SD-Karte Filesystem Block/Cluster-Versuche

sceptical schrieb:Ist 510 eigentlich nicht veröffentlicht worden?

Nein, das erste geleakte Nachtfoto ist 511. Von 510 ist nur die Größe (inkl. der exakten Cluster-Start und -End-Adressen) aus dem NFI-Bericht bekannt (via IP).

Der Mode bzgl. Bildnummerierung steht scheinbar doch nicht in den EXIF-Daten - jedenfalls konnte ich nichts finden, was danach aussähe.

In der Einstellung Zurücksetzen stellt der Zähler mit jedem neuen Monatsordner auf 1 zurück. Schon deswegen ist es wahrscheinlich, dass die Einstellung fortlaufende Nummerierung durchweg aktiv war. Die Lücke in der Nummerierung stellt hier also eigentlich kein Problem dar.

Da mein PC aktuell nicht läuft, konnte ich noch keine forensischen Tests machen. Allerdings ist mir aufgefallen, dass die Benennung der Dateien zumindest in der Anzeige im Kameradisplay nicht mit IMG beginnt sondern mit einer Ziffernfolge. Muss ich da noch irgendwas umstellen?

sceptical schrieb:In der Einstellung Zurücksetzen stellt der Zähler mit jedem neuen Monatsordner auf 1 zurück.

Das war mir noch gar nicht aufgefallen und hätte ich aus dem Manual auch anders verstanden, aber du hast recht.

sceptical schrieb:Da mein PC aktuell nicht läuft, konnte ich noch keine forensischen Tests machen. Allerdings ist mir aufgefallen, dass die Benennung der Dateien zumindest in der Anzeige im Kameradisplay nicht mit IMG beginnt sondern mit einer Ziffernfolge. Muss ich da noch irgendwas umstellen?

Nee, das ist korrekt so. Ordnernummer und Bildnummer werden angezeigt. Daraus ergibt sich der Ordnername nur teilweise (der Monats-Anteil fehlt) und der Dateiname (die Nummer ist ja der einzige variable Anteil). Den vollst. Dateinamen mit "IMG_" vorne und ".JPG" hinten kann man nicht direkt sehen.

Als nächstes habe ich den Einsatz einer zweiten Karte getestet. Entgegen irgendwelcher Aussagen im Handbuch passt er den Zähler bei einsetzen einer neuen Karte in der Einstellung fortlaufende Nummerierung tatsächlich nicht generell an. Es passiert nur dann, wenn auf der neuen Karte bereits eine Datei mit dieser Nummer existiert. Also Bilder bis Nummer 8, danach Kartentausch, dort Bild 9 und nach Rücktausch bekommt das nächste Bild auf der ursprünglichen Karte die Nummer 10. Es geht auch mit einer Videodatei.

Ob hierbei forensisch das gleiche Ergebniss rauskommt, konnte ich aus o.g. Grund noch nicht testen, aber ich vermute es.

Wenn du etwas Zeit hast, könntest du das Ergebnis mit der zweiten Karte eventuell mit deiner Kamera gegenprüfen?

@cyclic
@Offshore7

So, Rechner läuft wieder und ich bin im Zuge dessen gleich auf Linux umgestiegen. Kennt jemand gute Forensik-Tools ala WinHex unter Linux?

Sleuth bzw. Autopsie hatte ich schonmal unter Windows angetestet, aber die sagen mir nicht so zu.

@sceptical
Glückwunsch. Ich habe filefrag (Commandline-Tool), DMDE, ImHex benutzt. Man muss aber sagen, dass WinHex mehr hilfreiche high-level Funktionalitäten hat (ich kenne es aber auch nicht aus direkter Anschauung, da auch nur auf Linux).

Für den filefrag-Output habe ich ein Octave-/Matlab-Skript gebastelt, das man aber jeweils etwas tweaken muss.
DMDE hat einige Bugs.
ImHex: "moderne" UI - also etwas gewöhnungsbedürftig, und ziemlich low-level (Hex-Editor halt).

Nach einem Upgrade müsste ich auch erst schauen was bei mir noch läuft (filefrag sicher).

cyclic schrieb:ImHex: "moderne" UI - also etwas gewöhnungsbedürftig, und ziemlich low-level (Hex-Editor halt).

Habe ich gerade mal ausprobiert. Das geht ja eher in alle Richtungen, vor allen Dingen scheinbar in Richtung Cracking etc.

Ich finde es mit vielem für mich unnützem Zeug überladen. Da suche lieber nochmal weiter nach einem schlanken "nur Hex-Editor".
Aber die Idee mit dem integrierten "Pattern-Editor", wo man scheinbar selbst den Code anpassen kann, ist natürlich eine tolle Idee.

@cyclic

Könntest du mir eben mal aushelfen.

Ich habe ein Problem mit ImHex. Es läuft zwar, aber ich kann keine Laufwerke öffnen. Es kommt das Fenster "Data Sources Settings" nach klick auf "Raw Disk" mit einem leeren Eingabefeld. Nach erster Recherche im Internet müsste da eigentlich eine Liste mit Datenquellen auftauchen, oder muss ich da sowas wie /dev/sdb eingeben. Das hatte ich auch schon probiert, da findet er aber auch nichts. Ich habe ImHex schon als Flatpack und als AppImage installiert, es funktioniert aber in beiden Varianten nicht.

Weiterhin werde ich ein kleines Programm schreiben, welches in Inhalt der Katalogdateien auswertet. Du hattest ja bereits ein paar Datenfelder darin rekonstruieren können. Könntest du mir nochmal den Link dazu schicken, weil ich den Post dazu nicht mehr finde.