Btrfs
| Format | Btrfs |
|---|---|
| Kurzname | Btrfs |
| Kategorie | Dateisystem |
| Plattformen | Linux |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Ein Copy-on-Write-Dateisystem für Linux mit Subvolumes und Snapshots (Standard auf Desktops von openSUSE und Fedora, Synology-NAS). Metadatenbäume werden bei jeder Transaktion an neue Stellen geschrieben, daher können frühere Baumgenerationen und Snapshot-Inhalte vorherige Dateiversionen enthalten. Der Superblock behält zusätzlich vier Backup Roots, die auf frühere Baumgenerationen verweisen, und Superblock-Spiegel liegen bei 64 MiB und 256 GiB, sofern das Gerät groß genug ist.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 65600 (0x10040) | 5F 42 48 52 66 53 5F 4D | _BHRfS_M | Superblock-Magic '_BHRfS_M' (Superblock bei 64 KiB) |
| Offset unbekannt | 5F 42 48 52 66 53 5F 4D | _BHRfS_M | Magic der Superblock-Spiegel bei 64 MiB + 0x40 und 256 GiB + 0x40 (falls vorhanden) |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- On-disk Format (Btrfs documentation) https://btrfs.readthedocs.io/en/latest/dev/On-disk-format.html
Diesen Eintrag zitieren
Crush-Format-Referenz, „Btrfs“. https://kalink0.github.io/crush-forensics/formats/de/btrfs/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden