☰

Como saber quando um disco (DVD) foi gravado/gravado?

tag-icon • tag-icon security dvd compact-disc burning forensics
Como saber quando um disco (DVD) foi gravado/gravado?

Existe uma maneira/ferramenta de determinar a data e a hora em que um disco foi gravado/gravado com alta certeza? Trata-se de análise forense de dados e deve ser uma prova sólida. Já experimentei o IsoBuster, mas não me mostrou a data/hora em que a faixa foi escrita.

Responder1

A maioria dos discos ópticos de dados usa oISO 9660padrão do sistema de arquivosVolume e estrutura de arquivos do CD-ROM para intercâmbio de informações, oEspecificação de formato de disco universalou ambos (chamados dePonte UDF).

Para descobrir qual, você pode executar

mount

no Linux após a montagem do disco para identificar o arquivo de dispositivo da unidade de disco óptico.

Exemplo de saída:

/dev/sr0 /media/dennis/CDROM iso9660 ro,nosuid,nodev,uid=1000,gid=1000,iocharset=utf8,mode=0400,dmode=0500,uhelper=udisks2 0 0

Aqui, o arquivo do dispositivo é /dev/sr0. O comando

disktype /dev/sr0

exibirá os sistemas de arquivos disponíveis. Se ambos estiverem presentes, a análise do ISO 9660 deverá ser mais fácil.

ISO 9660

O padrão especifica o campoData e hora de criação do volumecomo uma representação numérica do momento da criação do volume, escrita do 814º ao 830º byte doDescritor de volume primáriono seguinte formato:

YYYYMMDDHHMMSSCCO

ondeCCsão centésimos de segundo eÓé o deslocamento do GMT em intervalos de 15 minutos, armazenado como um número inteiro de 8 bits (representação em complemento de dois).

Os primeiros 32 KiB (32.768 bytes) do disco não são usados ​​pela ISO 9660 e o descritor acima segue imediatamente o bloco não utilizado, então estamos interessados ​​no 33.582º byte e nos 16 seguintes.

Essas informações podem ser analisadas por qualquer ferramenta que possa descarregar/ler os dados brutos no disco óptico. No Linux, você pode usarddpara despejar a parte relevante da imagem e hexdump para visualizar o último byte corretamente:

dd if=/dev/sr0 bs=1 skip=33581 count=17 | hexdump -C

Para meu LiveCD Ubuntu 12.04 x64, isso dá:

00000000  32 30 31 32 30 38 32 33  31 37 31 33 34 37 30 30  |2012082317134700|
00000010  00                                                |.|

então a imagem foi criada em23 de agosto de 2012, às 17:13:47,00 GMT.

UDF

A norma especifica o arquivadoGravação Data e Horacomo uma representação binária do momento da criação do volume primário, escrita no 376º ao 387º byte doDescritor de volume primáriono seguinte formato:

TT tT YY YY MM DD HH MM SS CC BB AA

Aqui, cada par é um octeto (byte), ou seja, XXé composto por dois números hexadecimais.

  • TT tTé umpequeno endianInteiro de 16 bits que representa o tipo e o fuso horário do carimbo de data/hora.

    Os 12 bits menos significativos ( TTT) contêm o fuso horário, codificado como o deslocamento do UTC em minutos como um número inteiro assinado (representação em complemento de dois).

    Os quatro bits mais significativos ( t) contêm o tipo (sempre 1, significando hora local).

  • YY YYé o ano codificado como assinadopequeno endianInteiro de 16 bits (representação em complemento de dois).

  • MM, DD, HH MM, SS, CCe são inteiros sem sinal de 8 bits que representam o mês, dia, hora, minuto, segundo, centissegundo, centenas de microssegundos e microssegundos de criação BB.AA

Novamente, os primeiros 32 KiB do disco não são usados ​​pela UDF. Além disso, os seguintes 32 KiB bytes são reservados para um sistema de arquivos legado ISO 9660 (que pode ocupar mais espaço, se presente).

Em um disco UDF "puro", o comando

dd if=/dev/sr0 bs=1 skip=65912 count=12 | hexdump -C

exibirá o carimbo de data/hora codificado.

Para fins de teste, criei uma imagem UDF com K3b. A saída do ddcomando foi a seguinte

00000000  4c 1f dd 07 03 01 0f 0b  11 00 00 00              |L...........|
0000000c

Análise:

  • 0xF4C (hexadecimal) é maior que 0x800 e – portanto – negativo. Descansar 0x1000 de 0xF4C dá -180 em decimal. Isso significa que o fuso horário é UTC - 3.

  • 0x07DD é 2013 em decimal (o ano de criação).

  • Os octetos restantes podem ser interpretados literalmente em sua representação hexadecimal (0x0F, 0x0B e 0x11 são 15, 11 e 17 em decimal).

    Isso significa que a imagem foi criada em1º de março de 2013, às 15:11:17.000000 UTC - 3.

Ressalvas

  • É fácil alterar esta data. Basta alterar a data do computador antes de criar a imagem.

  • Se a imagem for criada antes de ser gravada no disco, o horário anterior será gravado. Assim, o campo é apenas uma evidência potencial de discos criados pelo próprio proprietário.

Responder2

Sim, existe: datee timeatributos é o que você procura. Basta alterar a visualização da pasta e verificar Propriedades do arquivo.

Verificado há um minuto um disco no W7 e no Mac OS X. Veja as imagens abaixo.

insira a descrição da imagem aqui insira a descrição da imagem aqui

informação relacionada