ZFS
| Format | ZFS |
|---|---|
| Kurzname | ZFS |
| Kategorie | Dateisystem |
| Plattformen | Linux |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Copy-on-Write-Dateisystem und Volume-Manager (OpenZFS), verbreitet auf NAS- und Serversystemen. Jedes Gerät trägt vier Labels zu 256 KiB (zwei am Anfang, zwei am Ende), jeweils mit einer Name/Value-Liste, die Pool- und Gerätekonfiguration beschreibt, und einem Ring von Uberblocks, die auf die aktuelle und die letzten Transaction Groups verweisen. Da Blöcke nie an Ort und Stelle überschrieben werden, können frühere Transaction Groups und Snapshots vorherige Dateiversionen bewahren. Keine Signatur an Offset 0; Uberblocks finden sich im Ring, der 128 KiB nach Beginn jedes Labels anfängt.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | 0C B1 BA 00 00 00 00 00 | ........ | Uberblock-Magic 0x00BAB10C (Little-Endian) im Uberblock-Ring 128 KiB nach Beginn jedes Labels |
| Offset unbekannt | 00 00 00 00 00 BA B1 0C | ........ | Uberblock-Magic 0x00BAB10C (Big-Endian) |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- uberblock_impl.h (OpenZFS source) https://github.com/openzfs/zfs/blob/master/include/sys/uberblock_impl.h
- vdev_impl.h — vdev label layout (OpenZFS source) https://github.com/openzfs/zfs/blob/master/include/sys/vdev_impl.h
Diesen Eintrag zitieren
Crush-Format-Referenz, „ZFS“. https://kalink0.github.io/crush-forensics/formats/de/zfs/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden