9、Linux文件系统的取证分析与目录布局

Linux文件系统的取证分析与目录布局

1. 加密目录访问与配置文件对比

在进行取证分析时，需要对比取证分析机器和可疑驱动器上的 /etc/fscrypt.conf 文件，该文件包含配置数据，可能需要进行复制。

以下是使用 fscrypt 工具访问ext4文件系统加密目录证据的示例：

# mount /dev/sdb /evidence/ 
# fscrypt unlock /evidence/KEEPOUT/ 
Enter custom passphrase for protector "sam": 
"/evidence/KEEPOUT/" is now unlocked and ready for use.

操作步骤如下：
1. 使用 mount 命令将ext4分区挂载到 /evidence/ 目录。
2. 使用 fscrypt unlock 命令指定加密目录，并输入密码。所需的密钥信息存储在驱动器根目录的 .fscrypt/ 目录中，但需要密码来解密。

需要注意的是，在 fscrypt 中，元数据未加密。无论目录是锁定还是解锁，使用 stat 或 istat 获取的inode信息都是相同的。即使目录被加密（锁定），时间戳、所有权、权限等信息也都是可见的。