Forensics on Roduygo | Blog

Phân tích NTFS

Fri, 08 May 2026 15:30:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Windows OS & SOC Analytics! Ở bài viết trước, chúng ta đã hiểu được bức tranh tổng thể về File System và “chiêu trò” giấu mã độc qua Alternate Data Streams (ADS).Hôm nay, chúng ta sẽ cầm kính lúp pháp y (Forensics) để soi vào tận cùng cấu trúc NTFS, bóc tách cuốn sổ cái MFT và trích xuất các “camera an ninh” ngầm của hệ thống.

1. Kiến trúc tổng thể của NTFS: Đường đi của một tệp tin

Để hiểu NTFS, trước tiên ta cần nắm được cách nó phân chia ổ đĩa. NTFS chia đĩa thành các Cluster (thường là 4KB). Ngay cả khi một file chỉ nặng 2KB, nó vẫn chiếm trọn 1 Cluster 4KB, phần dư thừa đó (Slack Space) không cho file khác dùng. Điều này giúp NTFS tăng tốc độ ghi đọc theo khối lớn và hỗ trợ điều tra dấu vết mã độc.

Cấu trúc cốt lõi của một phân vùng NTFS bao gồm 4 phần chính:

Boot Sector: Nằm ở phần đầu phân vùng, chứa Jump code để boot và vị trí của MFT.
MFT (Master File Table): Cuốn sổ cái lưu trữ mọi thông tin.
MFT Mirror ($MFTMirr): Bản sao lưu một phần của MFT để phục hồi khi lỗi.
Data Area: Khu vực chứa nội dung dữ liệu thực sự của file.

Luồng hoạt động khi bạn mở một tệp: Hệ thống đọc Boot Sector -> Xác định vị trí MFT -> Đọc bản ghi (Record) của file trong MFT -> Tìm ra Cluster chứa dữ liệu -> Lấy dữ liệu từ Data Area.

2. Bóc tách “Trái tim” MFT (Master File Table)

Trong NTFS, mọi thứ đều là một tệp, kể cả chính hệ thống tệp. MFT thực chất là một tệp đặc biệt có tên $MFT. Cuốn sổ cái này được chia thành hàng nghìn bản ghi (MFT Records) có kích thước cố định. Mỗi tệp tin hoặc thư mục trên máy tính của bạn đều tương ứng với đúng 1 Record bên trong $MFT.

2.1 Giải phẫu một MFT Record

Một bản ghi MFT chứa siêu dữ liệu (Metadata) cực kỳ chi tiết, bao gồm:

Standard Information (Thông tin tiêu chuẩn): Chứa các dấu thời gian (Timestamps), quyền hạn, và các cờ như Read-only, Hidden, System.
File Name: Tên của tệp hoặc thư mục.
Data Attribute (Thuộc tính dữ liệu): Đây là phần thú vị nhất. Nếu file của bạn cực nhỏ (dưới vài trăm byte), NTFS sẽ nhét thẳng nội dung của file đó vào bên trong MFT Record (gọi là Resident Data). Nếu file lớn, phần này sẽ chứa danh sách các con trỏ (Data Runs) trỏ ra các Cluster ngoài Data Area (gọi là Non-Resident Data).
Security Descriptor: Chứa danh sách kiểm soát truy cập (ACL) quy định ai được phép đọc/ghi file.

2.2 Góc nhìn Điều tra số

MFT là “mỏ vàng” vì những lý do sau:

Cờ In Use: Xác định xem bản ghi này đang chứa một file hoạt động hay file đã bị xóa. Khi bạn xóa một file, dữ liệu trên đĩa chưa mất đi, NTFS chỉ đổi cờ In Use thành “chưa sử dụng”. Do đó, các tệp bị xóa vẫn tồn tại bản ghi trong MFT, hỗ trợ việc khôi phục dữ liệu (Carving).
Số thứ tự (Sequence Number): Bộ đếm tăng lên khi một bản ghi MFT được sử dụng lại cho file khác, giúp phân biệt file cũ và mới trên cùng một mục nhập.
Phân tích Dòng thời gian (Timeline): MFT lưu trọn bộ 4 mốc thời gian MACB: Modified (Sửa đổi nội dung), Accessed (Truy cập cuối), Created (Tạo lập), và MFT Record Modified (Sửa đổi siêu dữ liệu). Đây là bằng chứng thép để tái tạo trình tự sự kiện của mã độc.

Bạn có thể dùng công cụ MFTECmd.exe của Eric Zimmerman để trích xuất $MFT ra file CSV và đọc bằng Timeline Explorer:

:: Lệnh trích xuất và phân tích file $MFT
MFTECmd.exe -f C:\Evidence\$MFT --csv C:\Evidence --csvf MFT_record.csv

3. “Camera an ninh” của NTFS: $LogFile và USN Journal

Khi mã độc hoạt động, nó thường tạo file, ghi dữ liệu, rồi xóa ngay lập tức để phi tang dấu vết. Tuy nhiên, mọi hành động này đều bị hai “camera an ninh” của NTFS ghi lại trọn vẹn.

3.1 $LogFile (Nhật ký giao dịch)

$LogFile là một tệp siêu dữ liệu đặc biệt ghi lại mọi thay đổi (tạo, xóa, sửa tệp) trước khi chúng được ghi chính thức xuống đĩa. Chức năng gốc của nó là để hệ thống có thể “phát lại” (replay) các giao dịch và khôi phục tính nhất quán nếu máy tính bị sập nguồn đột ngột.

3.2 $USNJrnl (Update Sequence Number Journal)

Nếu $LogFile phục vụ cho hệ thống, thì USN Journal là bản ghi lịch sử tuyệt vời dành cho các dịch vụ theo dõi và giám sát. Nó nằm ẩn trong thư mục $Extend\$UsnJrnl ở thư mục gốc.

Đặc biệt, $USNJrnl bao gồm thành phần chính là $J, nơi lưu trữ các bản ghi thay đổi thực tế. Đáng chú ý, $J được Windows triển khai dưới dạng một luồng dữ liệu ẩn Alternate Data Stream (ADS) – chính là kỹ thuật chúng ta đã phân tích ở bài số 4!

Khi phân tích file $J (bằng MFTECmd), chúng ta sẽ thấy các mã sự kiện (Update Reasons) “tố cáo” mã độc:

USN_REASON_FILE_CREATE: Tệp mã độc mới được tạo.
USN_REASON_DATA_OVERWRITE: Dữ liệu trong tệp đã bị ghi đè.
USN_REASON_FILE_DELETE: Tệp mã độc vừa tự xóa chính nó.
USN_REASON_RENAME_OLD_NAME: Tệp tin bị đổi tên (thường thấy trong các vụ tấn công Ransomware đổi đuôi file).

4. Khám phá góc khuất $I30 (NTFS Index Allocation)

Để truy tìm dấu vết của các tệp tin đã bị xóa bốc hơi hoàn toàn khỏi MFT, các chuyên gia Forensics sẽ tìm đến một thuộc tính ẩn khác gọi là $I30.

Thuộc tính $I30 là một chỉ mục (Index) thư mục, có nhiệm vụ duy trì cấu trúc sắp xếp các tệp và thư mục con bên trong một ổ đĩa NTFS.

Góc nhìn Forensics: Khi một tệp bị xóa, đổi tên hoặc di chuyển sang thư mục khác, tên của tệp đó sẽ bị gạch bỏ khỏi chỉ mục hoạt động của $I30. Tuy nhiên, dữ liệu văn bản chứa tên tệp đó vẫn còn sót lại trong vùng không gian trống (Slack Space) của tệp $I30 cho đến khi bị ghi đè. Bằng cách quét vùng không gian Slack Space này, chúng ta có thể chứng minh được sự tồn tại trong quá khứ của một công cụ hack hoặc một tệp tin dữ liệu nhạy cảm mà kẻ tấn công tưởng chừng đã xóa sạch không tì vết.

Qua bài viết này, chúng ta đã đi sâu vào tận cùng các khối cấu trúc tĩnh của hệ thống tệp NTFS. Bằng cách kết hợp phân tích MFT, USN Journal và chỉ mục $I30, không một hành vi tạo, xóa hay sửa đổi tệp tin nào của mã độc có thể qua mắt được bạn. Ở bài viết tiếp theo, chúng sẽ chuyển sang một lĩnh vực đầy tính động và cực kỳ hấp dẫn: Giải phẫu Windows Registry và các điểm neo duy trì sự hiện diện của Malware. Đừng bỏ lỡ nhé!

File System - NTFS, FAT32 và ADS

Fri, 08 May 2026 11:30:00 +0700

Ở các bài viết trước, chúng ta đã “mổ xẻ” quá trình khởi động và đọc hiểu cấu trúc phân vùng ổ cứng ở mức vật lý. Nhưng khi hệ điều hành đã lên, làm sao nó biết tệp tin malware.exe nằm ở đâu giữa hàng tỷ byte dữ liệu hỗn độn? Hôm nay, chúng ta sẽ bước vào thế giới của Hệ thống tệp (File System) – người quản lý kho vĩ đại của hệ điều hành, và khám phá những góc khuất mà hacker thường lợi dụng để ẩn mình.

1. Hệ thống tệp (File System) thực chất là gì?

Nếu bạn tưởng tượng ổ cứng vật lý là một cái kho chứa khổng lồ trống rỗng, thì Tệp (File) chính là những thùng hàng chứa đồ đạc. Vậy Hệ thống tệp (File System) là gì? Nó chính là thủ kho và bộ sổ sách quản lý. Thủ kho sẽ quyết định thùng hàng này đặt ở kệ nào, ghi chú vào sổ để khi bạn cần, họ có thể lấy ra ngay lập tức.

Về mặt kỹ thuật, đĩa vật lý chia thành các Sector (đơn vị lưu trữ nhỏ nhất, thường là 512 byte). Tuy nhiên, để quản lý dễ dàng hơn, hệ điều hành gom các Sector lại thành các Cluster (Liên cung). Một Cluster là “đơn vị thuê đất” nhỏ nhất; một tệp dù chỉ chứa 1 chữ cái cũng sẽ được cấp ít nhất 1 Cluster.

Nếu không có Hệ thống tệp, dữ liệu trên ổ cứng sẽ chỉ là một khối bit khổng lồ không có điểm bắt đầu hay kết thúc.

2. FAT32: Kẻ lỗi thời nhưng không thể thay thế

FAT32 (File Allocation Table 32-bit) ra đời từ thời Windows 95 để thay thế cho FAT16, sử dụng 28-bit để đánh số Cluster. Mặc dù đã cũ, nó vẫn được dùng rất phổ biến trên USB, thẻ nhớ máy ảnh và các thiết bị IoT vì tính tương thích cao với mọi hệ điều hành.

2.1 Kiến trúc cốt lõi của FAT32

Một phân vùng FAT32 được chia làm 3 vùng chính:

Reserved Region (Vùng lưu trữ): Chứa Boot Sector (Sector 0) lưu các tham số cấu hình BIOS (BPB) và FSInfo (Sector 1) lưu số lượng Cluster còn trống.
FAT Region (Vùng bảng FAT): Cuốn “mục lục” khổng lồ của ổ đĩa. Nó chứa Bảng cấp phát tệp (thường có FAT1 và bản dự phòng FAT2) ghi lại tệp nào nằm ở Cluster nào và Cluster tiếp theo là gì.
Data Region (Vùng dữ liệu): Nơi chứa nội dung thực sự của các tệp và Thư mục gốc.

Cơ chế nối xích (Cluster Chain): Khi bạn lưu một file nặng 10KB vào đĩa có Cluster 4KB, file sẽ bị cắt làm 3 phần. Bảng FAT sẽ ghi lại mối liên kết: “Cluster A trỏ tới B”, “Cluster B trỏ tới C”, và “Cluster C là kết thúc (EOF)”.

2.2 Những giới hạn “huyền thoại” và Dấu vết Forensics

Điểm yếu chí mạng của FAT32 là nó chỉ hỗ trợ kích thước file tối đa 4GB và Windows mặc định chỉ cho tạo phân vùng tối đa 32GB. Ngoài ra, nó không hỗ trợ tính năng phân quyền bảo mật (như NTFS), ai cắm USB vào cũng có thể đọc được file.

Góc nhìn Forensics: Khi một tệp bị xóa trên FAT32, hệ thống không hề xóa dữ liệu thực sự. Nó chỉ đổi ký tự đầu tiên của tên tệp thành mã Hex 0xE5 để báo hiệu rằng vùng nhớ đó đã “được giải phóng”. Bằng các công cụ chuyên dụng (như Autopsy), SOC Analyst hoàn toàn có thể khôi phục lại (Carving) các tệp tin mã độc đã bị hacker vội vàng xóa đi.

3. NTFS: Kẻ kế thừa mạnh mẽ và phức tạp

Để đáp ứng nhu cầu bảo mật và lưu trữ khổng lồ, Windows hiện đại chuyển sang dùng NTFS (New Technology File System). NTFS vượt qua giới hạn 4GB, hỗ trợ phân quyền truy cập (ACLs), nén file và đặc biệt là khả năng tự phục hồi nhờ tính năng Nhật ký (Journaling).

Cấu trúc NTFS bao gồm: Boot Sector, MFT (Master File Table), MFT Mirror (bản sao dự phòng), và Vùng dữ liệu (Data Area).

3.1 “Trái tim” MFT (Master File Table)

MFT là một tệp đặc biệt có tên $MFT. Trong NTFS, mọi thứ đều là một tệp, kể cả chính hệ thống tệp! Mỗi tệp, thư mục trên ổ đĩa đều có một bản ghi (Record) tương ứng bên trong MFT.

Bản ghi MFT chứa siêu dữ liệu cực kỳ chi tiết: Tên tệp, quyền truy cập, dấu thời gian (MACB - Modified, Accessed, Created, Birth), và con trỏ trỏ đến vị trí Cluster chứa dữ liệu thực sự. Nếu một tệp có kích thước cực nhỏ, nội dung của nó thậm chí được lưu trực tiếp ngay bên trong bản ghi MFT (Resident Data)!

3.2 “Camera an ninh” Journaling ($LogFile và $USNJrnl)

Đây là “mỏ vàng” cho Blue Team khi điều tra dấu vết mã độc:

$LogFile: Ghi lại mọi thay đổi siêu dữ liệu (tạo, xóa, sửa tệp) trước khi chúng được ghi xuống đĩa, giúp hệ thống khôi phục tính nhất quán nếu bị sập nguồn.
$USNJrnl (Update Sequence Number Journal): Nằm trong thư mục $Extend, nó cung cấp bản ghi lịch sử mọi hoạt động của tệp tin. Nếu mã độc tạo một file rồi xóa ngay lập tức để phi tang, $USNJrnl (cụ thể là luồng dữ liệu $J) vẫn lưu lại mã sự kiện USN_REASON_FILE_CREATE và USN_REASON_FILE_DELETE.

4. Alternate Data Streams (ADS) - Kỹ thuật ẩn mình của Mã độc

Cuối cùng, chúng ta sẽ đề cập đến góc khuất nguy hiểm nhất của NTFS: Alternate Data Streams (ADS).

Theo thiết kế ban đầu, ADS là một tính năng ẩn giúp một tệp tin NTFS có thể chứa nhiều luồng dữ liệu (streams) khác nhau. Luồng chính chứa nội dung mà chúng ta nhìn thấy, trong khi luồng phụ chứa các siêu dữ liệu. Điển hình nhất, Windows dùng luồng Zone.Identifier để đánh dấu các tệp được tải về từ Internet nhằm hiển thị cảnh báo bảo mật.

Kỹ thuật giấu mã độc (Hide Payload): Hacker nhận ra rằng luồng phụ của ADS có thể chứa một lượng dữ liệu bất kỳ mà dung lượng file hiển thị bên ngoài trong File Explorer không hề thay đổi. Chúng có thể đính kèm một mã độc nặng hàng chục Megabyte vào đằng sau một tệp .txt vô hại nặng vài Kilobyte!

4.1 Thực hành tạo và phát hiện ADS

Bạn có thể tự tay tạo một luồng ADS bằng lệnh Command Prompt rất đơn giản:

:: Nhét dòng chữ "hiden" vào luồng phụ mang tên "hiden" đằng sau tệp hiddendata.txt
notepad hiddendata.txt:hiden

:: Nhét toàn bộ nội dung của tệp hinhconmeo.jpg vào luồng ADS của file hiddendata.txt
type hinhconmeo.jpg > hiddendata.txt:hinhmeo.jpg

Để phát hiện mã độc đang lẩn trốn trong ADS, lệnh dir thông thường sẽ hoàn toàn vô dụng. Bạn bắt buộc phải thêm tham số /r:

:: Kiểm tra các tệp có chứa luồng dữ liệu ẩn (ADS)
dir /r

Khi chạy lệnh này, bạn sẽ thấy kết quả hiển thị dạng <Tên_tệp>:<Tên_luồng>:$DATA (ví dụ: hiddendata.txt:hiden:$DATA), bóc trần hoàn toàn vị trí ẩn náu của tệp tin độc hại.

Tóm lại, hiểu thấu bề mặt cấu trúc File System không chỉ giúp chúng ta biết máy tính lưu trữ dữ liệu ra sao, mà còn cung cấp bộ công cụ tối thượng để săn lùng các đoạn mã độc cố tình bị xóa hoặc bị che giấu tinh vi. Trong bài viết tiếp theo, chúng sẽ chuyển hướng sang một khu vực nhạy cảm không kém: Giải phẫu “Bộ não” cấu hình Windows Registry và các điểm neo duy trì sự hiện diện của Malware. Các bạn nhớ đón đọc nhé!

Giải phẫu ổ cứng (Forensics)

Thu, 07 May 2026 16:40:00 +0700

Ở bài viết trước, chúng ta đã đi qua bức tranh tổng thể của quá trình khởi động. Nhưng đối với một nhà phân tích SOC hay chuyên gia điều tra số (Forensics), “nhìn thấy” hệ điều hành khởi động là chưa đủ. Chúng ta cần phải nhìn thấu vào từng Byte, từng khối Hex trên mặt đĩa vật lý để biết hacker đang giấu gì. Hôm nay, hãy cùng mình mở công cụ HxD lên và đi sâu vào giải phẫu MBR, GPT, đồng thời thực hành một kịch bản “cứu hộ” kinh điển: Khôi phục MBR bị mã độc phá hủy.

1. MBR (Master Boot Record) dưới lăng kính Hex

💡 Nhắc lại kiến thức: Ở bài viết trước, chúng ta đã tìm hiểu về cấu trúc 512 byte chật chội của MBR (gồm 446 byte Bootstrap, 64 byte Bảng phân vùng và 2 byte Chữ ký). Nếu bạn chưa nắm rõ phần này, hãy xem lại bài viết Khởi nguồn hệ thống - Windows Booting trước khi đi tiếp nhé!

1.1 Giải mã 16 Byte của Bảng phân vùng (Partition Table)

Nhìn vào 16 byte của một phân vùng trong HxD, làm sao ta đọc hiểu được nó? Hãy lấy ví dụ một chuỗi Hex chuẩn của phân vùng khởi động:

80 20 21 00 07 FE FF FF 00 08 00 00 00 B0 23 03

Đây là cách chúng ta hiểu nó:

Chỉ báo khởi động (Byte 1 - 80): Giá trị 80 nghĩa là phân vùng này có thể khởi động được (Active/Bootable). Nếu là 00 thì đây chỉ là ổ chứa dữ liệu bình thường.
Địa chỉ CHS bắt đầu (Byte 2,3,4 - 20 21 00): Tọa độ vật lý (Cylinder-Head-Sector) bắt đầu của đĩa. Ngày nay, thông số này không còn quá quan trọng.
Mã hệ thống tệp (Byte 5 - 07): Giá trị 07 khẳng định đây là phân vùng định dạng NTFS.
Địa chỉ CHS kết thúc (Byte 6,7,8 - FE FF FF): Tọa độ vật lý kết thúc của phân vùng.
Địa chỉ LBA bắt đầu (Byte 9,10,11,12 - 00 08 00 00): Tọa độ logic bắt đầu. Do Windows dùng định dạng Little-Endian (byte thấp đứng trước), ta phải đọc ngược lại thành 00 00 08 00. Đổi chuỗi Hex 0800 ra hệ thập phân ta được 2048. Nhân với 512 byte/sector, ta biết phân vùng này bắt đầu tại Offset 1048576 trên ổ cứng.
Kích thước phân vùng (Byte 13,14,15,16 - 00 B0 23 03): Đọc ngược Little-Endian thành 03 23 B0 00. Chuyển sang thập phân là 52,670,464 sectors. Nhân với 512 byte, ta tính ra phân vùng này nặng khoảng 26,967,277,568 bytes (xấp xỉ 26.9 GB).

Mẹo thực hành: Trong HxD, bạn có thể bấm Ctrl + G (Go to), nhập giá trị thập phân 1048576 vào ô Offset để nhảy thẳng đến vị trí bắt đầu của hệ điều hành.

2. Thử khôi phục MBR bị xóa

Kịch bản sự cố: Máy chủ cơ sở dữ liệu quan trọng đột nhiên không thể khởi động. Điều tra cho thấy một nhân viên đã vô tình mở email chứa mã độc. Hệ thống bị ép khởi động lại và báo lỗi “Operating System not found”. Mọi nghi ngờ đổ dồn vào một Bootkit đã phá hủy MBR.

Tiến hành phân tích: Khi load file Image của ổ cứng nạn nhân vào HxD và soi vào Sector 0, ta phát hiện một điểm chí mạng: Ở Offset 000001F0 (cuối Sector 0), thay vì kết thúc bằng chữ ký chuẩn 55 AA, nó lại chứa toàn 00 00. Không có chữ ký này, BIOS không công nhận đây là một ổ đĩa hợp lệ!

Cách khôi phục:

Dò tìm VBR (Volume Boot Record): Dù MBR bị xóa, nhưng phân vùng chứa hệ điều hành vẫn còn. Theo tiêu chuẩn mặc định của Windows, phân vùng đầu tiên (LBA bắt đầu) thường nằm ở Sector 2048.
Xác nhận: Di chuyển tới Sector 2048. Nếu ta nhìn thấy chuỗi chữ ký NTFS hoặc thông điệp lỗi dạng A disk read error occurred... NTLDR is missing, thì xin chúc mừng, dữ liệu chưa hề mất.
Tái tạo: Bằng các công cụ chuyên dụng (như Bootrec.exe hoặc TestDisk), ta có thể ghi lại 446 byte mã khởi động và chèn lại chữ ký 55 AA vào vị trí cũ, cứu sống hoàn toàn máy chủ mà không làm mất một bit dữ liệu nào.

3. Sự tiến hóa mang tên GPT (GUID Partition Table)

MBR có giới hạn chí mạng: Nó chỉ hỗ trợ tối đa 4 phân vùng và không thể quản lý dung lượng đĩa quá 2 Terabytes. Để đáp ứng các server khổng lồ, UEFI và GPT (hỗ trợ lên đến 9 Zettabyte, 128 phân vùng) ra đời.

Để đảm bảo tương thích ngược và tránh việc các công cụ định dạng cũ tưởng nhầm đĩa GPT là đĩa trắng rồi “vô tình” ghi đè, GPT tạo ra một lớp giáp gọi là Protective MBR (MBR bảo vệ).

3.1 MBR Bảo vệ (Protective MBR)

Nó vẫn nằm ở Sector 0. Cấu trúc của nó y hệt MBR cũ, chứa đủ 55 AA ở cuối, nhưng bảng phân vùng của nó chỉ khai báo đúng 1 phân vùng duy nhất, chiếm toàn bộ đĩa đệm với mã loại (Type) là EE. Mã EE là tín hiệu để các hệ thống cũ lùi lại: “Đây là đĩa GPT, đừng có đụng vào!”

4. Giải phẫu GPT Header và Partition Entry Array

Với GPT, mọi thứ thực sự bắt đầu từ Sector 1 và Sector 2.

4.1 GPT Header (Sector 1)

GPT Header chiếm 92 byte đầu tiên của Sector 1. Khi nhìn vào Hex, bạn sẽ thấy nó cực kỳ rõ ràng:

Chữ ký (8 Byte đầu): Luôn là 45 46 49 20 50 41 52 54 (Dịch ra mã ASCII là “EFI PART”).
Bảo vệ toàn vẹn (CRC32): GPT lưu mã Hash CRC32 của chính nó. Nếu mã độc sửa đổi dù chỉ 1 byte trong Header, CRC32 sẽ thay đổi, UEFI sẽ lập tức phát hiện và báo lỗi.
LBA dự phòng (Backup LBA): Một tính năng tuyệt vời của GPT! Nó khai báo vị trí của một bản sao lưu GPT Header ở tít tận Sector cuối cùng của ổ đĩa. Nếu Header chính bị mã độc phá, ta vẫn có thể dùng bản Backup để hồi sinh hệ thống.

4.2 Partition Entry Array (Mảng phân vùng - Sector 2 trở đi)

GPT hỗ trợ quản lý tới 128 phân vùng, mỗi phân vùng được cấp hẳn 128 Byte để lưu trữ thông tin (thay vì 16 byte chật hẹp như MBR).

Một Partition Entry trong GPT chứa gì?

GUID Loại Phân vùng (16 byte): Định danh loại phân vùng. Đặc biệt, nó được lưu dưới dạng Mixed-Endian (Trộn lẫn giữa Little-Endian và Big-Endian). 3 khối byte đầu phải đọc ngược, trong khi 2 khối sau giữ nguyên.
GUID Phân vùng duy nhất (16 byte): Căn cước công dân (ID) riêng biệt cho từng phân vùng đĩa.
LBA Bắt đầu & Kết thúc (16 byte): Vị trí chính xác của phân vùng.
Tên Phân vùng (72 byte): Được lưu dưới định dạng chuỗi UTF-16. Nếu ném đoạn Hex này vào tool convert, ta sẽ thấy rõ ràng các tên như “Basic data partition” hay “EFI system partition”.

Đặc biệt, hệ điều hành sẽ không boot từ một phân vùng chung chung nữa. Mọi file Bootloader (các file .efi) đều phải được đặt gọn gàng trong một khu vực riêng gọi là Phân vùng hệ thống EFI (ESP). Mã độc muốn can thiệp quá trình Boot trên máy UEFI buộc phải tìm cách chui lọt qua Secure Boot và ghi dữ liệu vào phân vùng ESP này.

Việc đọc hiểu mã Hex của ổ cứng giúp các SOC và Forensics không bị phụ thuộc vào các công cụ tự động. Khi hệ thống sụp đổ hoặc mã độc ẩn mình dưới lớp vỏ bọc, chính những byte dữ liệu thô này sẽ nói cho chúng ta biết sự thật. Ở bài viết tới, chúng ta sẽ bắt tay vào phân tích sâu hơn hệ thống tệp NTFS và kỹ thuật giấu file bằng Alternate Data Streams. Hẹn gặp lại các bạn!