Die Größe vom MFT im HexDump analysieren: Ein tiefer Einblick in das NTFS-Dateisystem

In der komplexen Welt der Dateisysteme ist das Verständnis der zugrunde liegenden Strukturen entscheidend, insbesondere wenn es um Datenwiederherstellung, forensische Analysen oder einfach nur um ein tieferes Systemverständnis geht. Das NTFS-Dateisystem, das Herzstück moderner Windows-Betriebssysteme, ist dabei keine Ausnahme. Seine Effizienz und Robustheit basieren maßgeblich auf einer zentralen Komponente: der Master File Table (MFT). Doch wie groß ist diese MFT eigentlich und wie können wir ihre Größe – und damit indirekt auch die Informationen über unser Dateisystem – direkt in einem HexDump analysieren? Dieser Artikel nimmt Sie mit auf eine detaillierte Reise in die Innereien von NTFS und zeigt Ihnen, wie Sie mit einem Hex-Editor die Größe der MFT entschlüsseln können.

Die Grundlagen des NTFS-Dateisystems

Bevor wir uns in die binären Tiefen eines HexDumps stürzen, ist es unerlässlich, die Rolle von NTFS und insbesondere der MFT zu verstehen. NTFS (New Technology File System) wurde von Microsoft entwickelt, um die Einschränkungen älterer Dateisysteme wie FAT zu überwinden. Es bietet erweiterte Funktionen wie Journaling (für verbesserte Datenintegrität), Dateiberechtigungen, Komprimierung, Verschlüsselung und Unterstützung für sehr große Dateien und Partitionen.

Das Herzstück von NTFS ist die Master File Table (MFT). Stellen Sie sich die MFT als eine riesige Datenbank vor, die Metadaten zu jeder Datei und jedem Verzeichnis auf dem Volume speichert. Von der kleinsten Textdatei bis zum Betriebssystemkern, jedes Objekt auf einem NTFS-Volume hat mindestens einen Eintrag in der MFT. Diese Einträge, auch File Records genannt, enthalten wichtige Informationen wie Dateinamen, Zeitstempel, Sicherheitsattribute, die physische Position der Daten auf der Festplatte und vieles mehr.

Die MFT ist selbst eine Datei, genauer gesagt die erste Datei auf dem Volume, mit der internen ID 0 ($MFT). Direkt dahinter folgt die $MFTMirr (ID 1), eine Kopie der ersten vier kritischen MFT-Einträge, die als Notfall-Backup dient, falls die primäre MFT beschädigt wird. Das Verständnis dieser Selbstbezüglichkeit ist entscheidend für die Analyse.

Die innere Struktur der MFT: File Records und Attribute

Die MFT ist im Grunde ein Array von File Records fester Größe. Standardmäßig ist die Größe eines einzelnen File Records auf 1024 Bytes (1 KB) festgelegt, obwohl dies unter bestimmten Umständen variieren kann (z.B. bei sehr großen Volumes oder speziellen Konfigurationen, die die Größe in Clustern definieren). Jeder File Record beginnt mit einem festen Header, gefolgt von verschiedenen Attributen. Diese Attribute sind die Bausteine, die die eigentlichen Informationen über die Datei oder das Verzeichnis enthalten.

Einige der wichtigsten Attribute sind:

• $STANDARD_INFORMATION: Enthält grundlegende Dateieigenschaften wie Zeitstempel (Erstellungs-, Änderungs-, Zugriffszeit), Attribute (Archiv, System, Versteckt usw.) und Link-Anzahl.
• $FILE_NAME: Speichert den Dateinamen (kann mehrere Einträge haben, z.B. für lange und kurze DOS-Namen).
• $DATA: Das wichtigste Attribut, das entweder die tatsächlichen Daten der Datei enthält (bei kleinen Dateien, sogenanntes Resident Data) oder auf die Speicherorte der Daten auf der Festplatte verweist (bei größeren Dateien, sogenannte Data Runs).
• $BITMAP: Ein Attribut, das verfolgt, welche File Records in der MFT verwendet werden und welche frei sind. Dieses Attribut ist entscheidend, um die „belegte Größe” der MFT zu bestimmen.
• $MFT_BITMAP: Ein spezielles $BITMAP-Attribut, das sich im ersten MFT-Eintrag (der $MFT selbst) befindet und den Belegungsstatus *aller* MFT-Einträge auf dem Volume verfolgt.

Die MFT-Einträge sind fortlaufend nummeriert, beginnend bei 0. Der erste Eintrag (ID 0) ist immer die MFT selbst. Er enthält das $MFT_BITMAP-Attribut, das den Belegungsstatus der gesamten MFT abbildet. Die Einträge 1 bis 15 sind reserviert für Systemdateien (z.B. $MFTMirr, $LogFile, $Volume, $AttrDef, $Bitmap, $Boot, $BadClus, $Secure, $UpCase, $Extend). Ab Eintrag 16 beginnen die Einträge für Benutzerdateien und -verzeichnisse.

Wo finde ich die MFT-Informationen im HexDump? Der Bootsektor

Um die MFT im HexDump zu analysieren, müssen wir zunächst wissen, wo sie beginnt und welche Größe ihre einzelnen Einträge haben. Diese Informationen sind im Bootsektor (Volume Boot Record – VBR) des NTFS-Volumes gespeichert. Der Bootsektor befindet sich immer am logischen Sektor 0 des Volumes und enthält den sogenannten BIOS Parameter Block (BPB) und den erweiterten BPB (EBPB), die detaillierte Informationen über das Dateisystem und die Volume-Struktur enthalten.

Öffnen Sie einen Hex-Editor (z.B. HxD, WinHex oder 010 Editor) und laden Sie das gesamte Volume (nicht nur eine einzelne Datei). Navigieren Sie zum Beginn des Volumes (Offset 0). Hier finden Sie den Bootsektor. Innerhalb des Bootsektors sind folgende Offsets von größter Bedeutung für unsere Analyse der MFT:

• Offset 0x30 (48 in Dezimal): Dieser 8-Byte-Wert (Little-Endian) gibt die Start-Clusternummer der MFT an. Er sagt uns, bei welchem Cluster die MFT auf der Festplatte beginnt.
• Offset 0x38 (56 in Dezimal): Dieser 8-Byte-Wert (Little-Endian) gibt die Start-Clusternummer der MFT-Spiegelung ($MFTMirr) an. Dies ist der Speicherort der Backup-MFT-Einträge.
• Offset 0x40 (64 in Dezimal): Dieser 1-Byte-Wert definiert die Größe eines MFT-Eintrags. Die Interpretation dieses Bytes ist etwas trickreich:
  • Wenn der Wert positiv ist, stellt er die Größe in Clustern dar (2 hoch N Cluster, wobei N der Wert ist). Dies ist aber extrem selten für MFT-Einträge.
  • Wenn der Wert negativ ist (was durch das Setzen des höchsten Bits signalisiert wird, z.B. 0xF6), dann stellt er die Größe in Bytes dar. Der absolute Wert (N) muss dann als Exponent zur Basis 2 interpretiert werden. Ein Wert von 0xF6 ist -10 in einem vorzeichenbehafteten Byte, was bedeutet 2¹⁰ Bytes = 1024 Bytes (1 KB). Dies ist der Standardwert für die MFT-Eintraggröße.
• Offset 0x0B (11 in Dezimal): Dieser 2-Byte-Wert (Little-Endian) gibt die Bytes pro Sektor an.
• Offset 0x0D (13 in Dezimal): Dieser 1-Byte-Wert gibt die Sektoren pro Cluster an.

Diese Informationen ermöglichen es uns, die physische Startadresse der MFT zu berechnen und die Größe eines einzelnen MFT-Eintrags zu bestimmen.

Analyse der MFT-Größe im HexDump: Schritt für Schritt

Schritt 1: Den Bootsektor finden und interpretieren

Navigieren Sie zu Offset 0x00 des Volumes. Dies ist der Beginn des Bootsektors. Wir benötigen zunächst die Clustergröße. Die Clustergröße ist entscheidend, da die MFT-Startadresse in Clustern angegeben wird.

• Lesen Sie den Wert bei Offset 0x0B (Bytes pro Sektor, z.B. 0x00 0x02 für 512 Bytes).
• Lesen Sie den Wert bei Offset 0x0D (Sektoren pro Cluster, z.B. 0x08 für 8 Sektoren).
• Berechnen Sie die Bytes pro Cluster: (Bytes pro Sektor) * (Sektoren pro Cluster). Wenn Bytes pro Sektor = 512 und Sektoren pro Cluster = 8, dann ist die Clustergröße 4096 Bytes (4 KB).

Schritt 2: Die MFT Start Cluster Number identifizieren

Lesen Sie den 8-Byte-Wert bei Offset 0x30 (Little-Endian). Dies ist die MFT Start Cluster Number. Nehmen wir an, der Wert ist 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x04. Das bedeutet, die MFT beginnt bei Cluster 4.

Um die physische Byte-Adresse zu erhalten, multiplizieren Sie die MFT Start Cluster Number mit der Bytes pro Cluster: 4 (Cluster) * 4096 (Bytes/Cluster) = 16384 Bytes. Die MFT beginnt also bei Offset 16384 vom Start des Volumes.

Schritt 3: Die Größe der MFT-Einträge bestimmen

Lesen Sie den 1-Byte-Wert bei Offset 0x40. Wenn dieser Wert beispielsweise 0xF6 ist, bedeutet das im vorzeichenbehafteten Byte -10. Dies wird als 2¹⁰ Bytes interpretiert, was 1024 Bytes (1 KB) entspricht. Dies ist die feste Größe jedes einzelnen MFT File Records.

Damit wissen wir: Jeder Eintrag in der MFT belegt 1024 Bytes auf der Festplatte.

Schritt 4: Die tatsächliche Belegung der MFT ermitteln (dynamische Größe)

Die oben bestimmten Werte geben uns die Startposition der MFT und die Größe *eines einzelnen* Eintrags. Die „Gesamtgröße” der MFT ist jedoch dynamisch, da sie mit jeder neuen Datei oder jedem neuen Verzeichnis wächst. Um die *tatsächlich belegte Größe* der MFT zu ermitteln (d.h., wie viele MFT-Einträge aktuell in Gebrauch sind), müssen wir den $MFT_BITMAP-Attribut analysieren, der sich im ersten MFT-Eintrag (ID 0) befindet.

Navigieren Sie zur physischen Startadresse der MFT (berechnet in Schritt 2). Dort beginnt der erste MFT-Eintrag ($MFT itself). Innerhalb dieses Eintrags (ID 0) müssen Sie nach dem $MFT_BITMAP-Attribut suchen. Die Struktur der Attribute ist komplex und beinhaltet Attribute Header, die den Typ ($BITMAP, $DATA usw.), die Größe und ob es sich um Resident- oder Non-Resident-Daten handelt, definieren.

Der $MFT_BITMAP ist ein binäres Attribut, das als Bitmaske fungiert. Jedes Bit in dieser Maske repräsentiert einen MFT-Eintrag. Ein gesetztes Bit (1) bedeutet, dass der entsprechende MFT-Eintrag belegt ist, ein gelöschtes Bit (0) bedeutet, dass er frei ist. Indem Sie die Anzahl der gesetzten Bits in diesem Attribut zählen, können Sie die Gesamtanzahl der aktuell belegten MFT-Einträge bestimmen.

Sobald Sie die Anzahl der belegten Einträge haben, können Sie die Gesamtgröße der aktiv genutzten MFT berechnen:

Anzahl der belegten MFT-Einträge * Größe eines MFT-Eintrags (1024 Bytes)

Diese Größe repräsentiert den tatsächlich von der MFT belegten Speicherplatz, nicht die maximal mögliche Größe, die sie erreichen könnte. Es ist wichtig zu beachten, dass die MFT fragmentiert sein kann, d.h., ihre Blöcke sind nicht unbedingt physisch zusammenhängend, obwohl die MFT selbst versucht, zusammenhängend zu bleiben und einen Bereich (MFT Zone) für ihr Wachstum reserviert.

Praktische Anwendung und Tools

Die manuelle Analyse eines HexDumps kann zeitaufwändig und fehleranfällig sein. Für forensische oder detaillierte Analysen werden oft spezialisierte Tools eingesetzt:

• Hex-Editoren: Tools wie HxD (kostenlos), WinHex (kommerziell) oder 010 Editor (kommerziell) sind unverzichtbar für die direkte Betrachtung und Interpretation von Rohdaten. Sie bieten Funktionen wie das schnelle Navigieren zu Offsets, die Anzeige von Little-Endian-Werten und die Suche nach spezifischen Byte-Sequenzen.
• Disk-Imaging-Tools: Programme wie FTK Imager oder EnCase erstellen forensische Abbilder von Laufwerken und ermöglichen oft auch die interne Analyse von Dateisystemstrukturen, einschließlich der MFT.
• Forensische Frameworks/Bibliotheken: Für fortgeschrittene Anwender und Entwickler gibt es Bibliotheken wie The Sleuth Kit (TSK) oder Python-Module (z.B. `ntfs-3g` Bindings), die das Parsen von NTFS-Strukturen automatisieren und die Extraktion von MFT-Informationen erleichtern.

Herausforderungen und Best Practices

Die Arbeit mit HexDumps und NTFS birgt einige Herausforderungen:

• Little-Endian-Byte-Reihenfolge: Windows-Systeme speichern Multibyte-Werte in Little-Endian-Reihenfolge. Das bedeutet, das niederwertigste Byte steht an der niedrigsten Speicheradresse. Dies muss bei der Interpretation von Werten aus dem HexDump immer berücksichtigt werden.
• Fragmentierung der MFT: Obwohl NTFS bestrebt ist, die MFT zusammenhängend zu halten, kann sie fragmentieren, insbesondere auf stark genutzten oder vollen Laufwerken. Dies erschwert die manuelle Verfolgung der $DATA-Runs, die auf MFT-Segmente verweisen.
• Komplexität der Attributstrukturen: Die NTFS-Attributstrukturen sind hierarchisch und können komplex sein, insbesondere wenn Attribute nicht resident sind und auf externe Daten-Runs verweisen.
• Backups ($MFTMirr): Die Existenz der $MFTMirr ist ein Sicherheitsnetz. Bei Beschädigung der primären MFT können hierüber die ersten kritischen Einträge wiederhergestellt werden.
• Datenwiederherstellung: Ein tiefes Verständnis der MFT ist entscheidend für die Datenwiederherstellung. Gelöschte Dateien entfernen oft nur den Verweis im $FILE_NAME-Attribut oder markieren den MFT-Eintrag im $MFT_BITMAP als frei, lassen aber die eigentlichen Daten und den MFT-Eintrag selbst intakt, bis sie überschrieben werden.

Als Best Practice empfiehlt es sich, immer mit einer Kopie oder einem forensischen Abbild des Original-Volumes zu arbeiten, um Datenverlust oder weitere Beschädigungen zu vermeiden.

Fazit

Die Analyse der MFT-Größe und ihrer Struktur im HexDump ist eine fundamentale Fähigkeit für jeden, der tief in das NTFS-Dateisystem eintauchen möchte. Sie ermöglicht nicht nur ein präzises Verständnis, wie Dateien auf der Festplatte verwaltet werden, sondern ist auch eine unverzichtbare Technik in der Datenforensik und bei der Datenwiederherstellung. Indem Sie die Werte im Bootsektor interpretieren und die Logik hinter MFT-Einträgen und Attributen verstehen, können Sie nicht nur die statische Größe einzelner MFT-Einträge ermitteln, sondern auch die dynamische, belegte Größe der gesamten MFT abschätzen. Diese detaillierte Einblicke enthüllen die wahre Komplexität und Eleganz von NTFS und rüsten Sie mit dem Wissen aus, das Dateisystem auf einer ganz neuen Ebene zu verstehen und zu manipulieren.