thewhiteninja/ntfstoolFerramenta forense para NTFS (parser, mft, bitlocker, arquivos excluídos)
NTFSTool é uma ferramenta forense focada em volumes NTFS. Ela suporta a leitura de informações da partição (MBR, tabela de partições, VBR), mas também informações da Master File Table, volume criptografado com BitLocker, arquivos criptografados com EFS, journal USN e muito mais.
Baixe os binários mais recentes no AppVeyor ou verificando os últimos artefatos do GitHub.
Veja abaixo alguns exemplos dos recursos!
Uma documentação alternativa feita por deepwiki está disponível aqui: https://deepwiki.com/thewhiteninja/ntfstool/
O NTFSTool exibe a estrutura completa do master boot record, volume boot record, tabela de partições e do registro de arquivo $MFT. Também é possível despejar qualquer arquivo (até mesmo $MFT ou SAM) ou analisar e interpretar o journal USN, LogFile, incluindo streams de Alternate Data Stream (ADS). O $MFT pode ser exportado como csv ou json com parsing de Zone.Identifier para identificar rapidamente arquivos baixados. O comando de undelete (recuperação) procurará por qualquer registro de arquivo marcado como "não em uso" e permitirá recuperar o arquivo (ou parte dele, se já tiver sido reescrito). Ele suporta entrada a partir de imagem de disco, disco ativo ou virtual como VeraCrypt e TrueCrypt, mas você também pode usar ferramentas como OSFMount para montar sua imagem de disco. Arquivos esparsos e compactados (lznt1, xpress) também são suportados.
Para partições protegidas por BitLocker, ele pode exibir registros FVE, verificar uma senha e chave (bek, senha, chave de recuperação), extrair VMK e FVEK. Não há funcionalidade de força bruta porque a quebra via GPU é melhor (veja Bitcracker e Hashcat), mas você pode obter o hash para essas ferramentas.
Masterkeys, chaves privadas e certificados podem ser listados, exibidos e descriptografados usando as entradas necessárias (SID, senha). Certificados com chaves privadas podem ser exportados usando o comando de backup.
Reimporte o backup em outra máquina para poder ler novamente seu arquivo criptografado!
Ou você pode usar o comando efs.decrypt para descriptografar um arquivo usando a chave de backup.
Mais informações na Wiki do Mimikatz
Os registros do journal USN podem ser analisados usando regras personalizadas para detectar programas e ações suspeitas, mas também para ter uma visão geral do journal (% de arquivos deletados, criados ...)
Regras padrão: Rules/default.json``` { "id": "lsass-dump", "description": "Dumped LSASS.exe process.", "severity": "high", "rule": { "filename": "lsass(\.(dmp|dump))?" } }
Veja um exemplo de execução aqui: [usn.analyze](#usn-analyze)
### Shell
Há um shell limitado com poucos comandos (exit, cd, ls, cat, pwd, cp, quit, rec).
O comando `rec` mostra os detalhes do registro MFT.
## Ajuda e Exemplos
O comando de ajuda exibe descrição e exemplos para cada comando.
As opções podem ser inseridas como número decimal ou hex com prefixo "0x" (ex: inode).
ntfstool help [command]
| Comando | Descrição |
| --- | --- |
| [info](#info) | Exibe informações para todos os discos e volumes |
| [mbr](#mbr) | Exibe estrutura MBR, código e partições para um disco |
| [gpt](#gpt) | Exibe estrutura GPT, código e partições para um disco |
| [vbr](#vbr) | Exibe estrutura VBR e código para um volume especificado (suporta ntfs, fat32, fat1x, bitlocker) |
| [extract](#extract) | Extrai um arquivo de um volume. |
| [image](#image) | Cria um arquivo de imagem de um disco ou volume. |
| [mft.dump](#mft-dump) | Despeja o arquivo $MFT no formato especificado: csv, json, raw. |
| [mft.record](#mft-record) | Exibe detalhes do registro FILE para um inode MFT especificado. Quase todos os tipos de atributo suportados |
| [mft.btree](#mft-btree) | Exibe conteúdo VCN e índice Btree para um inode |
| [bitlocker.info](#bitlocker-info) | Exibe informações e hash ($bitlocker$) para todos os VMK. Testa uma senha ou chave de recuperação. |
| [bitlocker.decrypt](#bitlocker-decrypt) | Descriptografa um volume para um arquivo usando senha, chave de recuperação ou bek. |
| [bitlocker.fve](#bitlocker-fve) | Exibe informações para o bloco FVE especificado. |
| [efs.backup](#efs-backup) | Exporta chaves EFS no formato PKCS12 (pfx). |
| [efs.decrypt](#efs-decrypt) | Descriptografa arquivo criptografado EFS usando chaves no formato PKCS12 (pfx). |
| [efs.certificate](#efs-certificate) | Lista, exibe e exporta certificados do sistema (SystemCertificates/My/Certificates). |
| [efs.key](#efs-key) | Lista, exibe, descriptografa e exporta chaves privadas (Crypto/RSA). |
| [efs.masterkey](#efs-masterkey) | Lista, exibe e descriptografa masterkeys (Protect). |
| [reparse](#reparse) | Analisa e exibe pontos de reparse de \$Extend\$Reparse. |
| [logfile.dump](#logfile-dump) | Despeja o arquivo $LogFile no formato especificado: csv, json, raw. |
| [usn.analyze](#usn-analyze) | Analisa arquivo $UsnJrnl com regras especificadas. Saída: csv ou json. |
| [usn.dump](#usn-dump) | Despeja arquivo $UsnJrnl no formato especificado: csv, json, raw. |
| [shadow](#shadow) | Lista snapshots de sombra de volume do disco e volume selecionados. |
| [streams](#streams) | Exibe fluxos de dados alternativos |
| [undelete](#undelete) | Pesquisa e extrai arquivos deletados para um volume. |
| [shell](#shell-1) | Inicia um shell limitado tipo Unix |
| [smart](#smart) | Exibe dados S.M.A.R.T |
## Limitações
- Alguns casos não suportados. WIP.
- Sem documentação :no_mouth:.
Sinta-se à vontade para abrir uma issue ou solicitar uma nova funcionalidade!
## Compilação
- Instale o [Visual Studio 2022](https://visualstudio.microsoft.com/fr/vs/)
- Instale o vcpkg (para bibliotecas de terceiros necessárias) conforme descrito aqui: [vcpkg#getting-started](https://github.com/microsoft/vcpkg#getting-started)
```
git clone https://github.com/microsoft/vcpkg
.\vcpkg\bootstrap-vcpkg.bat
```
- Integre-o ao seu ambiente VisualStudio:
```
vcpkg integrate install
```
No momento da compilação, o VisualStudio detectará o arquivo `vcpkg.json` e instalará os pacotes necessários automaticamente.
Bibliotecas de terceiros:
- [openssl](https://www.openssl.org/): OpenSSL é um projeto de código aberto que fornece um kit de ferramentas robusto, de nível comercial e completo para os protocolos de Segurança de Camada de Transporte (TLS) e Camada de Sockets Segura (SSL).
- [nlohmann-json](https://github.com/nlohmann/json): JSON para C++ Moderno
- [distorm](https://github.com/gdabah/distorm): Poderosa Biblioteca de Desmontagem para x86/AMD64
- [cppcoro](https://github.com/lewissbaker/cppcoro): Uma biblioteca de abstrações de corrotina C++ para o TS de corrotinas.
- [re2](https://github.com/google/re2): RE2 é uma alternativa rápida, segura e amigável para threads aos mecanismos de expressão regular com backtracking.
## Exemplos
### Info
<table>
<tr><td>info</td></tr>
<tr><td>
+-------------------------------------------------------------------------------------+
| Id | Model | Type | Partition | Size |
+-------------------------------------------------------------------------------------+
| 0 | Samsung SSD 850 EVO 500GB | Fixed SSD | GPT | 500107862016 (465.76 GiBs) |
| 1 | ST2000DM001-1ER164 | Fixed HDD | GPT | 2000398934016 (1.82 TiB) |
| 2 | 15EADS External | Fixed HDD | MBR | 1500301910016 (1.36 TiB) |
| 3 | osfdisk | Fixed HDD | MBR | 536870912 (512.00 MiBs) |
+-------------------------------------------------------------------------------------+
</td></tr>
<tr><td>info disk=3</td></tr>
<tr><td>
Model : osfdisk
Version : 1
Serial :
Media Type : Fixed HDD
Size : 536870912 (512.00 MiBs)
Geometry : 512 bytes * 63 sectors * 255 tracks * 65 cylinders
Volume : MBR
+--------------------------------------------------------------------------------------------------+
| Id | Boot | Label | Mounted | Filesystem | Offset | Size |
+--------------------------------------------------------------------------------------------------+
| 1 | No | NTFSDRIVE | F:\ | Bitlocker | 0000000000000200 | 000000001ffffe00 (512.00 MiBs) |
+--------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td>info disk=3 volume=1</td></tr>
<tr><td>
Serial Number : 0000aa60-00002eae
Filesystem : Bitlocker
Bootable : False
Type : Fixed
Label : NTFSDRIVE
Offset : 512 (512.00 bytes)
Size : 536870400 (512.00 MiBs)
Free : 519442432 (495.38 MiBs)
Mounted : True (F:\)
Bitlocker : True (Unlocked)
</td></tr>
</table>
### MBR
<table>
<tr><td>mbr disk=2</td></tr>
<tr><td>
Disk signature : e4589462
Reserved bytes : 0000
Partition table :
+---------------------------------------------------------------------------------------------------+
| Id | Boot | Flags | Filesystem | First sector | Last sector | Offset | Sectors | Size |
+---------------------------------------------------------------------------------------------------+
| 1 | No | Principal | NTFS / exFAT | 0 2 3 | 255 254 255 | 128 | 16771072 | 8.00 GiBs |
+---------------------------------------------------------------------------------------------------+
MBR signature : 55aa
Strings:
[63] : Invalid partition table
[7b] : Error loading operating system
[9a] : Missing operating system
Disassemble Bootstrap Code [y/N] ? y
0000 : 33c0 : xor ax, ax
0002 : 8ed0 : mov ss, ax
0004 : bc007c : mov sp, 0x7c00
0007 : 8ec0 : mov es, ax
0009 : 8ed8 : mov ds, ax
000b : be007c : mov si, 0x7c00
000e : bf0006 : mov di, 0x600
0011 : b90002 : mov cx, 0x200
...
</td></tr>
</table>
### GPT
<table>
<tr><td>gpt disk=1</td></tr>
<tr><td>
Signature : EFI PART
Revision : 1.0
Header Size : 92
Header CRC32 : cc72e4d3
Reserved : 00000000
Current LBA : 1
Backup LBA : 3907029167
First Usable LBA : 34
Last Usable LBA : 3907029134
GUID : {a21d6495-cd58-4b8d-b968-dc337adcf6ac}
Entry LBA : 2
Entries Num : 128
Entries Size : 128
Partitions CRC32 : 0c9a0a25
Partition table : 2 entries
+------------------------------------------------------------------------------------------------------------------------+
| Id | Name | GUID | First sector | Last sector | Flags |
+------------------------------------------------------------------------------------------------------------------------+
| 1 | Microsoft reserved partition | {da0ac4a1-a78c-4053-bab5-36c70a71fe63} | 34 | 262177 | 000000000000 |
| 2 | Basic data partition | {4b4ea4b3-64a1-4c6d-bd4b-1c2b0e4e706f} | 264192 | 3907028991 | 000000000000 |
+------------------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### VBR
<table>
<tr><td>vbr disk=3 volume=1</td></tr>
<tr><td>
Structure :
Jump : eb5890 (jmp 0x7c5a)
OEM id : -FVE-FS-
BytePerSector : 512
SectorPerCluster : 8
Reserved Sectors : 0
Number of FATs : 0
Root Max Entries : 0
Total Sectors : 0
Media Type : f8
SectorPerFat : 8160
SectorPerTrack : 63
Head Count : 255
FS Offset : 1
Total Sectors : 0
FAT Flags : 0000
FAT Version : 0000
Root Cluster : 0
FS Info Sector : 1
Backup BootSector: 6
Reserved : 00000000
Reserved : 00000000
Reserved : 00000000
Drive Number : 80
Reserved : 00
Ext. Boot Sign : 29
Serial Number : 00000000
Volume Name : NO NAME
FileSystem Type : FAT32
Volume GUID : {4967d63b-2e29-4ad8-8399-f6a339e3d001}
FVE Block 1 : 0000000002100000
FVE Block 2 : 00000000059e4000
FVE Block 3 : 00000000092c8000
End marker : 55aa
Strings:
[00] : Remove disks or other media.
[1f] : Disk error
[2c] : Press any key to restart
Disassemble Bootstrap Code [y/N] ? y
7c5a : eb58 : jmp 0x7cb4
7c5c : 90 : nop
7c5d : 2d4656 : sub ax, 0x5646
7c60 : 45 : inc bp
7c61 : 2d4653 : sub ax, 0x5346
7c64 : 2d0002 : sub ax, 0x200
...
</td></tr>
</table>
### Extract
<table>
<tr><td>extract disk=0 volume=4 inode=0 output=d:\mymft</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[-] Record Num : 0 (00000000h)
[-] Destination : d:\mymft
[+] File extracted (5123541 bytes written)
</td></tr>
<tr><td>extract disk=3 volume=1 from=\bob.txt output=d:\bob.txt</td></tr>
<tr><td>
[+] Opening \\?\Volume{00023d5d-0000-0000-0002-000000000000}\
[-] Record Num : 47 (0000002fh)
[-] Destination : d:\bob.txt
[+] File extracted (42 bytes written)
</td></tr>
<tr><td>extract disk=0 volume=4 --system output=d:\system</td></tr>
<tr><td>
[+] Opening \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[-] Record Num : 623636 (00098414h)
[-] Destination : d:\system
[+] File extracted (19398656 bytes written)
</td></tr>
</table>
### Image
<table>
<tr><td>image disk=2 volume=2 output=d:\imagevol.raw</td></tr>
<tr><td>
[+] Opening \\?\Volume{f095dd1d-f302-4d17-bf68-7cc8c1de3965}\
[-] Size : 33520128 (31.97 MiBs)
[-] BlockSize: 4096
[+] Copying : [################################] 100% 0s
[+] Done
</td></tr>
<tr><td>image disk=2 output=d:\image.raw</td></tr>
<tr><td>
[+] Opening \\.\PhysicalDrive2
[-] Size : 67108864 (64.00 MiBs)
[-] BlockSize: 4096
[+] Copying : [################################] 100% 0s
[+] Done
</td></tr>
</table>
### MFT-dump
<table>
<tr><td>mft.dump disk=2 volume=2 output=d:\mft.raw</td></tr>
<tr><td>
[+] $MFT size : 1.00 MiB
[-] Record size : 1024
[-] Record count: 1024
[+] Creating d:\mft.raw
[+] Processing data: 1.00 MiB
[+] Closing volume
</td></tr>
<tr><td>mft.dump disk=2 volume=2 output=d:\mft.csv format=csv</td></tr>
<tr><td>
[+] $MFT size : 1.00 MiB
[-] Record size : 1024
[-] Record count: 1024
[+] Creating d:\mft.csv
[+] Processing data: 1.00 MiB
[+] Closing volume
</td></tr>
<tr><td>Amostra de mft.csv (verifique o final da última linha para dados de Zone.Identifier)</td></tr>
<tr><td><pre>RecordIndex,InUse,Type,Filename,Ext,Size,Parents,Time_MFT,Time_Create,Time_Alter,Time_Read,Att_Archive,Att_Compressed,Att_Device,Att_Encrypted,Att_Hidden,Att_Normal,Att_NotIndexed,Att_Offline,Att_Readonly,Att_Reparse,Att_Sparse,Att_System,Att_Temp,USN,Hardlinks,ADS,ZoneId,ReferrerUrl,HostUrl
0,"True","File","$MFT","",1048576,"5","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","False","False","False","False","True","False","False","False","False","False","False","True","False",0,1,"","","",""
1,"True","File","$MFTMirr","",4096,"5","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","False","False","False","False","True","False","False","False","False","False","False","True","False",0,1,"","","",""
2,"True","File","$LogFile","",67108864,"5","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","False","False","False","False","True","False","False","False","False","False","False","True","False",0,1,"","","",""
3,"True","File","$Volume","",0,"5","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","2022-03-17 01:25:10","False","False","False","False","True","False","False","False","False","False","False","True","False",0,1,"","","",""
...
397,"True","File","vswhere.exe",".exe",457824,"103911","2020-10-19 18:42:19","2019-06-11 10:07:50","2019-06-11 10:07:52","2021-12-27 14:54:49","True","False","False","False","False","False","False","False","False","False","False","False","False",35944347632,1,"Zone.Identifier","3","https://github.com/microsoft/vswhere/releases","https://github-production-release-asset-2e65be.s3.amazonaws.com/78482723/06868000-5585-11e9-9001-982f1fcb7ef1?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=AKIAIWNJYAX4CSVEH53A%2F20190611%2Fus-east-1%2Fs3%2Faws4_request&X-Amz-Date=20190611T100747Z&X-Amz-Expires=300&X-Amz-Signature=bc494e9edaafb03874097ae46466c5562d34252f14f21140c70e6a1a1fc5e5c4&X-Amz-SignedHeaders=host&actor_id=40250307&response-content-disposition=attachment%3B%20filename%3Dvswhere.exe&response-content-type=application%2Foctet-stream"</pre>
</td></tr>
</table>
### MFT-record
<table>
<tr><td>mft.record disk=2 volume=1 inode=5 (pasta raiz)</td></tr>
<tr><td>
Signature : FILE
Update Offset : 48
Update Number : 3
$LogFile LSN : 274035114
Sequence Number : 5
Hardlink Count : 1
Attribute Offset : 56
Flags : In_use | Directory
Real Size : 704
Allocated Size : 1024
Base File Record : 0
Next Attribute ID : 56
MFT Record Index : 5
Update Seq Number : 4461
Update Seq Array : 00000000
Attributes:
-----------+------------------------------------------------------------------------------------------------------------------+
| Id | Type | Non-resident | Length | Overview |
+------------------------------------------------------------------------------------------------------------------+
| 1 | $STANDARD_INFORMATION | False | 72 | File Created Time : 2009-12-02 02:03:31 |
| | | | | Last File Write Time : 2020-02-24 19:42:23 |
| | | | | FileRecord Changed Time : 2020-02-24 19:42:23 |
| | | | | Last Access Time : 2020-02-24 19:42:23 |
| | | | | Permissions : |
| | | | | read_only : 0 |
| | | | | hidden : 1 |
| | | | | system : 1 |
| | | | | device : 0 |
| | | | | normal : 0 |
| | | | | temporary : 0 |
| | | | | sparse : 0 |
| | | | | reparse_point : 0 |
| | | | | compressed : 0 |
| | | | | offline : 0 |
| | | | | not_indexed : 1 |
| | | | | encrypted : 0 |
| | | | | Max Number of Versions : 0 |
| | | | | Version Number : 0 |
+------------------------------------------------------------------------------------------------------------------+
| 2 | $FILE_NAME | False | 68 | Parent Dir Record Index : 5 |
| | | | | Parent Dir Sequence Num : 5 |
| | | | | File Created Time : 2009-12-02 02:03:31 |
| | | | | Last File Write Time : 2011-12-24 03:13:12 |
| | | | | FileRecord Changed Time : 2011-12-24 03:13:12 |
| | | | | Last Access Time : 1970-01-01 00:59:59 |
| | | | | Allocated Size : 0 |
| | | | | Real Size : 0 |
| | | | | ------ |
| | | | | Name : . |
+------------------------------------------------------------------------------------------------------------------+
| 3 | $OBJECT_ID | False | 16 | Object Unique ID : {cce8fec5-9a29-11df-be68-0017f29 |
| | | | | 8268d} |
+------------------------------------------------------------------------------------------------------------------+
| 4 | $INDEX_ROOT | False | 152 | Attribute Type : 00000030h |
| | | | | Collation Rule : 1 |
| | | | | Index Alloc Entry Size : 4096 |
| | | | | Cluster/Index Record : 1 |
| | | | | ----- |
| | | | | First Entry Offset : 16 |
| | | | | Index Entries Size : 136 |
| | | | | Index Entries Allocated : 136 |
| | | | | Flags : Large Index |
+------------------------------------------------------------------------------------------------------------------+
| 5 | $INDEX_ALLOCATION | True | 12288 | Index |
| | | | | 0000000000000004 : $AttrDef |
| | | | | 0000000000000008 : $BadClus |
| | | | | 0000000000000006 : $Bitmap |
| | | | | 0000000000000007 : $Boot |
| | | | | 000000000000000b : $Extend |
| | | | | 0000000000000002 : $LogFile |
| | | | | 0000000000000000 : $MFT |
| | | | | 0000000000000001 : $MFTMirr |
| | | | | 000000000000002d : $RECYCLE.BIN |
| | | | | 0000000000000009 : $Secure |
| | | | | 000000000000000a : $UpCase |
| | | | | 0000000000000003 : $Volume |
| | | | | 0000000000000005 : . |
| | | | | 000000000000240c : Dir1 |
| | | | | 0000000000000218 : Dir2 |
| | | | | 000000000000212a : Dir3 |
| | | | | 0000000000000024 : Dir4 |
| | | | | 0000000000000def : RECYCLER |
| | | | | 000000000000001b : System Volume Information |
| | | | | 000000000000001b : SYSTEM~1 |
+------------------------------------------------------------------------------------------------------------------+
| 6 | $BITMAP | False | 8 | Index Node Used : 2 |
+------------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### MFT-btree
<table>
<tr><td>mft.btree disk=0 volume=1 inode=5 (root folder)</td></tr>
<tr><td>
Atributos:
-----------
+-------------------------------------------------------------------------------------------+
| Id | Type | Non-resident | Length | Overview |
+-------------------------------------------------------------------------------------------+
| 1 | $INDEX_ROOT | False | 56 | Attribute Type : Filename |
| | | | | Collation Rule : 1 |
| | | | | Index Alloc Entry Size : 4096 |
| | | | | Cluster/Index Record : 1 |
| | | | | ----- |
| | | | | First Entry Offset : 16 |
| | | | | Index Entries Size : 40 |
| | | | | Index Entries Allocated : 40 |
| | | | | Flags : Large Index |
+-------------------------------------------------------------------------------------------+
| 2 | $INDEX_ALLOCATION | True | 20480 | First VCN : 0x000000000000 |
| | | | | Last VCN : 0x000000000004 |
+-------------------------------------------------------------------------------------------+
$INDEX_ALLOCATION entries:
--------------------------
+--------------------------------------------------------------------------------------------+
| VCN | Raw address | Size | Entries |
+--------------------------------------------------------------------------------------------+
| 000000000000h | 000000024000h | 000000001000h | 000000000004: $AttrDef |
| | | | 000000000008: $BadClus |
| | | | 000000000006: $Bitmap |
...
| | | | 000000000009: $Secure |
| | | | 00000000000a: $UpCase |
| | | | 000000000003: $Volume |
+--------------------------------------------------------------------------------------------+
| 000000000001h | 000000025000h | 000000001000h | 000000000098: randomfile - Copie (5).accdb |
| | | | 000000000097: randomfile - Copie (5).bat |
| | | | 000000000095: randomfile - Copie (5).psd |
| | | | 000000000096: randomfile - Copie (5).txt |
| | | | 00000000009b: randomfile - Copie (6).accdb |
...
| | | | 000000000083: randomfile.accdb |
| | | | 000000000082: randomfile.bat |
| | | | 000000000084: randomfile.psd |
| | | | 000000000081: randomfile.txt |
| | | | 000000000024: System Volume Information |
+--------------------------------------------------------------------------------------------+
| 000000000002h | 0000007d6000h | 000000001000h | |
+--------------------------------------------------------------------------------------------+
| 000000000003h | 0000007d7000h | 000000001000h | 000000000005: . |
| | | | 000000000092: randomfile - Copie (4).txt |
+--------------------------------------------------------------------------------------------+
| 000000000004h | 0000007d8000h | 000000001000h | 000000000027: random folder |
| | | | 00000000008c: randomfile - Copie (2).accdb |
| | | | 00000000008b: randomfile - Copie (2).bat |
| | | | 000000000089: randomfile - Copie (2).psd |
...
| | | | 00000000008e: randomfile - Copie (3).txt |
| | | | 000000000094: randomfile - Copie (4).accdb |
| | | | 000000000093: randomfile - Copie (4).bat |
| | | | 000000000091: randomfile - Copie (4).psd |
+--------------------------------------------------------------------------------------------+
Índice B-tree:
-------------
Root
|- 000000000000:
|---- VCN: 3
|- 000000000005: .
|---- VCN: 0
|- 000000000004: $AttrDef
|- 000000000008: $BadClus
|- 000000000006: $Bitmap
....
|- 000000000009: $Secure
|- 00000000000a: $UpCase
|- 000000000003: $Volume
|- 000000000092: randomfile - Copie (4).txt
|---- VCN: 4
|- 000000000027: random folder
|- 00000000008c: randomfile - Copie (2).accdb
|- 00000000008b: randomfile - Copie (2).bat
|- 000000000089: randomfile - Copie (2).psd
....
|- 000000000094: randomfile - Copie (4).accdb
|- 000000000093: randomfile - Copie (4).bat
|- 000000000091: randomfile - Copie (4).psd
|- 000000000000 (*)
|---- VCN: 1
|- 000000000098: randomfile - Copie (5).accdb
|- 000000000097: randomfile - Copie (5).bat
|- 000000000095: randomfile - Copie (5).psd
....
|- 000000000084: randomfile.psd
|- 000000000081: randomfile.txt
|- 000000000024: System Volume Information
</td></tr>
</table>
### Bitlocker-Info
<table>
<tr><td>bitlocker.info disk=3 volume=1</td></tr>
<tr><td>
FVE Version : 2
State : ENCRYPTED
Size : 536870400 (512.00 MiBs)
Encrypted Size : 536870400 (512.00 MiBs)
Algorithm : AES-XTS-128
Timestamp : 2020-02-26 16:39:17
Chaves Mestras do Volume:
-------------------
+--------------------------------------------------------------------------------------------------------------------+
| Id | Type | GUID | Details |
+--------------------------------------------------------------------------------------------------------------------+
| 1 | Password | {2dd368f3-37d7-414f-94e6-3c5b86fadd50} | Nonce : 01d5ecbb00f7155000000003 |
| | | | MAC : daea96439babc5d1e7f20c8860ff1ee9 |
| | | | Encrypted Key : b76281568419ec3bee89d1eddccf3169 |
| | | | 59c466b6b392f40f0875e58168d868d7 |
| | | | 0788bd366bec117b11a9fd6e |
| | | | |
| | | | JtR Hash : $bitlocker$1$16$daea96439babc5d1 |
| | | | e7f20c8860ff1ee9$1048576$12$5015 |
| | | | f700bbecd50103000000$60$175ec23c |
| | | | d799e2bde9d24bf3697919feb7628156 |
| | | | 8419ec3bee89d1eddccf316959c466b6 |
| | | | b392f40f0875e58168d868d70788bd36 |
| | | | 6bec117b11a9fd6e |
+--------------------------------------------------------------------------------------------------------------------+
| 2 | Recovery Password | {19b4a3e2-94b3-452f-a614-6212faeb1b9d} | Nonce : 01d5ecbb00f7155000000006 |
| | | | MAC : b9963d29e1bad1f42e60c3bfb6e3bef5 |
| | | | Encrypted Key : 97a43d40c695c6d190eba3956ac7c7b1 |
| | | | f5fdbbc7f9a61a77c914fa347479c7ac |
| | | | 6124ff46865e805367f7bef1 |
| | | | |
| | | | JtR Hash : $bitlocker$1$16$b9963d29e1bad1f4 |
| | | | 2e60c3bfb6e3bef5$1048576$12$5015 |
| | | | f700bbecd50106000000$60$3a06a06f |
| | | | db044d850ecd6faf5cf2aec997a43d40 |
| | | | c695c6d190eba3956ac7c7b1f5fdbbc7 |
| | | | f9a61a77c914fa347479c7ac6124ff46 |
| | | | 865e805367f7bef1 |
+--------------------------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td>bitlocker.info disk=3 volume=1 password=badpassword</td></tr>
<tr><td>
FVE Version : 2
State : ENCRYPTED
Size : 536870400 (512.00 MiBs)
Encrypted Size : 536870400 (512.00 MiBs)
Algorithm : AES-XTS-128
Timestamp : 2020-02-26 16:39:17
Senha testada:
----------------+--------------------------------------------------------------------------------+
| Id | Tipo | GUID | Senha | Resultado |
+--------------------------------------------------------------------------------+
| 1 | Senha | {2dd368f3-37d7-414f-94e6-3c5b86fadd50} | badpassword | Inválido |
+--------------------------------------------------------------------------------+
</td></tr>
<tr><td>bitlocker.info disk=3 volume=1 password=123456789</td></tr>
<tr><td>
FVE Version : 2
State : ENCRYPTED
Size : 536870400 (512.00 MiBs)
Encrypted Size : 536870400 (512.00 MiBs)
Algorithm : AES-XTS-128
Timestamp : 2020-02-26 16:39:17
Senha Testada:
----------------
+--------------------------------------------------------------------------------------------------------------+
| Id | Tipo | GUID | Senha | Resultado |
+--------------------------------------------------------------------------------------------------------------+
| 1 | Senha | {2dd368f3-37d7-414f-94e6-3c5b86fadd50} | 123456789 | Válido |
| | | | | |
| | | | | VMK : 751bf363db63ba6f1b36fb2ecd5ff1d8 |
| | | | | f5eab77e8754a848f2743978c7615f9f |
| | | | | FVEK : 35b8197e6d74d8521f49698d5f556589 |
| | | | | 2cf286ae5323c65631965c905a9d7da4 |
+--------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### Bitlocker-Decrypt
<table>
<tr><td>bitlocker.decrypt disk=3 volume=1 output=decrypted.img fvek=35b8197e6d74d8521f49698d5f5565892cf286ae5323c65631965c905a9d7da4</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{09a02598-0000-0000-0002-000000000000}\
[+] Lendo VBR do Bitlocker
[-] Estado do Volume : ENCRYPTED
[-] Tamanho : 536870400 (512.00 MiBs)
[-] Tamanho Criptografado : 536870400 (512.00 MiBs)
[-] Algoritmo : AES-XTS-128
[+] Descriptografando setores
[-] Tamanho dos dados processados : 512.00 MiBs (100%)
[+] Duração : 7535ms
[+] Fechando Volume
</td></tr>
</table>
### Bitlocker-FVE
<table>
<tr><td>bitlocker.fve disk=3 volume=1 fve_block=2</td></tr>
<tr><td>
Assinatura : -FVE-FS-
Tamanho : 57
Versão : 2
Estado Atual : ENCRYPTED (4)
Próximo Estado : ENCRYPTED (4)
Tamanho Criptografado : 536870400 (512.00 MiBs)
Tamanho de Conversão : 0
Setores de Backup : 16
FVE Block 1 : 0000000002100000
FVE Block 2 : 00000000059e4000
FVE Block 3 : 00000000092c8000
Deslocamento dos Setores de Backup : 0000000002110000
Cabeçalho de Metadados FVE
-------------------
Tamanho : 840
Versão : 1
Tamanho do Cabeçalho : 48
Tamanho da Cópia : 840
GUID do Volume : {70a57ea3-9b98-4034-8b6a-645f731e2d1e}
Próximo Contador : 10
Algoritmo : AES-XTS-128 (8004)
Timestamp : 2020-02-26 16:39:17
Entradas de Metadados FVE (5)
------------------------
+----------------------------------------------------------------------------------------------------------------+
| Id | Versão | Tamanho | Tipo de Entrada | Tipo de Valor | Valor |
+----------------------------------------------------------------------------------------------------------------+
| 1 | 1 | 72 | Rótulo da Unidade | Unicode | String : TWN NTFSDRIVE 26/02/2020 |
+----------------------------------------------------------------------------------------------------------------+
| 2 | 1 | 224 | VMK | VMK | ID da Chave : {2dd368f3-37d7-414f-94e6-3c5b86f |
| | | | | | add50} |
| | | | | | Última Alteração : 2020-02-26 16:40:00 |
| | | | | | Proteção : Senha |
| | | | | | |
| | | | | | Propriedade #1 - Stretch Key - 108 |
| | | | | | -------- |
| | | | | | Criptografia : STRETCH KEY |
| | | | | | MAC : daea96439babc5d1e7f20c8860ff1ee9 |
| | | | | | |
| | | | | | Propriedade #1.1 - AES-CCM - 80 |
| | | | | | -------- |
| | | | | | Nonce como Hex : 01d5ecbb00f71550 |
| | | | | | Nonce como Timestamp : 2020-02-26 16:39:59 |
| | | | | | Contador de Nonce : 00000002 |
| | | | | | MAC : 1dfebdc79a966e72ca806d6a83d8c7ba |
| | | | | | Chave : eb51a188df981b54f51698c76d76a8bb |
| | | | | | d22afbbe27603ea6afc34c077726262e |
| | | | | | 5ba07482053d3c36fdecf80f |
| | | | | | |
| | | | | | Propriedade #2 - AES-CCM - 80 |
| | | | | | -------- |
| | | | | | Nonce como Hex : 01d5ecbb00f71550 |
| | | | | | Nonce como Timestamp : 2020-02-26 16:39:59 |
| | | | | | Contador de Nonce : 00000003 |
| | | | | | MAC : 175ec23cd799e2bde9d24bf3697919fe |
| | | | | | Chave : b76281568419ec3bee89d1eddccf3169 |
| | | | | | 59c466b6b392f40f0875e58168d868d7 |
| | | | | | 0788bd366bec117b11a9fd6e |
+----------------------------------------------------------------------------------------------------------------+
| 3 | 1 | 316 | VMK | VMK | ID da Chave : {19b4a3e2-94b3-452f-a614-6212fae |
| | | | | | b1b9d} |
| | | | | | Última Alteração : 2020-02-26 16:40:07 |
| | | | | | Proteção : Senha de Recuperação |
| | | | | | |
| | | | | | Propriedade #1 - Stretch Key - 172 |
| | | | | | -------- |
| | | | | | Criptografia : STRETCH KEY |
| | | | | | MAC : b9963d29e1bad1f42e60c3bfb6e3bef5 |
| | | | | | |
| | | | | | Propriedade #1.1 - AES-CCM - 64 |
| | | | | | -------- |
| | | | | | Nonce como Hex : 01d5ecbb00f71550 |
| | | | | | Nonce como Timestamp : 2020-02-26 16:39:59 |
| | | | | | Contador de Nonce : 00000004 |
| | | | | | MAC : 8064d679c7d8d1fa8ae548b0844882c7 |
| | | | | | Chave : 18d21021d40e3dc99d38c8dd84faed10 |
| | | | | | 370c32095f4f63261ad8ec40 |
| | | | | | |
| | | | | | Propriedade #1.2 - AES-CCM - 80 |
| | | | | | -------- |
| | | | | | Nonce como Hex : 01d5ecbb00f71550 |
| | | | | | Nonce como Timestamp : 2020-02-26 16:39:59 |
| | | | | | Contador de Nonce : 00000005 |
| | | | | | MAC : 3d40f2b5fc0091b894b438763fcdf4cd |
| | | | | | Chave : a0af0aeda32d977d26ac76f9fc429668 |
| | | | | | 955d2a6a49fe4e2323751924e47e6c39 |
| | | | | | 8c22f7fcd2d4272003cb7a4e |
| | | | | | |
| | | | | | Propriedade #2 - AES-CCM - 80 |
| | | | | | -------- |
| | | | | | Nonce como Hex : 01d5ecbb00f71550 |
| | | | | | Nonce como Timestamp : 2020-02-26 16:39:59 |
| | | | | | Contador de Nonce : 00000006 |
| | | | | | MAC : 3a06a06fdb044d850ecd6faf5cf2aec9 |
| | | | | | Chave : 97a43d40c695c6d190eba3956ac7c7b1 |
| | | | | | f5fdbbc7f9a61a77c914fa347479c7ac |
| | | | | | 6124ff46865e805367f7bef1 |
| | | | | | |
| | | | | | Propriedade #3 - Backup de Recuperação - 28 |
| | | | | | -------- |
| | | | | | Localização : Arquivo |
| | | | | | Início : 2022-04-03 12:52:50 |
| | | | | | Fim : 2022-04-03 12:52:50 |
+----------------------------------------------------------------------------------------------------------------+
| 4 | 1 | 80 | FKEV | AES-CCM | Nonce como Hex : 01d5ecbb00f71550 |
| | | | | | Nonce como Timestamp : 2020-02-26 16:39:59 |
| | | | | | Contador de Nonce : 00000008 |
| | | | | | MAC : 2ff7d7f79920e3509fb8d20cb15b62c8 |
| | | | | | Chave : 097169b9a5c41420ed2353a4a4210763 |
| | | | | | a8833d1a4a88c6f7c0c45ec7c0959f25 |
| | | | | | 2c8eac3f306e9fd1e693784a |
+----------------------------------------------------------------------------------------------------------------+
| 5 | 1 | 100 | Volume Header Block | Deslocamento e Tamanho | Deslocamento : 0000000002110000 |
| | | | | | Tamanho : 0000000000002000 |
+----------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### EFS-backup
<table>
<tr><td>efs.backup disk=0 volume=4 password=123456</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Listando diretórios de usuário
8 diretórios encontrados
[+] Procurando por certificados
- 8BB98DE9ED4DBDD09AA1FF467ED71F0F28ACF61B
[+] Encontrando chaves privadas correspondentes
- 5f2870d8a6f1ef6487be2e1aee746fb5_bbc401c6-854a-4d12-9b65-8d52ca66cb6a
[+] Encontrando masterkeys correspondentes
- 9ac19509-54d3-48bc-8c67-4cfb01d73498
[+] Exportando 1 certificado e chaves (senha: backup)
- ef456e5b-43e4-4eda-a80b-e234611306d4 : Ok
Exportado para 8BB98DE9ED4DBDD09AA1FF467ED71F0F28ACF61B.pfx
</td></tr>
</table>
### EFS-decrypt
<table>
<tr><td>efs.decrypt disk=0 volume=4 from=c:\cat.png pfx=z:\my_backup.pfx password=backup output=c:\socute.png</td></tr>
<tr><td>
[+] Carregando arquivo de entrada PKCS12
[-] ID da Chave : 86598de9ed5dbdd00aa2ff467ed71f1f28acf61b
[-] Lendo registro: 13525
[+] Analisando streams $EFS
[-] 1 campo(s) de descriptografia de dados encontrado(s)
[+] Descriptografando FEK
[-] FEK
+----------------------------------------------------------------------------------+
| Propriedade | Valor |
+----------------------------------------------------------------------------------+
| Entropia | 32 |
| Algoritmo | CALG_AES_256 |
| Chave (256 bits) | 5BBBB8A7F9DD9B9FFFDE9E62370254979F32A9CFFDDB74212A0C1AEECCD75B4A |
+----------------------------------------------------------------------------------+
[+] Descriptografando arquivo
[-] Arquivo descriptografado gravado em c:\socute.png (1.94 MiB)
</td></tr>
</table>
### EFS-certificate
<table>
<tr><td>efs.certificate disk=0 volume=4</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Listando diretórios de usuário
8 diretórios encontrados
[+] Procurando por certificados
8 certificado(s) encontrado(s)
[+] Certificados
+-----------------------------------------------------------------------------------------------------------------------------------+
| Id | Usuário | Arquivo | Certificado |
+-----------------------------------------------------------------------------------------------------------------------------------+
| 0 | Bobby | Nome : 02728B6DF5573C5955A4DFF22319441C889C367B | Nome Amigável : APNS certificate Direct |
| | | Registro : 00000001d2d5h | |
| | | Tamanho : 850.00 bytes | |
| | | | |
| | | Criação : 2019-05-11 15:59:29 | |
+-----------------------------------------------------------------------------------------------------------------------------------+
| 1 | Bobby | Nome : 14BB7663C51C77FF5CAD89B4DC34495864338C67 | Nome Amigável : APNS certificate |
| | | Registro : 00000000b5a4h | |
| | | Tamanho : 824.00 bytes | |
| | | | |
| | | Criação : 2021-03-03 18:02:33 | |
+-----------------------------------------------------------------------------------------------------------------------------------+
| 2 | Bobby | Nome : 564481148D4DBDD09AA1FF467ED71F0F28ACF61B | Contêiner : ef456e5b-36e4-4eda-a80b-e234611306d4 |
| | | Registro : 00000000ab23h | Provedor : Microsoft Enhanced Cryptographic Provider v1.0 |
| | | Tamanho : 1.15 KiB | Tipo : PROV_RSA_FULL |
| | | | KeySpec : AT_KEYEXCHANGE |
| | | Criação : 2020-08-17 13:20:03 | |
+-----------------------------------------------------------------------------------------------------------------------------------+
..........
</td></tr>
<tr><td>efs.certificate disk=0 volume=4 inode=0xb5a4</td></tr>
<tr><td>[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Lendo registro de arquivo de certificado: 46500
[+] Certificado
+--------------------------------------------------------------------------------------------------------------------------+
| ID | Propriedade | Valor |
+--------------------------------------------------------------------------------------------------------------------------+
| 0 | Arquivo | Criação : 2021-03-03 18:02:33 |
| | | Tamanho : 824.00 bytes |
+--------------------------------------------------------------------------------------------------------------------------+
| 1 | SHA1_HASH_PROP_ID | 14A67663C51C66FF5CAD89B4DC34495864338C67 |
+--------------------------------------------------------------------------------------------------------------------------+
| 2 | FRIENDLY_NAME_PROP_ID | certificado APNS |
+--------------------------------------------------------------------------------------------------------------------------+
| 3 | KEY_IDENTIFIER_PROP_ID | 82B87AE4F2251242252A2644D98169F34F909CA8 |
+--------------------------------------------------------------------------------------------------------------------------+
| 4 | SUBJECT_PUBLIC_KEY_MD5_HASH_PROP_ID | DB532C4794A15E5D0392C7C605FCBCA8 |
+--------------------------------------------------------------------------------------------------------------------------+
| 5 | CERTIFICATE_FILE | Dados: |
| | | Versão: 3 (0x2) |
| | | Número de Série: |
| | | 01:20:cb:ab:28:8a:97:ee:99:cc |
| | | Algoritmo de Assinatura: sha1WithRSAEncryption |
| | | Emissor: C=US, O=Apple Inc., OU=Apple iPhone, CN=Apple iPhone Device CA |
| | | Validade |
| | | Não antes de: Mar 3 15:57:33 2021 GMT |
| | | Não depois de: Mar 3 16:02:33 2022 GMT |
| | | Assunto: CN=1A6032AA-91A2-4B1D-B6AF-5509FC173686 |
| | | Informação da Chave Pública do Assunto: |
| | | Algoritmo de Chave Pública: rsaEncryption |
| | | Chave Pública RSA: (1024 bit) |
| | | Módulo: |
| | | 00:a2:75:db:69:8d:c9:b3:fd:96:4d:28:b9:43:94: |
| | | db:7d:73:53:88:c9:79:e9:fa:de:e4:12:14:2c:de: |
...
| | | a7:6b:d0:01:9e:dc:66:27:ef:2e:20:7e:e5:2a:42: |
| | | 9e:6f:85:9c:b6:8f:be:d3:05 |
| | | Expoente: 65537 (0x10001) |
| | | Extensões X509v3: |
| | | Identificador de Chave de Autoridade X509v3: |
| | | keyid:B2:FE:21:23:44:86:95:6A:79:D5:81:26:8E:73:10:D8:A7:4C:8E:74 |
| | | Identificador de Chave do Assunto X509v3: |
| | | 82:B8:7A:E4:F2:25:12:42:25:2A:26:44:D9:81:69:F3:4F:90:9C:A8 |
| | | Restrições Básicas X509v3: crítico |
| | | CA:FALSE |
| | | Uso da Chave X509v3: crítico |
| | | Assinatura Digital, Cifragem de Chave |
| | | Uso Estendido da Chave X509v3: crítico |
| | | Autenticação de Servidor Web TLS, Autenticação de Cliente Web TLS |
| | | 1.2.840.113635.100.6.10.6: |
| | | .. |
| | | Algoritmo de Assinatura: sha1WithRSAEncryption |
| | | 28:54:6c:d9:4e:97:f5:dd:1f:79:4a:6a:74:42:ad:6e:a1:11: |
...
| | | 27:58:3b:d5:1e:c3:71:af:6b:bd:fe:5d:ad:4d:bd:82:fa:53: |
| | | ff:0c |
+--------------------------------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td>efs.certificate disk=0 volume=4 inode=0xb5a4 output=mycert</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Lendo registro de arquivo de certificado: 46500
[+] Certificado exportado para mycert.pem
</td></tr>
</table>
### Chave EFS
<table>
<tr><td>efs.key disk=0 volume=4</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}
[+] Listando diretórios de usuários:
8 diretórios encontrados
[+] Procurando por chaves
9713 chave(s) encontrada(s)
[+] Chaves
+------------------------------------------------------------------------------------------------------------------+
| ID | Usuário | Arquivo de Chave | Nome | Data de Criação |
+------------------------------------------------------------------------------------------------------------------+
| 0 | User1 | Nome : 0004f7ed30db...017ee8d52ca6 | {15676EB3-D258-410F-85CB-9AB29E642CB3} | 2021-05-19 14:10:15 |
| | | Registro : 0000000246c5h | | |
| | | Tamanho : 4.00 KiBs | | |
+------------------------------------------------------------------------------------------------------------------+
| 1 | User1 | Nome : 0016875547ba...f7a9606b4177 | {BA4B66DC-8C1D-4FDF-A1EF-78B64411D1AD} | 2020-02-03 19:37:39 |
| | | Registro : 000000019f19h | | |
| | | Tamanho : 4.00 KiBs | | |
+------------------------------------------------------------------------------------------------------------------+
| 2 | User1 | Nome : 002a02ec680e...9a0a8d52ca67 | {3A3E1CF2-5AC2-4717-8006-D7C0F2936435} | 2019-06-26 15:50:50 |
..........
</td></tr>
<tr><td>efs.key disk=0 volume=4 inode=742107</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Lendo registro de arquivo de chave: 742107
[+] Chave
+------------------------------------------------------------------------------------------------------------------+
| ID | Propriedade | Valor |
+------------------------------------------------------------------------------------------------------------------+
| 0 | Arquivo | Criação : 2021-09-23 22:16:43 |
| | | Tamanho : 4.00 KiBs |
+------------------------------------------------------------------------------------------------------------------+
| 1 | Versão | 0 |
+------------------------------------------------------------------------------------------------------------------+
| 2 | Nome | ef456e5b-43e4-4eda-a80b-e234611306d4 |
+------------------------------------------------------------------------------------------------------------------+
| 3 | Flags | 00000000h |
+------------------------------------------------------------------------------------------------------------------+
| 4 | Chave Pública | Magic : 31415352h (RSA1) |
| | | Tamanho : 2048 |
| | | Expoente : 65537 |
| | | |
| | | Permissões : CRYPT_ENCRYPT |
| | | CRYPT_DECRYPT |
| | | CRYPT_EXPORT |
| | | CRYPT_READ |
...
| | | |
| | | Módulo : 96883F07FF78DA8354D037A94F897BD7 |
...
| | | FA77A3D04DD10D044761E65355B335B5 |
+------------------------------------------------------------------------------------------------------------------+
| 5 | Chave Privada Criptografada | Versão : 1 |
| | | GUID do Provedor : {df9d8cd0-1501-11d1-8c7a-00c04fc297eb} |
| | | Versão da Chave Mestra : 1 |
| | | GUID da Chave Mestra : {9ac19509-54d3-48bc-8c67-4cfb01d73498} |
| | | |
| | | Descrição : Clé privée CryptoAPI |
| | | Flags : 00000000h |
| | | |
| | | Algoritmo de Criptografia : CALG_AES_256 |
| | | Algoritmo de Hash : CALG_SHA_512 |
| | | |
| | | Salt : ABABD5324CCE0254BC726C3BF5A777D38BC4D75CACC2360EF3276EB4DC42FF6A |
| | | |
| | | HMAC : - |
| | | HMAC2 : D24F0B0AF684AE986F1328EAAFC01DA346D2BADE2B84CBE3C94CCB338D449EA6 |
| | | |
| | | Dados Criptografados : D7DAD9229C91DBC9608852A4411527D7 |
| | | 58DB27E19596DD118F2D70F68CC7913C |
...
| | | 7870F6C68DA1B9139BF6E39725F4E72E |
| | | 4EC435C947F127CA3E333CB5E2F43978 |
| | | |
| | | Dados de Assinatura : 6077C027E6714A81C2710C5D334758F9AD463117DA4CBA8D0D05B5845A662E8F |
| | | 5E38DCCAB05DA5DD6C8328F5CF925F378F229790D30A2BCC91D5E3370AE50FED |
+------------------------------------------------------------------------------------------------------------------+
| 6 | Hash | 0000000000000000000000000000000000000000 |
+------------------------------------------------------------------------------------------------------------------+
| 7 | ExportFlag | Versão : 1 |
| | | GUID do Provedor : {df9d8cd0-1501-11d1-8c7a-00c04fc297eb} |
| | | Versão da Chave Mestra : 1 |
| | | GUID da Chave Mestra : {9ac19509-54d3-48bc-8c67-4cfb01d73498} |
| | | |
| | | Descrição : Flag de Exportação |
| | | Flags : 00000000h |
| | | |
| | | Algoritmo de Criptografia : CALG_AES_256 |
| | | Algoritmo de Hash : CALG_SHA_512 |
| | | |
| | | Salt : 772935C3582F625367716CE87D9626A524F15B9B7FF07166BB2C704B1223CB06 |
| | | |
| | | HMAC : - |
| | | HMAC2 : 3BCA74ED2C83767F06D9FF907817FE85FBA65FDB72A94E9D8F2C7CF1D8E7DCA2 |
| | | |
| | | Dados Criptografados : 875A6429226F11DFD3690D43BE633287 |
| | | |
| | | Dados de Assinatura : FD97F69A214C37D0DA968B5AA18EE7C80D475F72F650C8DCAE887C97E850DCD6 |
| | | 9FA17D397A2375E362DE6F17193E3D084C06B0DCDB38E6C746150C1056145178 |
+------------------------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td> efs.key disk=0 volume=4 inode=742107 masterkey=34fac126105ce30...178c5bff4979eb</td></tr>
<tr><td>[+] A abrir \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] A ler registo do ficheiro de chave: 742107
[-] Chave
Algoritmo de Encriptação : CALG_AES_256
Algoritmo de Hash : CALG_SHA_512
Sal : ABABD5324CCE0254BC726C33F5A777D38BC4D75CACC2360EF3276EB4DC42FF6A
[+] A desencriptar chave
[+] Chave desencriptada com sucesso
[+] Sinais de exportação : 00000001 (ALLOW_EXPORT_FLAG)
[+] Chave em texto claro (2048 bits) :
+----------------------------------------------------------+
| Id | Propriedade | Valor |
+----------------------------------------------------------+
| 0 | Magic | RSA2 |
+----------------------------------------------------------+
| 1 | Tamanho de bits | 2048 |
+----------------------------------------------------------+
| 2 | Expoente | 65537 |
+----------------------------------------------------------+
| 3 | Módulo | 96883F07FF78DA8354D037A94F897BD7 |
...
| | | FA77A3D04DD10D044761E65355B335B5 |
+----------------------------------------------------------+
| 4 | Primeiro primo | C02F585644ED6326FF82368B0AD9ECD4 |
...
| | | 65F7DE6D173FEBEF95BE491FB222E07B |
+----------------------------------------------------------+
| 5 | Segundo primo | C884376BBC50C2A14C495894FBF980DE |
...
| | | 6759E812B6385B9151EBED8DCD65238F |
+----------------------------------------------------------+
| 6 | Expoente1 | 0E33B17876918051427271EB667AE238 |
...
| | | 69349EF83ACE9B75D20004D155CDA3FF |
+----------------------------------------------------------+
| 7 | Expoente2 | 5BF265077E1EFA60C47E8DA423B751A4 |
...
| | | E7008F2EA5684A74E4BFEEFAAB48C979 |
+----------------------------------------------------------+
| 8 | Coeficiente | 7D68AA3844F096959C23BD59E4BE3147 |
...
| | | 592ABC1BEDEBA6F5B4BDE3D0F9BEF7C5 |
+----------------------------------------------------------+
| 9 | Expoente Privado | 2462A061AD85A7C3B0DF7764CC5DDDFA |
| | | 40D83B3FBF0D9D016C419E6B6744AD73 |
...
| | | 47685BDEB0FABDC21AF5CABBA13D138D |
| | | F39FC063F1F20323E3220229E29FA42D |
+----------------------------------------------------------+
</td></tr>
<tr><td> efs.key disk=0 volume=4 inode=742107 masterkey=34...eb output=mykey</td></tr>
<tr><td>
[+] A abrir \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] A ler registo do ficheiro de chave: 742107
[-] Chave
Algoritmo de Encriptação : CALG_AES_256
Algoritmo de Hash : CALG_SHA_512
Sal : ABABD5324CCE0254BC726C33F5A777D38BC4D75CACC2360EF3276EB4DC42FF6A
[+] A desencriptar chave
[+] Chave desencriptada com sucesso
[+] Chave pública exportada para mykey.pub.pem.
[+] Chave privada exportada para mykey.priv.pem.
</td></tr>
</table>
### EFS-masterkey
<table>
<tr><td>efs.masterkey disk=0 volume=4</td></tr>
<tr><td>
[+] A abrir \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] A listar diretorias de utilizador
8 diretorias encontradas
[+] A procurar chaves
19 chave(s), 2 ficheiro(s) preferido(s) encontrado(s)
[+] Chaves Mestras
+--------------------------------------------------------------------------------------------------------------------------------------------------+
| Id | Utilizador | Ficheiro de chave | Chave(s) | Data de Criação |
+--------------------------------------------------------------------------------------------------------------------------------------------------+
| 0 | DefaultAppPool | Nome : e4ed144f-6522-4471-8893-a6e29e175ba6 | Chave Mestra | 2021-08-17 14:54:41 |
| | | Registo : 000000031848h | Versão : 2 | |
| | | Tamanho : 468.00 bytes | Algo : CALG_SHA_512 - CALG_AES_256 | |
| | | | Sal : FA737C82899CC3F61A3B332B15FDC241 | |
| | | | Rondas : 8000 | |
| | | | Chave de Cópia de Segurança | |
| | | | Versão : 2 | |
| | | | Algo : CALG_SHA_512 - CALG_AES_256 | |
| | | | Sal : DF0651C903763132BC3043BF144A7DDD | |
| | | | Rondas : 8000 | |
| | | | CredHist | |
| | | | Versão : 3 | |
| | | | GUID : {00000000-0000-0000-0000-000000000000} | |
+--------------------------------------------------------------------------------------------------------------------------------------------------+
| 1 | DefaultAppPool | Nome : Preferido | Preferido | 2021-08-17 14:54:41 |
| | | Registo : 00000003184ah | GUID : {e4ed144f-6522-4471-8893-a6e29e175ba6} | |
| | | Tamanho : 24.00 bytes | Renovar : 2021-11-15 12:54:41 | |
+--------------------------------------------------------------------------------------------------------------------------------------------------+
| 2 | Bob | Nome : 26bd8b3d-e87f-4df3-a1af-18f434788090 | Chave Mestra | 2021-03-05 01:16:42 |
| | | Registo : 000000004f4ah | Versão : 2 | |
| | | Tamanho : 468.00 bytes | Algo : CALG_SHA_512 - CALG_AES_256 | |
| | | | Sal : 39B575D1816DE8224B9E11C38E35EB34 | |
| | | | Rondas : 8000 | |
| | | | Chave de Cópia de Segurança | |
..........
</td></tr>
<tr><td>efs.masterkey disk=0 volume=4 inode=0x80544</td></tr>
<tr><td>
[+] A abrir \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] A ler registo do ficheiro de chave mestra: 525636
[+] Chave Mestra
+--------------------------------------------------------------------+
| Id | Propriedade | Valor |
+--------------------------------------------------------------------+
| 0 | Ficheiro | Criação : 2020-07-06 05:56:06 |
| | | Tamanho : 468.00 bytes |
+--------------------------------------------------------------------+
| 1 | Versão | 2 |
+--------------------------------------------------------------------+
| 2 | GUID | 9ac19509-54d3-48bc-8c67-4cfb01d73498 |
+--------------------------------------------------------------------+
| 3 | Política | 00000005h |
+--------------------------------------------------------------------+
| 4 | Chave Mestra | Versão : 2 |
| | | Sal : 3ED4CDBCC4073D6724A512061D0597E1 |
| | | Rondas : 8000 |
| | | Algo Hash : CALG_SHA_512 |
| | | Algo Enc : CALG_AES_256 |
| | | Chave Enc : 3610946FE1A7B9099D0AFA7658325014 |
| | | 296D1F0E5BA93249858BE3ACCC8FD7A8 |
| | | F62DB6808833FC303095C6588BDE3826 |
| | | 80ABF391222CD77661BCCB637DDAC490 |
| | | B5FC02C854EF45490EE10851EF524DE2 |
| | | 85DD508F905216D528D3DC3336830FF9 |
| | | 690472730A03D64CF892E06B9AA35692 |
| | | AB7679E908D487119030B73CB87E6F9F |
| | | 731F65609CB8ACA972BCC9042B27B9B4 |
+--------------------------------------------------------------------+
| 5 | Chave de Cópia de Segurança | Versão : 2 |
| | | Sal : B60E21F9578D02A97964D7B10151BE69 |
| | | Rondas : 8000 |
| | | Algo Hash : CALG_SHA_512 |
| | | Algo Enc : CALG_AES_256 |
| | | Chave Enc : CD5D3684873D6A1D66520FB1642779E1 |
| | | D78A649F02DDFE7C069F9B5F8FF9F005 |
| | | 7DC01E0A6AA9A815C8887BC1BF5B88E6 |
| | | E797DC5F4A3A0535B3217BADC7FAD38E |
| | | 798C1846423C8631DE472D790B308B2D |
| | | F15340B87FCD55A98DAEE92196235CF9 |
| | | B328FAF475C05A911DF19C99D54D5A3C |
+--------------------------------------------------------------------+
| 6 | CredHist | Versão : 3 |
| | | GUID : {20e0b482-797f-429e-b4a0-30020731ef0a} |
+--------------------------------------------------------------------+
</td></tr>
<tr><td> efs.masterkey disk=0 volume=4 inode=0x80544 sid="S-1-5-21-1521398...3175218-1001" password="ntfst00l"</td></tr>
<tr><td>
[+] A abrir \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] A ler registo do ficheiro de chave mestra: 525636
[-] Chave Mestra
Algoritmo de Encriptação : CALG_AES_256
Algoritmo de Hash : CALG_SHA_512
Rondas : 8000
Sal : 3ED4CDBCC4073D6724A512061D0597E1
[+] A desencriptar chave mestra
[+] Chave Mestra em texto claro (256 bits):
34FAC126105CE302421A0FC7E3933FEC5639AA6BFF95000E6DA83AE67522EAB6
0AF58A27D834883B65611878B258AAAECD8983E3718E00F276178C5BFF4979EB
</td></tr>
</table>
### Reparse
<table>
<tr><td>reparse disk=0 volume=4</td></tr>
<tr><td>
[+] A abrir \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] A ler $Extend\$Reparse
[+] 104 entradas encontradas
+----------------------------------------------------------------------------------------------------------------+
| Id | Índice MFT | Nome do ficheiro | Tipo | Alvo/Dados |
+----------------------------------------------------------------------------------------------------------------+
| 0 | 00000eb3 | debian.exe | AppExecLink | TheDebianProject.DebianGNULinux_ |
| | | | | 76v4gfsz19hv4 |
| | | | | |
| | | | | TheDebianProject.DebianGNULinux_ |
| | | | | 76v4gfsz19hv4!debian |
| | | | | |
| | | | | C:\Program Files\WindowsApps\The |
| | | | | DebianProject.DebianGNULinux_1.2 |
| | | | | .0.0_x64__76v4gfsz19hv4\debian.e |
| | | | | xe |
+----------------------------------------------------------------------------------------------------------------+
...
+----------------------------------------------------------------------------------------------------------------+
| 13 | 000007f9 | BaseLayer | Ponto de Montagem | \??\Volume{629458e4-0000-0000-00 |
| | | | | 00-010000000000}\ |
+----------------------------------------------------------------------------------------------------------------+
| 14 | 00013e24 | Watchdog | Ponto de Montagem | \??\C:\Program Files\NVIDIA Corp |
| | | | | oration\NvContainer\Watchdog |
+----------------------------------------------------------------------------------------------------------------+
...
+----------------------------------------------------------------------------------------------------------------+
| 102 | 00035861 | C2R64.dll | Ligação Simbólica | \??\C:\Program Files\Common File |
| | | | | s\Microsoft Shared\ClickToRun\C2 |
| | | | | R64.dll |
+----------------------------------------------------------------------------------------------------------------+
| 103 | 000986b0 | All Users | Ligação Simbólica | \??\C:\ProgramData |
+----------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### Logfile-dump
<table>
<tr><td>logfile.dump disk=4 volume=1 output=logfile.csv format=csv</td></tr>
<tr><td>
[+] A abrir \\?\Volume{00000001-0000-0000-0000-000000000000}\
[+] A ler registo $LogFile
[-] Tamanho de $LogFile : 4.14 MiB
[+] A analisar páginas de reinício de $LogFile
[-] LSN da página de reinício mais recente : 5274485
[-] Volume marcado como desmontado de forma limpa
[-] Cliente encontrado : [1] NTFS
[+] A analisar páginas de registo de $LogFile
[-] Contagem de páginas de registo de $LogFile: 86
[+] A analisar registos de $LogFile: 601
[+] A fechar volume
</td></tr>
<tr><td>Amostra de logfile.csv</td></tr>
<tr><td><pre>LSN,ClientPreviousLSN,UndoNextLSN,ClientID,RecordType,TransactionID,RedoOperation,UndoOperation,MFTClusterIndex,TargetVCN,TargetLCN
5269000,5268967,5268967,0,1,24,SetNewAttributeSizes,SetNewAttributeSizes,2,10,43700
5269019,5269000,5269000,0,1,24,UpdateNonresidentValue,Noop,0,0,37594
5269044,5269019,5269019,0,1,24,SetNewAttributeSizes,SetNewAttributeSizes,2,10,43700
5269063,5269044,5269044,0,1,24,SetNewAttributeSizes,SetNewAttributeSizes,2,10,43700
5269082,5269063,5269063,0,1,24,UpdateNonresidentValue,Noop,0,0,37594
5269103,5269082,5269082,0,1,24,SetNewAttributeSizes,SetNewAttributeSizes,2,10,43700
5269122,5269103,0,0,1,24,ForgetTransaction,CompensationLogRecord,0,0,18446744073709551615
5269133,0,0,0,1,24,UpdateResidentValue,UpdateResidentValue,2,13,43703</pre>
</td></tr>
</table>
### USN-analyze
<table>
<tr><td>A partir de dump : usn.analyze from=usn_dump rules=d:\rules.json output=d:\usn_analyze_results.csv format=csv</td></tr>
<tr></tr>
<tr><td>A partir de sistema em execução : usn.analyze disk=4 volume=1 rules=d:\rules.json output=d:\usn_analyze_results.csv format=csv</td></tr>
<tr><td>
[+] A carregar regras de: d:\rules.json
[-] 4 regras carregadas
[+] A criar d:\usn_analyze_results.csv
[-] Modo: rápido
[+] A abrir \\?\Volume{498eed94-0000-0000-007e-000000000000}\
[+] A procurar $Extend\$UsnJrnl
[-] Encontrado no registo do ficheiro: 116
[-] Tamanho do fluxo $J: 31.70 KiB (pode ser esparso)
[+] A processar registos USN: 192 (31.70 KiB) - 9 correspondências
[+] A fechar volume
[+] Resumo:
+------------------------------------------------------+
| Índice | Categoria | Valor | % |
+------------------------------------------------------+
| 0 | criação de ficheiro | 125 | 65.10 |
| 1 | eliminação de ficheiro | 0 | 0.00 |
| 2 | mudança de nome de ficheiro | 8 | 4.17 |
| 3 | mais recente | 2022-03-28 23:23:12 | |
| 4 | mais antigo | 2022-03-28 13:20:08 | |
| 5 | contagem de registos | 192 | 100.00 |
+------------------------------------------------------+
[+] Resultados das regras:
+------------------------------------------+
| Índice | ID da Regra | Contagem | % |
+------------------------------------------+
| 0 | executable-create | 9 | 4.69 |
| 1 | ccleaner | 2 | 1.04 |
| 2 | lsass-dump | 1 | 0.52 |
+------------------------------------------+
</td></tr>
</table>
### USN-dump
<table>
<tr><td>usn.dump disk=4 volume=1 output=usn.csv format=csv</td></tr>
<tr><td>[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Encontrando registro $Extend\$UsnJrnl
[+] Encontrado no registro de arquivo: 88008
[+] Tamanho do fluxo $J: 60.24 GiBs (pode ser esparso)
[+] Criando d:\mft_c.csv
[+] Carregando registros $MFT
[+] Processando registros $MFT: 1.37 GiB
[+] 1436928 registro carregado
[+] Processando entrada: 322667 (34.12 MiBs)
[+] Fechando volume
</td></tr>
<tr><td>Amostra de usn.csv</td></tr>
<tr><td><pre>MajorVersion,MinorVersion,FileReferenceNumber,FileReferenceSequenceNumber,ParentFileReferenceNumber,ParentFileReferenceSequenceNumber,Usn,Timestamp,Reason,SourceInfo,SecurityId,FileAttributes,Filename
2,0,53,4,5,5,0,2020-02-26 21:43:36,FILE_CREATE,0,0,DIRECTORY,volume:\Nouveau dossier
2,0,53,4,5,5,96,2020-02-26 21:43:36,FILE_CREATE+CLOSE,0,0,DIRECTORY,volume:\Nouveau dossier
2,0,53,4,5,5,192,2020-02-26 21:43:38,RENAME_OLD_NAME,0,0,DIRECTORY,volume:\Nouveau dossier
2,0,53,4,5,5,288,2020-02-26 21:43:38,RENAME_NEW_NAME,0,0,DIRECTORY,volume:\test
2,0,53,4,5,5,360,2020-02-26 21:43:38,RENAME_NEW_NAME+CLOSE,0,0,DIRECTORY,volume:\test
2,0,53,4,5,5,432,2020-02-26 21:43:39,OBJECT_ID_CHANGE,0,0,DIRECTORY,volume:\test
2,0,53,4,5,5,504,2020-02-26 21:43:39,OBJECT_ID_CHANGE+CLOSE,0,0,DIRECTORY,volume:\test
2,0,54,2,53,4,576,2020-02-26 21:43:41,FILE_CREATE,0,0,ARCHIVE,volume:\test\Nouveau document texte.txt</pre>
</td></tr>
</table>
### Sombra
<table>
<tr><td>shadow disk=0 volume=4</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[+] Cabeçalho VSS encontrado em 0x1e00
+---------------------------------------------------------------------------------------------------------------+
| SetID/ID | Contagem | Data | Detalhes |
+---------------------------------------------------------------------------------------------------------------+
| {857c9ac4-ee4f-4bc6-b822-59e935a7120f} | 1 | 2020-09-21 00:15:38 | Máquina de Serviço : WORK-PC10 |
| | | | Máquina de Origem : WORK-PC10 |
| {3d102db1-8de2-4e7d-8ba5-e0dd4f67740d} | | | Estado : Criado |
| | | | Sinalizadores : 0x0042000d |
| | | | - Persistente |
| | | | - Acessível ao Cliente|
| | | | - Sem Liberação Autom.|
| | | | - Diferencial |
| | | | - Recuperação Autom. |
+---------------------------------------------------------------------------------------------------------------+
| {83bc8af4-8802-4466-ae38-717f6474616a} | 1 | 2020-09-22 06:10:00 | Máquina de Serviço : WORK-PC10 |
| | | | Máquina de Origem : WORK-PC10 |
| {e668c329-66a2-4ebd-beef-3c6bca81cbf7} | | | Estado : Criado |
| | | | Sinalizadores : 0x0042000d |
| | | | - Persistente |
| | | | - Acessível ao Cliente|
| | | | - Sem Liberação Autom.|
| | | | - Diferencial |
| | | | - Recuperação Autom. |
+---------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>
### Fluxos
<table>
<tr><td>streams disk=0 volume=4 from=c:\test.pdf</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{ee732b26-571c-4516-b8fd-32282aa8e66b}\
[-] Origem : c:\test.pdf
[-] Nº do Registro : 13525 (000034d5h)
[+] Fluxo(s) de dados alternativo(s):
+-----------------------------+
| Id | Nome | Tamanho |
+-----------------------------+
| 0 | Zone.Identifier | 27 |
+-----------------------------+
</td></tr>
</table>
### Recuperar
<table>
<tr><td>undelete disk=4 volume=1</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{00000001-0000-0000-0000-000000000000}\
[+] Lendo registro $MFT
[+] Tamanho $MFT : 256.00 KiBs (~256 registros)
[+] Lendo registro $BITMAP
[+] Tamanho $BITMAP : 16.00 KiBs
[+] Procurando arquivos excluídos
[+] Tamanho dos dados processados : 262144 (100%)
[+] Duração : 7ms
Arquivos Excluídos Encontrados
------------------------------
+---------------------------------------------------------------------------------------------------------------+
| Id | Índice MFT | Flag | Nome do Arquivo | Tamanho | Data de Exclusão | % Recuperável |
+---------------------------------------------------------------------------------------------------------------+
| 0 | 00000029 | | .\$RECYCLE.BIN\[...]\$RAV85W4.jpg | 5.10 KiBs | 2020-02-26 21:29:03 | 100.00 |
+---------------------------------------------------------------------------------------------------------------+
| 1 | 00000035 | | .\$RECYCLE.BIN\[...]\$IAV85W4.jpg | 58.00 bytes | 2020-02-26 21:29:03 | 100.00 |
+---------------------------------------------------------------------------------------------------------------+
</td></tr>
<tr><td>undelete disk=2 volume=1 format=csv output=mydeletedfiles.csv</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{498eed94-0000-0000-007e-000000000000}\
[-] Tamanho $MFT :34.00 MiBs (~34816 registros)
[-] Tamanho $BITMAP :14.32 MiBs
[+] Procurando arquivos excluídos
[-] Dados processados: 35651584 (100%)
[-] Duração : 425ms
[+] Arquivos excluídos : 127
[+] Gravando resultados em mydeletedfiles.csv (csv)
[+] Concluído
</td></tr>
<tr><td>undelete disk=4 volume=1 inode=41 output=restored_kitten.jpg</td></tr>
<tr><td>
[+] Abrindo \\?\Volume{00000001-0000-0000-0000-000000000000}\
[+] Lendo registro de arquivo : 41
[+] Extraindo $RAV85W4.jpg para restored_kitten.jpg
[+] 5219 bytes gravados
</td></tr>
</table>
### Shell
<table>
<tr><td>shell disk=4 volume=1</td></tr>
<tr><td>
disk4:volume1:> ls
Inode | Tipo | Nome | Tamanho | Data de Criação | Atributos
---------------------------------------------------------------------------------------
4 | | $AttrDef | 2560 | 2020-02-26 16:35:29 | Hi Sy
8 | | $BadClus | 0 | 2020-02-26 16:35:29 | Hi Sy
| ADS | $Bad | 536866816 | |
6 | | $Bitmap | 16384 | 2020-02-26 16:35:29 | Hi Sy
7 | | $Boot | 8192 | 2020-02-26 16:35:29 | Hi Sy
11 | DIR | $Extend | | 2020-02-26 16:35:29 | Hi Sy
2 | | $LogFile | 4341760 | 2020-02-26 16:35:29 | Hi Sy
0 | | $MFT | 262144 | 2020-02-26 16:35:29 | Hi Sy
1 | | $MFTMirr | 4096 | 2020-02-26 16:35:29 | Hi Sy
50 | DIR | $RECYCLE.BIN | | 2020-02-26 16:40:34 | Hi Sy
9 | | $Secure | 0 | 2020-02-26 16:35:29 | Hi Sy
| ADS | $SDS | 264200 | |
10 | | $UpCase | 131072 | 2020-02-26 16:35:29 | Hi Sy
| ADS | $Info | 32 | |
3 | | $Volume | 0 | 2020-02-26 16:35:29 | Hi Sy
5 | DIR | . | | 2020-02-26 16:35:29 | Hi Sy
85010 | | 7z1900-x64.exe | 1447178 | 2020-07-29 17:19:49 | Ar
| ADS | Zone.Identifier | 123 | |
42 | | hello.txt | 5 | 2020-02-26 21:27:33 | Ar
39 | | kitten1.jpg | 23486 | 2020-02-26 16:37:23 | Ar
| ADS | Zone.Identifier | 154 | |
40 | | kitten2.jpg | 79678 | 2020-02-26 16:37:55 | Ar
| ADS | Zone.Identifier | 303 | |
41 | | kitten3.jpg | 5219 | 2020-02-26 16:38:16 | Ar
| ADS | Zone.Identifier | 262 | |
36 | DIR | System Volume Information| | 2020-02-26 16:35:29 | Hi Sy
disk4:volume1:> pwd
\
disk4:volume1:> cat hello.txt
Hey !
disk4:volume1:> cat 7z1900-x64.exe:Zone.Identifier
[ZoneTransfer]
ZoneId=3
ReferrerUrl=https://www.7-zip.org/download.html
HostUrl=https://www.7-zip.org/a/7z1900-x64.exe
disk4:volume1:> cp kitten3.jpg z:\custestkitten.jpg
1 arquivo copiado
disk4:volume1:> exit
</td></tr>
</table>
### SMART
<table>
<tr><td>smart disk=1</td></tr>
<tr><td>
Versão : 1 revisão 1
Tipo : Mestre SATA/IDE no canal primário
Capacidades : ATA, ATAPI, S.M.A.R.T
Status : Aprovado
-- ID do Dispositivo
+---------------------------------------------------------------------------------------------------+
| Propriedade | Valor |
+---------------------------------------------------------------------------------------------------+
| Configuração Geral | 0040h |
| Número de Cilindros | 16383 |
| Reservado | c837h |
| Número de Cabeças | 16 |
| Bytes por Trilha | 0 |
| Bytes por Setor | 0 |
| Setores por Trilha | 63 |
| Exclusivo do Fabricante | |
| Número de Série | S2RBNX0H606448W |
| Tipo de Buffer | 0 |
| Tamanho do Buffer | 0 |
| Tamanho ECC | 0 |
| Revisão do Firmware | EMT02B6Q |
| Número do Modelo | Samsung SSD 850 EVO 500GB |
| Número Máximo de Setores em Leitura/Gravação | 32769 |
| Palavra Dupla IO | 16385 |
| Capacidades | Reservado : 0000h |
| | Suporte DMA : Sim |
| | Suporte LBA : Sim |
| | Desabilitar IORDY : Sim |
| | IORDY : Sim |
| | Requer início suave ATA : Não |
| | Suporte a Operação Sobreposta: Sim |
| | Suporte a Fila de Comando: Não |
| | Suporte DMA Entrelaçado : Não |
| Reservado1 | 4000h |
| Temporização PIO | 512 |
| Temporização DMA | 512 |
| Validade do Campo | Número CHS : Sim |
| | Número do Ciclo : Sim |
| | Ultra DMA : Sim |
| Número atual de cilindros | 16383 |
| Número atual de cabeças | 16 |
| Número atual de setores por trilha | 63 |
| Configuração de Setores Múltiplos | 16514064 |
| Número Total de Setores Endereçáveis (LBA) | 268435455 |
| Suporte a Transferência DMA de Palavra Única | 0 |
| Suporte a Transferência DMA de Múltiplas Palavras | Modo 0 (4.17Mb/s) |
| | Modo 1 (13.3Mb/s) |
| | Modo 2 (16.7Mb/s) |
| Modos PIO Avançados | 0003h |
| Tempo Mínimo de Ciclo de Transferência DMA Multipalavra| 120 |
| Tempo Recomendado de Ciclo de Transferência DMA Multip | 120 |
| Tempo Mínimo de Ciclo de Transferência PIO (Sem Ctrl) | 120 |
| Tempo Mínimo de Ciclo de Transferência PIO (Com Ctrl) | 120 |
| Suporte ATA | ATA-2 |
| | ATA-3 |
| | ATA-4 |
| | ATA/ATAPI-5 |
| | ATA/ATAPI-6 |
| | ATA/ATAPI-7 |
| | ATA/ATAPI-8 |
| | ATA/ATAPI-9 |
| Suporte a Transferência Ultra DMA | Modo 0 (16.7MB/s) |
| | Modo 1 (25.0MB/s) |
| | Modo 2 (33.3MB/s) |
| | Modo 3 (44.4MB/s) |
| | Modo 4 (66.7MB/s) |
| | Modo 5 (100.0MB/s) (selecionado) |
| | Modo 6 (133.0MB/s) |
+---------------------------------------------------------------------------------------------------+
-- Atributos
+-------------------------------------------------------------------------------------------------------------------+
| Índice | Nome | Sinalizadores | Bruto | Valor | Pior | Limiar | Status |
+-------------------------------------------------------------------------------------------------------------------+
| 05h | Contagem de Setores Realocados | 0033h | 000000000000h | 100 | 100 | 10 | Ok |
| 09h | Horas de Funcionamento | 0032h | 000000008d54h | 92 | 92 | 0 | Ok |
| 0ch | Ciclos de Energia | 0032h | 0000000000f5h | 99 | 99 | 0 | Ok |
| b1h | Variação da Faixa de Desgaste | 0013h | 00000000005eh | 95 | 95 | 0 | Ok |
| b3h | Contagem de Blocos Reservados Usados (Total) | 0013h | 000000000000h | 100 | 100 | 10 | Ok |
| b5h | Total de Falhas de Gravação | 0032h | 000000000000h | 100 | 100 | 10 | Ok |
| b6h | Falhas de Apagamento | 0032h | 000000000000h | 100 | 100 | 10 | Ok |
| b7h | Contagem de Erros de Redução Sata | 0013h | 000000000000h | 100 | 100 | 10 | Ok |
| bbh | Erros Incorrigíveis Relatados | 0032h | 000000000000h | 100 | 100 | 0 | Ok |
| beh | Diferença de Temperatura de 100 | 0032h | 000000000020h | 68 | 50 | 0 | Ok |
| c3h | ECC de Hardware Recuperado | 001ah | 000000000000h | 200 | 200 | 0 | Ok |
| c7h | Taxa de Erros Udma Crc | 003eh | 000000000000h | 100 | 100 | 0 | Ok |
| ebh | Contagem de Blocos Bons e Livres do Sistema | 0012h | 000000000071h | 99 | 99 | 0 | Ok |
| f1h | Gravações Vitalícias do Host em GiB | 0032h | 00154bf298c9h | 99 | 99 | 0 | Ok |
+-------------------------------------------------------------------------------------------------------------------+
</td></tr>
</table>