読者です 読者をやめる 読者になる 読者になる

アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

SANS ポスター:Windows Artifact Analysis(26) Jump Lists

フォレンジック

Windows 7 の Jump Lists ファイルである、 89b0d939f117f75c.automaticDestinations-ms ファイル構造の続きになります。
オフセット 1024 からの1セクタ分は[MS-CFB]のPage 23 に記載がある Compound File Directory Entry になります。ディレクトリエントリの各サイズは 128byte の固定長です。
オフセット 1024 から 128byte を抜粋したものが下記データになります。ディレクトリエントリの1レコード分という事になります。

52 00 6F 00 6F 00 74 00 20 00 45 00 6E 00 74 00
72 00 79 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
16 00 05 00 FF FF FF FF FF FF FF FF 03 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 00 00 60 0E 85 2C
E4 50 CF 01 03 00 00 00 C0 10 00 00 00 00 00 00

まず最初に Directory Entry Name (64 bytes)が出てきます。UTF-16LEで文字列が保存されており、NULLでターミネートになります。テキストの文字列としては R·o·o·t· ·E·n·t·r·y という事になります。

52 00 6F 00 6F 00 74 00 20 00 45 00 6E 00 74 00
72 00 79 00 00 00

オフセット 64 からの 2バイトは Directory Entry Name Length ですので、今回のケースでは 16 00 ですので 10進数で 22byte となり、先ほどのNameのバイト数と一致してきます。
次のオフセット66からの1バイトは Object Type ですが、0x05 ですのでPage 25では Root Storage Object と定義されている事が確認できます。

Compound File Directory Entry で注目する項目としてはオフセット100から存在する下記の項目でしょうか。

オフセット、長さ、項目
100 8 Creation Time
108 8 Modified Time
116 4 Starting Sector Location
120 8 Stream Size

上記のデータでは、Starting Sector Location が 3、Stream Size が 4288 という事になります。