exFAT
| Format | exFAT |
|---|---|
| Kurzname | exFAT |
| Kategorie | Dateisystem |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Extended FAT von Microsoft für Flash-Medien: SDXC-Karten, große USB-Laufwerke und Kameras. Dateien werden durch Entry Sets beschrieben (File-, Stream-Extension- und File-Name-Einträge), deren Zeitstempel eine Auflösung von 10 ms und einen UTC-Offset haben. Zusammenhängende Dateien haben unter Umständen gar keine FAT-Kette. Ein gelöschtes Entry Set behält seine Daten, das In-Use-Bit ist zurückgesetzt.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 3 (0x3) | 45 58 46 41 54 20 20 20 | EXFAT | Dateisystemname 'EXFAT ' im Bootsektor |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- exFAT File System Specification (Microsoft) https://learn.microsoft.com/en-us/windows/win32/fileio/exfat-specification
- File Allocation Table (FAT) format, incl. exFAT (libyal/libfsfat) https://github.com/libyal/libfsfat/blob/main/documentation/File%20Allocation%20Table%20(FAT)%20format.asciidoc
- abrignoni/qnxprobe — MBR/GPT, LVM2 and filesystem reader for raw images (QNX6/QNX4, ETFS, EFS, ext2/3/4, F2FS, FAT32/16/12, exFAT, NTFS, HFS+, APFS, QNX IFS, SquashFS, JFFS2, UBI/UBIFS, YAFFS) https://github.com/abrignoni/qnxprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „exFAT“. https://kalink0.github.io/crush-forensics/formats/de/exfat/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden