます。
マスターキー、秘密鍵、証明書を一覧表示し、必要な入力（SID、パスワード）を使用して表示・復号化できます。 秘密鍵付きの証明書は、バックアップコマンドを使用してエクスポートできます。
別のマシンにバックアップを再インポートすると、暗号化されたファイルを再び読み取ることができます。
または、efs.decrypt コマンドを使用して、バックアップしたキーを使用してファイルを復号化することもできます。
詳細は Mimikatz Wiki を参照してください。
USN ジャーナルレコードは、カスタムルールを使用して分析できます。これにより、疑わしいプログラムやアクションを検出したり、ジャーナルの概要（削除されたファイルの割合、作成されたファイルなど）を把握したりできます。
デフォルトルール：Rules/default.json``` { "id": "lsass-dump", "description": "Dumped LSASS.exe process.", "severity": "high", "rule": { "filename": "lsass(\.(dmp|dump))?" } }
実行例はこちら: [usn.analyze](#usn-analyze)
### Shell
限定的なシェルがあり、少数のコマンド（exit, cd, ls, cat, pwd, cp, quit, rec）が利用可能です。
`rec` コマンドはMFTレコードの詳細を表示します。
## ヘルプと例
ヘルプコマンドは、各コマンドの説明と例を表示します。
オプションは10進数、または "0x" プレフィックス付きの16進数（例: inode）で入力できます。
ntfstool help [command]
| コマンド | 説明 |
| --- | --- |
| [info](#info) | すべてのディスクとボリュームの情報を表示 |
| [mbr](#mbr) | ディスクのMBR構造、コード、パーティションを表示 |
| [gpt](#gpt) | ディスクのGPT構造、コード、パーティションを表示 |
| [vbr](#vbr) | 指定されたボリュームのVBR構造とコードを表示（ntfs, fat32, fat1x, bitlocker対応） |
| [extract](#extract) | ボリュームからファイルを抽出 |
| [image](#image) | ディスクまたはボリュームのイメージファイルを作成 |
| [mft.dump](#mft-dump) | $MFTファイルを指定された形式（csv, json, raw）でダンプ |
| [mft.record](#mft-record) | 指定されたMFT inodeのFILEレコード詳細を表示。ほぼすべての属性タイプに対応 |
| [mft.btree](#mft-btree) | inodeのVCNコンテンツとBtreeインデックスを表示 |
| [bitlocker.info](#bitlocker-info) | すべてのVMKの情報とハッシュ（$bitlocker$）を表示。パスワードまたは回復キーをテスト |
| [bitlocker.decrypt](#bitlocker-decrypt) | パスワード、回復キー、またはbekを使用してボリュームをファイルに復号 |
| [bitlocker.fve](#bitlocker-fve) | 指定されたFVEブロックの情報を表示 |
| [efs.backup](#efs-backup) | EFSキーをPKCS12（pfx）形式でエクスポート |
| [efs.decrypt](#efs-decrypt) | PKCS12（pfx）形式のキーを使用してEFS暗号化ファイルを復号 |
| [efs.certificate](#efs-certificate) | システム証明書を一覧表示、表示、エクスポート（SystemCertificates/My/Certificates） |
| [efs.key](#efs-key) | 秘密鍵を一覧表示、表示、復号、エクスポート（Crypto/RSA） |
| [efs.masterkey](#efs-masterkey) | マスターキーを一覧表示、表示、復号（Protect） |
| [reparse](#reparse) | \$Extend\$Reparse からの再解析ポイントを解析して表示 |
| [logfile.dump](#logfile-dump) | $LogFileファイルを指定された形式（csv, json, raw）でダンプ |
| [usn.analyze](#usn-analyze) | 指定されたルールで$UsnJrnlファイルを分析。出力: csv または json |
| [usn.dump](#usn-dump) | $UsnJrnlファイルを指定された形式（csv, json, raw）でダンプ |
| [shadow](#shadow) | 選択したディスクとボリュームからボリュームシャドウスナップショットを一覧表示 |
| [streams](#streams) | 代替データストリームを表示 |
| [undelete](#undelete) | ボリューム上の削除されたファイルを検索して抽出 |
| [shell](#shell-1) | 制限付きUnix風シェルを起動 |
| [smart](#smart) | S.M.A.R.T.データを表示 |
## 制限事項
- 一部サポートされていないケースあり。WIP。
- ドキュメントなし: :no_mouth:。
お気軽にIssueを開くか、新機能をリクエストしてください。
## ビルド
- [Visual Studio 2022](https://visualstudio.microsoft.com/fr/vs/) をインストール
- 必要なサードパーティライブラリのためにvcpkgをインストール（こちらを参照: [vcpkg#getting-started](https://github.com/microsoft/vcpkg#getting-started)）
```
git clone https://github.com/microsoft/vcpkg
.\vcpkg\bootstrap-vcpkg.bat
```
- VisualStudio環境に統合:
```
vcpkg integrate install
```
ビルド時に、VisualStudioが `vcpkg.json` ファイルを検出し、必要なパッケージを自動的にインストールします。
サードパーティライブラリ:
- [openssl](https://www.openssl.org/): OpenSSLは、Transport Layer Security (TLS) および Secure Sockets Layer (SSL) プロトコル向けの堅牢で商用グレード、フル機能のツールキットを提供するオープンソースプロジェクトです。
- [nlohmann-json](https://github.com/nlohmann/json): JSON for Modern C++
- [distorm](https://github.com/gdabah/distorm): x86/AMD64向けの強力な逆アセンブラライブラリ
- [cppcoro](https://github.com/lewissbaker/cppcoro): coroutines TS向けのC++コルーチン抽象化ライブラリ
- [re2](https://github.com/google/re2): RE2は、バックトラッキング正規表現エンジンに代わる高速で安全、スレッドフレンドリーなライブラリです。
## 例
### Info
<table>
<tr><td>info</td></tr>
<tr><td>
+-------------------------------------------------------------------------------------+
| Id | Model | Type | Partition | Size |
+-------------------------------------------------------------------------------------+
| 0 | Samsung SSD 850 EVO 500GB | Fixed SSD | GPT | 500107862016 (465.76 GiBs) |
| 1 | ST2000DM001-1ER164 | Fixed HDD | GPT | 2000398934016 (1.82 TiB) |
| 2 | 15EADS External | Fixed HDD | MBR | 1500301910016 (1.36 TiB) |
| 3 | osfdisk | Fixed HDD | MBR | 536870912 (512.00 MiBs) |
+-------------------------------------------------------------------------------------+
</td></tr>
<tr><td>info disk=3</td></tr>
<tr><td>
Model : osfdisk
Version : 1
Serial :
Media Type : Fixed HDD
Size : 536870912 (512.00 MiBs)
Geometry : 512 bytes * 63 sectors * 255 tracks * 65 cylinders
Volume : MBR
+--------------------------------------------------------------------------------------------------+
| Id | Boot | Label | Mounted | Filesystem | Offset | Size |
+--------------------------------------------------------------------------------------------------+
| 1 | No | NTFSDRIVE | F:\ | Bitlocker | 0000000000000200 | 000000001ffffe00 (512.00 MiBs) |
+--------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td>info disk=3 volume=1</td></tr>
<tr><td>
Serial Number : 0000aa60-00002eae
Filesystem : Bitlocker
Bootable : False
Type : Fixed
Label : NTFSDRIVE
Offset : 512 (512.00 bytes)
Size : 536870400 (512.00 MiBs)
Free : 519442432 (495.38 MiBs)
Mounted : True (F:\)
Bitlocker : True (Unlocked)
</td></tr>
</table>
### MBR
<table>
<tr><td>mbr disk=2</td></tr>
<tr><td>
Disk signature : e4589462
Reserved bytes : 0000
Partition table :
+---------------------------------------------------------------------------------------------------+
| Id | Boot | Flags | Filesystem | First sector | Last sector | Offset | Sectors | Size |
+---------------------------------------------------------------------------------------------------+
| 1 | No | Principal | NTFS / exFAT | 0 2 3 | 255 254 255 | 128 | 16771072 | 8.00 GiBs |
+---------------------------------------------------------------------------------------------------+
MBR signature : 55aa
Strings:
[63] : Invalid partition table
[7b] : Error loading operating system
[9a] : Missing operating system
Disassemble Bootstrap Code [y/N] ? y
0000 : 33c0 : xor ax, ax
0002 : 8ed0 : mov ss, ax
0004 : bc007c : mov sp, 0x7c00
0007 : 8ec0 : mov es, ax
0009 : 8ed8 : mov ds, ax
000b : be007c : mov si, 0x7c00
000e : bf0006 : mov di, 0x600
0011 : b90002 : mov cx, 0x200
...
</td></tr>
</table>
### GPT
<table>
<tr><td>gpt disk=1</td></tr>
<tr><td>
Signature : EFI PART
Revision : 1.0
Header Size : 92
Header CRC32 : cc72e4d3
Reserved : 00000000
Current LBA : 1
Backup LBA : 3907029167
First Usable LBA : 34
Last Usable LBA : 3907029134
GUID : {a21d6495-cd58-4b8d-b968-dc337adcf6ac}
Entry LBA : 2
Entries Num : 128
Entries Size : 128
Partitions CRC32 : 0c9a0a25
Partition table : 2 entries
+------------------------------------------------------------------------------------------------------------------------+
| Id | Name | GUID | First sector | Last sector | Flags |
+------------------------------------------------------------------------------------------------------------------------+
| 1 | Microsoft reserved partition | {da0ac4a1-a78c-4053-bab5-36c70a71fe63} | 34 | 262177 | 000000000000 |
| 2 | Basic data partition | {4b4ea4b3-64a1-4c6d-bd4b-1c2b0e4e706f} | 264192 | 3907028991 | 000000000000 |
+------------------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### VBR
<table>
<tr><td>vbr disk=3 volume=1</td></tr>
<tr><td>
Structure :
Jump : eb5890 (jmp 0x7c5a)
OEM id : -FVE-FS-
BytePerSector : 512
SectorPerCluster : 8
Reserved Sectors : 0
Number of FATs : 0
Root Max Entries : 0
Total Sectors : 0
Media Type : f8
SectorPerFat : 8160
SectorPerTrack : 63
Head Count : 255
FS Offset : 1
Total Sectors : 0
FAT Flags : 0000
FAT Version : 0000
Root Cluster : 0
FS Info Sector : 1
Backup BootSector: 6
Reserved : 00000000
Reserved : 00000000
Reserved : 00000000
Drive Number : 80
Reserved : 00
Ext. Boot Sign : 29
Serial Number : 00000000
Volume Name : NO NAME
FileSystem Type : FAT32
Volume GUID : {4967d63b-2e29-4ad8-8399-f6a339e3d001}
FVE Block 1 : 0000000002100000
FVE Block 2 : 00000000059e4000
FVE Block 3 : 00000000092c8000
End marker : 55aa
Strings:
[00] : Remove disks or other media.
[1f] : Disk error
[2c] : Press any key to restart
Disassemble Bootstrap Code [y/N] ? y
7c5a : eb58 : jmp 0x7cb4
7c5c : 90 : nop
7c5d : 2d4656 : sub ax, 0x5646
7c60 : 45 : inc bp
7c61 : 2d4653 : sub ax, 0x5346
7c64 : 2d0002 : sub ax, 0x200
...
</td></tr>
</table>
### Extract
<table>
<tr><td>extract disk=0 volume=4 inode=0 output=d:\mymft</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[-] Record Num : 0 (00000000h)
[-] Destination : d:\mymft
[+] File extracted (5123541 bytes written)
</td></tr>
<tr><td>extract disk=3 volume=1 from=\bob.txt output=d:\bob.txt</td></tr>
<tr><td>
[+] Opening \\?\Volume{00023d5d-0000-0000-0002-000000000000}\
[-] Record Num : 47 (0000002fh)
[-] Destination : d:\bob.txt
[+] File extracted (42 bytes written)
</td></tr>
<tr><td>extract disk=0 volume=4 --system output=d:\system</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[-] Record Num : 623636 (00098414h)
[-] Destination : d:\system
[+] File extracted (19398656 bytes written)
</td></tr>
</table>
### Image
<table>
<tr><td>image disk=2 volume=2 output=d:\imagevol.raw</td></tr>
<tr><td>
[+] Opening \\?\Volume{f095dd1d-f302-4d17-bf68-7cc8c1de3965}\
[-] Size : 33520128 (31.97 MiBs)
[-] BlockSize: 4096
[+] Copying : [################################] 100% 0s
[+] Done
</td></tr>
<tr><td>image disk=2 output=d:\image.raw</td></tr>
<tr><td>
[+] Opening \\.\PhysicalDrive2
[-] Size : 67108864 (64.00 MiBs)
[-] BlockSize: 4096
[+] Copying : [################################] 100% 0s
[+] Done
</td></tr>
</table>
### MFT-dump
<table>
<tr><td>mft.dump disk=2 volume=2 output=d:\mft.raw</td></tr>
<tr><td>
[+] $MFT size : 1.00 MiB
[-] Record size : 1024
[-] Record count: 1024
[+] Creating d:\mft.raw
[+] Processing data: 1.00 MiB
[+] Closing volume
</td></tr>
<tr><td>mft.dump disk=2 volume=2 output=d:\mft.csv format=csv</td></tr>
<tr><td>
[+] $MFT size : 1.00 MiB
[-] Record size : 1024
[-] Record count: 1024
[+] Creating d:\mft.csv
[+] Processing data: 1.00 MiB
[+] Closing volume
</td></tr>
<tr><td>mft.csv のサンプル（最終行の末尾に Zone.Identifier データがあるか確認）</td></tr>
<tr><td><pre>RecordIndex,InUse,Type,Filename,Ext,Size,Parents,Time_MFT,Time_Create,Time_Alter,Time_Read,Att_Archive,Att_Compressed,Att_Device,Att_Encrypted,Att_Hidden,Att_Normal,Att_NotIndexed,Att_Offline,Att_Readonly,Att_Reparse,Att_Sparse,Att_System,Att_Temp,USN,Hardlinks,ADS,ZoneId,ReferrerUrl,HostUrl
0,"True","File","$MFT","",1048576,"5","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","False","False","False","False","True","False","False","False","False","False","False","True","False",0,1,"","","",""
1,"True","File","$MFTMirr","",4096,"5","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","False","False","False","False","True","False","False","False","False","False","False","True","False",0,1,"","","",""
2,"True","File","$LogFile","",67108864,"5","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","False","False","False","False","True","False","False","False","False","False","False","True","False",0,1,"","","",""
3,"True","File","$Volume","",0,"5","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","False","False","False","False","True","False","False","False","False","False","False","True","False",0,1,"","","",""
...
397,"True","File","vswhere.exe",".exe",457824,"103911","2020-10-19 18:42:19","2019-06-11 10:07:50","2019-06-11 10:07:52","2021-12-27 14:54:49","True","False","False","False","False","False","False","False","False","False","False","False","False",35944347632,1,"Zone.Identifier","3","https://github.com/microsoft/vswhere/releases","https://github-production-release-asset-2e65be.s3.amazonaws.com/78482723/06868000-5585-11e9-9001-982f1fcb7ef1?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=AKIAIWNJYAX4CSVEH53A%2F20190611%2Fus-east-1%2Fs3%2Faws4_request&X-Amz-Date=20190611T100747Z&X-Amz-Expires=300&X-Amz-Signature=bc494e9edaafb03874097ae46466c5562d34252f14f21140c70e6a1a1fc5e5c4&X-Amz-SignedHeaders=host&actor_id=40250307&response-content-disposition=attachment%3B%20filename%3Dvswhere.exe&response-content-type=application%2Foctet-stream"</pre>
</td></tr>
</table>
### MFT-record
<table>
<tr><td>mft.record disk=2 volume=1 inode=5 (ルートフォルダ)</td></tr>
<tr><td>
Signature : FILE
Update Offset : 48
Update Number : 3
$LogFile LSN : 274035114
Sequence Number : 5
Hardlink Count : 1
Attribute Offset : 56
Flags : In_use | Directory
Real Size : 704
Allocated Size : 1024
Base File Record : 0
Next Attribute ID : 56
MFT Record Index : 5
Update Seq Number : 4461
Update Seq Array : 00000000
Attributes:
-----------+------------------------------------------------------------------------------------------------------------------+
| ID | タイプ | 非駐在 | 長さ | 概要 |
+------------------------------------------------------------------------------------------------------------------+
| 1 | $STANDARD_INFORMATION | False | 72 | ファイル作成日時 : 2009-12-02 02:03:31 |
| | | | | 最終ファイル書き込み時間 : 2020-02-24 19:42:23 |
| | | | | ファイルレコード変更日時 : 2020-02-24 19:42:23 |
| | | | | 最終アクセス時間 : 2020-02-24 19:42:23 |
| | | | | アクセス許可 : |
| | | | | read_only : 0 |
| | | | | hidden : 1 |
| | | | | system : 1 |
| | | | | device : 0 |
| | | | | normal : 0 |
| | | | | temporary : 0 |
| | | | | sparse : 0 |
| | | | | reparse_point : 0 |
| | | | | compressed : 0 |
| | | | | offline : 0 |
| | | | | not_indexed : 1 |
| | | | | encrypted : 0 |
| | | | | 最大バージョン数 : 0 |
| | | | | バージョン番号 : 0 |
+------------------------------------------------------------------------------------------------------------------+
| 2 | $FILE_NAME | False | 68 | 親ディレクトリレコードインデックス : 5 |
| | | | | 親ディレクトリシーケンス番号 : 5 |
| | | | | ファイル作成日時 : 2009-12-02 02:03:31 |
| | | | | 最終ファイル書き込み時間 : 2011-12-24 03:13:12 |
| | | | | ファイルレコード変更日時 : 2011-12-24 03:13:12 |
| | | | | 最終アクセス時間 : 1970-01-01 00:59:59 |
| | | | | 割り当てサイズ : 0 |
| | | | | 実サイズ : 0 |
| | | | | ------ |
| | | | | 名前 : . |
+------------------------------------------------------------------------------------------------------------------+
| 3 | $OBJECT_ID | False | 16 | オブジェクト一意ID : {cce8fec5-9a29-11df-be68-0017f29 |
| | | | | 8268d} |
+------------------------------------------------------------------------------------------------------------------+
| 4 | $INDEX_ROOT | False | 152 | 属性タイプ : 00000030h |
| | | | | 照合規則 : 1 |
| | | | | インデックス割り当てエントリサイズ : 4096 |
| | | | | クラスタ/インデックスレコード : 1 |
| | | | | ----- |
| | | | | 最初のエントリオフセット : 16 |
| | | | | インデックスエントリサイズ : 136 |
| | | | | インデックスエントリ割り当て : 136 |
| | | | | フラグ : Large Index |
+------------------------------------------------------------------------------------------------------------------+
| 5 | $INDEX_ALLOCATION | True | 12288 | インデックス |
| | | | | 0000000000000004 : $AttrDef |
| | | | | 0000000000000008 : $BadClus |
| | | | | 0000000000000006 : $Bitmap |
| | | | | 0000000000000007 : $Boot |
| | | | | 000000000000000b : $Extend |
| | | | | 0000000000000002 : $LogFile |
| | | | | 0000000000000000 : $MFT |
| | | | | 0000000000000001 : $MFTMirr |
| | | | | 000000000000002d : $RECYCLE.BIN |
| | | | | 0000000000000009 : $Secure |
| | | | | 000000000000000a : $UpCase |
| | | | | 0000000000000003 : $Volume |
| | | | | 0000000000000005 : . |
| | | | | 000000000000240c : Dir1 |
| | | | | 0000000000000218 : Dir2 |
| | | | | 000000000000212a : Dir3 |
| | | | | 0000000000000024 : Dir4 |
| | | | | 0000000000000def : RECYCLER |
| | | | | 000000000000001b : System Volume Information |
| | | | | 000000000000001b : SYSTEM~1 |
+------------------------------------------------------------------------------------------------------------------+
| 6 | $BITMAP | False | 8 | インデックスノード使用済み : 2 |
+------------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### MFT-btree
<table>
<tr><td>mft.btree disk=0 volume=1 inode=5 (root folder)</td></tr>
<tr><td>
Attributes:
-----------
+-------------------------------------------------------------------------------------------+
| ID | タイプ | 非駐在 | 長さ | 概要 |
+-------------------------------------------------------------------------------------------+
| 1 | $INDEX_ROOT | False | 56 | 属性タイプ : Filename |
| | | | | 照合規則 : 1 |
| | | | | インデックス割り当てエントリサイズ : 4096 |
| | | | | クラスタ/インデックスレコード : 1 |
| | | | | ----- |
| | | | | 最初のエントリオフセット : 16 |
| | | | | インデックスエントリサイズ : 40 |
| | | | | インデックスエントリ割り当て : 40 |
| | | | | フラグ : Large Index |
+-------------------------------------------------------------------------------------------+
| 2 | $INDEX_ALLOCATION | True | 20480 | 最初のVCN : 0x000000000000 |
| | | | | 最後のVCN : 0x000000000004 |
+-------------------------------------------------------------------------------------------+
$INDEX_ALLOCATION entries:
--------------------------
+--------------------------------------------------------------------------------------------+
| VCN | Raw address | Size | Entries |
+--------------------------------------------------------------------------------------------+
| 000000000000h | 000000024000h | 000000001000h | 000000000004: $AttrDef |
| | | | 000000000008: $BadClus |
| | | | 000000000006: $Bitmap |
...
| | | | 000000000009: $Secure |
| | | | 00000000000a: $UpCase |
| | | | 000000000003: $Volume |
+--------------------------------------------------------------------------------------------+
| 000000000001h | 000000025000h | 000000001000h | 000000000098: randomfile - Copie (5).accdb |
| | | | 000000000097: randomfile - Copie (5).bat |
| | | | 000000000095: randomfile - Copie (5).psd |
| | | | 000000000096: randomfile - Copie (5).txt |
| | | | 00000000009b: randomfile - Copie (6).accdb |
...
| | | | 000000000083: randomfile.accdb |
| | | | 000000000082: randomfile.bat |
| | | | 000000000084: randomfile.psd |
| | | | 000000000081: randomfile.txt |
| | | | 000000000024: System Volume Information |
+--------------------------------------------------------------------------------------------+
| 000000000002h | 0000007d6000h | 000000001000h | |
+--------------------------------------------------------------------------------------------+
| 000000000003h | 0000007d7000h | 000000001000h | 000000000005: . |
| | | | 000000000092: randomfile - Copie (4).txt |
+--------------------------------------------------------------------------------------------+
| 000000000004h | 0000007d8000h | 000000001000h | 000000000027: random folder |
| | | | 00000000008c: randomfile - Copie (2).accdb |
| | | | 00000000008b: randomfile - Copie (2).bat |
| | | | 000000000089: randomfile - Copie (2).psd |
...
| | | | 00000000008e: randomfile - Copie (3).txt |
| | | | 000000000094: randomfile - Copie (4).accdb |
| | | | 000000000093: randomfile - Copie (4).bat |
| | | | 000000000091: randomfile - Copie (4).psd |
+--------------------------------------------------------------------------------------------+
B-tree index:
-------------
ルート
|- 000000000000:
|---- VCN: 3
|- 000000000005: .
|---- VCN: 0
|- 000000000004: $AttrDef
|- 000000000008: $BadClus
|- 000000000006: $Bitmap
....
|- 000000000009: $Secure
|- 00000000000a: $UpCase
|- 000000000003: $Volume
|- 000000000092: randomfile - Copie (4).txt
|---- VCN: 4
|- 000000000027: random folder
|- 00000000008c: randomfile - Copie (2).accdb
|- 00000000008b: randomfile - Copie (2).bat
|- 000000000089: randomfile - Copie (2).psd
....
|- 000000000094: randomfile - Copie (4).accdb
|- 000000000093: randomfile - Copie (4).bat
|- 000000000091: randomfile - Copie (4).psd
|- 000000000000 (*)
|---- VCN: 1
|- 000000000098: randomfile - Copie (5).accdb
|- 000000000097: randomfile - Copie (5).bat
|- 000000000095: randomfile - Copie (5).psd
....
|- 000000000084: randomfile.psd
|- 000000000081: randomfile.txt
|- 000000000024: System Volume Information
</td></tr>
</table>
### Bitlocker-Info
<table>
<tr><td>bitlocker.info disk=3 volume=1</td></tr>
<tr><td>
FVE バージョン : 2
状態 : ENCRYPTED
サイズ : 536870400 (512.00 MiBs)
暗号化サイズ : 536870400 (512.00 MiBs)
アルゴリズム : AES-XTS-128
タイムスタンプ : 2020-02-26 16:39:17
ボリュームマスターキー:
-------------------
+--------------------------------------------------------------------------------------------------------------------+
| ID | タイプ | GUID | 詳細 |
+--------------------------------------------------------------------------------------------------------------------+
| 1 | パスワード | {2dd368f3-37d7-414f-94e6-3c5b86fadd50} | Nonce : 01d5ecbb00f7155000000003 |
| | | | MAC : daea96439babc5d1e7f20c8860ff1ee9 |
| | | | Encrypted Key : b76281568419ec3bee89d1eddccf3169 |
| | | | 59c466b6b392f40f0875e58168d868d7 |
| | | | 0788bd366bec117b11a9fd6e |
| | | | |
| | | | JtR Hash : $bitlocker$1$16$daea96439babc5d1 |
| | | | e7f20c8860ff1ee9$1048576$12$5015 |
| | | | f700bbecd50103000000$60$175ec23c |
| | | | d799e2bde9d24bf3697919feb7628156 |
| | | | 8419ec3bee89d1eddccf316959c466b6 |
| | | | b392f40f0875e58168d868d70788bd36 |
| | | | 6bec117b11a9fd6e |
+--------------------------------------------------------------------------------------------------------------------+
| 2 | 回復パスワード | {19b4a3e2-94b3-452f-a614-6212faeb1b9d} | Nonce : 01d5ecbb00f7155000000006 |
| | | | MAC : b9963d29e1bad1f42e60c3bfb6e3bef5 |
| | | | Encrypted Key : 97a43d40c695c6d190eba3956ac7c7b1 |
| | | | f5fdbbc7f9a61a77c914fa347479c7ac |
| | | | 6124ff46865e805367f7bef1 |
| | | | |
| | | | JtR Hash : $bitlocker$1$16$b9963d29e1bad1f4 |
| | | | 2e60c3bfb6e3bef5$1048576$12$5015 |
| | | | f700bbecd50106000000$60$3a06a06f |
| | | | db044d850ecd6faf5cf2aec997a43d40 |
| | | | c695c6d190eba3956ac7c7b1f5fdbbc7 |
| | | | f9a61a77c914fa347479c7ac6124ff46 |
| | | | 865e805367f7bef1 |
+--------------------------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td>bitlocker.info disk=3 volume=1 password=badpassword</td></tr>
<tr><td>
FVE バージョン : 2
状態 : ENCRYPTED
サイズ : 536870400 (512.00 MiBs)
暗号化サイズ : 536870400 (512.00 MiBs)
アルゴリズム : AES-XTS-128
タイムスタンプ : 2020-02-26 16:39:17
テスト済みパスワード:
----------------+--------------------------------------------------------------------------------+
| Id | Type | GUID | Password | Result |
+--------------------------------------------------------------------------------+
| 1 | Password | {2dd368f3-37d7-414f-94e6-3c5b86fadd50} | badpassword | Invalid |
+--------------------------------------------------------------------------------+
</td></tr>
<tr><td>bitlocker.info disk=3 volume=1 password=123456789</td></tr>
<tr><td>
FVE Version : 2
State : ENCRYPTED
Size : 536870400 (512.00 MiBs)
Encrypted Size : 536870400 (512.00 MiBs)
Algorithm : AES-XTS-128
Timestamp : 2020-02-26 16:39:17
Tested Password:
----------------
+--------------------------------------------------------------------------------------------------------------+
| Id | Type | GUID | Password | Result |
+--------------------------------------------------------------------------------------------------------------+
| 1 | Password | {2dd368f3-37d7-414f-94e6-3c5b86fadd50} | 123456789 | Valid |
| | | | | |
| | | | | VMK : 751bf363db63ba6f1b36fb2ecd5ff1d8 |
| | | | | f5eab77e8754a848f2743978c7615f9f |
| | | | | FVEK : 35b8197e6d74d8521f49698d5f556589 |
| | | | | 2cf286ae5323c65631965c905a9d7da4 |
+--------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### Bitlocker-Decrypt
<table>
<tr><td>bitlocker.decrypt disk=3 volume=1 output=decrypted.img fvek=35b8197e6d74d8521f49698d5f5565892cf286ae5323c65631965c905a9d7da4</td></tr>
<tr><td>
[+] Opening \\?\Volume{09a02598-0000-0000-0002-000000000000}\
[+] Reading Bitlocker VBR
[-] Volume State : ENCRYPTED
[-] Size : 536870400 (512.00 MiBs)
[-] Encrypted Size : 536870400 (512.00 MiBs)
[-] Algorithm : AES-XTS-128
[+] Decrypting sectors
[-] Processed data size : 512.00 MiBs (100%)
[+] Duration : 7535ms
[+] Closing Volume
</td></tr>
</table>
### Bitlocker-FVE
<table>
<tr><td>bitlocker.fve disk=3 volume=1 fve_block=2</td></tr>
<tr><td>
Signature : -FVE-FS-
Size : 57
Version : 2
Current State : ENCRYPTED (4)
Next State : ENCRYPTED (4)
Encrypted Size : 536870400 (512.00 MiBs)
Convert Size : 0
Backup Sectors : 16
FVE Block 1 : 0000000002100000
FVE Block 2 : 00000000059e4000
FVE Block 3 : 00000000092c8000
Backup Sectors Offset : 0000000002110000
FVE Metadata Header
-------------------
Size : 840
Version : 1
Header Size : 48
Copy Size : 840
Volume GUID : {70a57ea3-9b98-4034-8b6a-645f731e2d1e}
Next Counter : 10
Algorithm : AES-XTS-128 (8004)
Timestamp : 2020-02-26 16:39:17
FVE Metadata Entries (5)
------------------------
+----------------------------------------------------------------------------------------------------------------+
| Id | Version | Size | Entry Type | Value Type | Value |
+----------------------------------------------------------------------------------------------------------------+
| 1 | 1 | 72 | Drive Label | Unicode | String : TWN NTFSDRIVE 26/02/2020 |
+----------------------------------------------------------------------------------------------------------------+
| 2 | 1 | 224 | VMK | VMK | Key ID : {2dd368f3-37d7-414f-94e6-3c5b86f |
| | | | | | add50} |
| | | | | | Last Change : 2020-02-26 16:40:00 |
| | | | | | Protection : Password |
| | | | | | |
| | | | | | Property #1 - Stretch Key - 108 |
| | | | | | -------- |
| | | | | | Encryption : STRETCH KEY |
| | | | | | MAC : daea96439babc5d1e7f20c8860ff1ee9 |
| | | | | | |
| | | | | | Property #1.1 - AES-CCM - 80 |
| | | | | | -------- |
| | | | | | Nonce as Hex : 01d5ecbb00f71550 |
| | | | | | Nonce as Time : 2020-02-26 16:39:59 |
| | | | | | Nonce Counter : 00000002 |
| | | | | | MAC : 1dfebdc79a966e72ca806d6a83d8c7ba |
| | | | | | Key : eb51a188df981b54f51698c76d76a8bb |
| | | | | | d22afbbe27603ea6afc34c077726262e |
| | | | | | 5ba07482053d3c36fdecf80f |
| | | | | | |
| | | | | | Property #2 - AES-CCM - 80 |
| | | | | | -------- |
| | | | | | Nonce as Hex : 01d5ecbb00f71550 |
| | | | | | Nonce as Time : 2020-02-26 16:39:59 |
| | | | | | Nonce Counter : 00000003 |
| | | | | | MAC : 175ec23cd799e2bde9d24bf3697919fe |
| | | | | | Key : b76281568419ec3bee89d1eddccf3169 |
| | | | | | 59c466b6b392f40f0875e58168d868d7 |
| | | | | | 0788bd366bec117b11a9fd6e |
+----------------------------------------------------------------------------------------------------------------+
| 3 | 1 | 316 | VMK | VMK | Key ID : {19b4a3e2-94b3-452f-a614-6212fae |
| | | | | | b1b9d} |
| | | | | | Last Change : 2020-02-26 16:40:07 |
| | | | | | Protection : Recovery Password |
| | | | | | |
| | | | | | Property #1 - Stretch Key - 172 |
| | | | | | -------- |
| | | | | | Encryption : STRETCH KEY |
| | | | | | MAC : b9963d29e1bad1f42e60c3bfb6e3bef5 |
| | | | | | |
| | | | | | Property #1.1 - AES-CCM - 64 |
| | | | | | -------- |
| | | | | | Nonce as Hex : 01d5ecbb00f71550 |
| | | | | | Nonce as Time : 2020-02-26 16:39:59 |
| | | | | | Nonce Counter : 00000004 |
| | | | | | MAC : 8064d679c7d8d1fa8ae548b0844882c7 |
| | | | | | Key : 18d21021d40e3dc99d38c8dd84faed10 |
| | | | | | 370c32095f4f63261ad8ec40 |
| | | | | | |
| | | | | | Property #1.2 - AES-CCM - 80 |
| | | | | | -------- |
| | | | | | Nonce as Hex : 01d5ecbb00f71550 |
| | | | | | Nonce as Time : 2020-02-26 16:39:59 |
| | | | | | Nonce Counter : 00000005 |
| | | | | | MAC : 3d40f2b5fc0091b894b438763fcdf4cd |
| | | | | | Key : a0af0aeda32d977d26ac76f9fc429668 |
| | | | | | 955d2a6a49fe4e2323751924e47e6c39 |
| | | | | | 8c22f7fcd2d4272003cb7a4e |
| | | | | | |
| | | | | | Property #2 - AES-CCM - 80 |
| | | | | | -------- |
| | | | | | Nonce as Hex : 01d5ecbb00f71550 |
| | | | | | Nonce as Time : 2020-02-26 16:39:59 |
| | | | | | Nonce Counter : 00000006 |
| | | | | | MAC : 3a06a06fdb044d850ecd6faf5cf2aec9 |
| | | | | | Key : 97a43d40c695c6d190eba3956ac7c7b1 |
| | | | | | f5fdbbc7f9a61a77c914fa347479c7ac |
| | | | | | 6124ff46865e805367f7bef1 |
| | | | | | |
| | | | | | Property #3 - Recovery Backup - 28 |
| | | | | | -------- |
| | | | | | Location : File |
| | | | | | Start : 2022-04-03 12:52:50 |
| | | | | | End : 2022-04-03 12:52:50 |
+----------------------------------------------------------------------------------------------------------------+
| 4 | 1 | 80 | FKEV | AES-CCM | Nonce as Hex : 01d5ecbb00f71550 |
| | | | | | Nonce as Time : 2020-02-26 16:39:59 |
| | | | | | Nonce Counter : 00000008 |
| | | | | | MAC : 2ff7d7f79920e3509fb8d20cb15b62c8 |
| | | | | | Key : 097169b9a5c41420ed2353a4a4210763 |
| | | | | | a8833d1a4a88c6f7c0c45ec7c0959f25 |
| | | | | | 2c8eac3f306e9fd1e693784a |
+----------------------------------------------------------------------------------------------------------------+
| 5 | 1 | 100 | Volume Header Block | Offset and Size | Offset : 0000000002110000 |
| | | | | | Size : 0000000000002000 |
+----------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### EFS-backup
<table>
<tr><td>efs.backup disk=0 volume=4 password=123456</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Listing user directories
8 directories found
[+] Searching for certificates
- 8BB98DE9ED4DBDD09AA1FF467ED71F0F28ACF61B
[+] Finding corresponding private keys
- 5f2870d8a6f1ef6487be2e1aee746fb5_bbc401c6-854a-4d12-9b65-8d52ca66cb6a
[+] Finding corresponding masterkeys
- 9ac19509-54d3-48bc-8c67-4cfb01d73498
[+] Exporting 1 certificates and keys (pass: backup)
- ef456e5b-43e4-4eda-a80b-e234611306d4 : Ok
Exported to 8BB98DE9ED4DBDD09AA1FF467ED71F0F28ACF61B.pfx
</td></tr>
</table>
### EFS-decrypt
<table>
<tr><td>efs.decrypt disk=0 volume=4 from=c:\cat.png pfx=z:\my_backup.pfx password=backup output=c:\socute.png</td></tr>
<tr><td>
[+] Loading PKCS12 input file
[-] KeyID : 86598de9ed5dbdd00aa2ff467ed71f1f28acf61b
[-] Reading record: 13525
[+] Parsing $EFS streams
[-] 1 data decryption field(s) found
[+] Decrypting FEK
[-] FEK
+----------------------------------------------------------------------------------+
| Property | Value |
+----------------------------------------------------------------------------------+
| Entropy | 32 |
| Algorithm | CALG_AES_256 |
| Key (256bits) | 5BBBB8A7F9DD9B9FFFDE9E62370254979F32A9CFFDDB74212A0C1AEECCD75B4A |
+----------------------------------------------------------------------------------+
[+] Decrypting file
[-] Decrypted file written to c:\socute.png (1.94 MiB)
</td></tr>
</table>
### EFS-certificate
<table>
<tr><td>efs.certificate disk=0 volume=4</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Listing user directories
8 directories found
[+] Searching for certificates
8 certificate(s) found
[+] Certificates
+-----------------------------------------------------------------------------------------------------------------------------------+
| Id | User | File | Certificate |
+-----------------------------------------------------------------------------------------------------------------------------------+
| 0 | Bobby | Name : 02728B6DF5573C5955A4DFF22319441C889C367B | Friendly Name : APNS certificate Direct |
| | | Record : 00000001d2d5h | |
| | | Size : 850.00 bytes | |
| | | | |
| | | Creation : 2019-05-11 15:59:29 | |
+-----------------------------------------------------------------------------------------------------------------------------------+
| 1 | Bobby | Name : 14BB7663C51C77FF5CAD89B4DC34495864338C67 | Friendly Name : APNS certificate |
| | | Record : 00000000b5a4h | |
| | | Size : 824.00 bytes | |
| | | | |
| | | Creation : 2021-03-03 18:02:33 | |
+-----------------------------------------------------------------------------------------------------------------------------------+
| 2 | Bobby | Name : 564481148D4DBDD09AA1FF467ED71F0F28ACF61B | Container : ef456e5b-36e4-4eda-a80b-e234611306d4 |
| | | Record : 00000000ab23h | Provider : Microsoft Enhanced Cryptographic Provider v1.0 |
| | | Size : 1.15 KiB | Type : PROV_RSA_FULL |
| | | | KeySpec : AT_KEYEXCHANGE |
| | | Creation : 2020-08-17 13:20:03 | |
+-----------------------------------------------------------------------------------------------------------------------------------+
..........
</td></tr>
<tr><td>efs.certificate disk=0 volume=4 inode=0xb5a4</td></tr>
<tr><td>[+] 開いています \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] 証明書ファイルレコードの読み取り: 46500
[+] 証明書
+--------------------------------------------------------------------------------------------------------------------------+
| ID | プロパティ | 値 |
+--------------------------------------------------------------------------------------------------------------------------+
| 0 | ファイル | 作成日時 : 2021-03-03 18:02:33 |
| | | サイズ : 824.00 バイト |
+--------------------------------------------------------------------------------------------------------------------------+
| 1 | SHA1_HASH_PROP_ID | 14A67663C51C66FF5CAD89B4DC34495864338C67 |
+--------------------------------------------------------------------------------------------------------------------------+
| 2 | FRIENDLY_NAME_PROP_ID | APNS証明書 |
+--------------------------------------------------------------------------------------------------------------------------+
| 3 | KEY_IDENTIFIER_PROP_ID | 82B87AE4F2251242252A2644D98169F34F909CA8 |
+--------------------------------------------------------------------------------------------------------------------------+
| 4 | SUBJECT_PUBLIC_KEY_MD5_HASH_PROP_ID | DB532C4794A15E5D0392C7C605FCBCA8 |
+--------------------------------------------------------------------------------------------------------------------------+
| 5 | CERTIFICATE_FILE | データ: |
| | | バージョン: 3 (0x2) |
| | | シリアル番号: |
| | | 01:20:cb:ab:28:8a:97:ee:99:cc |
| | | 署名アルゴリズム: sha1WithRSAEncryption |
| | | 発行者: C=US, O=Apple Inc., OU=Apple iPhone, CN=Apple iPhone Device CA |
| | | 有効期間 |
| | | 開始日時: Mar 3 15:57:33 2021 GMT |
| | | 終了日時 : Mar 3 16:02:33 2022 GMT |
| | | サブジェクト: CN=1A6032AA-91A2-4B1D-B6AF-5509FC173686 |
| | | サブジェクト公開鍵情報: |
| | | 公開鍵アルゴリズム: rsaEncryption |
| | | RSA公開鍵: (1024ビット) |
| | | モジュラス: |
| | | 00:a2:75:db:69:8d:c9:b3:fd:96:4d:28:b9:43:94: |
| | | db:7d:73:53:88:c9:79:e9:fa:de:e4:12:14:2c:de: |
...
| | | a7:6b:d0:01:9e:dc:66:27:ef:2e:20:7e:e5:2a:42: |
| | | 9e:6f:85:9c:b6:8f:be:d3:05 |
| | | 指数: 65537 (0x10001) |
| | | X509v3拡張: |
| | | X509v3機関鍵識別子: |
| | | keyid:B2:FE:21:23:44:86:95:6A:79:D5:81:26:8E:73:10:D8:A7:4C:8E:74 |
| | | X509v3サブジェクト鍵識別子: |
| | | 82:B8:7A:E4:F2:25:12:42:25:2A:26:44:D9:81:69:F3:4F:90:9C:A8 |
| | | X509v3基本制約: クリティカル |
| | | CA:FALSE |
| | | X509v3鍵使用法: クリティカル |
| | | デジタル署名, 鍵暗号化 |
| | | X509v3拡張鍵使用法: クリティカル |
| | | TLS Webサーバー認証, TLS Webクライアント認証 |
| | | 1.2.840.113635.100.6.10.6: |
| | | .. |
| | | 署名アルゴリズム: sha1WithRSAEncryption |
| | | 28:54:6c:d9:4e:97:f5:dd:1f:79:4a:6a:74:42:ad:6e:a1:11: |
...
| | | 27:58:3b:d5:1e:c3:71:af:6b:bd:fe:5d:ad:4d:bd:82:fa:53: |
| | | ff:0c |
+--------------------------------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td>efs.certificate disk=0 volume=4 inode=0xb5a4 output=mycert</td></tr>
<tr><td>
[+] 開いています \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] 証明書ファイルレコードの読み取り: 46500
[+] 証明書が mycert.pem にエクスポートされました
</td></tr>
</table>
### EFSキー
<table>
<tr><td>efs.key disk=0 volume=4</td></tr>
<tr><td>
[+] 開いています \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}
[+] ユーザーディレクトリの一覧表示:
8個のディレクトリが見つかりました
[+] キーを検索中
9713個のキーが見つかりました
[+] キー
+------------------------------------------------------------------------------------------------------------------+
| ID | ユーザー | キーファイル | 名前 | 作成日時 |
+------------------------------------------------------------------------------------------------------------------+
| 0 | User1 | 名前 : 0004f7ed30db...017ee8d52ca6 | {15676EB3-D258-410F-85CB-9AB29E642CB3} | 2021-05-19 14:10:15 |
| | | レコード : 0000000246c5h | | |
| | | サイズ : 4.00 KiBs | | |
+------------------------------------------------------------------------------------------------------------------+
| 1 | User1 | 名前 : 0016875547ba...f7a9606b4177 | {BA4B66DC-8C1D-4FDF-A1EF-78B64411D1AD} | 2020-02-03 19:37:39 |
| | | レコード : 000000019f19h | | |
| | | サイズ : 4.00 KiBs | | |
+------------------------------------------------------------------------------------------------------------------+
| 2 | User1 | 名前 : 002a02ec680e...9a0a8d52ca67 | {3A3E1CF2-5AC2-4717-8006-D7C0F2936435} | 2019-06-26 15:50:50 |
..........
</td></tr>
<tr><td>efs.key disk=0 volume=4 inode=742107</td></tr>
<tr><td>
[+] 開いています \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] キーファイルレコードの読み取り: 742107
[+] キー
+------------------------------------------------------------------------------------------------------------------+
| ID | プロパティ | 値 |
+------------------------------------------------------------------------------------------------------------------+
| 0 | ファイル | 作成日時 : 2021-09-23 22:16:43 |
| | | サイズ : 4.00 KiBs |
+------------------------------------------------------------------------------------------------------------------+
| 1 | バージョン | 0 |
+------------------------------------------------------------------------------------------------------------------+
| 2 | 名前 | ef456e5b-43e4-4eda-a80b-e234611306d4 |
+------------------------------------------------------------------------------------------------------------------+
| 3 | フラグ | 00000000h |
+------------------------------------------------------------------------------------------------------------------+
| 4 | 公開鍵 | マジック : 31415352h (RSA1) |
| | | サイズ : 2048 |
| | | 指数 : 65537 |
| | | |
| | | 権限 : CRYPT_ENCRYPT |
| | | CRYPT_DECRYPT |
| | | CRYPT_EXPORT |
| | | CRYPT_READ |
...
| | | |
| | | モジュラス : 96883F07FF78DA8354D037A94F897BD7 |
...
| | | FA77A3D04DD10D044761E65355B335B5 |
+------------------------------------------------------------------------------------------------------------------+
| 5 | 暗号化秘密鍵 | バージョン : 1 |
| | | プロバイダーGUID : {df9d8cd0-1501-11d1-8c7a-00c04fc297eb} |
| | | マスターキーバージョン : 1 |
| | | マスターキーGUID : {9ac19509-54d3-48bc-8c67-4cfb01d73498} |
| | | |
| | | 説明 : CryptoAPI秘密鍵 |
| | | フラグ : 00000000h |
| | | |
| | | 暗号化アルゴリズム : CALG_AES_256 |
| | | ハッシュアルゴリズム : CALG_SHA_512 |
| | | |
| | | ソルト : ABABD5324CCE0254BC726C3BF5A777D38BC4D75CACC2360EF3276EB4DC42FF6A |
| | | |
| | | HMAC : - |
| | | HMAC2 : D24F0B0AF684AE986F1328EAAFC01DA346D2BADE2B84CBE3C94CCB338D449EA6 |
| | | |
| | | 暗号化データ : D7DAD9229C91DBC9608852A4411527D7 |
| | | 58DB27E19596DD118F2D70F68CC7913C |
...
| | | 7870F6C68DA1B9139BF6E39725F4E72E |
| | | 4EC435C947F127CA3E333CB5E2F43978 |
| | | |
| | | 署名データ : 6077C027E6714A81C2710C5D334758F9AD463117DA4CBA8D0D05B5845A662E8F |
| | | 5E38DCCAB05DA5DD6C8328F5CF925F378F229790D30A2BCC91D5E3370AE50FED |
+------------------------------------------------------------------------------------------------------------------+
| 6 | ハッシュ | 0000000000000000000000000000000000000000 |
+------------------------------------------------------------------------------------------------------------------+
| 7 | エクスポートフラグ | バージョン : 1 |
| | | プロバイダーGUID : {df9d8cd0-1501-11d1-8c7a-00c04fc297eb} |
| | | マスターキーバージョン : 1 |
| | | マスターキーGUID : {9ac19509-54d3-48bc-8c67-4cfb01d73498} |
| | | |
| | | 説明 : エクスポートフラグ |
| | | フラグ : 00000000h |
| | | |
| | | 暗号化アルゴリズム : CALG_AES_256 |
| | | ハッシュアルゴリズム : CALG_SHA_512 |
| | | |
| | | ソルト : 772935C3582F625367716CE87D9626A524F15B9B7FF07166BB2C704B1223CB06 |
| | | |
| | | HMAC : - |
| | | HMAC2 : 3BCA74ED2C83767F06D9FF907817FE85FBA65FDB72A94E9D8F2C7CF1D8E7DCA2 |
| | | |
| | | 暗号化データ : 875A6429226F11DFD3690D43BE633287 |
| | | |
| | | 署名データ : FD97F69A214C37D0DA968B5AA18EE7C80D475F72F650C8DCAE887C97E850DCD6 |
| | | 9FA17D397A2375E362DE6F17193E3D084C06B0DCDB38E6C746150C1056145178 |
+------------------------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td> efs.key disk=0 volume=4 inode=742107 masterkey=34fac126105ce30...178c5bff4979eb</td></tr>
<tr><td>[+] \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\ を開いています
[+] キーファイルレコード 742107 を読み込んでいます
[-] キー
暗号化アルゴリズム : CALG_AES_256
ハッシュアルゴリズム : CALG_SHA_512
ソルト : ABABD5324CCE0254BC726C33F5A777D38BC4D75CACC2360EF3276EB4DC42FF6A
[+] キーを復号化しています
[+] キーの復号化に成功しました
[+] エクスポートフラグ : 00000001 (ALLOW_EXPORT_FLAG)
[+] 平文キー (2048ビット) :
+----------------------------------------------------------+
| ID | プロパティ | 値 |
+----------------------------------------------------------+
| 0 | Magic | RSA2 |
+----------------------------------------------------------+
| 1 | Bitsize | 2048 |
+----------------------------------------------------------+
| 2 | Exponent | 65537 |
+----------------------------------------------------------+
| 3 | Modulus | 96883F07FF78DA8354D037A94F897BD7 |
...
| | | FA77A3D04DD10D044761E65355B335B5 |
+----------------------------------------------------------+
| 4 | Prime1 | C02F585644ED6326FF82368B0AD9ECD4 |
...
| | | 65F7DE6D173FEBEF95BE491FB222E07B |
+----------------------------------------------------------+
| 5 | Prime2 | C884376BBC50C2A14C495894FBF980DE |
...
| | | 6759E812B6385B9151EBED8DCD65238F |
+----------------------------------------------------------+
| 6 | Exponent1 | 0E33B17876918051427271EB667AE238 |
...
| | | 69349EF83ACE9B75D20004D155CDA3FF |
+----------------------------------------------------------+
| 7 | Exponent2 | 5BF265077E1EFA60C47E8DA423B751A4 |
...
| | | E7008F2EA5684A74E4BFEEFAAB48C979 |
+----------------------------------------------------------+
| 8 | Coefficient | 7D68AA3844F096959C23BD59E4BE3147 |
...
| | | 592ABC1BEDEBA6F5B4BDE3D0F9BEF7C5 |
+----------------------------------------------------------+
| 9 | Private Exponent | 2462A061AD85A7C3B0DF7764CC5DDDFA |
| | | 40D83B3FBF0D9D016C419E6B6744AD73 |
...
| | | 47685BDEB0FABDC21AF5CABBA13D138D |
| | | F39FC063F1F20323E3220229E29FA42D |
+----------------------------------------------------------+
</td></tr>
<tr><td> efs.key disk=0 volume=4 inode=742107 masterkey=34...eb output=mykey</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] キーファイルレコード 742107 を読み込んでいます
[-] キー
暗号化アルゴリズム : CALG_AES_256
ハッシュアルゴリズム : CALG_SHA_512
ソルト : ABABD5324CCE0254BC726C33F5A777D38BC4D75CACC2360EF3276EB4DC42FF6A
[+] キーを復号化しています
[+] キーの復号化に成功しました
[+] 公開鍵を mykey.pub.pem にエクスポートしました。
[+] 秘密鍵を mykey.priv.pem にエクスポートしました。
</td></tr>
</table>
### EFSマスターキー
<table>
<tr><td>efs.masterkey disk=0 volume=4</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] ユーザーディレクトリを列挙しています
8 個のディレクトリが見つかりました
[+] キーを検索しています
19 個のキー、2 個の優先ファイルが見つかりました
[+] マスターキー
+--------------------------------------------------------------------------------------------------------------------------------------------------+
| ID | ユーザー | キーファイル | キー | 作成日 |
+--------------------------------------------------------------------------------------------------------------------------------------------------+
| 0 | DefaultAppPool | 名前 : e4ed144f-6522-4471-8893-a6e29e175ba6 | MasterKey | 2021-08-17 14:54:41 |
| | | レコード : 000000031848h | バージョン : 2 | |
| | | サイズ : 468.00 バイト | アルゴリズム : CALG_SHA_512 - CALG_AES_256 | |
| | | | ソルト : FA737C82899CC3F61A3B332B15FDC241 | |
| | | | ラウンド : 8000 | |
| | | | BackupKey | |
| | | | バージョン : 2 | |
| | | | アルゴリズム : CALG_SHA_512 - CALG_AES_256 | |
| | | | ソルト : DF0651C903763132BC3043BF144A7DDD | |
| | | | ラウンド : 8000 | |
| | | | CredHist | |
| | | | バージョン : 3 | |
| | | | GUID : {00000000-0000-0000-0000-000000000000} | |
+--------------------------------------------------------------------------------------------------------------------------------------------------+
| 1 | DefaultAppPool | 名前 : Preferred | Preferred | 2021-08-17 14:54:41 |
| | | レコード : 00000003184ah | GUID : {e4ed144f-6522-4471-8893-a6e29e175ba6} | |
| | | サイズ : 24.00 バイト | Renew : 2021-11-15 12:54:41 | |
+--------------------------------------------------------------------------------------------------------------------------------------------------+
| 2 | Bob | 名前 : 26bd8b3d-e87f-4df3-a1af-18f434788090 | MasterKey | 2021-03-05 01:16:42 |
| | | レコード : 000000004f4ah | バージョン : 2 | |
| | | サイズ : 468.00 バイト | アルゴリズム : CALG_SHA_512 - CALG_AES_256 | |
| | | | ソルト : 39B575D1816DE8224B9E11C38E35EB34 | |
| | | | ラウンド : 8000 | |
| | | | BackupKey | |
..........
</td></tr>
<tr><td>efs.masterkey disk=0 volume=4 inode=0x80544</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] マスターキーファイルレコード 525636 を読み込んでいます
[+] マスターキー
+--------------------------------------------------------------------+
| ID | プロパティ | 値 |
+--------------------------------------------------------------------+
| 0 | ファイル | 作成日 : 2020-07-06 05:56:06 |
| | | サイズ : 468.00 バイト |
+--------------------------------------------------------------------+
| 1 | バージョン | 2 |
+--------------------------------------------------------------------+
| 2 | GUID | 9ac19509-54d3-48bc-8c67-4cfb01d73498 |
+--------------------------------------------------------------------+
| 3 | ポリシー | 00000005h |
+--------------------------------------------------------------------+
| 4 | MasterKey | バージョン : 2 |
| | | ソルト : 3ED4CDBCC4073D6724A512061D0597E1 |
| | | ラウンド : 8000 |
| | | ハッシュアルゴリズム : CALG_SHA_512 |
| | | 暗号化アルゴリズム : CALG_AES_256 |
| | | 暗号化キー : 3610946FE1A7B9099D0AFA7658325014 |
| | | 296D1F0E5BA93249858BE3ACCC8FD7A8 |
| | | F62DB6808833FC303095C6588BDE3826 |
| | | 80ABF391222CD77661BCCB637DDAC490 |
| | | B5FC02C854EF45490EE10851EF524DE2 |
| | | 85DD508F905216D528D3DC3336830FF9 |
| | | 690472730A03D64CF892E06B9AA35692 |
| | | AB7679E908D487119030B73CB87E6F9F |
| | | 731F65609CB8ACA972BCC9042B27B9B4 |
+--------------------------------------------------------------------+
| 5 | BackupKey | バージョン : 2 |
| | | ソルト : B60E21F9578D02A97964D7B10151BE69 |
| | | ラウンド : 8000 |
| | | ハッシュアルゴリズム : CALG_SHA_512 |
| | | 暗号化アルゴリズム : CALG_AES_256 |
| | | 暗号化キー : CD5D3684873D6A1D66520FB1642779E1 |
| | | D78A649F02DDFE7C069F9B5F8FF9F005 |
| | | 7DC01E0A6AA9A815C8887BC1BF5B88E6 |
| | | E797DC5F4A3A0535B3217BADC7FAD38E |
| | | 798C1846423C8631DE472D790B308B2D |
| | | F15340B87FCD55A98DAEE92196235CF9 |
| | | B328FAF475C05A911DF19C99D54D5A3C |
+--------------------------------------------------------------------+
| 6 | CredHist | バージョン : 3 |
| | | GUID : {20e0b482-797f-429e-b4a0-30020731ef0a} |
+--------------------------------------------------------------------+
</td></tr>
<tr><td> efs.masterkey disk=0 volume=4 inode=0x80544 sid="S-1-5-21-1521398...3175218-1001" password="ntfst00l"</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] マスターキーファイルレコード 525636 を読み込んでいます
[-] マスターキー
暗号化アルゴリズム : CALG_AES_256
ハッシュアルゴリズム : CALG_SHA_512
ラウンド : 8000
ソルト : 3ED4CDBCC4073D6724A512061D0597E1
[+] マスターキーを復号化しています
[+] 平文マスターキー (256ビット) :
34FAC126105CE302421A0FC7E3933FEC5639AA6BFF95000E6DA83AE67522EAB6
0AF58A27D834883B65611878B258AAAECD8983E3718E00F276178C5BFF4979EB
</td></tr>
</table>
### 再解析
<table>
<tr><td>reparse disk=0 volume=4</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] $Extend\$Reparse を読み込んでいます
[+] 104 エントリが見つかりました
+----------------------------------------------------------------------------------------------------------------+
| ID | MFTインデックス | ファイル名 | 種類 | ターゲット/データ |
+----------------------------------------------------------------------------------------------------------------+
| 0 | 00000eb3 | debian.exe | アプリ実行リンク | TheDebianProject.DebianGNULinux_ |
| | | | | 76v4gfsz19hv4 |
| | | | | |
| | | | | TheDebianProject.DebianGNULinux_ |
| | | | | 76v4gfsz19hv4!debian |
| | | | | |
| | | | | C:\Program Files\WindowsApps\The |
| | | | | DebianProject.DebianGNULinux_1.2 |
| | | | | .0.0_x64__76v4gfsz19hv4\debian.e |
| | | | | xe |
+----------------------------------------------------------------------------------------------------------------+
...
+----------------------------------------------------------------------------------------------------------------+
| 13 | 000007f9 | BaseLayer | マウントポイント | \??\Volume{629458e4-0000-0000-00 |
| | | | | 00-010000000000}\ |
+----------------------------------------------------------------------------------------------------------------+
| 14 | 00013e24 | Watchdog | マウントポイント | \??\C:\Program Files\NVIDIA Corp |
| | | | | oration\NvContainer\Watchdog |
+----------------------------------------------------------------------------------------------------------------+
...
+----------------------------------------------------------------------------------------------------------------+
| 102 | 00035861 | C2R64.dll | シンボリックリンク | \??\C:\Program Files\Common File |
| | | | | s\Microsoft Shared\ClickToRun\C2 |
| | | | | R64.dll |
+----------------------------------------------------------------------------------------------------------------+
| 103 | 000986b0 | All Users | シンボリックリンク | \??\C:\ProgramData |
+----------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### ログファイルダンプ
<table>
<tr><td>logfile.dump disk=4 volume=1 output=logfile.csv format=csv</td></tr>
<tr><td>
[+] Opening \\?\Volume{00000001-0000-0000-0000-000000000000}\
[+] $LogFile レコードを読み込んでいます
[-] $LogFile サイズ : 4.14 MiBs
[+] $LogFile 再起動ページを解析しています
[-] 最新の再起動ページ LSN : 5274485
[-] ボリュームは正常にアンマウントされたマークあり
[-] クライアントが見つかりました : [1] NTFS
[+] $LogFile レコードページを解析しています
[-] $LogFile レコードページ数 : 86
[+] $LogFile レコードを解析しています : 601
[+] ボリュームを閉じています
</td></tr>
<tr><td>logfile.csv のサンプル</td></tr>
<tr><td><pre>LSN,ClientPreviousLSN,UndoNextLSN,ClientID,RecordType,TransactionID,RedoOperation,UndoOperation,MFTClusterIndex,TargetVCN,TargetLCN
5269000,5268967,5268967,0,1,24,SetNewAttributeSizes,SetNewAttributeSizes,2,10,43700
5269019,5269000,5269000,0,1,24,UpdateNonresidentValue,Noop,0,0,37594
5269044,5269019,5269019,0,1,24,SetNewAttributeSizes,SetNewAttributeSizes,2,10,43700
5269063,5269044,5269044,0,1,24,SetNewAttributeSizes,SetNewAttributeSizes,2,10,43700
5269082,5269063,5269063,0,1,24,UpdateNonresidentValue,Noop,0,0,37594
5269103,5269082,5269082,0,1,24,SetNewAttributeSizes,SetNewAttributeSizes,2,10,43700
5269122,5269103,0,0,1,24,ForgetTransaction,CompensationLogRecord,0,0,18446744073709551615
5269133,0,0,0,1,24,UpdateResidentValue,UpdateResidentValue,2,13,43703</pre>
</td></tr>
</table>
### USN分析
<table>
<tr><td>ダンプから : usn.analyze from=usn_dump rules=d:\rules.json output=d:\usn_analyze_results.csv format=csv</td></tr>
<tr></tr>
<tr><td>稼働中のシステムから : usn.analyze disk=4 volume=1 rules=d:\rules.json output=d:\usn_analyze_results.csv format=csv</td></tr>
<tr><td>
[+] ルールをロード中: d:\rules.json
[-] 4 個のルールがロードされました
[+] d:\usn_analyze_results.csv を作成しています
[-] モード: 高速
[+] Opening \\?\Volume{498eed94-0000-0000-007e-000000000000}\
[+] $Extend\$UsnJrnl を検索しています
[-] ファイルレコード 116 で見つかりました
[-] $J ストリームサイズ: 31.70 KiBs (スパースの可能性あり)
[+] USN レコードを処理しています: 192 (31.70 KiBs) - 9 件一致
[+] ボリュームを閉じています
[+] サマリー:
+------------------------------------------------------+
| インデックス | カテゴリ | 値 | % |
+------------------------------------------------------+
| 0 | ファイル作成 | 125 | 65.10 |
| 1 | ファイル削除 | 0 | 0.00 |
| 2 | ファイル名変更 | 8 | 4.17 |
| 3 | 最新 | 2022-03-28 23:23:12 | |
| 4 | 最古 | 2022-03-28 13:20:08 | |
| 5 | レコード数 | 192 | 100.00 |
+------------------------------------------------------+
[+] ルール結果:
+------------------------------------------+
| インデックス | ルールID | カウント | % |
+------------------------------------------+
| 0 | executable-create | 9 | 4.69 |
| 1 | ccleaner | 2 | 1.04 |
| 2 | lsass-dump | 1 | 0.52 |
+------------------------------------------+
</td></tr>
</table>
### USNダンプ
<table>
<tr><td>usn.dump disk=4 volume=1 output=usn.csv format=csv</td></tr>
<tr><td>[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] $Extend\$UsnJrnl レコードを検索中
[+] ファイルレコード 88008 で発見
[+] $J ストリームサイズ: 60.24 GiBs (スパースの可能性あり)
[+] d:\mft_c.csv を作成中
[+] $MFT レコードを読み込み中
[+] $MFT レコードを処理中: 1.37 GiB
[+] 1436928 レコード読み込み完了
[+] エントリを処理中: 322667 (34.12 MiBs)
[+] ボリュームを閉じています
</td></tr>
<tr><td>usn.csv のサンプル</td></tr>
<tr><td><pre>MajorVersion,MinorVersion,FileReferenceNumber,FileReferenceSequenceNumber,ParentFileReferenceNumber,ParentFileReferenceSequenceNumber,Usn,Timestamp,Reason,SourceInfo,SecurityId,FileAttributes,Filename
2,0,53,4,5,5,0,2020-02-26 21:43:36,FILE_CREATE,0,0,DIRECTORY,volume:\Nouveau dossier
2,0,53,4,5,5,96,2020-02-26 21:43:36,FILE_CREATE+CLOSE,0,0,DIRECTORY,volume:\Nouveau dossier
2,0,53,4,5,5,192,2020-02-26 21:43:38,RENAME_OLD_NAME,0,0,DIRECTORY,volume:\Nouveau dossier
2,0,53,4,5,5,288,2020-02-26 21:43:38,RENAME_NEW_NAME,0,0,DIRECTORY,volume:\test
2,0,53,4,5,5,360,2020-02-26 21:43:38,RENAME_NEW_NAME+CLOSE,0,0,DIRECTORY,volume:\test
2,0,53,4,5,5,432,2020-02-26 21:43:39,OBJECT_ID_CHANGE,0,0,DIRECTORY,volume:\test
2,0,53,4,5,5,504,2020-02-26 21:43:39,OBJECT_ID_CHANGE+CLOSE,0,0,DIRECTORY,volume:\test
2,0,54,2,53,4,576,2020-02-26 21:43:41,FILE_CREATE,0,0,ARCHIVE,volume:\test\Nouveau document texte.txt</pre>
</td></tr>
</table>
### シャドウコピー
<table>
<tr><td>shadow disk=0 volume=4</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] VSS ヘッダーを 0x1e00 で発見
+---------------------------------------------------------------------------------------------------------------+
| SetID/ID | 数 | 日付 | 詳細 |
+---------------------------------------------------------------------------------------------------------------+
| {857c9ac4-ee4f-4bc6-b822-59e935a7120f} | 1 | 2020-09-21 00:15:38 | サービスマシン : WORK-PC10 |
| | | | 発信元マシン : WORK-PC10 |
| {3d102db1-8de2-4e7d-8ba5-e0dd4f67740d} | | | 状態 : 作成済み |
| | | | フラグ : 0x0042000d |
| | | | - 永続 |
| | | | - クライアントからアクセス可能 |
| | | | - 自動解放なし |
| | | | - 差分 |
| | | | - 自動回復 |
+---------------------------------------------------------------------------------------------------------------+
| {83bc8af4-8802-4466-ae38-717f6474616a} | 1 | 2020-09-22 06:10:00 | サービスマシン : WORK-PC10 |
| | | | 発信元マシン : WORK-PC10 |
| {e668c329-66a2-4ebd-beef-3c6bca81cbf7} | | | 状態 : 作成済み |
| | | | フラグ : 0x0042000d |
| | | | - 永続 |
| | | | - クライアントからアクセス可能 |
| | | | - 自動解放なし |
| | | | - 差分 |
| | | | - 自動回復 |
+---------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### ストリーム
<table>
<tr><td>streams disk=0 volume=4 from=c:\test.pdf</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[-] ソース : c:\test.pdf
[-] レコード番号 : 13525 (000034d5h)
[+] 代替データストリーム:
+-----------------------------+
| ID | 名前 | サイズ |
+-----------------------------+
| 0 | Zone.Identifier | 27 |
+-----------------------------+
</td></tr>
</table>
### 復元
<table>
<tr><td>undelete disk=4 volume=1</td></tr>
<tr><td>
[+] Opening \\?\Volume{00000001-0000-0000-0000-000000000000}\
[+] $MFT レコードを読み込み中
[+] $MFT サイズ : 256.00 KiBs (~256 レコード)
[+] $BITMAP レコードを読み込み中
[+] $BITMAP サイズ : 16.00 KiBs
[+] 削除ファイルを検索中
[+] 処理済みデータサイズ : 262144 (100%)
[+] 所要時間 : 7ms
検出された削除ファイル
-------------------
+---------------------------------------------------------------------------------------------------------------+
| ID | MFT インデックス | フラグ | ファイル名 | サイズ | 削除日時 | 復元可能率 |
+---------------------------------------------------------------------------------------------------------------+
| 0 | 00000029 | | .\$RECYCLE.BIN\[...]\$RAV85W4.jpg | 5.10 KiBs | 2020-02-26 21:29:03 | 100.00 |
+---------------------------------------------------------------------------------------------------------------+
| 1 | 00000035 | | .\$RECYCLE.BIN\[...]\$IAV85W4.jpg | 58.00 bytes | 2020-02-26 21:29:03 | 100.00 |
+---------------------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td>undelete disk=2 volume=1 format=csv output=mydeletedfiles.csv</td></tr>
<tr><td>
[+] Opening \\?\Volume{498eed94-0000-0000-007e-000000000000}\
[-] $MFT サイズ :34.00 MiBs (~34816 レコード)
[-] $BITMAP サイズ :14.32 MiBs
[+] 削除ファイルを検索中
[-] 処理済みデータ: 35651584 (100%)
[-] 所要時間 : 425ms
[+] 削除ファイル : 127
[+] 結果を mydeletedfiles.csv (csv) ファイルに書き込み中
[+] 完了
</td></tr>
<tr><td>undelete disk=4 volume=1 inode=41 output=restored_kitten.jpg</td></tr>
<tr><td>
[+] Opening \\?\Volume{00000001-0000-0000-0000-000000000000}\
[+] ファイルレコード 41 を読み込み中
[+] $RAV85W4.jpg を restored_kitten.jpg に抽出中
[+] 5219 バイト書き込み完了
</td></tr>
</table>
### シェル
<table>
<tr><td>shell disk=4 volume=1</td></tr>
<tr><td>
disk4:volume1:> ls
インデックス | 種類 | 名前 | サイズ | 作成日時 | 属性
---------------------------------------------------------------------------------------
4 | | $AttrDef | 2560 | 2020-02-26 16:35:29 | Hi Sy
8 | | $BadClus | 0 | 2020-02-26 16:35:29 | Hi Sy
| ADS | $Bad | 536866816 | |
6 | | $Bitmap | 16384 | 2020-02-26 16:35:29 | Hi Sy
7 | | $Boot | 8192 | 2020-02-26 16:35:29 | Hi Sy
11 | DIR | $Extend | | 2020-02-26 16:35:29 | Hi Sy
2 | | $LogFile | 4341760 | 2020-02-26 16:35:29 | Hi Sy
0 | | $MFT | 262144 | 2020-02-26 16:35:29 | Hi Sy
1 | | $MFTMirr | 4096 | 2020-02-26 16:35:29 | Hi Sy
50 | DIR | $RECYCLE.BIN | | 2020-02-26 16:40:34 | Hi Sy
9 | | $Secure | 0 | 2020-02-26 16:35:29 | Hi Sy
| ADS | $SDS | 264200 | |
10 | | $UpCase | 131072 | 2020-02-26 16:35:29 | Hi Sy
| ADS | $Info | 32 | |
3 | | $Volume | 0 | 2020-02-26 16:35:29 | Hi Sy
5 | DIR | . | | 2020-02-26 16:35:29 | Hi Sy
85010 | | 7z1900-x64.exe | 1447178 | 2020-07-29 17:19:49 | Ar
| ADS | Zone.Identifier | 123 | |
42 | | hello.txt | 5 | 2020-02-26 21:27:33 | Ar
39 | | kitten1.jpg | 23486 | 2020-02-26 16:37:23 | Ar
| ADS | Zone.Identifier | 154 | |
40 | | kitten2.jpg | 79678 | 2020-02-26 16:37:55 | Ar
| ADS | Zone.Identifier | 303 | |
41 | | kitten3.jpg | 5219 | 2020-02-26 16:38:16 | Ar
| ADS | Zone.Identifier | 262 | |
36 | DIR | System Volume Information | | 2020-02-26 16:35:29 | Hi Sy
disk4:volume1:> pwd
\
disk4:volume1:> cat hello.txt
Hey !
disk4:volume1:> cat 7z1900-x64.exe:Zone.Identifier
[ZoneTransfer]
ZoneId=3
ReferrerUrl=https://www.7-zip.org/download.html
HostUrl=https://www.7-zip.org/a/7z1900-x64.exe
disk4:volume1:> cp kitten3.jpg z:\custestkitten.jpg
1 ファイルコピー完了
disk4:volume1:> exit
</td></tr>
</table>
### SMART
<table>
<tr><td>smart disk=1</td></tr>
<tr><td>
バージョン : 1 revision 1
タイプ : SATA/IDE マスター（プライマリチャンネル）
機能 : ATA, ATAPI, S.M.A.R.T
ステータス : 合格
-- デバイス ID
+---------------------------------------------------------------------------------------------------+
| プロパティ | 値 |
+---------------------------------------------------------------------------------------------------+
| 一般設定 | 0040h |
| シリンダ数 | 16383 |
| 予約済み | c837h |
| ヘッド数 | 16 |
| トラックあたりのバイト数 | 0 |
| セクタあたりのバイト数 | 0 |
| トラックあたりのセクタ数 | 63 |
| ベンダー固有 | |
| シリアル番号 | S2RBNX0H606448W |
| バッファタイプ | 0 |
| バッファサイズ | 0 |
| ECC サイズ | 0 |
| ファームウェアリビジョン | EMT02B6Q |
| モデル番号 | Samsung SSD 850 EVO 500GB |
| R/W での最大セクタ数 | 32769 |
| ダブルワード IO | 16385 |
| 機能 | 予約済み : 0000h |
| | DMA サポート : 有効 |
| | LBA サポート : 有効 |
| | DisIORDY : 有効 |
| | IORDY : 有効 |
| | ATA ソフトスタートが必要 : 無効 |
| | オーバーラップ操作サポート: 有効 |
| | コマンドキューサポート : 無効 |
| | インターリーブ DMA サポート : 無効 |
| 予約済み1 | 4000h |
| PIO タイミング | 512 |
| DMA タイミング | 512 |
| フィールド有効性 | CHS 数 : 有効 |
| | サイクル数 : 有効 |
| | Ultra DMA : 有効 |
| 現在のシリンダ数 | 16383 |
| 現在のヘッド数 | 16 |
| 現在のトラックあたりのセクタ数 | 63 |
| マルチセクタ設定 | 16514064 |
| アドレス可能な総セクタ数 (LBA) | 268435455 |
| シングルワード DMA 転送サポート | 0 |
| マルチワード DMA 転送サポート | モード 0 (4.17Mb/s) |
| | モード 1 (13.3Mb/s) |
| | モード 2 (16.7Mb/s) |
| アドバンスト PIO モード | 0003h |
| マルチワード DMA 転送の最小サイクルタイム（ワードあたり） | 120 |
| 推奨マルチワード DMA 転送のサイクルタイム（ワードあたり） | 120 |
| 最小 PIO 転送サイクルタイム（フロー制御なし） | 120 |
| 最小 PIO 転送サイクルタイム（フロー制御あり） | 120 |
| ATA サポート | ATA-2 |
| | ATA-3 |
| | ATA-4 |
| | ATA/ATAPI-5 |
| | ATA/ATAPI-6 |
| | ATA/ATAPI-7 |
| | ATA/ATAPI-8 |
| | ATA/ATAPI-9 |
| Ultra DMA 転送サポート | モード 0 (16.7MB/s) |
| | モード 1 (25.0MB/s) |
| | モード 2 (33.3MB/s) |
| | モード 3 (44.4MB/s) |
| | モード 4 (66.7MB/s) |
| | モード 5 (100.0MB/s) (選択中) |
| | モード 6 (133.0MB/s) |
+---------------------------------------------------------------------------------------------------+
-- 属性
+-------------------------------------------------------------------------------------------------------------------+
| インデックス | 名前 | フラグ | 生の値 | 値 | 最悪値 | しきい値 | ステータス |
+-------------------------------------------------------------------------------------------------------------------+
| 05h | 再割り当てセクタ数 | 0033h | 000000000000h | 100 | 100 | 10 | 正常 |
| 09h | 電源投入時間数 | 0032h | 000000008d54h | 92 | 92 | 0 | 正常 |
| 0ch | 電源投入サイクル数 | 0032h | 0000000000f5h | 99 | 99 | 0 | 正常 |
| b1h | 摩耗範囲デルタ | 0013h | 00000000005eh | 95 | 95 | 0 | 正常 |
| b3h | 使用済み予約ブロック数（合計） | 0013h | 000000000000h | 100 | 100 | 10 | 正常 |
| b5h | プログラム失敗カウント合計 | 0032h | 000000000000h | 100 | 100 | 10 | 正常 |
| b6h | 消去失敗カウント | 0032h | 000000000000h | 100 | 100 | 10 | 正常 |
| b7h | SATA ダウンシフトエラーカウント | 0013h | 000000000000h | 100 | 100 | 10 | 正常 |
| bbh | 報告された訂正不能エラー | 0032h | 000000000000h | 100 | 100 | 0 | 正常 |
| beh | 100 からの温度差 | 0032h | 000000000020h | 68 | 50 | 0 | 正常 |
| c3h | ハードウェア ECC リカバリ | 001ah | 000000000000h | 200 | 200 | 0 | 正常 |
| c7h | UDMA CRC エラーレート | 003eh | 000000000000h | 100 | 100 | 0 | 正常 |
| ebh | 良好ブロック数とシステム空きブロック数 | 0012h | 000000000071h | 99 | 99 | 0 | 正常 |
| f1h | ホストからのライフタイム書き込み量 GiB | 0032h | 00154bf298c9h | 99 | 99 | 0 | 正常 |
+-------------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>