TAR Archive
| Format | TAR Archive |
|---|---|
| Kurzname | TAR |
| Kategorie | Archiv |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (TarVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Standard-Archivformat unter Unix, das Dateien und Verzeichnisbäume mit vollständig erhaltenen Metadaten verpackt. TAR selbst komprimiert nicht, meist wird es mit gzip (.tar.gz/.tgz), bzip2 (.tar.bz2) oder xz (.tar.xz) kombiniert. Aufbau: Jeder Dateieintrag hat einen 512-Byte-Header mit Dateiname, Berechtigungen, UID/GID (als oktales ASCII), Dateigröße und mtime (Unix-Epoche in Sekunden als oktales ASCII). Vier Hauptvarianten: V7 (keine Magic), USTAR/POSIX ('ustar\0' an Offset 257, ergänzt uname/gname und längere Pfade), GNU tar ('ustar \0' mit zwei Leerzeichen) und PAX/POSIX.1-2001 (USTAR + erweiterte Header-Datensätze für Zeitstempel unterhalb der Sekunde, unbegrenzte Pfadlängen und UTF-8-Kodierung). Forensisch relevant als: Firmware-Pakete von Samsung (.tar.md5), App-Pakete von iOS/macOS (.ipa sind ZIP, einige Backup-Formate verwenden aber TAR), Linux-Backup-Archive, Docker-Image-Layer und Ausgaben forensischer Tools. TAR hat keinen Löschmechanismus: Aktualisierte Dateien werden als neue Einträge angehängt, ersetzte Versionen derselben Datei bleiben im Archiv. Die mtime in den Headern kann ursprüngliche Dateizeitstempel des Quellsystems zeigen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 257 (0x101) | 75 73 74 61 72 | ustar | USTAR/GNU-Magic ('ustar') an Offset 257 im ersten Header-Block |
Bekannte Dateiendungen
.tar, .tgz, .tar.gz, .tar.bz2, .tar.xz
Referenzen
- TAR format specification (GNU tar manual) https://www.gnu.org/software/tar/manual/html_node/Standard.html
- TAR archive format overview (Wikipedia) https://en.wikipedia.org/wiki/Tar_(computing)
- The tar archive format, its extensions, and why GNU tar extracts in quadratic time (mort.coffee, 2022) https://mort.coffee/home/tar/
Diesen Eintrag zitieren
Crush-Format-Referenz, „TAR Archive“. https://kalink0.github.io/crush-forensics/formats/de/tar/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden