EnCase Logical Evidence
| Format | EnCase Logical Evidence |
|---|---|
| Kurzname | L01 |
| Kategorie | logisches Image |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (LogicalEvidenceVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Logische Beweisdatei von EnCase (.L01): Kopien ausgewählter Dateien und Ordner statt eines Datenträgers. Keine Partitionstabelle, kein Dateisystem, kein Unallocated-Bereich, gelöschte Daten sind also nur enthalten, wenn sie ausgewählt wurden. Nutzt die EWF-Segmentstruktur (.L01 … .L99, dann .LAA …). Ein Abschnitt 'ltree' speichert den Dateibaum mit Namen, Pfaden, Zeitstempeln, Attributen und MD5/SHA1-Hashes pro Datei, der Dateiinhalt liegt in komprimierten Chunks. Verbreitet bei gezielten und Triage-Sicherungen sowie bei Beweismitteln, die von Dritten übergeben werden. Der Inhalt kann von jedem System stammen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 4C 56 46 09 0D 0A FF 00 | LVF..... | L01-Signatur ('LVF' + Steuerbytes) |
Bekannte Dateiendungen
.l01
Referenzen
- Expert Witness Compression Format (EWF) — libewf project (L01 section) https://github.com/libyal/libewf/blob/main/documentation/Expert%20Witness%20Compression%20Format%20(EWF).asciidoc
- ForensicsWiki — EnCase image file format (incl. L01) https://forensics.wiki/encase_image_file_format/
Diesen Eintrag zitieren
Crush-Format-Referenz, „EnCase Logical Evidence“. https://kalink0.github.io/crush-forensics/formats/de/l01/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden