Copyright: © X-Ways Software Technology AG 1995-2008


Inhalt
WinHex/X-Ways Forensics

Allgemeines

Über WinHex/X-Ways Forensics	Bestellung

Unterschiede zwischen WinHex und X-Ways Forensics

X-Ways Forensics kennenlernen

Werkzeug Hex-Editor	Arbeitserleichterungen

Ganzzahlige Datentypen	Gleitkomma-Datentypen	Datumstypen

ANSI-/IBM-ASCII	Prüfsummen

Technische Hinweise	Rechtliche Hinweise

Forensische Features

Fallbearbeitung	Asservate/Beweisobjekte	Fallprotokoll 	Bericht

Interner Viewer	Registry-Bericht	Datei-Überblicke

Modus-Schalter (Disk, Datei, Vorschau, Details, Galerie, Kalender)

Parallele Suche	Suchtrefferlisten	Indexierung, Index-Suche

Hash-Datenbank	Zeitzonen-Konzept	Datei-Container

Verzeichnis-Browser	Berichtstabellen

Menüreferenz

Datei-Menü	Bearbeiten-Menü	Suchen-Menü

Position-Menü	Ansicht-Menü	Extras-Menü

Specialist-Tools	Optionen-Menü	Fenster-Menü

Hilfe-Menü	Kontextmenü	Kontextmenü des Verz.-Browsers

Ausgewählte Konzepte

Start-Center	Allgemeine Optionen

Zeichen eingeben	Editier-Modi	Statusleiste

Arbeitserleichterungen	Scripte	API

Disk-Editor	RAM-Editor

Konvertierungen	Daten modifizieren	Löschen und Initialisieren

Daten-Dolmetscher	Datenträger klonen

Positions-Manager 	Images und Sicherungen

Editieren mit Schablonen	Datenrettung	RAIDs zusammensetzen


Über »WinHex«
WinHex/X-Ways Forensics 15.1

X-Ways Software Technology AG

Carl-Diem-Str. 32

D-32257 Bünde

E-Mail: mail@x-ways.com

Fax: 0721-151 322 561

Handelsregister Bad Oeynhausen HRB 7475

Vorstand: Dipl.-Wirtsch.inf. Stefan Fleischmann

Programmiert und weiterentwickelt seit 1995, letzte Aktualisierung im September 2008.

Unterstützte Betriebssysteme: Windows 2000, Windows XP (empfohlen), Windows 2003 Server, Windows Vista/Windows 2008 Server (beide mit leichten Einschränkungen)

Die jeweils neueste Version dieses Programms finden Sie immer auf der Web-Site http://www.winhex.com. Besuchen Sie auch das WinHex-Forum unter http://www.winhex.net.

Für besonders zahlreiche und maßgebliche Anregungen zur Entwicklung von X-Ways Forensics und X-Ways Investigator gebührt unser Dank dem Landeskriminalamt Rheinland-Pfalz.

Zu den professionellen registrierten Benutzern gehören Universitäts- und nationale Forschungseinrichtungen (z. B. das Institut für Informatik der Technischen Universität München, die Technische Versuchs- und Forschungsanstalt der Technischen Universität Wien, das Institut für Astronomie der Universität Wien, das Oak Ridge National Laboratory in Tennessee, USA), Behörden wie die Bundesstelle für Flugunfalluntersuchung, das Landeskriminalamt Rheinland-Pfalz, das Landeskriminalamt Niedersachsen, Zollkriminalamt Köln, Polizei Bremen/LKA, Kriminalpolizeiinspektion Schweinfurt, Landespolizeidirektion Freiburg, Kriminalpolizei Passau, diverse nationale Strafverfolgungsbehörden, Regierungsorganisationen und militärische Einrichtungen insbes. in den USA und Deutschland, das Verteidigungsministerium von Australien sowie Unternehmen aus den verschiedensten Branchen, z. B. Siemens Business Services, Siemens VDO AG, Infineon Technologies Flash GmbH & Co. KG, Toshiba Europe, Hewlett Packard, Microsoft Corp., Ericsson, Commerzbank AG, Visa International, DePfa Deutsche Pfandbriefbank AG, Analytik Jena AG, Ontrack Data International Inc., Deloitte & Touche, KPMG Forensic, Ernst & Young, Novell Inc., Lockheed Martin, BAE Systems, TDK Corporation, Seoul Mobile Telecom. Bestellen auch Sie die Vollversion!

Übersetzung der Benutzeroberfläche:

Chinesisch: Sprite Guo

Japanisch: Ichiro Sugiyama

Französisch: Jérôme Broutin und Henri Pouzoullic, aktualisiert von Bernard Leprêtre

Spanisch: José María Tagarro Martí

Italienisch: Fabrizio Degni, aktualisiert von Michele Larese de Prata und Andrea Ghirardini

Portugiesisch: Heyder Lino Ferreira

Dank an Dr. A. Kuiper für seine Methode, Videos mit MPlayer zu verarbeiten.

Der MD5 Message-Digest wurde entwickelt von RSA Data Security Inc.

Die „zlib"-Datenkompression mit den Algorithmen Deflate und Inflate wurde entwickelt von Jean-loup Gailly und Mark Adler. ftp://ftp.cdrom.com/pub/infozip/zlib/zlib.html

X-Ways Forensics enthält Software von Igor Pavlov, www.7-zip.com.

Outside In® Viewer Technology © 1991, 2007, 2008 Oracle.

X-Ways Forensics enthält ein angepaßtes Kompilat von DevIL. DevIL wurde unter LGPL veröffentlicht (http://www.gnu.org/copyleft/lesser.html), Version 2.1. Der Original-Quellcode kann von http://openil.sourceforge.net/ heruntergeladen werden.

Parts of the registry viewer are copyright by Markus Stephany, dumphive_[at]_mirkes_[dot]_de. All rights reserved. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. Neither the name of Markus Stephany nor the names of its contributors may be used to endorse or promote products derived from this software without specific prior written permission. THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE  DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT OWNER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT

(INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.


Werkzeug Hex-Editor

Ein Hexadezimal-Editor ist in der Lage, den Inhalt einer Datei jedes Typs vollständig anzuzeigen. Im Gegensatz zu einem Text-Editor kann er alle Bytes einer Datei darstellen, auch Steuerzeichen (für Zeilenumbruch, Tabulator usw.) und Programmcode, und zwar unter Angabe einer zweistelligen Zahl des Hexadezimalsystems (16er-System).

Ein Byte ist eine Kombination aus 8 Bits. Jedes Bit enthält entweder eine 0 oder eine 1, hat also einen von zwei möglichen Zuständen. Ein Byte kann daher einen von 2 hoch 8 (=256) verschiedenen Werten annehmen. Da 256 das Quadrat von 16 ist, kann jedes Byte durch eine zweistellige Zahl aus dem Hexadezimalsystem repräsentiert werden. Jede der beiden Stellen steht für eine Tetrade (auch: ein Nibble) eines Bytes, d. h. 4 Bits. Die möglichen Ziffern dabei sind 0-9 und A-F. Durch Änderung dieser Ziffern kann man einem Byte einem neuen Wert zuweisen.

Genauso ist es möglich, die Zeichen zu editieren, die jedem Byte zugeordnet sind (Textmodus, s. a. »Zeichen eingeben«). Diese Zeichen können z. B. Buchstaben oder Satzzeichen sein. Beispiel: Ein Byte, das den dezimalen Wert 65 hat, wird vom Hex-Editor in der Hexadezimal-Schreibweise mit 41 angeben (4•16+1=65) und in der Zeichenschreibweise mit dem Buchstaben »A«. Die Zuordnung von Zeichen gibt der sog. Zeichensatz an.

Entscheidend beim Editieren einer Programmdatei (z. B. EXE-Datei) ist, daß nicht die Länge der Datei (die Anzahl der Bytes, die sie enthält) und damit die relativen Positionen von Programmcode und Daten verändert werden. Dies würde die Ausführbarkeit des Programmcodes beeinträchtigen. Es ist generell zu beachten, daß Änderungen an Dateiinhalten zu anormalen Verhaltensweise der zugehörigen Programme führen können. Für viele Zwecke genügt es, sich auf das Editieren des in einer Datei vorkommenden Textes beschränken. Es ist in jedem Fall ratsam, vor dem Bearbeiten eine Sicherung der Datei anzulegen.

Sie werden feststellen, daß WinHex vor der Benutzung aller entscheidenden Funktionen Sicherheitsabfragen durchführt, die Fehlbedienungen vorbeugen.


Bestellung

Sie dürfen WinHex bis zu 45 Tage lang kostenlos ausprobieren. Für den regulären Gebrauch und für den Gebrauch als Vollversion benötigen Sie eine private, professionelle oder Specialist-Basislizenz. Wenn Sie WinHex auf mehr als einem Rechner installieren möchten, benötigen Sie entsprechend Zusatzlizenzen. Mit der Vollversion können Sie Dateien speichern, die größer als 200 KB sind, mit dem Disk-Editor Sektoren schreiben und virtuellen Arbeitsspeicher editieren.

• Private Lizenzen sind zu einem reduzierten Preis verfügbar für den nicht-kommerziellen Einsatz außerhalb von Unternehmen, Institutionen und öffentlicher Verwaltung.

• Professionelle Lizenzen erlauben die Benutzung der Software in jeder Umgebung (privat oder gewerblich, zu Hause, in Unternehmen, Organisationen und öffentlicher Verwaltung) und ermöglichen die Benutzung eigener Scripte und der WinHex API.

• Specialist-Lizenzen erlauben zusätzlich den Gebrauch der Specialist-Tools, das Interpretieren der Dateisysteme Ext2, Ext3, CDFS/ISO9660 und UDF, und sie bieten Unterstützung für RAID und dynamische Platten. Insbes. geeignet für IT-Sicherheitsexperten. Außerdem ist X-Ways Replica 1.3 enthalten, ein DOS-basiertes Programm zum forensisch sicheren Klonen von Festplatten und zur Erstellung von Image-Dateien.

• Forensische Lizenzen ermöglichen zusätzlich die mächtige Verwaltung von Fällen, die automatische Erstellung von Berichten, den internen Viewer  und die separate Viewer-Komponente, die Galerie-Ansicht, alle fortgeschrittene Aspekte von erweiterten Datei-Überblicken, alle Spalten und Filter im Verzeichnis-Browser, Kommentare und Berichtstabellen sowie Unterstützung für die Dateisystem ReiserFS, Reiser4, HFS, HFS+ und UFS. Ferner erlauben sie die Erstellung und Interpretation von Evidence-Files (.e01) u. v. a. m. Besonders nützlich für Ermittler in der Computerforensik. Die forensische Edition von WinHex heißt X-Ways Forensics. Bei Erwerb einer forensischen Lizenz erhalten Sie einen Dongle zum Ausführen der Software. Ebenfalls enthalten ist X-Ways Replica 2.36, mit fortgeschrittenen Klon- und Imaging-Features unter DOS.

Preise

Private Lizenzen:	EUR 37,73 zzgl. Mwst. = EUR 44,90 (Basislizenz)

EUR 29,33 zzgl. Mwst. = EUR 34,90 (je Zusatzlizenz)

Professionelle Lizenzen:	EUR 69,90 zzgl. Mwst. (Basislizenz)

EUR 45,90 zzgl. Mwst. (je Zusatzlizenz)

Specialist-Lizenzen:	EUR 169,90 zzgl. Mwst. (Basislizenz)

EUR 99,90 zzgl. Mwst. (je Zusatzlizenz)

X-Ways Forensics:	EUR 659,90 zzgl. Mwst. (1 Lizenz)

(=forensische Lizenzen)	EUR 606,90 zzgl. Mwst. pro Stück bei 2-4 Lizenzen

EUR 557,90 zzgl. Mwst. pro Stück ab 5 Lizenzen

Updates, die in den 12 Monate nach Kauf einer aktuellen Version veröffentlicht werden, sind im Preis enthalten. Forensische Lizenzen mit 24 statt 12 Monaten Update-Berechtigung: +33%.

Alle Preise verstehen sich zzgl. 19% Mwst. bei Erwerb innerhalb der Europäischen Union. Wenn Sie in US-Dollar bezahlen möchten, beachten Sie bitte die englische Anleitung.

Je nach Zahlungsweise können die Preise nach oben abweichen. Am kostengünstigsten erhalten Sie die Software bei Zahlung per Überweisung auf u. a. Konto. Falls Sie von außerhalb der Euro-Zone überweisen, addieren Sie bitte EUR 7 hinzu. Bestellmöglichkeiten im Internet (incl. Zahlung per Kreditkarte) finden Sie unter http://www.x-ways.net/order-d.html und http://www.x-ways.net/order2-d.html.

Nach Erhalt der Lizenzgebühr erhalten Sie die Freischaltcodes und Instruktionen zu deren Benutzung, damit Sie WinHex als Vollversion verwenden können.

Im Handelsregister eingetragene Unternehmen sowie Behörden und Institutionen können auf offene Rechnung bestellen. Bitte geben Sie dabei möglichst eine E-Mail-Adresse an.

Anschrift:

X-Ways Software Technology AG

Carl-Diem-Str. 32

D-32257 Bünde

Homepage: http://www.x-ways.net

E-Mail: mail@x-ways.com

Fax: 0721-151 322 561

Bitte besuchen Sie die WinHex-Website, um herauszufinden, ob es bereits eine neuere Version dieses Programms gibt.

Bankverbindung:

Kontoinhaber: X-Ways AG

Kontonr.: 2705390

BLZ: 48070024 (Deutsche Bank PGK)

Für Überweisungen aus dem Ausland:

SWIFT/BIC: DEUT DE 3B 492

IBAN: DE28 4807 0024 0270 5390 00

Adresse der Bank: Deutsche Bank, Filiale Bünde, Bahnhofstr. 7-9, 32257 Bünde, Germany

Vielen Dank für Ihre Bestellung!


Ganzzahlige Datentypen

Format/Typ	Bereich	Beispiel

8 Bit, vorzeichenbehaftet	-128...127 	FF = -1

8 Bit, vorzeichenlos	0...255     	FF = 255

16 Bit, vorzeichenbehaftet	-32.768...32.767	00 80 = -32.768

16 Bit, vorzeichenlos	0...65.535	00 80 = 32.768

24 Bit, vorzeichenbehaftet	-8.388.608...8.388.607	00 00 80 = -8.388.608

24 Bit, vorzeichenlos	0...16.777.215	00 00 80 = 8.388.608

32 Bit, vorzeichenbehaftet	-2.147.483.648...2.147.483.647	00 00 00 80 = -2.147.483.648

32 Bit, vorzeichenlos	0...4.294.967.295	00 00 00 80 = 2.147.483.648

64 Bit, vorzeichenbehaftet	-2^63...2^63-1	00 00 00 00 00 00 00 80 = -2^63

Sofern nicht anders angegeben, sind ganzzahlige Datentypen im Little-Endian-Format gespeichert. D. h. das erste Byte einer Zahl ist das niederstwertige und das letzte Byte ist das höchstwertige. Dies ist das gebräuchliche Format für Computer, auf denen Windows läuft.

Wenn beispielsweise in einer Datei die Hex-Werte 10 27 stehen, so entspricht dies als numerischer 16-Bit-Wert der Hexadezimal-Zahl 2710 (was ins Dezimalsystem umgerechnet 10000 bedeutet). Ebenso erscheint die Hexadezimal-Zahl 123 als 23 01. Das Byte mit dem Wert 23 ist das niederwertige (es enthält die Einer- und die 16er-Stelle der Zahl) und kommt daher zuerst.

Eine weitere Besonderheit ist beim Interpretieren von Daten-Bytes als numerische Werte zu beachten: Zahlen, die größer als die Hälfte der Maximalzahl verschiedener Werte eines Zahlentyps sind (8 Bit: 2 hoch 8=256, 16 Bit: 2 hoch 16=65536), können als negative Zahlen übersetzt werden. Der Hex-Wert 8235 (der in einer Datei als 35 82 erscheint, s. o.), kann ins Dezimalsystem zu 33333 umgerechnet werden. Ein Programm, das den 16-Bit-Wert aber vorzeichenbehaftet liest, erhält aber die Zahl "-32203". Diese zweite Möglichkeit ergibt sich, wenn von der Übersetzung als vorzeichenloser Wert die Maximalzahl verschiedener numerischer Werte des Zahlentyps subtrahiert wird (Beispiel: 33333-65536=-32203).

Die Darstellung in der Statusleiste, der Daten-Dolmetscher (der Daten in allen obigen Formaten auf einmal übersetzen kann) und die Funktion »Ganze Zahl suchen« im Suchen-Menü berücksichtigen die genannten Besonderheiten automatisch.


Gleitkomma-Datentypen

signifikante

Typ	Bereich	Stellen	Bytes

float (single)	± 1,5e-45..3,4e38	7-8	 	4

real	± 2,9e-39..1,7e38	11-12 	6

double (double)	± 5,0e-324..1,7e308	15-16 	8

long double (extended)	± 3,4e-4932..1,1e4932	19-20 	10

Die Bezeichnungen stammen aus der Programmiersprache C, in Klammern ist die entsprechende Pascal-Bezeichnung angegeben. Der Typ real in nur in Pascal vorhanden.

Die Gleitkommazahlen werden im Computer unter Zuhilfenahme von Zweierpotenzen abgebildet. Gespeichert werden die Mantisse m und der Exponent e aus der Darstellung m × (2 hoch e). Beide Werte enthalten ein Vorzeichen. Die Datentypen unterscheiden sich in ihrem Wertebereich (=der Anzahl der für den Exponenten reservierten Bits) und der Genauigkeit der Werte (=der Anzahl der für die Mantisse reservierten Bits).

Rechenoperationen mit Gleitkommazahlen werden in Intel-Architekturen vom mathematischen Koprozessor ausgeführt während der Hauptprozessor wartet. Der Intel 80x87 rechnet mit einer Genauigkeit von 80 Bit, RISC-Prozessoren häufig mit 64 Bit.

Hexadezimal-Werte in einem Editierfenster können vom Daten-Dolmetscher in alle vier Gleitkomma-Datentypen übersetzt werden.


ANSI-/IBM-ASCII

ANSI-ASCII ist der Zeichensatz, der in Windows-Anwendungen verwendet wird (genormt vom American National Standards Institute). MS-DOS benutzt den IBM-ASCII-Zeichensatz (auch als OEM-Format bezeichnet). Diese Zeichensätze unterscheiden sich in der Zuordnung von Zeichen, deren ASCII-Wert über 127 liegt. Wenn Sie einen Text zum Beispiel mit dem Windows-Notizblock (notepad.exe) schreiben und ihn sich später mit dem Editor von MS-DOS ansehen (edit.com), dann werden Umlaute und Sonderzeichen nicht richtig dargestellt.

Schalten Sie daher die Option »ANSI-Zeichensatz« ab, wenn Sie mit WinHex eine Datei editieren, die zu einem DOS-Programm gehört. Sie sehen dann die in der Datei enthaltenen Texte wie sie auch in diesem Programm erscheinen. Die von ihnen eingegebenen Zeichen werden dann umgekehrt auch richtig in diesem DOS-Programm dargestellt. Wenn Sie hingegen eine typische Windows-Datei bearbeiten (Initialisierungsdateien von Windows-Programmen, Windows-Programmdateien usw.), sollten Sie die Option »ANSI-Zeichensatz« aktivieren.

Mit der Funktion »Konvertieren« im Bearbeiten-Menü können Textdateien von einem Zeichensatz in den anderen konvertiert werden.

Die ersten 32 ASCII-Zeichen sind weder Buchstaben oder Zahlen noch Satzzeichen. Es handelt sich um Steuerzeichen.

Hex	Steuerzeichen

0	Null

1	Start of Header

2	Start of Text

3	End of Text

4	End of Transmission

5	Enquiry

6	Acknowledge

7	Bell

8	Backspace

9	Horizontal Tab

A	Line Feed

B	Vertical Tab

C	Form Feed

D	Carriage Return

E	Shift Out

F	Shift In

10	Data Link Escape

11	Device Control 1 (XON)

12	Device Control 2

13	Device Control 3 (XOFF)

14	Device Control 4

15	Negative Acknowledge

16	Synchronous Idle

17	End of Transmission Block

18	Cancel

19	End of Medium

1A	Substitute

1B	Escape

1C	File Separator

1D	Group Separator

1E	Record Separator

1F	Unit Separator


Prüfsummen

Eine Prüfsumme ist eine Kennzahl zur möglichst eindeutigen Identifizierung von Daten. Zwei Datensätze mit der gleichen Prüfsumme sind mit hoher Wahrscheinlichkeit exakt (Byte für Byte) gleich. Es kann z. B. sinnvoll sein, die Prüfsumme von Daten vor und nach einer möglicherweisen fehlerbehafteten Übertragung zu berechnen. Ist sie in beiden Fällen gleich, dann sind die Daten mit hoher Wahrscheinlichkeit unverändert geblieben. Allerdings können Daten mit bösartiger Absicht so manipuliert werden, daß ihre Prüfsumme trotz Änderung gleich bleibt. Dadurch wird die Manipulation nicht bemerkt. Diese Möglichkeit schließen Digests aus.

Prüfsummen können in WinHex beim Öffnen einer Datei (s. Sicherheitsoptionen) und mit der Datenanalyse (im Extras-Menü) berechnet werden. Durch Drücken der Tastenkombination Alt+F2 wird die in der Informationspalte angezeigte Prüfsumme neu berechnet, wenn an einer Datei Änderungen vorgenommen wurden.

Die Standard-Prüfsumme ist einfach die Summe aller Bytes einer Datei auf einem 8-Bit-, 16-Bit-, 32-Bit- oder 64-Bit-Akkumulator. Ein CRC (Cyclic Redundancy Code) wird mit einem komplizierteren, auf Polynomdivision beruhenden Algorithmus berechnet, der sicherer ist. Das drückt sich in einer niedrigeren Wahrscheinlichkeit dafür aus, für zwei verschiedene Dateien durch Zufall dieselbe Prüfsumme zu erhalten.

Beispiel: Wenn in einer Datei durch fehlerhafte Übertragung zwei Bytes verfälscht werden, sich die Abweichungen aber genau ausgleichen (z. B. erstes Byte +1, zweites Byte -1), dann bleibt die Standard-Prüfsumme im Gegensatz zum CRC unverändert.


Technische Hinweise

Unterstützte Datei- u. Datenträgergröße:	mind. 16 TB

Max. Sektorzahl:	2^40-1

Max. Clusterzahl:	2^32-1, stellenweise 2^31-1

Dateisystem-Unterstützung auf Partitionen mit mehr als 2^32 Sektoren: derzeit nur NTFS

Maximalzahl geöffneter Fenster:	1000 (Win2K/XP/Va), 500 (Win9x/Me)

Max. Anz. paralleler Instanzen:	99

Max. umkehrbare Tastatureingaben:	65535

Verschlüsselungstiefe:	128-256 Bit

Digest in Sicherungsdateien:	128/256 Bit

Zeichensätze der Textdarstellung:	ANSI-/IBM-ASCII, EBCDIC, Unicode (UCS-2LE)

Offset-Darstellung:	hexadezimal/dezimal

• Die Fortschrittsanzeige bei länger andauernden Operation zeigt in Prozent den Anteil des Vorgangs an, der bereits erledigt ist. Bei allen Suchen- und Ersetzen-Operationen zeigt sie jedoch die relative Position in der aktuellen Datei an. Dies entspricht dem bereits erledigten Anteil des Vorgangs, wenn in der gesamten Datei gesucht wird, also die Option »Nur im Block suchen« nicht verwendet wird.

• Zur optimalen Darstellung aller Schriftzeichen in WinHex sollte Ihr Windows-System keine extragroßen Systemschriften benutzen.

• WinHex wurde ausschließlich für Computer im »Little-Endian«-Modus konzipiert.

• Such- und Ersetzen-Funktionen laufen generell schneller ab, wenn kein Jokerzeichen verwendet und (bei Text-Suche) nach Groß- und Kleinschreibung unterschieden wird. Außerdem gilt: Je länger die Such-Zeichenfolge, desto schneller die Such-Funktion.

• Beim Suchen mit aktivierter Option »Vorkommen zählen« und beim Ersetzen ohne Bestätigung bieten sich für einen Suchalgorithmus zwei Alternativen für das Verhalten bei Fundstellen an, die in Sonderfällen zu unterschiedlichen Ergebnissen führen. Dies soll anhand eines Beispiels verdeutlicht werden:

In der Zeichenfolge »ananas« wird nach »ana« gesucht; das Vorkommnis beim ersten Zeichen wurde gefunden.

1. Möglichkeit: Ab dem zweiten Zeichen wird wieder nach »ana« gesucht. Beim dritten Zeichen wird dann ein Vorkommnis registriert.

2. Möglichkeit: Die drei mit der Suchzeichenfolge übereinstimmenden Zeichen werden übersprungen. »ana« wird erst wieder ab dem vierten Zeichen gesucht, in »nas« also nicht mehr gefunden.

In WinHex wird der zweiten Alternative gefolgt, da sie für das Zählen von Vorkommen und das Ersetzen ohne Bestätigung meistens sinnvollere Ergebnisse liefert. (Wenn Sie normale Suchvorgänge mit F3 fortsetzen oder Ersetzen mit Bestätigung wählen, wird nach der ersten Methode verfahren.)

• Hier erfahren Sie etwas über den Aufbau des Master-Boot-Sektors einer Festplatte, den Sie mit dem Disk-Editor editieren können.

• Weitere technische Informationen erhalten Sie auf der WinHex-Homepage unter http://www.winhex.com.


Rechtliche Hinweise

Lizenzvereinbarung

Wenn Sie ein Software-Produkt der X-Ways Software Technology AG installieren und/oder benutzen, erklären Sie sich damit einverstanden, durch die Bestimmungen dieser Lizenzvereinbarung gebunden zu sein. Falls Sie nicht zustimmen, installieren und benutzen Sie die Software nicht.

Unlizenzierte Evaluationsversionen dürfen nur zu Testzwecken genutzt werden. Der Erwerb einer Lizenz berechtigt Sie, die Vollversion der Software zur gleichen Zeit nur auf 1 Computer zu installieren und zu benutzen. Nutzung nur durch 1 Person zur gleichen Zeit. Weitere Lizenzen erlauben Ihnen entsprechend die Installation und Nutzung der Vollversion auf weiteren Rechnern zur gleichen Zeit. Ausnahme: Bei forensischen Lizenzen für WinHex/bei X-Ways Forensics ist die Zahl der eigenen Computer mit Installationen der Software am gleichen Standort nicht durch die Zahl der erworbenen Lizenzen begrenzt, sondern nur die Anzahl gleichzeitiger Nutzungen auf unterschiedlichen Computern.

Ein Rückgaberecht besteht auch für Verbraucher im Sinne des § 13 BGB nicht. Auf Grund ihrer Beschaffenheit sind elektronisch übermittelte Software und Lizenzen für eine Rücksendung nicht geeignet (gem. § 312d Nr. 4 BGB).

Für die Produkte, für die es kostenlos verfügbare Evaluationsversionen gibt, gilt: Die Software und alle sie begleitenden Dateien, Daten und Materialien werden „wie besehen“ ohne Garantie auf Fehlerfreiheit übermittelt, unter Ausschluß jeglicher Gewährleistung.

Der Benutzer verwendet die Software ausschließlich auf eigenes Risiko, insbesondere wissend, daß sie nicht für den Gebrauch in hochsensiblen Umgebungen entwickelt wurde und vorgesehen ist, die einen fehlerfreien Ablauf erfordern und wo ein Versagen, mißbräuchliche oder unangemessene Anwendung leicht zu Todesfällen, Verletzungen oder großen physischen, ökonomischen oder Umwelt-Schäden führen kann. In keinem Fall ist die X-Ways Software Technology AG oder ihre Vorstände, Mitarbeiter, verbundene Unternehmen oder Zulieferer für Schäden jeglicher Art verantwortlich, die durch die Verwendung oder die Unmöglichkeit der Verwendung der Software entstehen. Die X-Ways AG haftet maximal in Höhe der gezahlten Lizenzgebühr.

Die Software ist urheberrechtlich geschütztes Eigentum. Sie darf nicht verändert, dekompiliert, disassembliert, entschlüsselt, extrahiert oder irgendwie anderweitig verändert werden. Die Software oder Teile davon dürfen nicht als Basis für abgeleitete Werke verwendet oder an Dritte vermietet, verkauft, weiterlizenziert werden, sofern nicht ausdrücklich von der X-Ways Software Technology AG erlaubt. Alle Rechte jeglicher Art an der Software, die nicht ausdrücklich in dieser Lizenzvereinbarung gewährt werden, stehen exklusiv der X-Ways AG zu.

Keine Komponente der Software (außer der WinHex API) darf von anderen Applikationen oder Prozessen aus verwendet werden.

Die Unwirksamkeit einzelner Bestimmungen dieser Lizenzvereinbarung hat nicht die Unwirksamkeit der gesamten Lizenzvereinbarung zur Folge.

Zur Programmhilfe

Alle Rechte, insbesondere das Recht der Vervielfältigung und Verbreitung sowie der Übersetzung, vorbehalten. Kein Teil des Werkes darf in irgendeiner Form (durch Fotokopie, Mikrofilm oder ein anderes Verfahren) ohne Genehmigung des Herstellers reproduziert oder unter Verwendung elektronischer Systeme gespeichert, verarbeitet, vervielfältigt oder verbreitet werden.

Der Hersteller hat alle Sorgfalt walten lassen, um vollständige und korrekte Informationen in diesem Werk zu publizieren. Er übernimmt aber weder Garantie noch die juristische Verantwortung oder irgendeine Haftung für die Nutzung dieser Informationen, für deren Wirtschaftlichkeit oder fehlerfreie Funktion für einen bestimmten Zweck. Ferner kann der Hersteller für Schäden, die auf sachgemäße oder unsachgemäße Handhabung oder Fehlfunktionen des Programms oder ähnliches zurückzuführen sind, nicht haftbar gemacht werden, auch nicht für die Verletzung von Patent- und anderen Rechten Dritter, die daraus resultieren. Der Hersteller übernimmt keine Gewähr dafür, daß die beschriebenen Verfahren, Programme usw. frei von Schutzrechten Dritter sind. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, daß solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften.


Allgemeine Optionen

1. Spalte:

• Beim Programmstart kann WinHex optional das sog. Start-Center anzeigen oder die letzte Fensterkonstellation wiederherstellen (alle Fenster mit ihren Größen und Positionen, wie Sie sie am Ende der vorhergehenden WinHex-Sitzung verlassen haben).

• Geben Sie die Zahl der zuletzt geöffneten Dokumente an, die WinHex sich merken und im Start-Center anzeigen soll (max. 255). Bis zu 9 davon werden gleichzeitig auch am Ende des Datei-Menüs aufgeführt.

• WinHex kann sich im Windows-Kontextmenü eintragen. Das Kontextmenü sehen Sie, wenn Sie im Windows-Explorer oder auf dem Desktop mit der rechten Maustaste ein Objekt anklicken. Wenn Sie die Option nur halb aktivieren, gibt es keinen Kontextmenü-Eintrag für einzelne Dateien.

• Sie können Winhex auf Wunsch mehrfach zugleich ausführen. In der Voreinstellung jedoch wird eine bereits geladene Instanz des Programms aktiviert statt eine neue erzeugt.

• Wenn die Option »Dateidatum und -zeit beibehalten« aktiviert ist, werden Datum und Uhrzeit der letzten Änderung einer Datei beim Speichern mit Datei | Speichern (unter) auf dem Stand belassen, den die Datei zum Zeitpunkt des Öffnens hatte.

• Standardmäßig werden Editierfenster nicht maximiert geöffnet.

• Bei einem Rechtsklick kann WinHex ein spezielles Kontextmenü anzeigen, das reguläre Bearbeiten-Menü oder das Ende des aktuellen Blocks setzen. Auch wenn diese Option ausgeschaltet ist, können Sie das Kontextmenu anzeigen lassen, indem Sie die Umschalt-Taste gedrückt halten, wenn Sie einen Rechtsklick ausführen.

• Sofern die Option »Datei-Icons anzeigen« aktiviert ist, werden ab einer Bildschirmauflösung von 800×600 die in der aktuellen Datei enthalten Windows-Icons in der Informationsspalte angezeigt. Enthält eine Datei keine Icons, so wird das dem Dateityp zugeordnete Icon dargestellt, wenn die Option »voll« gewählt ist.

• Seit v12.7 SR-8 werden Festplatten-Partitionen standardmäßig anhand ihrer Lage sortiert und numeriert.

• Wenn die Option Gelöschte Partitionen erkennen eingeschaltet ist, versucht WinHex, leicht zu findende gelöschte Partitionen zu entdecken, die sich in Lücken zwischen existierenden Partitionen befinden oder direkt am Anschluß an die letzte Partition im unpartitionierten Bereich, und zwar beim Öffnen physischer Festplatten. Solcherlei zusätzlich erkannte Partitionen werden im Zugriffsschaltermenü mit aufgelistet und dort als gelöscht gekennzeichnet. Bitte beachten Sie, daß in Partitionslücken gefundene gelöschte Partitionen die Partitionsnumerierung beeinflussen. Z. B. wird eine Partition Nr. 3 zu Partition Nr. 4, wenn vor ihr eine gelöschte Partition erkannt wird.

• »Caching beim Lesen von Sektoren« beschleunigt den sequentiellen Datenträgerzugriff mit dem Disk-Editor. Diese Option empfiehlt sich insbes. beim Durchsehen von CD-ROM- und Disketten-Sektoren, da sie die Zahl der erforderlichen physischen Zugriffe stark herabsetzt.

• Wenn die Option Auf Überhangsektoren testen ausgeschaltet ist, versucht WinHex nicht, beim Öffnen einer physischen Festplatten auf Überhangsektoren zuzugreifen. Falls solche Sektoren gefunden werden, speichert WinHex deren Erkennung für das nächste Mal, wenn Sie eine Festplatte physisch öffnen. Sie können dann aber immer noch einen erneuten Test erzwingen, indem Sie beim Öffnen die Shift-Taste gedrückt halten. Das Testen auf Überhangsektoren kann auf einigen Systemen in Ausnahmefällen sehr lange Wartezeiten mit sich bringen, merkwürdiges Verhalten des Windows-Systems oder sogar Schäden an der Betriebssystem-Installationhervorrufen. Nur unter Windows XP werden Überhangsektoren automatisch mit berücksichtigt, was diese Option bedeutungslos macht.

• Die alternative Plattenzugriffsmethode 1 für physische Festplatten unter Windows 2000/XP kann Ihnen u. U. Zugriff ermöglichen auf Festplatten, die mit einer unkonventionellen Sektorgröße formatiert sind, oder andere Datenträger, auf die sonst nicht zugegriffen werden kann. Beachten Sie, daß diese Zugriffsmethode langsamer als die reguläre sein kann. Wenn die Verlangsamung beträchtlich ist, informiert Sie WinHex darüber und empfiehlt, zur Stdardzugriffsmethode zurückzukehren. Die Wirkung der Zugriffsmethode 2 beschränkt sich ebenfalls auf physische Festplatten unter Windows 2000/XP. Bei Alternativmethoden erlauben es, einen Time-Out in Millisekunden anzugeben, nach dessen Ablauf Leseversuche abgebrochen werden. Dies kann nützlich sein beim Umgang mit Festplatten, die defekte Sektoren aufweisen, wenn das versuchte Lesen eines einzigen Sektors sonst zu einer Verzögerung von vielen Sekunden oder Minuten führt.

2. Spalte:

• Ändern Sie wenn nötig den Ordner, in dem die temporären Dateien angelegt werden. Voreingestellt ist der Ordner, den die Umgebungsvariable »TEMP« Ihres Systems definiert.

• Ebenfalls wählen können Sie den Ordner, in dem die Sicherungsdateien angelegt werden. Normalerweise ist er identisch mit  dem für temporäre Dateien.

• Bestimmen Sie außerdem den Ordner, in dem Projekt-, Script- und Falldateien angelegt werden. Standardmäßig geschieht dies in dem Verzeichnis, in dem WinHex installiert ist.

• Bestimmen Sie ferner den Ordner, in dem die interne Hash-Datenbank verwaltet wird.

• Oberfläche von X-Ways Investigator/Reduzierte Benutzeroberfläche: Verfügbar beim Betrieb mit einer forensischen Lizenz. Reduziert und vereinfacht einfach nur die Menüstruktur leicht, oder aktiviert die gravierend reduzierte Oberfläche von X-Ways Investigator, die für Ermittler gedacht ist,

- die in Bereichen wie Wirtschaftskriminalität spezialisiert sind,

- die kein profundes Wissen über Computerforensik benötigen,

- die die technischen Einblicke, die WinHex und X-Ways Forensics bekanntermaßen gewähren, nicht brauchen,

- die z. B. bequem zu handhabende X-Ways Datei-Container von versierten Computerforensik-Fachleuten erhalten mit ausgewählten Dateien verschiedener Quellen (z. B. „alle Dokumente, die die Schlüsselwörter x und y enthalten“), in denen irrelevante Dateien bereits herausgefiltert sind,

- die Hunderte von elektronischen Dokumenten sichten müssen, relevante Dokumente erkennen, mit Kommentaren versehen, logische Strukturen und Verbindungen identifizieren und mit Hilfen von Kommentaren kenntlich machen, Dokumente drucken, und all das möglichst mit wenigen Mausklicks, in einer einzigen Umgebung, die es ihnen erspart, jedes Dokument einzeln zu extrahieren und in der zugehörigen Applikation einzulesen,

- die möglicherweise in einer Umgebung arbeiten müssen, die von Systemadministratoren stark eingeschränkt wurde.

Der Oberfläche von X-Ways Investigator fehlen viele fortgeschrittene technische Funktionen, um Nicht-EDV-Fachleuten einen leichteren Zugang zum Programm zu gewähren. Lizenzen für X-Ways Investigator sind auf Anfrage zu 50% des regulären Preises zu erhalten. Eine optionale Datei "investigator.ini" steuert zusätzliche Vereinfachungen und administrative Sicherheitsvorkehrungen, z. B. daß Benutzer nur das Öffnen von Datei-Containern erlaubt wird, und nur solchen Containern, die als sicher klassifiziert sind.

• If the creation of thumbnails for pictures within large solid RAR archives for gallery view is too slow, you may want to disable it.

• Sie können die von Ihnen bevorzugte Größe der Miniaturansichten in Pixeln angeben. WinHex reduziert die Größe erforderlichenfalls automatisch, so daß zumindest so viele Dateien in der Galerie-Ansicht angezeigt werden können wie im sichtbaren Ausschnitt des Verzeichnis-Browsers.

• Wenn die Galerie-Ansicht aktiv ist, kann WinHex optional das Laden der Miniaturansichten im Hintergrund für Bilder außerhalb des sichtbaren Ausschnitts des Verzeichnis-Browsers fortsetzen. (Option derzeit nicht verfügbar.)

• Bei aktivierter Option »Windows-Fortschrittsanzeige« wird während lang dauernden Vorgängen die Windows-typische anstatt der WinHex-eigenen Fortschrittsanzeige verwendet.

3. Spalte:

• Entscheiden Sie, ob das Betätigen der »Enter«-Taste Hex-Werte in die zu editierende Datei schreiben soll. In der Voreinstellung sind dies 0x0D0A (=Zeilenende-Zeichen). Sie können bis zu vier zweistellige Hex-Werte angeben. Das Start-Center könnte dann immer noch mit UMSCHALT+ENTER geöffnet werden.

• Auf Wunsch können Sie mit der Tabulator-Taste auf Ihrer Tastatur das Tabulator-Zeichen erzeugen (0x09). Um dann vom Hexadezimal-Modus in den Text-Modus und umgekehrt zu wechseln, müssen Sie die Tabulator-Taste zusammen mit der Umschalt-Taste drücken.

• Nicht druckbare Zeichen mit einem Zeichensatzwert von kleiner als 0x20 können in Form eines benutzerdefinierten anderen Zeichens repräsentiert werden.

• Die Bytes können einzeln als Zeichen in der Text-Spalte repräsentiert werden, oder WinHex kann versuchen, sie zu verbinden, was falls die in Windows aktive Codepage ein Doppel-Byte-Zeichensatz (DBCS) ist wünschenswert sein kann, um die richtigen Zeichen zu sehen (wenn 2 Bytes = 1 Zeichen), aber auch störend wegen der variablen Zeilenlänge.

• Bestimmen Sie, ob die Offsets (Byte-Adressen) in dezimaler oder hexadezimaler Schreibweise angegeben und zur Eingabe verlangt werden. Diese Einstellung gilt für den gesamten Umfang des Programms.

• Auf Wunsch können beim Benutzen des RAM-Editors anstelle von Null-basierten Offsets virtuelle Adressen angezeigt werden. Dies geschieht grundsätzlich in hexadezimaler Schreibweise. Im Dialogfenster der Funktion »Offset aufsuchen« sind dann auch virtuelle Adressen einzugeben.

• Es können Seiten- und Sektortrennlinien angezeigt oder ausgeblendet werden. Wenn die Option nur halb gewählt ist, werden nur Sektortrennlinien angezeigt.

• Geben Sie an, wie viele Bytes in einem Editierfenster pro Zeile dargestellt werden sollen. Standardeinstellungen sind 16 oder 32 Bytes, je nach Bildschirmauflösung.

• Geben Sie an, wie viele Bytes als Gruppe zusammenhängend angezeigt werden sollen. I. d. R. empfiehlt sich eine Zweier-Potenz.

• Sie können die Anzahl der Zeilen bestimmen, die mit Hilfe des Mausrades (falls vorhanden) vorwärts und zurück gerollt werden können.

• Bestimmen Sie außerdem das Aussehen der Dialog- und Meldungsfenster und Schalter in WinHex. Sie haben die Wahl zwischen mehreren verschiedenen Stilen.

• NTFS: MFT-Auto-Kolorierung: Hebt die verschiedenen Elemente von FILE-Records auf NTFS-Partitionen hervor, wenn Sie den blinkenden Cursor in einen solchen Record hineinbewegen, um das Navigieren und das Verständnis zu erleichtern. Erfordert eine Specialist- oder forensische Lizenz.

• Sie haben die Möglichkeit, die Hintergrundfarbe des Blocks zu bestimmen, wenn die Option »Windows-Standardfarben benutzen« nicht aktiviert ist.

• Wählen Sie die Hintergrundfarbe für jeden zweiten Datensatz in der Datensatz-Darstellung.

• Bestimmen Sie die Standardfarbe für neu aufgenommene Anmerkungen/Positionen/Lesezeichen.

• WinHex kann veränderte Bytes, also bereits editierte Bereiche einer Datei, eines Datenträgers oder des Arbeitsspeichers, in einer gesonderten Farbe Ihrer Wahl anzeigen, damit Sie Originaldaten von Ihren Änderungen unterscheiden können.

• Wählen Sie eine Schriftart für die Darstellung im ANSI-ASCII-Format aus. Das Verwenden der WinHex-Schriftart stellt sicher, daß auch Sonderzeichen in der Textdarstellung angezeigt werden (z. B. die Symbole TM und Euro sowie echte Anführungszeichen).

Die Voreinstellungen sämtlicher Optionen können durch Benutzen der Funktion »Initialisieren« im Hilfe-Menü wiederhergestellt werden.


Zeichen eingeben

Mit der Tastatur lassen sich im Hex-Modus nur Hexadezimal-Zeichen eingeben ('0' bis '9' und 'A' bis 'F').

Im Text-Modus lassen sich dagegen alle Zeichen eingeben: Buchstaben, Zahlen, Satzzeichen und auch Sonderzeichen (wie '»', ']' und '^'). Durch Benutzen des Windows-Programms »Zeichentabelle« kann man herausfinden, durch welche Tastenkombinationen evtl. erwünschte Sonderzeichen zu erzeugen sind (z. B. Alt-1-7-5 für '»').


Editier-Modi

Der Modus, in dem eine Datei oder ein Datenträger geöffnet ist, wird in der grauen Informationsspalte angezeigt. Deren Kontextmenü enthält einen Befehl, um den Modus des aktuellen Fensters selektiv zu ändern.

View-Modus: Empfohlener Modus für computerforensische Untersuchungen. Um den strengen forensischen Anforderungen zu genügen, ist dies der einzige Modus, der in X-Ways Forensics verfügbar ist, außer für Dateien im Verzeichnis des aktuellen Falls und im allgemeinen Ordner für temporäre Dateien, damit deren Decodierung, Entschlüsselung oder Konvertierung usw. möglich ist. Dateien und Datenträger, die im View-Modus geöffnet werden, können nicht (absichtlich oder versehentlich) editiert/verändert, sondern nur eingesehen werden. Dies entspricht der Möglichkeit in anderen Programmen, Dateien »schreibgeschützt« zu öffnen..

Standard-Editiermodus: Im Standard-Editiermodus werden Änderungen, die Sie an einer geöffneten Datei oder einem Datenträger vornehmen, in einer temporären Datei gespeichert. Diese wird dynamisch verwaltet. Erst beim Speichern oder Schließen werden die Änderungen dann nach Rückfrage in die Originaldatei bzw. auf den Datenträger übertragen.

In-Place-Modus: Verwenden Sie diesen Modus mit Vorsicht. Sämtliche Änderungen (Tastatureingaben, Füllen/Entfernen des Blocks, Schreiben des Zwischenspeichers, Ersetzen-Vorgänge, ...) werden direkt in die Originaldatei bzw. auf den Datenträger (»in-place«) geschrieben. Dies geschieht dynamisch, spätestens aber, wenn das Editierfenster geschlossen wird, ohne weitere Rückfragen. Es ist daher nicht erforderlich, den Menüpunkt »Speichern« im Dateimenü aufzurufen, es sei denn, Sie möchten sicherstellen, daß alle Änderungen zu einem bestimmten Zeitpunkt geschrieben werden, wenn das Editierfenster noch geöffnet ist.

Dieser Modus empfiehlt sich, wenn das im Standard-Editiermodus obligate Übertragen von Daten aus der Originaldatei in die Temporärdatei und umgekehrt zu zeitaufwendig wäre und zuviel Festplattenspeicherplatz verbräuchte. Dies kann z. B. dann der Fall sein, wenn in großen Dateien viele Änderungen vorgenommen werden sollen. Da im In-Place-Modus keine Daten in temporären Dateien gespeichert werden, ist dieser Editiermodus generell schneller als der Standard-Editiermodus. Der In-Place-Modus ist der einzige Modus, in dem der RAM-Editor benutzt werden kann.

Hinweis: Auch im In-Place-Modus muß eine temporäre Datei angelegt werden, wenn die Größe der Originaldatei geändert wird.


Statusleiste

Die Statusleiste zeigt beim Einsehen einer Datei folgende Informationen an:

1. Feld: aktuelle Seite und Anzahl der Seiten, auf denen die aktuelle Datei dargestellt wird

2. Feld: Cursorposition (Offset in der Datei)

3. Feld: ins Dezimalsystem übersetzte Hex-Werte an der Cursorposition

4. Feld: Blockanfang und -ende (falls festgelegt)

5. Feld: Größe des Blocks in Byte (dto.)

Durch einen Klick der linken Maustaste läßt sich...

• im 1. Feld eine andere Seite aufschlagen,

• im 2. Feld den Cursor zu einem bestimmten Offset bewegen,

• im 3. Feld das Format festlegen, in dem die Hex-Werte als Zahlen des Dezimalsystems interpretiert werden, und

• im 4. und 5. Feld den Block neu definieren.

Klicken Sie mit der rechten Maustaste, um in einem Feld der Statusleiste angezeigte Informationen in die Zwischenablage zu kopieren.

Durch einen Mausklick rechts im 2. Feld der Statusleiste können Sie von absoluter Offsetdarstellung (Standard) auf relative Datensatz-Offsets umschalten. Dies ist nützlich, wenn die von Ihnen im Hex-Editor untersuchten Daten aus gleichlangen Datensätzen bestehen.

Ein Rechts-Klick auf das 3. Feld der Statusleiste erlaubt es außerdem, die vier Hex-Werte an der aktuellen Cursorposition in umgekehrter Reihenfolge in die Zwischenablage zu kopieren. Dies ist nützlich beim Verfolgen von Zeigern.


Arbeitserleichterungen

• Menübefehle, die sich auf individuelle, ausgewählte Objekte im Verzeichnis-Browser oder einer Suchtrefferliste oder eine Lesezeichenliste beziehen, können in dem Kontextmenü gefunden werden, das erscheint, wenn man diese Objekte mit der rechten Maustaste anklickt. Sie finden solche Befehle nicht im Hauptmenü.

• Linke Maustaste	Blockanfang festlegen (Doppelklick)

• Rechte Maustaste	Blockende festlegen

• Rechte Maustaste	Blockmarkierung aufheben (Doppelklick)
• Shift+Pfeiltasten	Block markieren

• Alt+1	Blockanfang setzen

• Alt+2	Blockende setzen

• Tabulatortaste 	zwischen Text- und Hex-Modus umschalten

• Einfg-Taste	zwischen Überschreib- und Einfüge-Modus umschalten

• Enter	Start-Center aufrufen

• ESC	aktuellen Vorgang abbrechen, Blockauswahl aufheben, Dialogfenster oder Schablone verlassen

• PAUSE	aktuellen Vorgang anhalten bzw. fortsetzen

• F11	»Offset aufsuchen« wiederholen (mit Strg = von aktueller Position in umgekehrter Richtung)

• Alt++	Variante von »Offset aufsuchen«, um x Sektoren abwärts zu springen

• Alt+-	Variante von »Offset aufsuchen«, um x Sektoren aufwärts zu springen

• Shift+F7	Zeichensatz wechseln

• (Shift+)Alt+F11	»Block verschieben« wiederholen

• Strg+Shift+M	Anmerkungen eines offenen Asservats aufrufen

• Alt+F2	Auto-Hash (Prüfsumme oder Digest) neu berechnen

• Strg+F9	Menü des Zugriffs-Schalters öffnen (bei Datenträgern)

• Es besteht die Möglichkeit anzugeben, wie kooperativ sich X-Ways Forensics bei länger andauernden Operationen (wie Hashes, Suchen, ...) verhalten soll, wenn es mit anderen Prozesses um CPU-Zeit konkurriert, indem Sie Shift+Strg+F5 drücken. 0 ist dort die Voreinstellung (nicht außergewöhnlich kooperativ). Sie können Werte wie 10, 25, 50 oder 100 ausprobieren. 100 bedeutet maximale Bereitschaft, CPU-Zeit abzugeben. Dies ist nützlich, wenn X-Ways Forensics mehrfach zugleich von verschiedenen Benutzern auf demselben Server ausgeführt wird, damit die CPU-Zeit gerechter verteilt wird.

• Alt+Links und Alt+Rechts erlauben das Wechseln zwischen Datensätzen innerhalb einer Schablone (wie die Schalter < und >). Alt+Pos1 und Alt+Ende wechseln zum ersten bzw. letzten Datensatz.

• Alt+G bewegt den Cursor im Editierfenster zur aktuellen Position in einer Schablone und schließt die Schablone.

• WinHex akzeptiert Dateinamen als Startparameter und öffnet Dateien, die per Drag&Drop (mit der Maus) in das Programmfenster gezogen werden.

• Der Einsatz von Scripts kann Ihr Arbeiten mit WinHex effizienter machen.

• Als Befehlszeilenparameter wird auch der Name eines Scripts akzeptiert.

• »Ungültige Eingabe«: Nach dem Schließen einer solchen Fehlermeldung zeigt das Blinken eines Steuerelements im darunterliegenden Dialogfenster an, welcher Wert ungültig ist und korrigiert werden muß.

• Die Offset-Schreibweise (dezimal oder hexadezimal) läßt sich durch einen Mausklick auf die Offsetdarstellung im Editorfenster umstellen. Die dezimale Schreibweise ist mit oder ohne führende Nullen verfügbar (Mausklick rechts).

• Klicken Sie probehalber auf die Statusleiste (linke und rechte Maustaste).


Disk-Editor

Im Extras-Menü finden Sie die Funktion »Disk-Editor«. Der Disk-Editor ermöglicht es, den Inhalt einer Diskette oder Festplatte ohne Rücksicht auf die Dateistruktur direkt (=sektorweise) einzusehen. Wählen Sie zunächst aus einer Liste mit den auf Ihrem System installierten Laufwerken einen Datenträger aus. Sie können auf einen Datenträger logisch (vom Betriebssystem gesteuert) oder physisch (vom BIOS gesteuert) zugreifen. Auf den meisten Computersystemen können Sie sogar CD-ROMs und DVDs einsehen. Es gibt einen optionalen Roh-Zugriff für optische Laufwerke, der es ermöglicht, von Audio-CDs zu lesen und auch die kompletten 2352-Byte-Sektoren auf Daten-CDs (CD-ROM und Video-CDs), die Fehlerkorrektur-Informationen enthalten.

Logisches Laufwerk meint einen zusammenhängenden, formatierten Teil eines Datenträgers (eine Partition), der unter Windows als Laufwerksbuchstabe zugänglich ist (z. B. »C:«). Zum Öffnen erfordert WinHex, daß Windows auf das Laufwerk zugreifen kann. Physischer Datenträger hingegen ist ein Medium als Ganzes, wie es an den Computer angeschlossen ist, z. B. eine Festplatte incl. aller Partitionen. Der Datenträger braucht zum Öffnen in WinHex normalerweise nicht formatiert zu sein.

Gewöhnlich ist es vorteilhafter, ein logisches Laufwerk statt eines physischen Datenträgers zu öffnen, weil dann mehr Features zur Verfügung stehen. Beispielsweise sind »Cluster« vom Dateisystem definiert, die Zuordnung von Clustern zu Dateien (und umgekehrt) ist WinHex bekannt, »freier Speicher« und »Schlupfspeicher« haben eine Bedeutung. Wenn Sie Sektoren editieren möchten, die außerhalb eines logischen Laufwerks liegen (etwa der Master Boot Record), wenn Sie etwas auf allen Partitionen einer Festplatte auf einmal suchen möchten oder wenn eine Partition beschädigt oder mit einem Windows unbekannten Dateisystem formatiert ist, so daß Windows sie nicht als Laufwerksbuchstaben zugänglich macht, empfiehlt es sich, den physischen Datenträger zu öffnen. Von dem Fenster aus, das einen physischen Datenträger repräsentiert, können Sie auch etwaige definierte Partitionen einzeln öffnen, die i. d. R. im Verzeichnis-Browser in diesem Fenster aufgelistet werden, durch Doppelklick. WinHex versteht konventionelle MBR-Partitionierung, GPT (GUID Partition Type), Apple-Partitionierung, Superfloppy-Format und Windows' dynamische Platten, die vom LDM (Logical Disk Manager) verwaltet werden. Alle Typen dynamischer Volumes werden unterstützt: simple, spanned, striped und RAID 5. Das Gedrückthalten der Strg-Taste beim öffnen von Festplatten unterdrückt die Erkennung und spezielle Behandlung von dynamischen Platten und stellt sicher, daß Festplatten so interpretiert werden, als wären sie auf konventionelle Weise partitioniert worden. Einige der vorgenannten Partitionierungstypen werden nur nur Specialist- und forensische Lizenzen unterstützt.

Verzeichnis-Browser

Disk Editor Fragen & Antworten

Bitte beachten Sie die folgenden Einschränkungen bzw. Voraussetzungen:

• Um unter Windows NT und seinen Nachfolgern auf Festplatten zugreifen zu können, sind Administrator-Rechte erforderlich.

• Die Ersetzen-Funktionen sind im Disk-Editor nur im In-Place-Modus verfügbar.

• WinHex kann auf CD-R(OM)s und DVDs nicht schreiben.

• Der Disk-Editor kann nicht auf Netzlaufwerke zugreifen.

Freien Speicher des Datenträgers editieren (Windows 95/98/Me)

Unter Windows 95/98/Me ist es möglich, den unbenutzten Speicher eines logischen Datenträgers einzusehen und zu editieren. Dabei entfallen die o. g. Einschränkungen. Es wird eine Datei angelegt, die den gesamten freien Speicher auf dem gewählten Datenträger belegt. In dieser Datei können Sie nun im In-Place-Editiermodus Änderungen vornehmen. Dies kann die Integrität der Daten in benutzten Bereich des Datenträgers nicht beeinflussen.

Sie können mit Hilfe dieser Funktion versehentlich gelöschte Daten, die noch nicht von neuen Dateien überschrieben worden sind, wiederherstellen, z. B. indem Sie sie erst suchen, dann als Block markieren und kopieren. Daten aus Dateien, die mit der Funktion »Sicheres Löschen« von WinHex gelöscht wurden, befinden sich natürlich nicht mehr in unbenutzten Bereichen des Datenträgers.

Auf Disk schreiben: Entspricht dem Befehl »Speichern« für Dateien und befindet sich an dessen Stelle im Menü. Schreibt die von Ihnen vorgenommenen Änderungen auf den Datenträger. Bitte beachten Sie, daß Sie damit einen äußerst kritischen Eingriff in die Integrität des Datenträgers vornehmen. Sofern die entsprechende Rückgängig-Option eingeschaltet ist, wird von den betroffenen Sektoren vor dem Überschreiben eine Sicherung angelegt. Die Funktion nur in der Vollversion verfügbar.

Hier erfahren Sie etwas über den Aufbau des Master-Boot-Record einer Festplatte, den Sie mit dem Disk-Editor editieren können.


Datei-Menü

Neu: Hier können Sie eine neue Datei anlegen. Es ist die gewünschte Größe der Datei in Bytes anzugeben (>0). Die neue Datei wird prinzipiell im Standard-Editiermodus geöffnet.

Öffnen: In einem Dateiauswahlfenster markieren Sie eine oder mehrere Dateien, die Sie mit dem Hex-Editor einsehen oder bearbeiten möchten. Sofern Sie WinHex nicht schon im Optionen-Menü als Viewer oder In-Place-Editor eingestellt haben, können Sie einen der drei Editier-Modi zum Öffnen der Datei(en) wählen.

Speichern: Hier speichern Sie ein zuvor geöffnete Datei mit allen von Ihnen vorgenommenen Änderungen, nachdem Sie eine Sicherheitsabfrage mit »Ja« beantwortet haben. Im In-Place-Editiermodus ist das Aufrufen dieses Befehls nicht notwendig. Beim Benutzen des Disk-Editors heißt dieser Befehl »Auf Disk schreiben«.

Speichern unter: Speichert eine Datei unter einem neuen Namen oder in einem anderen Ordner. Existiert bereits eine Datei mit diesem Namen, so werden Sie gefragt, ob die vorhandene Datei überschrieben werden soll.

Datenträger-Sicherung/Sicherung anlegen

Sicherung laden: Wählen Sie eine Image- oder Sicherungsdatei (=WHX-Datei) aus, deren Inhalt (eine Datei oder Datenträger-Sektoren) Sie wiederherstellen möchten. Image-Dateien werden dazu erst interpretiert (was eine Specialist-Lizenz erfordert) und dann als Quelle im Dialog "Datenträger klonen" voreingestellt. Nicht segmentierte Roh-Images können auch ohne Specialist-Lizenz auf einen Datenträger zurückgespielt werden, indem Sie den Befehl "Datenträger klonen" direkt aufrufen.

Sicherungs-Manager

Ausführen: Führt die aktuell dargestellte Datei mit allen evtl. vorgenommenen Änderungen aus. Es muß sich entweder um eine unter DOS oder Windows ausführbare EXE- oder COM-Datei handeln oder der Dateityp muß unter Windows mit einer Anwendung verknüpft worden sein. Dann wird dieses Programm gestartet und die aktuelle Datei geladen. Sie können mit dieser Funktion z. B. überprüfen, ob die vorgenommenen Änderungen in einer Programmdatei ihre Ausführbarkeit beeinträchtigt haben.

Drucken

Eigenschaften: Hier können die Größe, Datum und Uhrzeit der Erzeugung, der letzten Änderung und des letzten Zugriffs sowie Attribute (A: zu archivierend, S: System, H: versteckt, R: schreibgeschützt) einer Datei (unter Windows NT auch eines Verzeichnisses) eingesehen und editiert werden. Nach Eingabe neuer Werte in einem der drei Bereiche betätigen Sie die Enter-Taste, damit die Änderungen in kraft treten.

Ordner öffnen: Wählen Sie einen Ordner aus, dessen Dateien Sie öffnen möchten. Wahlweise werden auch die Dateien in untergeordneten Ordnern berücksichtigt. Sie können Dateifilter verwenden (z. B. »w*.exe;x*.dll«) und einen Editiermodus auswählen, wenn Sie WinHex nicht schon im Extra-Menü als Viewer oder In-Place-Editor eingestellt haben. Optional werden nur solche Dateien geöffnet, die einen bestimmten Text oder bestimmte Hex-Werte enthalten. In diesem Fall stehen Ihnen noch weitere Suchoptionen zur Verfügung.

Geänderte speichern: All die von WinHex geöffneten Dateien, an denen Änderungen vorgenommen wurden, werden mit ihrem aktuellen Inhalt gespeichert. Es erfolgen keine weitere Sicherheitsabfragen. Daher ist diese Funktion »mit Vorsicht zu genießen«.

Alle speichern: Sämtliche von WinHex nicht im View-Modus geöffneten Dateien werden mit ihrem aktuellen Inhalt gespeichert. Es erfolgen keine weitere Sicherheitsabfragen.

Beenden: Hier können Sie WinHex schließen. Sie erhalten noch einmal die Möglichkeit, Änderungen an Dateien und Datenträgern zu speichern.


Bearbeiten-Menü

Rückgängig: Erlaubt Ihnen, Tastatureingaben und die Anwendung sonstiger Funktionen ungeschehen zu machen. Dazu müssen die entsprechenden Optionen aktiviert sein.

Ausschneiden: Bewirkt, daß der aktuelle Block aus der Datei entfernt und in die Zwischenablage kopiert wird. Der dahinter liegende Teil der Datei wird entsprechend vorgezogen.

Block/Alles/Sektor kopieren

- normal: Kopiert den markierten Block bzw. den gesamten Dateiinhalt bzw. den aktuellen Sektor in die Zwischenablage, so daß er später wieder eingefügt werden kann.

- in neue Datei: Kopiert die Daten direkt in eine neue Datei (nicht über den Umweg Zwischenablage). Mit dieser Funktion kann man z. B. beliebige Daten von einem Datenträger schnell in Dateien umwandeln.

- Hex-Werte: Kopiert die Daten im Hexadezimal-Format in die Zwischenablage.

- Editoranzeige: Kopiert die Daten als Text so formatiert in die Zwischenablage, wie sie auch im Hex-Editor erscheinen, d. h. mit eine Offset-, einer Hex- und einer ASCII-Text-Spalte.

- GREP-Hex: Kopiert die Daten als Hex-Werte in GREP-Syntax.

- C/Pascal-Quellcode: Kopiert die Daten im C-/Pascal-Quelltext-Format in die Zwischenablage.

Zwischenspeicher einfügen: Fügt den Inhalt der Zwischenablage, sofern er in einem kompatiblen Format vorliegt, an der aktuellen Cursorposition ein. Der Teil der Datei, der dahinter liegt, wird hinter die Einfügung versetzt.

Zwischenspeicher schreiben: Überträgt den Inhalt der Zwischenablage an die aktuelle Cursorposition und überschreibt dabei die Bytes der Datei, die dahinter folgen. Falls dabei das Dateiende erreicht wird, wird die Datei so weit wie erforderlich verlängert, damit die Daten Platz finden.

Zwischenspeicher in neue Datei schreiben: Legt eine neue Datei mit dem aktuellen Inhalt der Zwischenablage an.

Zwischenspeicher freigeben: Löscht den Inhalt der Zwischenablage gibt den von ihm genutzten Teil des Arbeitsspeichers wieder frei.

Entfernen: Löscht den aktuellen Block aus der Datei. Der hintere Teil der Datei wird dann entsprechend vorgezogen. Der gelöschte Block wird nicht in die Zwischenablage kopiert. Wenn in allen geöffneten Dateien der Block gleich definiert ist (also an den gleichen Offsets beginnt und endet), können Sie diese Funktion wahlweise auch auf alle geöffneten Dateien anwenden.

Nullbytes einfügen: Läßt Sie eine bestimmte Anzahl von Bytes mit dem Wert Null an der aktuellen Cursor-Position einfügen.

Block als virtuelle Datei einfügen: (nur mit forensischer Lizenz) Wenn Sie manuell einen Block im Modus Volume/Partition/Disk/Datei definiert haben, können Sie ihn mit diesem Befehl dem Datei-Überblick als "herausgemeißelte" (gecarvete) Datei im extra dafür vorgesehenen virtuellen Verzeichnis hinzufügen bzw. im Fall des Datei-Modus als Unterobjekt der Originaldatei. Nützlich, wenn Sie Daten in bestimmten Bereichen (wie im freien Speicher gefundenem HTML-Code oder E-Mails) als Datei behandeln möchten, um sie einsehen, gezielt durchsuchen oder kommentieren zu können oder um sie einem Bericht hinzuzufügen.

Block festlegen: In einem Dialogfenster kann man die Offsets einstellen, die den Beginn und das Ende des aktuellen Blocks markieren. Diese Funktion ist auch über die Statusleiste zugänglich. Sie läßt sich wahlweise auch auf alle geöffneten Dateien anwenden.

Alles auswählen: Legt den Dateianfang als Blockanfang und das Dateiende als Blockende fest.

Konvertieren

Daten modifizieren

Block/Datei/Sektoren füllen


Suchen-Menü

Text suchen: Diese Funktion sucht Vorkommen einer in ASCII max. 50stelligen Zeichenfolge in der aktuellen Datei (s. a. Suchoptionen). Unterstützt nur solche Unicode-Zeichen, die im Intervall 0x00...0xFF liegen. Eine mächtigere Variante stellt die „Parallele Suche“ dar.

Hex-Werte suchen: Sucht Vorkommen einer Kombination von max. 50 jeweils zweistelligen Hex-Werten (s. a. Suchoptionen).

Text ersetzen: Diese Funktion ersetzt Vorkommen einer Zeichenfolge in der Datei durch eine andere (s. a. Ersetzen-Optionen). Unterstützt nur solche Unicode-Zeichen, die im Intervall 0x00...0xFF liegen.

Hex-Werte ersetzen: Funktioniert genau wie der Befehl »Text ersetzen«, wird aber auf eine Folge von Hex-Werten angewandt (s. a. Ersetzen-Optionen).

Parallele Suche

Indexierung, Suche im Index

Index optimieren: Optionaler Schritt, der ausgeführt werden kann, wenn ein Index erstellt wurde, und der nach dem Indexieren automatisch angestoßen wird. Sie können die Optimierung jederzeit gefahrlos abbrechen, wenn Sie im Programm weiterarbeiten (z. B. eine Index-Suche starten) möchten. Im Zuge dieser Optimierung werden die verschiedenen index*.xfi-Datei-Bestandteile konsolidiert/verschmolzen zu wenigen uindex*.xfi-Dateien, am Ende zu einer einzigen solchen Datei, die eine höhere Performanz bei der Suche ermöglichen. Der Optimierungsschritt stellt auch sicher, daß die Funktion "Wortliste exportieren" keine Wörter mehrfach exportiert.

Wortliste exportieren: Verfügbar, sobald ein Index erstellt wurde. Erlaubt es, eine Liste aller Wörter im Index in eine Textdatei zu speichern. In dieser Liste sind alle Wörter enthalten, die in den indexierten Dateien vorkommen, und jedes Wort nur genau einmal. Nützlich für individuelle Wörterbuch-Angriffe auf Paßwörter.

Kombinierte Suche: Mit dieser besonderen Funktion können Sie eine komplexe Suche durchführen: In der aktuell angezeigten und einer auf einem Datenträger bestehenden Datei wird ein gemeinsamer Offset gesucht, an dem die beiden Dateien bestimmte Daten enthalten. Wählen Sie zunächst den Hex-Wert, der in aktuellen Datei an der gesuchten Position stehen soll. Geben Sie dann den Namen der zweiten Datei und den in ihr zu suchenden Hex-Wert an. WinHex sucht nun eine Stelle, an der in jeder Datei der jeweilige Hex-Wert steht.

Ganze Zahl suchen: Geben Sie eine natürliche Zahl (in den Grenzen eines vorzeichenbehafteter 64-Bit-Integer-Wertes) an. Die Funktion sucht dann diejenigen Bytes in der Datei, die als diese Zahl interpretiert werden könnten. Ist sie fündig geworden, gibt sie den Fundort und die entsprechenden Hex-Werte an und nennt das Format, in dem die Hexadezimal-Werte der eingegebenen Zahl entsprechen (s. a. Suchoptionen).

Gleitkommazahl suchen: Geben Sie eine Dezimalzahl (z. B. 12,34 = 0,1234 * (10 hoch 2) = 0,1234E2) und den Fließkomma-Datentyp an. Die Funktion sucht dann diejenigen Bytes in der Datei, die als diese Zahl interpretiert werden könnten. Ist sie fündig geworden, gibt sie den Fundort und die entsprechenden Hex-Werte an.

Textpassagen suchen: Sucht in der Datei einen Bereich mit aufeinanderfolgenden Buchstaben (a-z, A-Z; wenn Programm auf Deutsch gestartet auch äöüß in der Lateinisch-1-Codepage), Ziffern (0-9) und/oder Satz- und Leerzeichen. Diese Funktion erfüllt zum Beispiel dann ihren Zweck, wenn Sie in einer Programmdatei den sporadisch zwischen den Steuerzeichen vorkommenden Text finden möchten.

Regeln Sie, wie »sensibel« WinHex nach Vorkommen von Text sucht, indem Sie angeben, wie lang der Text sein muß, damit er als solcher erkannt wird.

Viele Dateitypen neueren Datums, darunter 32-Bit-Programmdateien, reservieren zwei Bytes für ein Zeichen statt eins (Unicode-Zeichensatz). Die Option »Unicode-Zeichen tolerieren« bedeutet, daß auch alphanumerische ASCII-Zeichen, zwischen denen jeweils ein Byte mit dem Wert Null steht, als Text erkannt werden.

Globale Suche fortsetzen: Setzt einen bereits begonnenen globalen, d.h einen mit Option »In allen geöffneten Dateien suchen«  durchgeführten Suchvorgang, nach Anzeigen einer Fundstelle in der nächsten Datei fort. Soll zunächst in derselben Datei noch weiter gesucht werden, muß die Funktion »Suche fortsetzen« benutzt werden.

Suche fortsetzen: Führt einen bereits begonnenen Suchvorgang, auch nach Vorkommen von Text, aber keinen Ersetzen-Vorgang, von der aktuellen Cursor-Position an fort.


Position-Menü

Offset aufsuchen: Setzt den Cursor auf einen von Ihnen gewünschten Offset, d. h. eine Position in der Datei. Gewöhnlich wird diese relativ zum Anfang der Datei (Offset 0) angegeben. Sie können den Cursor aber auch relativ von der aktuellen Position vorwärts und rückwärts und vom Dateiende aus rückwärts bewegen. Die Maßeinheit ist entweder ein Byte, ein Word (2 Bytes), ein DoubleWord (4 Bytes), ein Datensatz (wenn im Ansicht-Menü aktiv) oder ein Sektor. Verwenden Sie F11, um die gewählte Positionsveränderung zu wiederholen.

Seite/Sektor aufsuchen: Schlägt die von Ihnen angegebene Seite auf bzw. springt im Fall eines Datenträgers zum gewählten Sektor/Cluster. Sektor- und Cluster-Nummern werden auch in Hexadezimalnotation (mit 0x-Präfix) akzeptiert. Bitte beachten Sie, daß der Datenbereich auf FAT-Laufwerken mit der Cluster-Nr. 2 beginnt.

FAT-Eintrag/FILE-Record aufsuchen: Erlaubt es, bequem zu einem bestimmten Eintrag in der Dateizuordnungstabelle auf einem FAT-Laufwerk bzw, zu einem bestimmten FILE-Record in der Master File Table auf einem NTFS-Laufwerk zu springen.

Block verschieben: Verschiebt die aktuelle Block-Markierung (nicht die Daten im Block) nach vorne oder hinten. Geben Sie die Distanz in Byte an. Verwenden Sie Alt+F11, um die gewählte Blockverschiebung zu wiederholen, und Shift+Alt+F11, um in die jeweils umgekehrte Richtung zu verschieben. Diese Funktion kann z. B. beim Editieren einer Datei von Nutzen sein, die aus mehreren gleichartigen Datenfeldern (Records) derselben Länge besteht.

WinHex fertigt Aufzeichnung über die Offset-Sprünge, die Sie in einem Dokument durchführen, an und erlaubt Ihnen, später innerhalb der Kette vor und zurück zu springen.

Dateianfang: Zeigt die erste Seite der Datei an und setzt den Cursor auf den Anfang der Datei (Offset 0).

Dateiende: Zeigt die letzte Seite der Datei an und setzt den Cursor auf das Ende der Datei (letztes Byte, Offset=Dateigröße-1).

Blockanfang: Setzt den Cursor auf den aktuellen Blockanfang.

Blockende: Setzt den Cursor auf das aktuelle Blockende.

Position markieren: Markiert die aktuelle Position optisch.

Markierung löschen: Löscht eine zuvor gesetzte Markierung vom Bildschirm.

Markierung aufsuchen: Setzt den Cursor auf die zuvor markierte Position.

Positions-Manager


Fenster-Menü

Fenster-Manager: Listet alle Edtierfenster auf und gibt Ihnen die Möglichkeit, schell zwischen verschiedenen Fenstern zu wechseln. Sie können im Fenster-Manager auch einzelne Fenster schließen und geänderte Dateien speichern.

Anordnung als Projekt speichern: Schreibt die gegenwärtige Fensterkonstellation in eine Projektdatei. Vom Start-Center aus können Sie das Projekt dann zu einem späteren Zeitpunkt wieder laden und die Editierpositionen in allen Dokumenten wiederherstellen lassen, um Ihre Arbeit dort fortsetzen zu können, wie Sie sie verlassen haben, oder um die Arbeit im Fall einer wiederkehrenden Aufgabe bequem aufnehmen zu können.

Alle schließen: Schließt alle geöffneten Fenster und damit alle momentan in WinHex dargestellten Dateien und Datenträger.

Ohne Abfragen schließen: Funktioniert wie »Alle schließen«, ohne Ihnen jedoch die Möglichkeit zu geben, eventuelle Änderungen zu speichern.

Übereinander/Horizontal/Vertikal: Ordnet die Editierfenster wie beschrieben an.

Minimieren: Verkleinert alle Editierfenster.

Symbole anordnen: Richtet verkleinert dargestellte Fenster ordentlich am unteren Rand des Rahmenfensters aus.


Extras-Menü

Disk öffnen

Datenträger klonen

Rekursiv erkunden: Wechselt für das aktuell im Verzeichnis-Browser dargestellte Verzeichnis in eine rekursive Ansicht oder zurück in eine normale Ansicht. In einer rekursiven Ansicht werden nicht nur die Dateien angezeigt, die sich direkt in diesem Verzeichnis befinden, sondern auch alle Dateien in alle Unterverzeichnissen und deren Unterverzeichnissen usw. Das erlaubt es z. B., Dateien aus unterschiedlichen Pfaden in einem einzigen Schritt wiederherzustellen/zu kopieren.

Dateien retten nach Typ

Dateiüberblick neu einlesen: Verfügbar für Partitionen mit einem der unterstützen Dateisysteme. WinHex durchläuft alle Dateisystem-Datenstrukturen und Clusterketten und kann dadurch den Verzeichnis-Browser befüllen und für jeden Sektor/Cluster angeben, was in ihm gespeichert ist bzw. ob er unbelegt ist. Durch Dateioperationen auf dem betreffenden Laufwerk veralten diese Informationen allerdings, und ein erneutes Aufrufen dieser Funktion bietet sich an. Vgl. Sicherheitsoptionen.

Freien Speicher initialisieren: Vertrauliche Informationen könnten durch normale Lösch- und Kopiervorgänge in momentan unbenutzten Bereichen des Datenträgers liegen. Mit dieser Funktion kann der unbenutzte Speicher eines Datenträgers aus Sicherheitsgründen initialisiert (überschrieben) werden. Dies verhindert die Wiederherstellung von Daten aus diesem Bereich des Datenträgers. Nur in WinHex verfügbar, nicht in X-Ways Forensics.

Schlupfspeicher initialisieren: Überschreibt Schlupfspeicher (englisch »slack space«, die unbenutzten Bytes im jeweils letzten Cluster einer Clusterkette, hinter dem tatsächlichen Ende der Datei) mit Nullbytes. Dies kann in Verbindung mit »Freien Speicher initialisieren« benutzt werden, um vertrauliche Daten auf einem Laufwerk sicher zu löschen oder um den Platzbedarf eines komprimierten Datenträger-Backups zu minimieren (z. B. einer WinHex-Sicherung). Beenden Sie vor Verwendung dieser Funktion alle laufenden oder residenten Programme, die auf den Datenträger schreiben könnten. Nur in WinHex verfügbar, nicht in X-Ways Forensics.

MFT-Records initialisieren: Auf NTFS-Volumes kann WinHex alle gegenwärtig unbenutzten FILE-Records der $MFT (Master File Table) sicher löschen. Diese können Metadaten (z. B. Namen) und sogar Inhalte von ehemals existierenden Dateien enthalten. Nur in WinHex verfügbar, nicht in X-Ways Forensics.

Verzeichniseinträge initialisieren: Auf FAT-Volumes kann WinHex alle gegenwärtig ungenutzten Verzeichniseinträge sicher löschen, um Spuren ehemals existierender Dateien sowie Informationen über frühere Namen oder Orte existierender Dateien aus dem Dateisystem zu entfernen. Besonders nützlich in Verbindung mit der Funktion zum Initialisieren des freien Speichers. Nur in WinHex verfügbar, nicht in X-Ways Forensics.

Verlorene Partitionen suchen: Ehemals existierende Festplatten-Partitionen, die nicht automatisch gefunden wurden, als die physische Platte (oder eine Image-Datei einer physischen Platte) geöffnet wurde, können mit diesem Befehl gefunden und entsprechend identifiziert werden. Er sucht nach der 0x55-0xAA-Signatur von Master Boot Records, Partitionssektoren und FAT-/NTFS-Bootsektoren sowie nach Ext2/Ext3/Ext4-Superblöcken, optional nur ab dem ersten Sektor, der der letzten (gemäß ihrer physischen Abfolge) Partition folgt, die bereits bekannt ist, und listet die neu gefundenen Partitionen im Verzeichnis-Browser auf. Funktioniert nur bei Sektorgröße 512 Bytes.

Als Partitionsanfang interpretieren: Wenn Sie den Anfangssektor einer (z. B. gelöschten) Partition auf einer physischen Festplatte finden, können Sie die Partition mit diesem Menübefehl einfach per Zugriffsschaltermenü zugreifbar machen. Wenn kein bekanntes Dateisystem beginnend am aktuell angezeigten Sektor erkannt wird, werden Sie gefragt, wie viele Sektoren in der neu zu definierenden Partition enthalten sein sollen.

Plattenparameter eingeben: Benutzen Sie diese Funktion für einen physischen Datenträger, um die von WinHex erkannte Gesamtzahl von Sektoren oder optional (kann freigelassen werden) die Zahl der Zylinder, Köpfe und Sektoren pro Spur anzupassen. Dies kann nützlich sein, um auf etwaige Überhangsektoren am Ende des Datenträgers zugreifen zu können (sofern diese von WinHex nicht automatisch erkannt werden) oder um das CHS-Koordinatensystem nach Ihren Wünschen zu ändern. Im Fall eines logischen Datenträgers können Sie die Zahl der zu erkennenden Cluster selbsten bestimmen, was erforderlich werden kann, wenn etwa eine große DVD von Windows 9x nur als 2 GB erkannt wird.

Datei-Tools

RAM öffnen

Einsehen: Verfügbar nur mit einer forensischen Lizenz. Ruft den internen Viewer auf.

Externe Programme: Ruft eins der im Optionen-Menü eingestellten externen Programme auf (wie etwa Quick View Plus) und öffnet darin die aktuelle Datei.

X-Ways Trace aufrufen: Nur verfügbar, wenn X-Ways Trace installiert ist. Diese Software kann die History/Cache-Dateien diverser Internet-Browser entschlüsseln.

Rechner: Startet den Windows-Rechner für sonstige Berechnungen. Dazu muß sich die Datei »calc.exe« im Windows-Ordner befinden.

Umrechnung: Diese Funktion können Sie benutzen, um Zahlen des Hexadezimal-Systems ins Dezimal-System oder umgekehrt zu übersetzen. Nach der Eingabe der Zahl betätigen Sie die ENTER-Taste. Bitte beachten Sie die Hinweise unter »Ganzzahlige Datentypen«.

Block/Datei/Sektoren analysieren: Die Daten im aktuellen Block, in der gesamten Datei bzw. auf dem gesamten Datenträger werden statistisch ausgewertet und das Ergebnis in einem Fenster graphisch veranschaulicht. WinHex ermittelt dazu die Häufigkeiten des Vorkommens aller 256 möglichen Bytewerte und bildet sie proportional in vertikalen Linien entsprechender Länge ab. Dabei wird die Höhe des Fensters optimal genutzt, d. h. die längste Linie (die den häufigsten Bytewert repräsentiert) reicht von unten bis zur Titelleiste des Fensters. Unter der Titelleiste können Sie abhängig von der Mauscursor-Position den relativen Anteil und die absolute Anzahl eines jeden Bytewerts ablesen.

Diese Funktion kann z. B. dazu eingesetzt werden, um Datenmaterial unbekannter Art zu analysieren. Audio-Daten, komprimierte Daten, ausführbarer Code u. a. lassen sich an charakteristische Grafiken erkennen. Im Kontextmenü des Fensters läßt sich einstellen, ob Bytes mit dem Wert Null unberücksichtigt bleiben sollen. Dies kann in vielen Fällen die Aussagekraft der Grafik stark erhöhen. Vom Kontextmenü aus können Sie das Analysefenster auch drucken und die Analyse in eine Textdatei exportieren.

Wenn Sie kleinere Datenmengen analysieren lassen (weniger als 50.000 Bytes), wird die mit Zlib für diese Daten erzielbare Kompressionsrate in der Titelzeile des Analysefensters angezeigt. Diese Rate läßt ebenfalls Rückschlüssel über die Natur der Daten zu.

Hash berechnen: Berechnet für die aktuelle Datei, den aktuellen Datenträger bzw. den gegenwärtig definierten Block eine der folgenden Prüfsummen/Digests: 8-Bit-, 16-Bit-, 32-Bit-, 64-Bit-Prüfsumme, CRC16, CRC32, MD5, SHA-1, SHA-256 oder PSCHF.

Hash-Datenbank


Optionen-Menü

Allgemeine Optionen

Verzeichnis-Browser-Optionen

Viewer-Programme

Daten-Dolmetscher-Optionen

Rückgängig-Optionen

Sicherheitsoptionen

Editier-Modus: Erlaubt es, den Editier-Modus programmweit zu bestimmen. (Das Kontextmenü der Informationsspalte erlaubt es, den Editier-Modus gezielt nur für das aktive Editierfenster zu ändern.) Editier-Modi

Zeichensatz: An diesem Menüeintrag oder mit der Tastenkombination Shift+F7 kann eingestellt werden, ob für die Textdarstellung der ANSI-ASCII-, der IBM-ASCII-,  der EBCDIC- oder der Unicode-Zeichensatz verwendet wird. Voreingestellt ist der ANSI-ASCII-Zeichensatz. EBCDIC ist auf IBM-Mainframe-Rechnern gebräuchlich. EBCDIC kann in WinHex nicht zum Drucken verwendet werden. Unicode-Zeichen (Little Endian) werden immer an geradzahligen Offsets erwartet. Die Texteingabe über die Tastatur wird im Unicode-Zeichensatz nicht unterstützt.


Datei-Tools

Verketten: Diese Funktion läßt Sie eine beliebige Anzahl bestehender Dateien auswählen, die aneinandergehängt eine Zieldatei bilden.

Zerlegen: Wählen Sie eine bestehende Datei, aus der Sie mehrere neue Dateien bilden möchten. Geben Sie für jede Zieldatei den Dateinamen an und den Offset der Quelldatei, an dem die Trennung vorgenommen werden soll. Die Quelldatei bleibt durch diese Funktion unberührt.

Verschmelzen: Geben Sie die Namen zweier Quelldateien und einer Zieldatei an. Die Bytes bzw. Words der Quelldateien werden abwechselnd in die Zieldatei geschrieben (wobei das erste Byte/Word aus der ersten Quelldatei stammt). Auf diese Weise lassen sich die in getrennten Dateien enthaltenen Odd- und Even-Bytes bzw. -Words zu einer Datei zusammenfügen (z. B. in der EPROM-Programmierung).

Aufspalten: Geben Sie die Namen einer Quelldatei und zweier Zieldateien an. Die Bytes bzw. Words der Quelldatei werden abwechselnd in die Zieldateien geschrieben (wobei das erste Byte/Word in die zuerst ausgewählte Zieldatei gelangt). Auf diese Weise lassen sich Odd- und Even-Bytes bzw. -Words in zwei separate Dateien überführen (z. B. in der EPROM-Programmierung).

Vergleichen: Wählen Sie zwei Editierfenster (Dateien oder Datenträger) aus, die Sie Byte für Byte vergleichen möchten. Geben Sie außerdem den Namen der Datei an, in die der Bericht geschrieben werden soll. Bestimmen Sie, ob nach Unterschieden oder nach Übereinstimmungen gesucht werden soll. Sie geben an, wie viele Bytes verglichen werden sollen. Es ist möglich, eine Anzahl von Unterschieden/Übereinstimmungen anzugeben, bei deren Erreichen der Vergleich abgebrochen werden soll. WinHex erstellt einen Bericht in Form einer Textdatei, den Sie mit dem unter Optionen gewählten Texteditor einsehen können. Bei großen Vergleichsbereichen und vielen Unterschieden/Übereinstimmungen kann diese Textdatei sehr groß werden.

Der Vergleich beginnt an den jeweils angegebenen Offsets. Diese Offsets dürfen unterschiedlich sein, so daß z. B. das Byte an Offset 0 in Datei A mit dem Byte an Offset 32 in Datei B vergleichen wird, und das Byte an Offset 1 mit dem an Offset 33 usw. Wenn Sie Editierfenster für den Vergleich auswählen, wird die aktuelle Cursorposition automatisch hinter "Ab offset" eingetragen.

Es gibt noch eine weitere Vergleichsfunktion in WinHex: Sie können auch Editierfenster mit-ein-ander vergleichen und das Rollen in den Fenstern synchronisieren (s. Ansicht-Menü).

Sicheres Löschen: Löscht eine oder mehrere Dateien definitiv, so daß ihr Inhalt mit Datenrettungs-Programmen nicht rekonstruiert werden kann. Jede gewählte Datei wird in ihrer aktuellen Größe gemäß den Einstellungen überschrieben, auf die Länge Null gekürzt und dann gelöscht. Zusätzlich wird ihr Name im Dateisystem unkenntlich gemacht. »Sicheres Löschen« eignet sich daher für Dateien mit vertraulichen Informationen, die vernichtet werden sollen. Nur in WinHex verfügbar, nicht in X-Ways Forensics.


Hilfe-Menü

Inhalt: Ruft die Inhaltsübersicht dieser Hilfe-Datei auf.

Setup: Läßt Sie zwischen allen verfügbaren Sprachen umschalten.

Initialisieren: Mit dieser Funktion können Sie die Voreinstellungen sämtlicher Optionen wiederherstellen. Alternativ dazu können Sie die Datei »winhex.cfg« löschen, bevor Sie WinHex starten.

Deinstallieren: Mit dieser Funktion können Sie die WinHex von Ihrer Festplatte entfernen, selbst wenn Sie nicht das Setup-Programm zur Installation verwendet haben.

Online: Lädt die WinHex-Homepage (Internet-Adresse http://www.winhex.com), das Support-Forum (http://www.winhex.net), die Wissensdatenbank (http://www.winhex.com/winhex/kb/), oder die Seite zum Abonnieren des WinHex-Newsletters in Ihrem Browser.

Info: Zeigt Informationen über WinHex an (u. a. die Programmversion und Ihren Lizenzstatus).


Drucken

Mit dieser Funktion des Datei-Menüs können Sie einen Ausschnitt aus einem

Editierfenster drucken. Geben Sie den Druckbereich in Form von Offsets an.

Sie haben die Möglichkeit, einen Drucker auszuwählen und ihn einzurichten.

Bestimmen Sie den Zeichensatz für den Druck, ändern Sie ggf. die vorge-

schlagene Schriftgröße und tragen Sie auf Wunsch einen Kommentar, der

am Ende des Ausdruckes erscheinen soll, in das dafür vorgesehene Feld ein.

Die empfohlene Schriftgröße berechnet sich als Druckauflösung (z. B. 720 dpi)

geteilt durch 6 (z. B. 120).

Wenn Ihnen das Drucken mit WinHex nicht flexibel genug ist, können Sie auch

einen Block definieren, ihn mit »Bearbeiten->Kopieren->Editoranzeige« als

Hex-Editor-formatierten Text in die Zwischenablage kopieren und in einem

Textverarbeitungsprogramm weiterverwenden. Dort eignet sich dann besonders

die Schriftart »Courier New«, Größe 10, zum Ausdruck auf DIN A4.


Block

Als »Block« wird ein ausgewählter Bereich bezeichnet, der für jede

in WinHex geöffnete Datei festgelegt werden kann. Dieser Bereich

ist Gegenstand vieler Funktionen im Bearbeiten-Menü, genau wie

Markierungen in anderen Windows-Programmen. Wenn kein Block

definiert ist, beziehen sich diese Funktionen gewöhnlich auf den

gesamten Dateiinhalt.

Die aktuelle Lage und Größe des Blocks werden in der Statusleiste

angezeigt. Durch Drücken der Escape-Taste oder durch einen Doppel-

klick mit der rechten Maustaste hebt man die Blockmarkierung auf.

Arbeitserleichterungen


Daten modifizieren

Mit dieser Funktion können Sie die Daten im aktuellen Block bzw. in der gesamten Datei (falls kein Block definiert ist) verändern. Entweder Sie addieren zu jedem Element der Daten eine Zahl, Sie invertieren die Bits, Sie führen eine bitweise XOR-Operation mit einer Konstanten aus (eine einfache Art der Verschlüsselung), eine OR- oder eine AND-Operation, Sie shiften Bits logisch, rotieren Bits nach links in einem zirkulierendem Muster (1. Byte um 1 Bit, 2. Byte um 2 Bits usw.) oder Sie vertauschen Bytes paarweise. Durch das Shiften (Verschieben) von Bits können Sie das Einfügen oder Entfernen eines einzelnen Bits am Anfang des Blockes simulieren. Daten lassen sich auch um ganze Bytes verschieben (derzeit nur nach links, durch Eingabe einer negative Anzahl von Bytes). Dies ist nützlich, wenn Sie im In-Place-Modus Bytes aus einer sehr großen Datei ausschneiden möchten, was sonst die Erstellung einer ebensogroßen temporären Datei erfordern würde.

Bytes vertauschen

Vertauscht benachbarte Bytes paarweise (16-Bit-Vertauschung) oder in 4er-Gruppen (32-Bit-Vertauschung) innerhalb des aktuellen Blocks bzw. innerhalb der gesamten Datei, wenn kein Block definiert ist. Der Bereich muß dazu ein Vielfaches von 2 (16-Bit-Vertauschung) bzw. 4 (32-Bit-Vertauschung) Bytes enthalten. Mit dieser Funktion können Sie »Big-Endian«-Daten in »Little-Endian«-Daten verwandeln.

Addition

Geben Sie einen positiven oder negativen, dezimalen oder hexadezimalen Summanden an, der jedem Datenelement des Blockes hinzuaddiert werden soll. Der numerische Datentyp bestimmt Größe (1, 2 oder 4 Bytes) und Art (vorzeichenbehaftet oder vorzeichenlos) eines Elements.

Es werden zwei Möglichkeiten angeboten, wie WinHex verfahren soll, wenn durch die Addition der Wertebereich des Formats über- oder unterschritten würde. Entweder der Wertebereich wird nicht verlassen, d. h. das Maximum bzw. Minimum des Wertebereichs wird als neuer Wert angenommen (I), oder die Addition wird dennoch durchgeführt und der entstehende Übertrag ignoriert (II).

Beispiel: 8 Bit, vorzeichenlos

I. FF + 1 = FF	(255 + 1 = 255)

II.	FF + 1 = 00	(255 + 1 = 0)

Beispiel: 8 Bit, vorzeichenbehaftet

I.	80 - 1 = 80	(-128 - 1 = -128)

II.	80 - 1 = 7F	(-128 - 1 = +127)

Hinweise:

• Bei Verwendung der ersten Methode erhalten Sie nach Abschluß der Operation eine Meldung, wie oft die Addition nicht durchgeführt werden konnte.

• Wenn Sie die zweite Methode verwenden, ist der Vorgang umkehrbar. Geben Sie einfach die Gegenzahl des zuvor benutzten Summanden bei gleichem Zahlenformat ein. Sie erhalten dann exakt die ursprünglichen Daten.

• Bei Wahl der zweiten Methode ist es egal, ob Sie ein vorzeichenbehaftetes oder vorzeichenloses Format angeben.


Konvertierungen

WinHex erlaubt es, mit dem Befehl »Konvertieren« im Bearbeiten-Menü Daten in andere Formate umzuwandeln, zu verschlüsseln und zu entschlüsseln. Die Konvertierung kann optional in allen in WinHex geöffneten Dateien statt nur in der aktuellen Datei durchgeführt werden. Die mit einem Stern (*) gekennzeichneten Formate können nie blockweise, sondern nur dateiweise konvertiert werden. Die folgenden Formate werden unterstützt:

• ANSI-ASCII, IBM-ASCII (zwei sich teilweise unterscheidende ASCII-Zeichensätze)

• EBCDIC (ein IBM-Mainframe-Zeichensatz)

• Groß-/Kleinbuchstaben (ANSI-ASCII)

• Binär* (Rohdaten)

• Hex-ASCII* (Hexadezimal-Darstellung von Rohdaten als ASCII-Text)

• Intel-Hex* (=Extended Intellec; Hex-ASCII-Daten in einem speziellen Format, incl. Prüfsummen etc.)

• Motorola-S* (=Extended Exorcisor; dto.)

• Base64*

• UUCode*

Bitte beachten Sie:

• Beim Konvertieren von Intel-Hex oder Motorola-S in ein anderes Format werden die in den Daten enthaltenen Prüfsummen nicht auf Korrektheit überprüft.

• In Abhängigkeit von der Dateigröße wird der kleinstmögliche Subtyp in der Ausgabe verwendet: Intel-Hex: 20-Bit oder 32-Bit. Motorola-S: S1, S2 oder S3.

• Beim Konvertieren von Binär nach Intel-Hex oder Motorola-S werden nur Speicherbereiche übersetzt, die nicht mit hexadezimalen FFs gefüllt sind, um die Ergebnisdatei kompakt zu halten.

Der Befehl »Konvertieren« kann auch Rohdaten einer beliebigen Anzahl kompletter 16-Cluster-Einheiten dekomprimieren, die vom NTFS-Dateisystem komprimiert wurden,* sowie (mit forensischer Lizenz) herauskopierte ganze hiberfil.sys-Dateien sowie einzelne xpress-Blöcke daraus.

Er kann außerdem gepackten 7-Bit-ASCII-Code in lesbaren 8-Bit-ASCII-Text verwandeln, was z. B. für SMS in Mobiltelefonen nützlich ist.*

Verschlüsselung/Entschlüsselung

Es wird empfohlen, einen Schlüssel zu verwenden, der aus mind. 8 Zeichen besteht. Widerstehen Sie der Versuchung, ein Wort aus einer belieben Sprache zu wählen. Am besten ist eine zufällige Kombination von Buchstaben, Satzzeichen und Ziffern. Beachten Sie, daß Groß- und Kleinbuchstaben unterschieden werden. Es ist unmöglich, ohne den richtigen Schlüssel die verschlüsselten Daten wiederherstellen zu können. Der zur Entschlüsselung eingegebene Schlüssel wird nicht auf Korrektheit überprüft.

Verfügbare Verschlüsselungsalgorithmen in WinHex:

• 256-Bit-AES/Rijndael (auf der Höhe der Zeit), im Counter-Modus (CTR). Dieser Algorithmus benutzt einen 256-Bit-Schlüssel, der mit SHA-256 gehasht wird aus der 512-Bit-Konkatenation des SHA-256 des von Ihnen angegebenen Schlüssels und 256 Bits kryptographisch einwandfreien Zufallszahlen („Salz“). Die Datei wird um 48 Bytes vergrößert, um das Salz (32 Bytes) und einen 16 Byte großen zufällig gewählten Initialzählstand unterzubringen.

WinHex erlaubt es nicht nur, eine gesamte Datei, sondern alternativ auch nur einen Block von Daten zu verschlüsseln. In diesem Fall werden Sie jedoch gewarnt, daß weder „Salz“ noch ein zufälliger Initialzählstand verwendet werden. Sie dürfen dann keinesfalls denselben Schlüssel mit derselben Methode wiederverwenden, um andere Daten zu verschlüsseln. Die Größe des Blocks bleibt unverändert.

• Pukall Cipher 1 (PC 1) mit einem 128-Bit-Schlüssel (dem 128-Bit-Digest des von Ihnen angegebenen Schlüssels).


Suchoptionen

Groß-/Kleinschreibung beachten: Wenn diese Option gewählt ist, wird der Text immer in genau der Schreibweise gesucht, in der Sie ihn vorgeben. Z. B. wird »Beispiel« nicht bei der Vorgabe »beispiel« gefunden. Wenn Sie die Option nicht wählen, so wird WinHex selbst bei »bEIsPiEl« fündig. Funktioniert mit a-z, A-Z, in ASCII und Unicode. Auch deutsche Umlaute, die im ANSI-ASCII-Format vorliegen, sind dann in der Groß- und Kleinschreibung austauschbar, sonstige sprachspezifischen Buchstaben (çåê...) allerdings nicht.

Im Unicode-Zeichensatz suchen: Der Text wird im Unicode-Zeichensatz gesucht (UTF-16 Little Endian). Dieser Zeichensatz reserviert 16 Bit je Zeichen. Die parallele Suche erlaubt es, denselben Text gleichzeitig in Unicode und in einer Codepage zu suchen.

Sie können ein frei wählbares Jokerzeichen (ein Zeichen bzw. ein zweistelliger Hex-Wert) verwenden, das genau ein Byte abdecken kann. Z. B. kann man mit der Such-Zeichenfolge »Sp?ck« sowohl »Speck« als auch »Spock« finden.

Nur ganze Wörter suchen: Die zu suchende Zeichenfolge wird nur erkannt, wenn sie als einzelnes Wort vorkommt, also von anderen Buchstaben (a...z, A...Z, wenn Programm auf Deutsch gestartet auch äöüß) und Ziffer durch Nichtbuchstaben und Nichtziffern, also z. B. durch Leer-, Satz- oder Steuerzeichen, getrennt ist. Reduziert die Anzahl der Treffer verläßlich nur für Text in Deutsch oder Englisch.

Suchrichtung: Bestimmen Sie, ob von vorne bis hinten oder von der aktuellen Position an ab- oder aufwärts gesucht werden soll.

Bedingung: Offset modulo x = y: Der Suchalgorithmus erfaßt nur Vorkommnisse an Offsets, die die genannte Bedingung erfüllen. Wenn Sie bspw. Daten suchen, von denen Sie wissen, daß sie an Position 10 eines Festplatten-Sektors stehen, geben Sie x=512, y=10 an. Wenn Sie DWORD-ausgerichtete Daten suchen, verwenden Sie x=4, y=0, um irrelevante Treffer auszuschließen.

Nur im Block suchen: Es wird nur derjenige Teil der Datei/des Datenträgers/des virtuellen Speichers durchsucht, der innerhalb des Blockes liegt.

In allen geöffneten Fenstern suchen: Die Suche wird der Reihe nach in allen in WinHex offenen Editierfenstern durchgeführt. Wird WinHex in einem Fenster fündig, kann die Suche danach im selben Fenster normal fortgesetzt werden (durch F3); zum nächsten Fenster geht WinHex mit der Funktion »Globale Suche fortsetzen« (F4) über. Wenn »Nur im Block suchen« aktiviert ist, wird in jedem Fenster nur der dort festgelegte Block durchsucht.

Fundstellen zählen (und auflisten): Die Anzahl der Vorkommnisse des gesuchten Texts/der gesuchten Hex-Werte in der Datei/auf dem Datenträger/im virtuellen Speicher wird ermittelt. Die Positionen der Vorkommnisse werden ggf. im Positions-Manager gespeichert, so daß sie zu einem späteren Zeitpunkt wiedergefunden und bearbeitet werden können.

Suche nach »Nicht-Treffern«: Unter »Hex-Werte suchen« können Sie einen Hex-Wert mit einem Ausrufungszeichen als Präfix angeben (z. B. !00), um WinHex das erste Byte mit einem davon abweichenden Wert finden zu lassen.

GREP-Syntax: Nur verfügbar bei der Parallelen Suche und der Logischen Suche. Reguläre Ausdrücke sind ein mächtiges Suchwerkzeug. Ein einziger regulärer Ausdruck kann viele verschiedene Wort abdecken. Die folgenden Zeichen haben in regulären Ausdrücken eine besondere Bedeutung, wie unten erklärt: ( ) [ ] {| \ . # + ?. An Stellen, an denen diese besonderen Zeichen wörtlich zu verstehen sind, muß ihnen ein umgekehrter Schrägstrich (\) vorangestellt werden.

Der Oder-Operator (|) wird verwendet, um Alternativen zu formulieren. So kann man mit Auto(s|reifen) nach Autos oder Autoreifen suchen, Autoseifen wird hingegen nicht gefunden. Es wird also immer nach einer kompletten Zeichenkette gesucht, die vor, hinter, oder zwischen |-Zeichen steht. Die Wirkung von | wird nur durch runde Klammern begrenzt.

. und # sind Platzhalter (Joker-Zeichen): . paßt auf alle Zeichen, # paßt auf alle Ziffern. Weitere Zeichenmengen lassen sich innerhalb von eckigen Klammern angeben: [xyz] paßt auf die Zeichen x, y, und z. [^xyz] paßt auf alle Zeichen außer x, y, z. Auch Intervalle können angegebben werden: [a-z] paßt auf alle Kleinbuchstaben. [^a-z] paßt auf alle Zeichen außer Kleinbuchstaben. Die Auflistung darf mehrere einzelne Zeichen und Listen zugleich enthalten. Daher paßt [aceg-loq] auf die Zeichen a, c, e, g, h, i, j, k, l, o, und q. Alle Zeichen außer [, ], -, \ werden zwischen eckigen Klammern als Klartext interpretiert, auch die Platzhalter . und #.

»\b« steht für den Anfang oder das Ende eines Wortes, d. h. die Grenze zwischen einem Wort-Zeichen und einem Nicht-Wort-Zeichen. Nur die Buchstaben a-zA-Z sowie äöüß (wenn Windows mit Lateinisch I als aktiver Codepage ausgeführt wird) gelten als Wort-Zeichen. Der Anfang und das Ende einer Datei gelten auch als Wortgrenzen.

Byte-Werte, die ASCII-Zeichen entsprechen, die nicht bequem über die Tastatur erzeugbar sind, können in dezimaler oder hexadezimaler Schreibweise angegeben werden. Zum Beispiel sind \032 und \x20 äquivalent zum Leerzeichen im ASCII-Zeichensatz. Diese Art der Notation wird auch innerhalb von eckigen Klammern unterstützt. Z. B. deckt [\000-\x1f] alle nichtdruckbaren ASCII-Zeichen ab.

Multiplikatoren (*, + und ?) bestimmen, daß das/die vorangehende Zeichen mehr als einmal vorkommen können oder müssen (s. u.). Komplexes Beispiel: a(b|cd|e[f-h]i)*j paßt auf aj, abj, acdj, aefij, aegij, aehij, abcdj und abefij.

Innerhalb von eckigen Klammern werden die Zeichen .*+?{}()| nicht als besondere GREP-Zeichen, sondern wörtlich behandelt.

.	Ein Punkt steht für ein einzelnes beliebiges Zeichen.

#	Eine Raute steht für ein einzelnes numerisches Zeichen [0-9].

\nnn	Ein Byte-Wert angegeben durch drei dezimale Ziffern (\000..\255).

\xnn	Ein Byte-Wert angegeben durch zwei hexadezimale Ziffern (\x00...\xFF). \x0D\x0A = Zeilenendezeichen

?	Deckt 1 oder 0 Vorkommnisse des/r vorangehenden Zeichen(s) ab.

*	Deckt eine beliebige Anzahl von Vorkommnissen des vorangehenden Zeichens ab, auch 0.

+	Deckt eine beliebige Anzahl von Vorkommnissen des vorangehenden Zeichens außer 0 ab.

[XYZ]	Zeichen in eckigen Klammern decken ein beliebiges der darin angegebenen Zeichen ab.

[^XYZ]	Ein Zirkumflex am Anfang des geklammerten Ausdrucks bedeutet NICHT.

[A-Z]	Ein Bindestrich innerhalb von eckigen Klammern zeigt ein Intervall von Zeichen an.

\	Bewirkt, daß das folgende besondere GREP-Zeichen wörtlich zu behandeln ist.

{X,Y}	Wiederholt das/die vorangehenden Zeichen X bis Y mal.

(ab)	Verhält sich wie eine Klammerung in einem mathematischen Ausdruck. Gruppiert a und b für +, * und { }

a|b	Verhält sich wie ein logisches ODER (a oder b).

\b	Steht für eine Wortgrenze.

^	Steht für den Anfang einer Datei.

$	Steht für das Ende einer Datei.

Beispiele:

[a-zA-Z0-9_\-\.]{a-zA-Z0-9\-\.]{2,20}\.[a-zA-Z]{2,7}

findet E-Mail-Adressen

[a-zA-Z]+://[a-zA-Z0-9/_\?$&=\-\.]+

findet Internet-Adressen mit http://, https://, ftp://

Suchen-Menü

Optionen des Ersetzens

Technische Hinweise

Bitte beachten Sie, daß bei der Suche nach mehreren Begriffen auf einmal, wenn ein Begriff eine Erweiterung eines anderen Begriffs ist, nicht garantiert ist, daß Sie alle Treffer für alle Se Se Suchbegriffe angezeigt bekommen. Beispiel: Wenn Sie gleichzeitig nach "haus" und "hausen" suchen, erhalten Sie u. U. keine Treffer für "hausen" auch wenn das Woooooorrrt tatsächlichchchchch v v v vorkommt, weil diese Treffer bereits "haus" zugeordnet werden.

Suchfenster, Umgebungssuche

Die Größe des Suchfensters bei der GREP-Suche beträgt standardmäßig 128 Bytes. Das bedeutet, es ist nicht garantiert, daß Sie mit einem GREP-Suchbegriff variabler Länge, d. h. unter Verwendung der Syntax-Features {}*+, Daten finden können, die sich über mehr als 128 Bytes erstrecken. Sie können das Suchfenster verbreitern, wenn Sie mehr als das abdecken möchten.

Das Suchfenster ist z. B. für Umgebungssuchen (Kontextsuchen) relevant. Wenn Sie Dokumente suchen, in denen zwei Suchbegriff zugleich vorkommen, und zwar relativ nah beieinander, können Sie nach diesen Begriffen mit zwei GREP-Ausdrücken suchen und die maximale Entfernung, die zwischen ihnen erlaubt sein soll, als zweiten Parameter in den geschweiften Klammern angeben:

keyword1.{0,maxdistance}keyword2

keyword2.{plainmaxdistance}keyword1

Die benötigte Suchfensterbreite in Bytes (Annahme: Suche in einem 8-Bit-Zeichensatz) ist die Summe von maxdistance, Länge(keyword1) und Länge(keyword2).

Die dem zugrundliegende linguistische Annahme ist, daß die Anordnung von Wörtern in naher Nachbarschaft in einem Dokument eine Beziehung zwischen den Wörtern impliziert. Given that authors of documents try to formulate sentences which contain a single idea, or cluster related ideas within neighboring sentences or organized into paragraphs, there is an inherent, relatively high, probability within the document structure that words used together are related. Where as, when two words are on the opposite ends of a book, the probability there is a relationship between the words is relatively weak. By limiting search results to only include matches where the words are within the specified maximum proximity, or distance, the search results are assumed to be of higher relevance than the matches where the words are scattered. (Abschnitt zitiert von wikipedia.org)


Ersetzen-Optionen

Auf Bestätigung warten: An jeder Fundstelle entscheiden Sie, ob dort ersetzt und ob der Vorgang evtl. abgebrochen werden soll.

Alles ersetzen: Alle Vorkommnisse werden automatisch ersetzt.

Groß-/Kleinschreibung beachten: Bei der Suche nach der zu ersetzenden Zeichenfolge kann nach Groß- und Kleinschreibung unterschieden werden (s. a. Suchoptionen). WinHex verwendet die Ersatz-Zeichenfolge natürlich in jedem Fall in der von Ihnen gewählten Schreibweise.

Unicode-Zeichensatz verwenden: Der Text wird im Unicode-Zeichensatz gesucht. Dieser Zeichensatz reserviert 16 Bit je Zeichen, wobei die ersten 256 Unicode-Zeichen den ANSI-ASCII-Zeichen entsprechen. Das höherwertige Byte ist dabei Null. In 32-Bit-Programmdateien beispielsweise sind Texte teilweise im Unicode-Zeichensatz gespeichert.

Sie können ein beliebiges Zeichen bzw. einen beliebigen zweistelligen Hex-Wert als Jokerzeichen verwenden. Z. B. kann man mit der Such-Zeichenfolge »Sp?ck« sowohl »Speck« als auch »Spock« finden.

In der Ersatz-Zeichenfolge kann das Jokerzeichen verwendet werden, um an den betreffenden Stellen das bestehende Zeichen nicht zu ändern. Auf diese Weise kann man bspw. »Huhn« und »Hahn« in einem Schritt durch »Hund« und »Hand« ersetzen (entsprechende Eingabe: »H?hn« ersetzen durch »H?nd«).

Ein Jokerzeichen, das im überstehenden Teil einer Ersatz-Zeichenfolge steht, die länger als die zugehörige Such-Zeichenfolge ist, wird selbst als Ersatz in die Datei geschrieben, da es kein bereits bestehendes Zeichen in der Datei gibt, das sich dem Jokerzeichen zuordnen läßt.

Ganze Wörter: Die zu suchende Zeichenfolge wird nur erkannt, wenn sie als einzelnes Wort vorkommt, also von anderen Buchstaben (z. B. durch Leer- oder Steuerzeichen) getrennt ist. Wenn diese Option gewählt ist, wird z. B. »Tomate« nicht in »Automaten« gefunden.

Suchrichtung: Bestimmen Sie, ob von vorne bis hinten oder von der aktuellen Position an ab- oder aufwärts ersetzt werden soll.

Nur im Block suchen: Es wird nur derjenige Teil der Datei/des virtuellen Speichers durchsucht, der innerhalb des Blockes liegt.

In allen geöffneten Dateien ersetzen: Der Vorgang wird der Reihe nach in allen von WinHex geöffneten Dateien durchgeführt (sofern sie nicht im View-Modus geöffnet wurden). Wenn »Nur im Block suchen« aktiviert ist, wird in jeder Datei nur im dort festgelegten Block ersetzt.

Mit WinHex sind Sie in der Lage, eine Zeichenfolge durch eine andere Zeichenfolge unterschiedlicher Länge zu ersetzen. Solche Vorgänge benötigen allerdings mehr Zeit und im Ersetzen-Modus mit Bestätigung sind die Änderungen nicht sofort sichtbar. Immer, wenn Sie diese Möglichkeit nutzen möchten, können Sie bestimmen, auf welche Art dies geschehen soll:

1. Die Dateiinhalte hinter einem Vorkommnis der Suchzeichenfolge werden entsprechend der Längendifferenz von Such- und Ersatzzeichenfolge nach vorne oder hinten verschoben. Die Größe der Datei ändert sich. Viele Arten von Dateien (darunter ausführbare Dateien) werden dadurch unbrauchbar. Es ist sogar möglich, nichts als Ersatz-Zeichenfolge anzugeben. Jedes Vorkommen der Such-Zeichenfolge wird dann aus der Datei entfernt!

2. Die Ersatzzeichenfolge wird ungeachtet ihrer Länge dort in die Datei geschrieben, wo die Suchzeichenfolge gefunden wurde. Wenn die Ersatzzeichenfolge kürzer als Suchzeichenfolge ist, bleibt der hintere Teil des Vorkommnisses der Suchzeichenfolge in der Datei unverändert. Ist die Ersatzzeichenfolge länger, werden auch noch Daten hinter dem Vorkommnis mit dem überstehenden Teil der Ersatzzeichenfolge überschrieben (sofern das Dateiende nicht erreicht ist). Die Größe der Datei bleibt unverändert

Suchen-Menü

Suchoptionen

Technische Hinweise


Rückgängig-Optionen

Für den Befehl »Rückgängig« stehen Ihnen folgende Optionen zur Auswahl:

• Bestimmen Sie, wie viele nacheinander ausgeführte Aktionen ungeschehen gemacht werden können. Wichtig: Dies hat keinen Einfluß auf die Anzahl der umkehrbaren Tastatureingaben, die nur vom Arbeitsspeicher limitiert wird.

• Um Zeit und Speicherplatz auf der Festplatte zu sparen, können Sie ein Dateigrößenlimit angeben, oberhalb dessen keine Sicherungen mehr durchgeführt werden, so daß der »Rückgängig«-Befehl nur noch nach Tastatureingaben zur Verfügung steht.

• Automatisch angelegte Sicherungen für die Benutzung durch den »Rückgängig«-Befehl werden von WinHex selbständig beim Schließen der Datei gelöscht, falls die betreffende Option voll aktiviert ist. Ist sie nur halb aktiviert, werden sie erst bei Programmende gelöscht.

• Geben Sie für alle Arten von Editiervorgängen an, ob sie rückgängig gemacht werden können.


Positions-Manager

In dem »Positions-Manager« genannten Fenster können unbegrenzt viele Datei- und Datenträger-Offsets mit Beschreibungen verwaltet werden, auch Anmerkungen genannt. Er wird auch für Suchtreffer verwendet, wenn nicht mit einem Fall gearbeitet wird, ist aber weit weniger mächtig als eine Suchtrefferliste. Es ist leicht, zwischen mehreren Einträgen hin- und herzuspringen, indem Sie Strg+Links und Strg+Rechts drücken. Wenn Sie etwa in einer Datei eine markante Stelle ausfindig gemacht haben, auf die Sie evtl. später noch häufiger zurückkommen möchten, dann lohnt es sich, diese Stelle im Positions-Manager einzutragen. Sie können sie dann später schnell wiederfinden, ohne sie sich merken zu müssen. Klicken Sie auf "Neu", geben Sie den Offset und anschließend eine Beschreibung (z. B. "Hier beginnt der Datenblock!") ein. Beschreibungen dürfen bis zu 8192 Zeichen groß sein. Optional können alle Positionen, die im Positionsmanager verwaltet werden, im Datenfensterin einer von Ihnen festgelegten Farbe hervorgehoben werden und ihre Beschreibungen in gelben Tooltips dargestellt werden, wenn der Mauszeiger darüber bewegt wird. Sie können Positionen auch mit dem Kontextmenü des Datenfensters hinzufügen oder editieren, oder auch indem Sie im Datenfenster die mittlere Maustaste betätigen.

Klicken Sie die rechte Maustaste im Positions-Manager, um ein Kontextmenü zu erzeugen. Darin können Sie Positionen löschen, aus einer Datei laden oder in eine Datei speichern (letzteres auch als HTML). Wenn die Daten des allgemeinen Positions-Managers geändert wurden, werden sie nach dem Beenden von WinHex grundsätzlich in der Datei WinHex.pos im WinHex-Verzeichnis gespeichert.

Das POS-Dateiformat ist auf der WinHex-Homepage http://www.x-ways.net/winhex/ vollständig dokumentiert.


Sicherungs-Manager

In der wahlweise nach dem Erstellungszeitpunkt, dem Dateinamen oder dem Pfad geordneten Liste können Sie WinHex-Sicherungen auswählen, die Sie wiederherstellen möchten. Ein neues Editierfenster zeigt daraufhin den Datei- bzw. Sektorinhalt vom Zeitpunkt der Sicherung an.

Sie können die Sicherung wiederstellen

• in eine Temporärdatei, so daß sie erst noch gespeichert werden muß,

• sofort direkt auf den Datenträger oder

• in eine neue Datei.

Im Fall von Datenträgersektoren können Sie auch das Ziel der Wiederherstellung (Datenträger und Sektornummer) ändern. Sie können außerdem optional nur einen Teil der Sektoren aus der Sicherung extrahieren (Sektoren am Anfang einer komprimierten Sicherung können allerdings nicht übersprungen werden). Wenn die Sicherung mit einer Prüfsumme und/oder einem Digest versehen war, werden die Daten erst auf Authentizität überprüft, bevor sie direkt auf den Datenträger geschrieben werden.

Mit Hilfe des Sicherungs-Managers können Sie außerdem Sicherungen löschen, die Sie nicht mehr benötigen. Die automatisch erzeugten Sicherungsdateien für die »Rückgängig«-Funktion werden von WinHex standardmäßig selbständig gelöscht (s. u. Rückgängig-Optionen).

Die Sicherungsdateien, die vom Backup-Manager verwaltet werden, heißen »???.whx« und befinden sich in dem unter Allgemeine Optionen gewählten Ordner. An die Stelle von ??? tritt eine aus drei Ziffern bestehende eindeutige Identifikationsnummer, die im Sicherungs-Manager in der letzten Spalte angegeben ist. Eine vollständige Dokumenation des WHX-Dateiformats ist auf der WinHex-Homepage http://www.winhex.com verfügbar.


Daten-Dolmetscher

Der Daten-Dolmetscher ist ein kleines Fenster, das »Übersetzungsmöglichkeiten« für die Daten an der aktuellen Cursorposition anzeigt. In den Optionen können Sie einstellen, welche Datentypen zu berücksichtigen sind. Zur Verfügung stehen diverse ganzzahlige Datentypen (standardmäßig in dezimaler Schreibweise, optional hexadezimal oder oktal), die Bit-Darstellung eines Bytes (Binärformat), vier Gleitkomma-Datentypen, Assembler-Opcodes (Intel) und Datumstypen.

Der Dolmetscher kann alle Datentypen (außer Assembler-Opcodes) auch rückwärts wieder in Hex-Werte übersetzen. Stellen Sie dazu sicher, daß Sie eine Datei im Editiermodus geöffnet haben, tragen Sie den gewünschten Wert ein und bestätigen Sie mit ENTER. Daraufhin schreibt der Daten-Dolmetscher die entsprechenden Hex-Werte an der aktuellen Position in das Editierfenster.

Mit einem Klick der rechten Maustaste können Sie ein Kontextmenü im Daten-Dolmetscher aufrufen und darin einstellen, ob die ganzzahligen und Gleitkomma-Datentypen im Little- oder Big-Endian-Format übersetzt werden sollen. Sie können auch zwischen dezimaler, oktaler und hexadecimaler Integer-Darstellung wählen. Dies und eine Option zum Gruppieren von Ziffern finden Sie auch im Dialogfenster Daten-Dolmetscher-Optionen.

Hinweise:

Nicht alle Hex-Werte können in Gleitkomma-Zahlen übersetzt werden. Wenn eine Übersetzung nicht möglich ist, erscheint die Angabe NAN (»not a number«) im Daten-Dolmetscher.

Ebensowenig können alle Hex-Werte als Datumswerte jeden Typs übersetzt werden. Manche Datumstypen haben stark eingeschränkte gültige Wertebereiche.

Redundanzen im Befehlssatz der Intel-Prozessoren schlagen sich in mehrfach vorkommenden Opcodes und mnemonischen Abkürzungen nieder. Floating-Point-Befehle werden im Daten-Dolmetscher nur als F*** angezeigt.

Beschreibungen der den mnemonischen Abkürzungen entsprechenden Befehle können von Intel über das Internet bezogen werden. Das Dokument heißt »Intel Architecture Software Developer’s Manual Volume 2: Instruction Set Reference« und liegt im PDF-Format vor.


RAM-Editor

Im Extras-Menü finden Sie die Funktion »RAM-Editor«. Der RAM-Editor ermöglicht es, den physischen Arbeitsspeicher/RAM (nur unter Windows 2000/XP, mit Administratorrechten) und den virtuellen Arbeitsspeicher eines in der Ausführung befindlichen Programms (= eines Prozesses) direkt einzusehen. Für letzteres werden alle von dem Prozeß belegten Seiten im Arbeitspeicher als zusammenhängender Speicherbereich abgebildet. Ungenutzte (leere oder nur reservierte) Blöcke im Speicher werden von WinHex standardmäßig ignoriert, optional aber mit erfaßt und mittels »?«-Zeichen angezeigt. Ohne diese Lücken können Sie in Dateien geschriebene Speicherdumps exakt miteinander vergleichen (absolute und virtuelle Adressen sind identisch), um etwa den Stack oder Heap zu beobachten oder Computerviren zu verfolgen.

Wählen Sie zunächst aus einer Liste aller laufenden Prozesse den zu untersuchenden Prozeß aus. Sie können entweder auf den sog. Primärspeicher oder den Gesamtspeicher eines Prozesses oder auf einzelne von diesem Prozeß geladene Module zugreifen. Unter Windows 95/98/Me werden Systemmodule optional augelistet. Als Systemmodule werden diejenigen Module bezeichnet, die stets oberhalb von 2 GB geladen werden (wie z. B. kernel32.dll, gdi32.dll usw.). Als Primärspeicher wird derjenige Bereich bezeichnet, den Programme vorrangig für verschiedenste Zwecke nutzen. Zumindest das Hauptmodul eines Prozesses (die EXE-Datei) ist i. d. R. ebenfalls im Primärspeicher enthalten. Der Gesamtspeicher umfaßt den gesamten virtuellen Speicher eines Prozesses einschließlich dem gemeinsamen Speicherbereich aller Prozesse, bis auf die Systemmodule.

Bitte beachten Sie die folgenden Einschränkungen:

• Vorsicht: Rückgängig gemacht werden können ausschließlich Tastatureingaben!

• Der virtuelle Arbeitsspeicher von 16-Bit-Prozessen kann unter Windows 95/98/Me nur unvollständig, unter NT gar nicht erfaßt werden.

• Das Editieren ist nur im In-Place-Editiermodus möglich.

• Systemmodule von Windows 95/98/Me können nur im View-Modus eingesehen, nicht editiert werden.

• Die Demo-Version erlaubt generell nur den View-Modus! Bestellen Sie die Vollversion.

Beachten Sie bitte die Optionen »Auf Änderungen im Speicher prüfen« (Sicherheitsoptionen) und »Virtuelle Adressen« (Allgemeine Optionen).


Kontextmenü

Das Kontextmenü sehen Sie, wenn Sie im Windows-Explorer oder auf dem Desktop ein Objekt mit der rechten Maustaste anklicken. WinHex erscheint im Kontextmenü nur, wenn die entsprechenden Optionen eingeschaltet sind.

Editieren mit WinHex: Öffnet die gewählte Datei in WinHex.

Ordner in WinHex öffnen: Läßt Sie alle Dateien des gewählten Ordners in WinHex öffnen (wie „Ordner öffnen" im Datei-Menü)

Datenträger editieren: Öffnet den gewählten Datenträger im Disk-Editor von WinHex. Wenn Sie die Shift-Taste gedrückt halten, wird statt des logischen Laufwerks der zugehörige physische Datenträger geöffnet.

WinHex stellt in der Statusleiste, im Daten-Dolmetscher und im Positions-Manager eigene Kontextmenüs zur Verfügung.


Schlüssel

Als Schlüssel geben Sie eine Zeichenfolge aus 1-16 Zeichen

ein. Der Schlüssel ist abhängig von Groß- und Kleinschreibung.

Je mehr Zeichen Sie eingeben, umso sicherer ist die

Verschlüsselung. Der Schlüssel wird nicht direkt für Ver- und

Entschlüsselung benutzt, sondern ist nur Datenmaterial für

einen Digest. Er wird nicht auf der Festplatte gespeichert.

Fall die entsprechende Sicherheitsoption gewählt ist, wird er

in verschlüsselter Form im Arbeitsspeicher gehalten, solange

WinHex läuft.


Images und Sicherungen
Datenträger-Sicherung/Sicherung anlegen

Dieser Befehl im Datei-Menü erlaubt es, eine Sicherung/ein Image des geöffneten Datenträgers bzw. der geöffneten Datei anzufertigen. Drei verschiedene Ausgabeformate mit jeweils besonderen Vorteilen stehen zur Auswahl.

Dateiformat:            WinHex-Backup     Evidence-File    Roh-Image

Dateiendung:            .whx              .e01             z.B. .dd

Interpretierbar:        nein              ja               ja

In Segmente aufteilbar: ja                ja               ja

Komprimierbar:          ja                ja               (NTFS-Ebene)

Verschlüsselbar:        nein              ja               nein

Optionaler Hash:        integriert        integriert       separate Text-Datei

Optionale Beschreibung: integriert        integriert       nein

Nur bestimmte Sektoren: ja                (ja)             (ja)

Auf Dateien anwendbar:  ja                nein             nein

Automat. Verwaltung:    Sicherungs-Mngr.  nein             nein

Kompatibilität:         nein              (ja)             ja

Benötigte Lizenzart:    keine             forensisch       privat

Der große Vorteil von Evidence-Files und Roh-Images ist es, daß sie von WinHex wie die Original-Datenträger interpretiert werden können (mit dem entsprechenden Befehl im Specialist-Menü). Daher sind sie auch geeignet für den Gebrauch als Asservate in Ihren Fällen. Evidence-Files sind im besonderen Maße prädestiniert dafür, da sie auch eine optionale Beschreibung einen integrierten Hash für spätere Verifizierung enthalten können. Roh-Images sind sehr universell und können leicht zwischen noch mehr forensischen Tools ausgetauscht werden als Evidence-Files. Alle Ausgabe-Formate erlauben das Splitten in Segmente einer benutzerdefinierten Größe. Eine Segmentgröße von 650 oder 700 MB z. B. ist geeignet zum Archivieren auf CD-Rs. Evidence-Files müssen bei maximal 2047 MB gesplittet werden, damit sie mit X-Ways Forensics vor Version 14.9 und mit EnCase vor Version 6 und mit anderen Tools kompatibel sind. Mit einer forensischen Lizenz können Roh-Image-Dateien und Evidence-Files automatisch sofort nach Erstellung überprüft werden, indem der ursprünglich für den Originaldatenträger berechnete Hash über das Image neu berechnet und verglichen wird.

Zum Komprimieren von Evidence-Files und WinHex-Backups wird der weit verbreitete Deflate-Algorithmus der zlib-Bibliothek verwendet. Er basiert auf LZ77-Kompression und Huffman-Codierung. Mit der „normalen“ Kompressionstufe können Sie bei durchschnittlichen Daten eine Kompressionsdate von 40-50% erreichen. Die Speicherplatzersparnis bezahlen Sie allerdings mit einer deutlich verringerten Sicherungsgeschwindigkeit. „Schnelle/adaptive“ Komprimierung ist ein sehr guter Kompromiß zwischen Geschwindigkeit und guter Kompression. Bei durschnittlichen Daten können Sie hierbei eine Kompressionsrate erwarten, die halb so hoch ist wie bei der „normalen“ Stufe, bei einer Geschwindigkeit genau zwischen „keiner“ und „normaler“ Kompression. Für besonders gut komprimierbare Daten ist auch bei „schneller“ Komprimierung die Kompressionsrate sehr hoch. Für nicht komprimierbare Daten werden Sie fast dieselbe Geschwindigkeit beobachten wie ohne Kompression (viel schneller also bei „normal“). Bei „starker“ Komprimierung gewinnen Sie nur weniger weitere Prozentpunkte an Kompression, bei unverhältnismäßig hohen Geschwindigkeitseinbußen. Für WinHex-Backups ist „schnell“ das gleiche wie „normal“.

Roh-Image-Dateien können auf NTFS-Dateisystemebene komprimiert werden, wenn sie auf NTFS-Partitionen erzeugt werden. Entweder wird dann normale NTFS-Kompression verwendet, oder die Image-Datei wird als "Sparse"-Datei angelegt (ohne Garantie, daß dieses Attribut tatsächlich einen Effekt hat).

Beim Erzeugen von Roh-Image-Dateien oder .e01-Evidence-Files von Partitionen/Volumes mit Kompression gibt es eine Option, die bewirkt, das freie Cluster als Null-Bytes gesichert werden. Das ist nützlich, wenn Sie ein Image als Backup und nicht für forensische Zwecke erzeugen, bei eingeschalteter Kompression, um Plattenplatz zu sparen, oder für forensische Zwecke, wenn die Untersuchung ohnehin auf existierende Dateien beschränkt werden soll. (nur mit Specialist- oder forensischer Lizenz) Beachten Sie, daß im Fall von Dateisysteminkonsistenzen Cluster zu Unrecht als frei betrachtet werden könnten. Die Verwendung dieser Option muß gesondert bestätigt werden, um die unbeabsichtigte Erzeugung von Images zu verhindern, die im konventionellen Sinn nicht forensisch einwandfrei sind.

Bei forensischer Lizenz: Beim Erzeugen eines Images wird der technische Detailbericht aufgerufen und in eine Textdatei geschrieben, die die Image-Datei begleitet. Für .e01 Evidence-Files wird es außerdem direkt in die .e01-Datei als Beschreibung integriert. Die SMART-Informationen werden nach Abschluß des Vorgangs erneut abgefragt und in die Textdatei geschrieben, so daß Sie erstens sehen, ob sich der Zustand einer berichts defekten Platte weiter verschlechtert hat und zweitens feststellen können, wie sich die "power on time" geändert hat, was nützlich ist, um auf die Maßeinheit schließen zu können (normalerweise Stunden, aber das kann je nach Festplattenmodell anders sein). Die Textdatei gibt auch die für die Sicherung benötigte Zeit an, die erzielte Kompressionsrate, das Ergebnis der sofortigen Überprüfung der Image-Datei mittels Hash-Wert (falls gewählt) sowie etwaige Sektorlesefehler.

Hinweise zu Disk-Cloning & -Imaging

Der Verschlüsselungsalgorithmus, der in Evidence-Files optional zum Einsatz kommt, ist 256-Bit AES/Rijndael, im Counter- (CTR-) Modus. Er erlaubt wahlfreien Zugriff in ein Evidence-File. Der Algorithm benutzt einen 256-Bit-Schlüssel, der mit SHA-256 gehasht wird aus der 512-Bit-Konkatenation des SHA-256 des von Ihnen angegebenen Schlüssels und 256 Bit kryptographisch sicheren Zufallszahlen („Salz“), die im Header des Evidence-File gespeichert werden. Der 128-Bit große Counter wird zufällig initialisiert und pro Verschlüsselungsblock inkrementiert. Die Blockgröße von AES beträgt 128 Bit. Ein zusätzlicher SHA-256 wird im Header gespeichert und später verwendet, um zu überprüfen, ob ein vom Benutzer für die Entschlüssel angegebenes Paßwort korrekt ist oder nicht. Der SHA-256-Algorithmus wird angewandt auf eine Konkatenation des Salzes, einem Hash X und einem Hash Y, um diese Paßwort-Prüfungs-Hash zu berechnen. Dabei ist der Hash X der SHA-256 des vom Benutzer angegebenen Schlüssels und Hash Y ist der SHA-256 der Konkatenation des vom Benutzer angegebenen Schlüssels und Hash X.

Wenn Sie den Namen eines WinHex-Backups automatisch vergeben lassen (Format »???.whx«), wird sie im Verzeichnis für Sicherungsdateien erstellt (s. Allgemeine Optionen), mit dem nächsten freien Namen, der der Konvention des Sicherungsmanagers entspricht (xxx.whx). Bei Bedarf kann das Original dann mit dem Sicherungsmanager wiederhergestellt werden. Wenn Sie selbst Dateinamen und Pfad angeben, kann das WinHex-Backup immer noch mit dem Menübefehl »Sicherung laden« wiederhergestellt werden, und im Fall von aufgeteilten Sicherungen hängt WinHex automatisch die Teilsicherungsnummerm an die Dateinamen an.


Hinweis
Es scheint, Sie sind berechtigt, diese Version als kostenloses Update zu erhalten. Allerdings kann diese Version nicht mit der vorhandenen Lizenzdatei "user.txt" freigeschaltet werden. Weitere Informationen erhalten Sie unter http://www.x-ways.net/winhex/license-d.html durch Eingabe Ihrer registrierten E-Mail-Adresse.


Digests

Ein »Digest« (engl.) ist ähnlich einer Prüfsumme eine Kennzahl zur eindeutigen Identifizierung von Daten. Digests sind aber mehr als Prüfsummen. Es handelt sich um »starke« Einweg-Hashcodes, die Datenintegrität mit extrem hoher Sicherheit garantieren. Daten können mit computerunterstütztem Rechenaufwand in bösartiger Absicht so manipuliert werden, daß ihre Prüfsumme trotz Änderung gleich bleibt. Dies kann fälschlicherweise zu der Annahme verleiten, die Daten seien noch im Originalzustand. Diese Möglichkeit schließen Digests aus. Es lassen sich mit vorstellbarem computerunterstütztem Rechenaufwand keine Daten finden, die denselben Digest besitzen wie vorgegebene andere Daten.

Natürlich können durch Verwendung von Digests auch zufällige, etwa durch fehlerhafte Übertragung entstandene Datenveränderungen festgestellt werden, aber dafür reichen Prüfsummen aus, die viel schneller berechnet werden können.

WinHex beherrscht den 128 Bit großen MD5 Message-Digest, SHA-1, SHA-256 und PSCHF (Pukall Stream Cipher Hash Function).


Sicherheitsoptionen

• Wenn die Option »Datei-Überblick aufbewahren« eingeschaltet ist, bleiben die Informationen, die WinHex über geöffnete Dateisysteme gesammelt hat (Menü Disk-Tools und/oder Specialist-Menü), beim Beenden von WinHex im Ordner für temporäre Dateien erhalten. WinHex kann sie dann beim nächsten Programmstart wiederverwenden. Datei-Überblicke von Asservaten werden grundsätzlich immer aufbewahrt, unabhängig von dieser Einstellung.

• Schneller Überblick ohne Cluster-Zuordnung beschleunigt das Erzeugen des Datei-Überblicks für eine Partition (insbes. für die Dateisysteme Ext2, Ext3 und ReiserFS, und insbes. auch dann, wenn die Dateien mit dem Datei-Überblick über eine langsame USB-1.1-Schnittstelle oder ein Netzlaufwerk gespeichert werden), führt allerdings dazu, daß WinHex nicht mehr imstande ist, für jeden Sektor und jeden Cluster anzugeben, für welche Datei/welches Verzeichnis er verwendet wird. Sie können die Funktion »Dateisystem neu einlesen« im Extras-Menü verwenden, um das Dateisystem auf einem Datenträger neu einzulesen (z. B. nach dem Ausschalten dieser Option).

• Die Option »Auf Änderungen im Speicher prüfen« betrifft den RAM-Editor. Sie sorgt dafür, daß WinHex vor jedem Lesen und Beschreiben des virtuellen Speichers erst prüft, ob sich dessen Größe und Zusammensetzung geändert hat. Ist dies der Fall, wird der Speicher in WinHex neu abgebildet und damit ein möglicher Lesefehler vermieden. Besonders unter Windows NT kann diese Einstellung den RAM-Editor stark verlangsamen. Beim Editieren des Gesamtspeichers eines Prozesses wird unabhängig von der gewählten Einstellung nicht auf Änderungen geprüft.

• In der Voreinstellung müssen Sie das Speichern von Änderungen an existierenden Dateien bestätigen. Wenn Sie diese Option ausschalten, entfällt die Sicherheitsabfrage.

• Sollten die Operationen Datei-Überblick erweitern, logische Suche und Indexierung bei der Verarbeitung einer Datei abstürzen, kann X-Ways Forensics Ihnen beim nächsten Programmstart die wahrscheinlich für den Absturz verantwortlich Datei mitteilen, sofern sie Informationen für einen Absturzbericht haben sammeln lassen.

• Strenger Laufwerksbuchstabenschutz: Nur mit forensischer Lizenz verfügbar. In X-Ways Forensics standardmäßig aktiv. Stellt sicher, daß nur auf bestimmten Laufwerksbuchstaben das Speichern und Editieren von Dateien erlaubt ist, nämlich Laufwerksbuchstaben, von denen X-Ways Forensics auch beim Untersuchen eines Live-Systems annehmen kann, daß Sie zu Datenträgern des Ermittlers gehören. Dies sind 1. der Laufwerksbuchstabe, auf dem ein etwaiger aktiver Fall liegt, 2. der Laufwerksbuchstabe mit dem Verzeichnis für temporäre Dateien, 3. das Laufwerk, von dem aus X-Ways Forensics gestartet wurde und 4. der Laufwerksbuchstabe mit dem Verzeichnis für Image-Dateien.

• Alle Hinweise und Warnungen, die im Nachrichtenfenster ausgegeben werden, können optional automatisch in der einer Textdatei names „messages.txt“ im Installationsverzeichnis mitgeschrieben werden. Wenn zum Zeitpunkt der Ausgabe ein Fall aktiv ist, wird der Text statt dessen in eine Datei gleichen Namens in das Log-Unterverzeichnis dieses Falls geschrieben.

• Den für Verschlüsselung und Entschlüsselung erforderliche Schlüssel können Sie entweder in ein normales Editierfeld eingeben oder blind (es erscheinen nur Sternchen). In letzterem Fall müssen Sie den Schlüssel bestätigen, um Eingabefehler zu vermeiden.

• Standardmäßig wird der Schlüssel selbst verschlüsselt im Arbeitsspeicher gehalten, solange WinHex läuft, damit Sie ihn nicht mehrmals eingeben müssen, wenn Sie ihn mehrmals verwenden möchten. Möglicherweise ziehen Sie es aber vor, daß WinHex sich den Schlüssel nicht merkt.

• Entscheiden Sie, ob Sie WinHex vor dem Ausführen von Scripten fragen soll, oder auch nur vor dem Ausführen von Scripten per Befehlszeile.

• Optional können Dateien auf den logischen Laufwerken A: bis Z: über das Betriebssystem geöffnet werden und nicht über die eingebaute Logik auf der Sektorebene. Bitte beachten Sie, daß dies forensisch einwandfrei nur auf schreibgeschützten Datenträgern ist. Auf beschreibbaren Medien aktualisiert (ändert, verfälscht) Microsoft Windows dabei zumindest den Zeitstempel des letzten Zugriffs bei Dateien, die Sie öffnen. Der Vorteil dagegen ist, daß der Zugriff auf die Dateien auf diese Weise in vielen Situationen merklich schneller ist, besonders auf langsamen Laufwerken wie CD/DVD, z. B. wenn Sie Hash-Werte oder Hautfarbenanteile für Dateien im Datei-Überblick berechnen lassen, weil Microsoft Windows im voraus Daten liest und eine Datei-Caching-System unterhält. Dateien auf Multisession-CDs und -DVDs jedoch können nicht auf diese Weise gelesen werden.


Byte-Reihenfolge
Byte-Reihenfolge (Endian-ness)

Mikroprozessoren unterscheiden sich darin, an welcher Position sie das niederwertigste Bytes innerhalb eines Datentyps, der mehrere Bytes enthält, ablegen. In Systemen mit Prozessoren von Intel®, MIPS®, National Semiconductors und VAX steht das niederwertigsten Byte an erster Stelle. Daten eines aus mehreren Bytes bestehender Datentyps (z. B. 32-Bit-Integertyp, Unicode-Zeichen) stehen im Speicher beginnend mit dem niederwertigsten (»little end«) und endend mit dem höherwertigstem Bytes. Zum Beispiel wird die Hexadezimalzahl 12345678 als 78 56 34 12 gespeichert. Dies wird das Little-Endian-Format genannt.

Motorola- und Sparc-Prozessoren dagegen setzen voraus, daß das niederwertigste Byte an hinterster Stelle steht. Mehrfach-Byte-Daten werden beginnend mit dem höchstwertigen Byte (»big end«) und endend mit dem niederstwertigem Byte gespeichert. Zum Beispiel wird die Hexadezimalzahl 12345678 als 12 34 56 78 gespeichert. Dies wird das Big-Endian-Format genannt.


Datumstypen

Die folgenden Datumsformate werden vom Daten-Dolmetscher unterstützt.

MS-DOS Datum & Zeit (4 Bytes)

Das niederwertige Word bestimmt die Zeit, das höherwertige das Datum. Wird von zahlreichen DOS-Funktionen und von allen FAT-Dateisystemen benutzt.

Bits	Inhalt

0-4	Sekunden geteilt durch 2

5-10	Minuten (0-59)

11-15	Stunde (0-23)

16-20	Tag (1-31)

21-24	Monat (1=Januar, 2=Februar usw.)

25-31	Jahre seit 1980

Win32 FILETIME (8 Bytes)

Ein ganzzahliger 64-Bit-Wert, der die Anzahl der seit dem 1. Januar 1601 vergangenen 100-Nanosekunden-Intervalle angibt. Wird in der Win32-API benutzt.

OLE 2.0 Datum & Uhrzeit (8 Bytes)

Ein  Gleitkommawert (double), dessen ganzzahliger Bestandteil die Zahl der seit dem 30. Dezember 1899 vergangenen Tage angibt (Datum). Der Bruchanteil wird als die Uhrzeit interpretiert (z. B. 1/4 = 6:00 Uhr). Dies ist der OLE-2.0-Standarddatumstyp. Er wird bspw. auch von MS Excel verwendet.

ANSI SQL Datum & Uhrzeit (8 Bytes)

Zwei aufeinanderfolgende ganzzahlige 32-Bit-Werte. Der erste gibt die Anzahl der seit dem 17. November 1858 vergangenen Tage an (Datum). Der zweite bestimmt die Anzahl der seit Mitternacht vergangenen 100-Mikrosekunden-Intervalle (Uhrzeit). Dieser Datumstyp ist ANSI-SQL-Standard und wird in Datenbanken verwendet (u. a. in InterBase 6.0).

UNIX/C/FORTRAN Datum & Uhrzeit (4 Bytes)

Ein ganzzahliger 32-Bit-Wert, der die Anzahl der seit dem 1. Januar 1970 vergangenen Sekunden angibt. Dieser Datumstyp wird bzw. wurde in UNIX, in C und C++ (»time_t«) sowie in FORTRAN-Programmen in den 80er Jahren verwendet. Gelegentlich ist er auch definiert als die Anzahl der seit dem 1. Januar 1970 vergangenen Minuten. In den Optionen des Daten-Dolmetschers läßt sich die verwendete Zeiteinheit einstellen.

Macintosh HFS+ Datum & Uhrzeit (4 Bytes)

Ein ganzzahliger 32-Bit-Wert, der die Anzahl der seit dem 1. Januar 1904 GMT vergangenen Sekunden angibt (HFS: Ortszeit). Das letzte repräsentierbare Datum ist der 6. Februar 2040 um 06:28:15 Uhr GMT. Die Datumswerte lassen Schaltsekunden außer Betracht. Sie enthalten jedoch Schalttage in jedem ganzzahlig durch 4 teilbaren Jahr.

Java Datum & Uhrzeit (8 Bytes)

Ein ganzzahliger 64-Bit-Wert, der die Anzahl der seit dem 1. Januar 1970 vergangenen Millisekunden angibt. Wird, wie bei Java Standard, üblicherweise im Big-Endian-Format gespeichert, aber im Speicher von BlackBerry im Little-Endian-Format verwendet.


Master-Boot-Record

Der Master-Boot-Record befindet sich am physischen Anfang einer Festplatte (editierbar mit dem Disk-Editor). Er besteht aus einem 446 Bytes langen Master-Bootstrap-Loader-Code und vier aufeinanderfolgenden, identisch aufgebauten Partitions-Records. Abschließend folgt die Hexadezimal-Signatur 55AA, die einen gültigen Master-Boot-Record kennzeichnet.

Das Format eines Partitions-Record sieht wie folgt aus:

Offset	Größe	Beschreibung

0	8 Bit	Der Hexadezimal-Wert 80 kennzeichnet eine aktive Partition.

1	8 Bit	Startkopf der Partition

2	8 Bit	Startsektor der Partition (Bits 0-5)

3	8 Bit	Startspur der Partition (Bits 8, 9 in "Startsektor" als Bits 6, 7)

4	8 Bit	Betriebssystem-Kennung (s. u.)

5	8 Bit	Endkopf der Partition

6	8 Bit	Endsektor der Partition (Bits 0-5)

7	8 Bit	Endspur der Partition (Bits 8, 9 in "Endsektor" als Bits 6, 7)

8	32 Bit	Anzahl der Sektoren vor der Partition

C	32 Bit	Anzahl der Sektoren der Partition

Betriebssystem-Kennungen (Auswahl):

(hexadezimal)

00	Leerer Partitionstabellen-Eintrag

01	DOS FAT12

04	DOS FAT16 (max. 32 MB)

05	DOS 3.3+ erweiterte Partition

06	DOS 3.31+ FAT16 (> 32 MB)

07	OS/2 HPFS, Windows NT NTFS, Advanced Unix

08	OS/2 v1.0-1.3, AIX bootable partition, SplitDrive

09	AIX Datenpartition

0A	OS/2 Boot Manager

0B	Windows 95+ FAT32

0C	Windows 95+ FAT32 (LBA-Modus INT 13 Erweiterungen verwendend)

0E	DOS FAT16 (> 32 MB, INT 13 Erweiterungen verwendend)

0F	Erweiterte Partition (INT 13 Erweiterungen verwendend)

17	Versteckte NTFS-Partition

1B	Versteckte Windows 95 FAT32-Partition

1C	Versteckte Windows 95 FAT32-Partition (LBA-Modus INT 13 Erweiterungen verwendend)

1E	Versteckte LBA VFAT-Partition

42	Dynamic disk volume

50	OnTrack Disk Manager, schreibgeschützte Partition

51	OnTrack Disk Manager

81	Linux

82	Linux Swap-Partition, Solaris (Unix)

83	Linux natives Dateisystem (ext2fs/xiafs)

84	Hibernation partition

85	Linux EXT

86	FAT16 Volume/Stripe-Set (Windows NT)

87	HPFS fehlertolerante, gespiegelte Partition, NTFS Volume/Stripe-Set

A0	Laptop hibernation partition

BE	Solaris Boot-Partition

C0	DR-DOS/Novell DOS gesicherte Partition

C6	FAT16 Volume/Stripe-Set (Windows NT), "corrupted"

C7	NTFS Volume/Stripe-Set, "corrupted"

DE	DELL OEM Partition

EE	GPT Partition

EF	EFI Partition

F2	DOS 3.3+ Sekundärpartition

FE	IBM OEM Partition


Löschen und Initialisieren

Zum sicheren Löschen (Schreddern) von Daten, aber auch zum einfachen Füllen von Dateien oder Datenträgersektoren mit bestimmten Byte-Werten, bietet WinHex folgende Optionen an:

Mit konstanten Byte-Werten in Hexadezimalnotation: Geben Sie entweder 1, 2, 3, 4, 5, 6, 12, 15 oder 16 jeweils zweistellige Hex-Werte an, die aneinandergehängt in den aktuellen Block bzw. in die Datei kopiert werden. Sehr schnell.

Mit konventionellen Pseudozufallszahlen: Geben Sie ein Intervall innerhalb von 0-255 (dezimal) an, aus dem zufällig jedem einzelnen Byte des aktuellen Blocks bzw. des gesamten Dateiinhalts ein Wert zugeordnet wird. Jeder Wert aus dem Intervall wird mit gleicher Wahrscheinlichkeit ausgewählt. Schnell.

Mit Pseudozufallszahlen, die Verschlüsselung simulieren: Zufallsdaten, deren Ziel es ist, nicht von verschlüsselten Daten unterscheidbar zu sein. Recht schnell.

Mit kryptographisch sicheren Pseudozufallszahlen: Erzeug von einem kryptographisch sicheren Pseudozufallszahlengenerator (CSPRNG) names ISAAC, sehr langsam.

Auf Wunsch kann diese Funktion in allen geöffneten Dateien ausgeführt werden. Dazu muß in allen Dateien entweder ein Block definiert oder in allen Dateien kein Block definiert sein.

Um die Sicherheit zu maximieren, wenn Sie Schlupfspeicher, freien Speicher, unbenutzte NTFS-Records oder ganze Datenträger permanent löschen möchten, können Sie mehr als einen Durchlauf (bis zu drei) zum Überschreiben einstellen.

Gemäß der sogenannten Clearing and Sanitization Matrix, dem im Betriebshandbuch 5220.22-M des U.S.-Verteidigungsministeriums (Department of Defense, DoD) beschriebenen Standard, Methode "c", kann eine Festplatte oder eine Diskette gelöscht werden, indem alle adressierbaren Adressen mit einem einzelnen Zeichen (einmal) überschrieben werden. Üblicherweise ist dies der Hexadezimalwert 0x00, kann aber auch jeder andere Wert sein. Um Festplatten so sicher zu löschen, daß sie bedenkenlos an andere Personen/Abteilungen/Organizationen weitergegeben werden können ("sanitizing"), müssen gemäß Methode "d" alle adressierbaren Bytes mit einem Zeichen, dann seinem Komplement und schließlich einem Zufallswert überschrieben und muß anschließend überprüft werden. (Diese Methode ist vom DoD nicht für das Saniziting von Datenträgern mit Top-Secret-Informationen freigegeben worden.)

Der "DoD"-Schalter konfiguriert WinHex für das Sanitizing, so daß erst mit 0x55 (binär 01010101), dann mit dem Komplement (0xAA = 10101010) und schließlich mit einem zufälligen Byte-Wert überschrieben wird.

Der "0x00"-Schalter konfiguriert WinHex für eine einfache Initialisierung, also einmaliges Schreiben von Nullbytes.


Disk-Editor Q&A
Disk-Editor Fragen & Antworten

Wie kann ich auf CD-RW-Sektoren zugreifen?

DirectCD und PacketCD dürfen auf dem Windows-System nicht installiert worden sein.

Wie kann ich auf CD-ROM- und DVD-Sektoren unter Windows 9x zugreifen?

1.  Es muß ein Windows-Treiber für das CD-ROM-Laufwerk installiert sein. Ein MS-DOS-Treiber genügt nicht.

2.  Es muß eine ASPI-Schnittstelle installiert sein. Ggf. müssen Sie die Datei wnaspi32.dll von Hand in Ihr Windows\System-Verzeichnis kopieren. Die Datei befindet sich auf Ihrer Windows-Installations-CD. Zum Extrahieren aus einem CAB-Archiv empfiehlt sich das Shareware-Programm WinZip (erhältlich von http://www.winzip.com).

3.  Das CD-ROM-Laufwerk muß die von WinHex benutzte Zugriffsart unterstützen. Dies ist bei den meisten heutigen ATAPI- und SCSI-Laufwerken der Fall.

Was muß ich tun, damit WinHex eine installierte PC Card ATA Flash Disk bzw. ein PCMCIA-Laufwerk als physischen Datenträger unter Windows 9x anzeigt?

Windows-Systemsteuerung -> System -> Gerätemanager -> Wählen Sie das PCMCIA-Laufwerk -> Klicken Sie auf „Eigenschaften" -> Suchen Sie nach einer Option namens "Interrupt 13 Gerät" o. ä. Je nach Windows-Version kann das Auswahlfeld auch in einem anderen Bereich zu finden sein. Wenn möglich, schalten Sie diese Option ein und starten Sie Ihren Computer neu.


Editieren mit Schablonen

Eine Schablone ("Template") ist ein Dialogfenster, das die Mittel zum Editieren maßgeschneiderter Datenstrukturen zur Verfügung stellt. Im Vergleich zum reinen Hex-Editieren ist das Editieren mit Schablonen komfortabler und weniger fehleranfällig. Hier werden Änderungen in getrennten Editierfeldern vorgenommen und mit der ENTER-Taste bestätigt (oder beim Schließen der Schablone). Die zu editierenden Daten können von einer Datei, von Datenträger-Sektoren oder aus dem virtuellen Arbeitsspeicher stammen. Insbesondere beim Editieren von Datenbanken empfiehlt sich das Benutzen von Schablonen aufgrund des leichteren Datenzugriffs. Sie finden den Befehl zum Drucken einer Schablone im Systemmenü.

Eine Schablonen-Definition wird als Textdatei mit der Endung .tpl (für Template) gespeichert. Der Schablonen-Editor ermöglicht es Ihnen, solche Definitionen zu verfassen und deren Syntax zu prüfen. Eine Schablonen-Definition enthält hauptsächlich Variablen-Deklarationen, ähnlich wie die in Programmiersprachen. Die Syntax finden Sie hier erläutert. Zu den unterstützten Datentypen gehören alle geläufigen Integer-, Gleitkomma- und Boolean-Varianten, Datumstypen, Hex-Werte, Binärwerte, Zeichen und Strings. Man kann Arrays (Felder) sowohl von einzelnen Variablen als auch von ganzen Blöcken definieren.

Die Möglichkeit, beim Interpretieren von Daten mit einer Schablone die aktuelle Position frei zu bestimmen machen das Editieren mit Schablonen besonders flexibel:

• Dieselbe Variable kann in Form von unterschiedlichen Typen interpretiert und manipuliert werden.

• Irrelevante Datenbereiche können übersprungen werden.

Der Schablonen-Manager listet alle Textdateien im WinHex-Verzeichnis, die Schablonen-Definitionen enthalten, auf. Er zeigt die Bezeichnung der Schablone, eine Beschreibung, den Dateinamen und den Zeitpunkt der letzten Änderung an. Klicken Sie auf den „Anwenden"-Schalter, um unter Verwendung der ausgewählten Schablonen-Definition eine Schablone zum Editieren der Daten im aktuellen Editorfenster an der aktuellen Position anzuzeigen. Sie können im Schablonen-Manager auch neue Definitionen erstellen oder vorhandene Definitionen löschen oder mit dem Schablonen-Editor bearbeiten.

WinHex ist werkseitig mit mehreren Beispiel-Schablonen ausgestattet.


Schablonen-Definition

Eine Schablonen-Definition besteht aus einem Kopf und einem Rumpf.

Syntax des Kopfes

Variablen-Deklarationen im Rumpf

Fortgeschrittene Befehle im Rumpf


Schablonen-Definition: Kopf

Der Kopf einer Schablonen-Definition hat das folgende Format. Die Ausdrücke in Klammern sind optional. Die Reihenfolge der Ausdrücke ist nicht von Bedeutung.

template "Titel"

[description "Beschreibung"]

[applies_to (file/disk/RAM)]

[fixed_start Offset]

[sector-aligned]

[requires Offset "Hex-Werte"]

[big-endian]

[hexadecimal/octal]

[read-only]

[multiple [fixe Gesamtgröße]]

// Hier ist Platz für allgemeine Kommentare.

begin

Variablen-Deklarationen

end

Ausdrücke müssen nur in Hochkommata eingeschlossen werden, wenn sie Leerzeichen enthalten. Kommentare dürfen überall in einer Schablonen-Definition auftauchen; Zeichen, die einem doppelten Schrägstrich folgen, werden vom Parser ignoriert.

Dem Schlüsselwort "applies_to" muß genau eins der Wörter file, disk oder RAM folgen. WinHex gibt eine Warnmeldung aus, wenn Sie eine auf diese Weise gekennzeichnete Schablone auf Daten von einer anderen Quelle anwenden.

Während standardmäßig die Schablone beim Starten die Daten an der aktuellen Cursor-Position interpretiert, sorgt die optionale Anweisung "fixed_start" dafür, daß dies am angegebenen absoluten Offset der Datei bzw. des Datenträgers geschieht.

Wendet man eine Schablone auf einen Datenträger an, so stellt das Schlüsselwort "sector-aligned" sicher, daß sie ungeachtet der exakten Cursor-Position auf den Anfang des aktuellen Sektors bezogen wird.

Ähnlich wie ein "applies_to"-Ausdruck ermöglicht es die "requires"-Anweisung WinHex, eine unabsichtliche Anwendung einer Schablonen-Definition auf nicht auf sie passende Daten zu verhindern. Geben Sie hinter "requires" einen Offset und eine Hex-Wert-Kette beliebiger Länge an. Dies soll die Daten, für die die Schablone konzipiert wurde, identifizieren. Zum Beispiel läßt sich ein gültig Master-Boot-Record an den Hex-Werten 55 AA an Offset 0x1FE erkennen, eine ausführbare Datei an den Hex-Werten 4D 5A ("MZ") an Offset 0x0. Es dürfen mehrere "requires"-Anweisungen im Definitionskopf vorkommen, die alle berücksichtigt werden.

Das Schlüsselwort "big-endian" sorgt dafür, daß alle aus mehreren Bytes bestehende Integer- und Boolean-Variablen in Big-Endian-Reihenfolge gelesen und geschrieben werden (höchst-wertiges Byte vorn).

Das Schlüsselwort "hexadecimal" bewirkt, daß Integer-Variablen innerhalb der Schablonen-Definition in hexadezimaler Schreibweise angezeigt werden.

Das Schlüsselwort "read-only" stellt sicher, daß die Schablone nur benutzt werden kann, um Datenstrukturen einzusehen, nicht um sie zu manipulieren. Die Editierfelder der Schablone erscheinen dann grau.

Wenn das Schlüsselwort "multiple" im Definitionskopf angegeben wird, erlaubt WinHex das Wechseln zu benachbarten Datensätzen derselben Struktur. Das erfordert, daß WinHex die Größe eines Datensatzes kennt. Sofern diese nicht fest als Parameter der "multiple"-Anweisung angegeben wurde, nimmt WinHex an, daß die Gesamtgröße sich berechnet als die aktuelle Position nach der Anwendung der Schablonen-Definition minus Startposition. Wenn dies eine variable Größe ergibt, d. h. Array-Größen oder "move"-Parameter sich dynamisch aus den Werten von Variablen bestimmen, kann WinHex nicht zu vorgelagerten Datensätzen wechseln.


Variablen-Deklarationen

Der Rumpf eine Schablonen-Definition besteht im wesentlichen aus Variablen-Deklarationen, ähnlich wie die in Programmiersprachen. Eine Deklaration hat folgende Gestalt:

type "Bezeichnung"

wobei type einer der folgenden Datentypen sein kann:

• int8, uint8 = byte, int16, uint16, in24, uint24, int32, uint32, int64,

• uint_flex,

• binary,

• float = single, real, double, longdouble = extended,

• char, char16, string, string16,

• zstring, zstring16,

• boole8 = boolean, boole16, boole32,

• hex,

• DOSDateTime, FileTime, OLEDateTime, SQLDateTime, UNIXDateTime = time_t, JavaDateTime,

• GUID

Die Bezeichnung der Variablen muß nur dann in Hochkammata gesetzt werden, wenn sie Leerzeichen enthält. Sie darf nicht nur aus Ziffern bestehen. WinHex unterscheidet nicht zwischen Groß- und Kleinschreibung. Maximal werden zur Identifikation einer Variablen 41 Zeichen verwendet.

type kann jeweils maximal ein Modifikator der folgenden Modifikatorengruppen vorangestellt werden:

big-endian	little-endian	(s. Endian-ness)

hexadecimal	decimal	octal

read-only	read-write

Diese Modifikatoren wirken sich nur auf die unmittelbar folgende Variable aus. Sie sind redundant, wenn sie bereits im Definition-Kopf angegeben werden.

Die Nummern am Ende der Typnamen bezeichnet die Größe einer Variablen dieses Typs (Strings: eines Zeichens) in Bits. Mit den Typen "char16" und "string16" unterstützt WinHex Unicode-Zeichen und -Strings. Höhere Unicode-Zeichen als die ersten 256 ANSI-äquivalenten werden allerdings nicht unterstützt. Es können außerdem maximal Strings einer Größe von 8192 Bytes editiert werden.

Die Typen "string", "string16" und "hex" erfordern einen zusätzlichen Parameter, der die Anzahl der Elemente angibt. Dieser Parameter kann eine Konstante oder eine zuvor deklarierte Variable sein. Wenn es sich um eine Konstante handelt, kann sie entweder dezimal oder hexadezimal geschrieben werden, im zweiten Fall muß ihr "0x" vorangestellt werden.

Sie können Arrays (Felder) deklarieren, indem Sie in eckigen Klammern die gewünschte Größe angeben, entweder hinter der Typangabe oder hinter der Variablenbezeichnung. Geben Sie "unlimited" als Array-Größe an, hört die Schablone mit dem Auslesen der Daten erst auf, wenn das Dateiende erreicht wird. Bspw. deklarieren die folgenden zwei Zeilen einen ASCII-String, dessen Länge dynamisch von der vorherigen Variable bestimmt wird:

uint8	"Länge"

char[Länge]	"Ein String"

Dasselbe Ergebnis könnte mit folgenden zwei Deklarationen erzielt werden:

byte	"Länge"

string Länge	"Ein String"

Eine Tilde ("~") kann als Platzhalter eingesetzt werden, um zur Laufzeit mit der tatsächlichen Array-Elementnummer ersetzt werden (s. u. Fortgeschrittene Befehle). Dies trifft nicht auf Arrays des Typs char zu, da diese von WinHex automatisch in einen String übersetzt werden.

Numerische Parameter für string-, string16- und hex-Variablen ebenso wie die Größenangaben von Arrays dürfen in mathematischer Notation angegeben werden. Sie werden vom integrierten Formel-Parser verarbeitet. Solche Ausdrücke müssen in Klammern angegeben werden. Sie dürfen keine Leerzeichen enthalten. Sie dürfen zuvor deklarierte Integer-Variablen verwenden, deren Namen selbst ebenfalls keine Leerzeichen enthalten. Unterstützte Operationen sind die Addition (+), Subtraktion (-), Multiplikation (*), Integer-Division (/), Modulo-Division (%), bitweises AND (&), bitweises OR (|) und bitweises XOR (^). Gültige mathematische Ausdrücke sind zum Beispiel (5*2+1) oder (len1/(len2+4)). Das Resultat ist immer ein Integer und muss ein positiver Wert sein.

zstring und zstring16 sind Null-terminierte Strings, deren Größe dynamisch zur Laufzeit bestimmt wird.


Fortgeschrittene Befehle

Variablendeklarationen können in geschweiften Klammern eingeschlossen werden, so daß sie einen Block bilden, der als ganzes wiederholt eingesetzt werden kann. Beachten Sie aber, daß Blöcke in der aktuellen Implementation nicht verschachtelt werden dürfen. Eine Tilde ("~") kann als Platzhalter für eine spätere Ersetzung mit dem aktuellen Stand des Wiederholungszählers in Variablennamen verwendet werden. Die optionale numbering-Anweisung legt dabei fest, mit welcher Nummer die Zählung begonnen werden soll (standardmäßig mit Null).

numbering  1

{byte	"Länge"

string Länge	"String Nr. ~"

} [10]

In diesem Beispiel werden die tatsächlichen Variablennamen in der Schablone "String Nr. 1", "String Nr. 2", ..., "String No. 10" lauten. Anstelle einer fix vorgegebenen Zahl von Wiederholungen (im Beispiel 10) können Sie auch „unlimited" angeben. In diesem Fall wiederholt WinHex den Block bis zum Ende der Datei. "ExitLoop" kann dazu verwendet werden, vorzeitig eine Wiederholungsschleife zu verlassen.

Mit dem Befehl "IfEqual" können zwei Ausdrücke miteinander verglichen werden. Die Vergleichsoperanden können zum einen beide numerisch sein, also jeweils entweder ein konstanter Wert in dezimaler Schreibweise, eine Integer-Variable oder mathematische Ausdrücke. Zum anderen werden Ausdrücke, die entweder als Text oder als hexadezimale Zeichenfolge angegeben werden, byteweise miteinander verglichen. Ausdrücke in Anführungszeichen werden als Zeichenketten interpretiert, Hexadezimalwerte werden durch ein vorangestelltes "0x" identifiziert. Mathematische Ausdrücke müssen von runden Klammern umschlossen sein.

{r	byte	Wert

IfEqual Wert 1

ExitLoop

EndIf

} [10]

Jedes "IfEqual" muß mit einem "EndIf" abgeschlossen werden. Wenn die Ausdrücke gleich sind, wird der nachfolgende Teil der Schablone abgearbeitet. Ist ein "Else" angegeben, dann wird bei Ungleichheit der Teil nach diesem Schlüsselwort abgearbeitet. "IfEqual"-Anweisungen dürfen nicht verschachtelt sein. Für den Befehl "IfGreater" gelten dieselben Regeln wie für IfEqual, nur daß die Vergleichsbedingung erfüllt ist, wenn der erste Ausdruck größer ist als der zweite. Strings und Hex-Werte werden lexikographisch verglichen.

Um die Übersichtlichkeit einer Schablone zu verbessern, lassen sich Gruppen von Variablen auch visuell bilden, so daß die zugehörigen Editierfelder durch freien Raum im Dialogfenster voneinander getrennt erscheinen.:

section "...Bezeichnung des Bereichs..."

...

endsection

Die Anweisungen "section", "endsection" und "numbering" haben keinen Einfluß auf die aktuelle Position der Datenauswertung durch die Schablone.

Es gibt noch zwei weitere Befehle, die auch keine Variablen deklarieren, aber explizit benutzt werden, um die aktuelle Position zu manipulieren. Dies kann z. B. geschehen, um irrelevante Daten zu überspringen (Vorwärtsbewegung) oder um bestimmte Variablen mehrfach in Form von unterschiedlichen Datentypen erfassen zu können (Rückwärtsbewegung). Benutzen Sie die "move n"-Anweisung, um n Bytes von der aktuellen Position aus zu überspringen, wobei n auch negativ sein darf. "goto n" setzt die aktuelle Position auf n, einen absoluten (positiven) Offset auf die Basisposition, auf die die Schablone angewandt wird.

Das folgende Beispiel demonstriert den Zugriff auf 4 Bytes an Daten als 32-Bit-Integer und als eine Kette von 4 Hex-Werten:

int32	"Seriennummer des Datenträgers (dezimal)"

move -4

hex 4	"Seriennummer des Datenträgers (hexadezimal)"


Datenträger klonen

Läßt Sie eine bestimmte Anzahl von Sektoren von einem Quell- auf einen Zieldatenträger kopieren (oder ersatzweise aus einer Image-Datei bzw. in eine Image-Datei). Dazu müssen beide Datenträger dieselbe Sektorgröße aufweisen. Mit dieser Funktion können Sie exakte Duplikate ganzer Festplatten herstellen, indem Sie einfach alle Sektoren kopieren. Aktivieren Sie die entsprechende Option, damit die richtigen Zahlen automatisch für Sie eingetragen werden. Der Zieldatenträger darf nicht kleiner als der Quelldatenträger sein.

Die Funktion »Datenträger klonen« bietet verschiedene Möglichkeiten zu verfahren, wenn defekte Sektoren auf dem Quelldatenträger angetroffen werden:

• Standardmäßig werden Sie benachrichtigt und gefragt, ob der Vorgang abgebrochen oder dennoch fortgesetzt werden soll. Bei eingeschalteter Option „Protokolldatei schreiben" werden Informationen über die gesamte Operation in eine Logdatei in den Ordner für temporäre Dateien geschrieben (Dateiname "Cloning.log.txt"). Darin sind auch die Nummern etwaiger unlesbarer Sektoren enthalten, die nicht kopiert werden können. Diese Option verhindert, daß WinHex jeden defekten Sektor während des Vorgangs einzeln meldet.

• WinHex kann die Zielsektoren, die mit dem Inhalt unlesbarer Quellsektoren beschrieben werden müßten, entweder unverändert lassen oder mit einem ASCII-Muster Ihrer Wahl füllen (z. B. Ihre Initialen oder so etwas wie "BAD "). Lassen Sie das Editierfeld für das Muster leer, um solche Sektoren mit Nullbytes zu füllen. Übrigens wird das gewählte Muster auch verwendet, um den Inhalt eines nicht lesbaren Sektors im Disk-Editor anzuzeigen.

• Defekte Sektoren treten häufig in zusammenhängenden Gruppen auf, und jeder Versuch, einen defekten Sektor zu lesen, dauert gewöhnlich sehr lange. WinHex kann solche beschädigten Bereiche versuchen zu meiden: Wenn ein defekter Sektor erkannt wird, kann WinHex versuchen, eine von Ihnen anzugebende Anzahl folgender Sektoren überspringen (in der Voreinstellung 25). Dies ist nützlich, um den Klonvorgang zu beschleunigen, wenn Sie in Kauf nehmen, daß auch einige unbeschädigte Sektoren nicht mit kopiert werden.

Das konventionelle Klonen ist bei austauschbaren Datenträgern (wie Disketten) nicht möglich, wenn nur ein entsprechendes Laufwerk installiert ist. Eine geeignete Vorgehensweise für diesen Fall ist Disk Imaging, also eine Art »verzögertes« Klonen. Ein Disk-Image kann auf einen anderen Datenträger zurückgespielt werden. Das Ergebnis ist dann dasselbe wie beim Klonen.

Wenn Sie eine Datei namens "dev-null" als Ziel angeben, werden die Daten nur gelesen und nirgendwohin kopiert (und Sie werden diesbezüglich gewarnt). Dies ist nützlich, wenn Sie nur an dem Bericht über defekte Sektoren interessiert sind und den Datenträger nicht wirklich klonen oder in einer Datei sichern möchten.

Sie können "simultane E/A" probieren, wenn das Ziel nicht auf dem gleichen physischen Datenträger liegt wie die Quelle. Das bietet die Möglichkeit, den Klonvorgang um bis zu 30% zu beschleunigen.

Es gibt zwei Möglichkeiten, ein Abbild eines Datenträger zu schaffen:

• Der Dialog »Datenträger klonen« erlaubt es, Sektoren von einem Datenträger in eine rohe, originalgetreue Imagedatei zu kopieren (und später zurück). Zusammen mit dem stillen »Protokolldatei-Modus« ist die dem Erstellen einer Sicherung vorzuziehen, wenn es defekte Sektoren auf dem Quelldatenträger gibt.

• Für Optionen wie Komprimierung, Hash-Berechnung und Datei-Segmentierung verwenden Sie bitte die Datenträger-Sicherung. Zur leichten Wiederherstellung enthält eine Backup-Datei Informationen über ihren Inhalt: Sektornummern, Quelldatenträger etc.

Hinweis zu Disk-Cloning & -Imaging


Disk-Cloning & -Imaging
Hinweise zum Klonen, Sichern (Imaging) und Wiederherstellen von Sicherungen

Von WinHex/X-Ways Forensics erstellte Datenträger-Klone und -Sicherungen

(=Image-Dateien) sind exakte, sektorweise erstellte, forensisch einwandfreie

Kopien, mit allem freien Speicherplatz und Schlupfspeicher. Ein Image ist

normalerweise einem Klon vorzuziehen, weil darin alle Daten (und Metadaten

wie Zeitstempel) vor Veränderung durch das Betriebssystem geschützt sind.

Wenn Sie einen Datenträger zu Backup-Zwecken klonen/sichern, vermeiden

Sie, daß auf ihn währenddessen schreibend zugegriffen wird, durch Windows

oder andere Programme, z. B. in dem Sie als Laufwerksbuchstaben geladene

Partitionen vorher entladen. Solche Schreiboperationen sind natürlich unver-

meidbar, wenn man die Platte klont/sichert, die die aktive Windows-Installation

enthält, von der aus Sie WinHex/X-Ways Forensics ausführen. Wenn auf den

Quelldatenträger während der Operation geschrieben wird, hat der Klon/die

Image-Datei aus Sicht des Betriebssystems evtl. einen inkonsistenten Zustand

(was sich z. B. darin äußern kann, daß sich von einer geklonten Platte

Windows nicht mehr booten läßt). Aus computerforensischer Sicht jedoch,

beim Klonen/Sichern eines lebendigen Systems, ist dies jedoch ein weniger

großes Problem, auch wenn das Vermeiden von weiteren Schreibvorgängen

natürlich wünschenswert ist, weil Sie in jedem Fall immer noch eine korrekte

Momentaufnahme jedes einzelnen Sektors erhalten.

Wenn das Ziel eines Klonvorgangs oder der Wiederherstellung einer Image-

Datei (Zurückspielen einer Sicherung) eine Partition ist, die als Laufwerks-

buchstabe geladen ist, versucht WinHex, alle von Windows vorgehaltenen

internen Puffer von der Zielpartition freizugeben. Wenn Sie dennoch mit dem

Windows Explorer nicht den neuen Inhalt auf der Zielpartition sehen, kann

ein einfaches Neubooten helfen.

Wenn Ihr Ziel es nicht ist, eine forensische Sicherung zu erzeugen, sondern

lediglich ein Backup eines Datenträgers, dann können Sie Speicherplatz für

die Sicherungsdatei sparen, indem Sie auf dem zu sichernden Datenträger

vorher freien Speicher und Schlupfspeicher initialisieren. Dies liegt daran,

daß Sektoren, die nur aus Null-Werten bestehen, die Sicherung kaum ver-

größern, wenn Kompression eingeschaltet wird.

WinHex ändert Partitionsgrößen nicht dynamisch und paßt sie nicht an

Zieldatenträger an, die eine andere Größe haben als die Quelldatenträger.


Datenrettung

In WinHex gibt es drei Möglichkeiten, Daten zu retten. Alle setzen voraus, daß Sie den Datenträger, auf dem die Daten verloren gingen, zunächst mit dem Disk-Editor öffnen.

1) Datenrettung mit dem Verzeichnis-Browser: Sie navigieren zu einem Verzeichnis (oder erkunden das Stammverzeichnis rekursiv), wählen die wiederherzustellenden Dateien aus und benutzen den Befehl "Wiederherstellen/Kopieren" im Kontextmenü.

2) Automatische Rettung von Dateien eines bestimmten Typs (setzt kein intaktes Dateisystem voraus)

3) Manuelle Datenrettung

Wichtig: Auf den Datenträger bzw. das Laufwerk, von dem Sie Daten retten möchten, darf auf keinen Fall mehr schreibend zugegriffen werden! Sie überschreiben u. U. sonst unbedachterweise die verlorengegangene Dateien und machen Sie dadurch unwiederherstellbar. D. h. auch, daß Sie Windows nicht mehr auf einem solchen Laufwerk booten dürfen, da dies unzählige Schreiboperationen zur Folge hat.


Hinweis
Diese Version ist für Sie kein kostenloses Update mehr, weil die Ihnen zugesagte Zeitspanne kostenloser Updates abgelaufen ist. Ihre Freischaltcodes können daher leider nicht mehr mit dieser Version verwendet werden. Informationen zu Upgrade-Möglichkeiten erhalten Sie unter http://www.x-ways.net/winhex/license-d.html.


Start-Center

Das sog. Start-Center ist ein Dialogfenster, das optional beim Programmstart angezeigt wird und als vereinfachte Schalttafel für den Beginn Ihrer Arbeit mit WinHex gedacht ist. Es erlaubt Ihnen, sowohl Dateien, Datenträger, virtuellen Speicher und Ordner zu öffnen als auch bis zu 255 zuvor geöffnete Dokumente (16 in der Voreinstellung, Liste links). Dies können Dateien, Ordner, logische Laufwerke oder physische Datenträger sein. Wenn diese wieder geöffnet werden, stellt WinHex die letzte Cursor-Position, die Scroll-Position und den Block (falls definiert) wieder her, wenn die entsprechende Option nicht ausgeschaltet ist.

Vom Start-Center aus haben Sie auch Zugriff auf Projekte und Fälle (Liste rechts oben). Ein Projekt besteht aus einem oder mehreren zu editierenden Dokumenten (Dateien oder Datenträger). Es merkt sich die Cursor-Positionen, die Größe und Positionen der Fenster und einige Anzeige-Optionen. Indem Sie eine Fenster-Anordnung als Projekt speichern, können Sie Ihre Arbeit in mehreren Dokumenten genau dort fortsetzen, wo Sie sie verlassen haben, mit einem einzigen Klick. Dies ist besonders nützlich für wiederkehrende Aufgaben. Wenn Sie ein Projekt laden, werden erst alle zum gegenwärtigen Zeitpunkt geöffneten Fenster automatisch geschlossen.

Außerdem speichert WinHex automatisch die Fensteranordnung am Ende einer WinHex-Sitzung als Projekt und kann sie beim nächsten Mal wiederherstellen. Jedes Projekt wird in einer .prj-Datei gespeichert. Ein Projekt kann gelöscht bzw. umbenannt werden, indem Sie im Start-Center das Kontextmenü benutzen oder das Projekt markieren und die Entfernen- bzw. F2-Taste auf Ihrer Tastatur drücken.

Nicht zuletzt ist das Start-Center auch der Ort, an dem Sie Scripte verwalten können. Mit Hilfe des Kontextmenüs lassen sich Scripte auf die Syntax prüfen, bearbeiten, neu erstellen, umbenennen und löschen. Um ein Script auszuführen, klicken Sie es doppelt an oder nur einfach und betätigen dann den OK-Schalter.


Ansicht-Menü

Nur Text-Anzeige: Blendet die Hexadezimal-Anzeige aus und verwendet die gesamte Breite des Editorfensters für die Text-Anzeige.

Nur Hex-Anzeige: Blendet die Text-Anzeige aus und verwendet die gesamte Breite des Editorfensters für die Hexadezimal-Anzeige.

Datensatz-Darstellung: Beim Editieren aufeinanderfolgender Datensätze, die alle die gleiche Länge aufweisen (z. B. Tabelleneinträge einer Datenbank), können Sie WinHex zur besseren visuellen Unterscheidung jeden zweiten Datensatz mit einer gesonderten Hintergrundfarbe anzeigen lassen. Die Farbe kann im Dialog Allgemeine Optionen bestimmt werden. Außerdem bietet WinHex die Anzeige der aktuellen Datensatz-Nummer und des Offsets innerhalb dieses Datensatzes (also des relativen Offsets) in der Statusleiste an. Das alles basiert auf der Datensatzgröße und dem Offset des ersten Datensatzes, wie Sie es im Dialogfenster »Datensatz-Darstellung« angeben.

Wenn Sie eines der beiden Datensatz-Features einschalten, erlaubt es der Befehl »Offset aufsuchen« auch, die aktuelle Cursorposition um ein Vielfaches der aktuellen Datensatzgröße zu verschieben. Wenn relative Datensatz-Offsets aktiv sind, bewegen die Bild-auf-/ab-Tasten den Cursor in Einheiten der Datensatzgröße, außerwenn wenn Sie die Strg-Taste gedrückt halten.

Anzeigen: Das Falldaten-Fenster ist Teil der forensischen Benutzeroberfläche von WinHex (X-Ways Forensics). Der Verzeichnis-Browser ist für logische Laufwerke/Partitionen verfügbar, die mit dem Disk-Editor geöffnet wurden. Der Daten-Dolmetscher ist ein kleines Fenster, das »Übersetzungsmöglichkeiten« für die Daten an der aktuellen Cursorposition anzeigt. Die Symbolleiste wird ebenfalls optional angezeigt. Das gleiche gilt für die Registerleiste, die es erlaubt, alle Editierfenster mit einem einfachen Mausklick anzuwählen. Die Informationsspalte, die Details über das editierte Objekt (Datei, Datenträger, RAM) aufführt, wird auch optional angezeigt.

Schablonen-Manager

Tabellen: Diese Funktion stellt Ihnen Übersichtstabellen zur Verfügung, in denen Sie zu Hexadezimal-Werten von 0 bis FF die Entsprechungen in Dezimalschreibweise, im IBM-ASCII-, ANSI-ASCII- und EBCDIC-Format ablesen können.

Zeilen & Spalten

Rollen synchronisieren: Synchronisiert bis zu vier Fenster auf identische absolute Offsets. Halten Sie die Umschalt-Taste beim Aufrufen dieser Funktion gedrückt, um die Fenster dazu nebeneinander statt übereinander anzuordnen.

Synchronisieren und vergleichen: Synchronisiert bis zu vier Fenster und zeigt unterschiedliche Bytewerte gesondert an. Wenn nicht mehr als zwei Fenster beteiligt sind, hält WinHex beim Rollen immer den anfänglichen Abstand zwischen Offsets der ersten angezeigten Bytes in den beiden Editierfenstern aufrecht. Nicht auf absolute Offsets zu synchronisieren ist nützlich z. B. beim Vergleich zweier Kopien der Dateizuordnungstabelle, die ja an unterschiedlichen Offsets liegen. Sie können zum nächsten bzw. vorherigen verschiedenen Byte springen, indem Sie die zusätzlich in einem der beteiligten Editierfenster bereitgestellten Schalter anklicken.

Anzeige aktualisieren: Erneuert die Anzeige im aktiven Editierfenster. Falls die aktuelle Datei von einem externen Programm geändert wurde, bietet WinHex an, etwaige in WinHex vorgenommenen Änderungen aufzugeben und die Datei nochmal neu zu laden.


Scripte

Ein Großteil der Funktionalität von WinHex kann in automatisierter Weise verwendet werden, z. B. um wiederkehrende Routineaufgaben zu erledigen oder um bestimmte Tätigkeiten an nicht beaufsichtigten Computern im Netz ferngesteuert auszuführen. Die Möglichkeit, andere als die mitgelieferten Beispielscripte auszuführen, ist Besitzern von professionellen und höheren Lizenzen vorbehalten. Scripte können vom Start-Center oder von der Kommandozeile aus gestartet werden. Wenn ein Script ausgeführt wird, können Sie die Esc-Taste drücken, um es abzubrechen. Scripte lösen aufgrund ihrer umfangreicheren Möglichkeiten die von früheren Versionen von WinHex bekannten Routinen ab.

WinHex-Scripte sind Textdateien mit der Namensendung ».whs«. Sie können mit jedem Texteditor bearbeitet werden und bestehen einfach aus einer Folge von Befehlen. Es wird empfohlen, pro Zeile nur einen Befehl einzugeben, um die Übersichtlichkeit zu wahren. Abhängig vom jeweiligen Befehl müssen dahinter ggf. Parameter angegeben werden. Die meisten Befehle wirken sich auf die Datei oder den Datenträger im aktuell aktiven Editierfenster aus.

Groß- und Kleinschreibung spielt bei den Scriptbefehlen keine Rolle. Kommentare dürfen überall in einem Script eingefügt werden. Zu ihrer Kenntlichmachung müssen ihnen zwei aufeinanderfolgende Schrägstriche vorangestellt werden. Parameter dürften max. 255 Zeichen lang sein. Sollten Sie im Zweifel sein, weil sowohl Hex-Werte als auch Zeichenketten (oder auch Zahlen) als Parameter akzeptiert werden, können Sie Anführungszeichen benutzen, um die Interpretation eines Parameters als Text zu erzwingen. Anführungszeichen sind zwingend erforderlich, wenn eine Zeichenkette oder ein Variablenname eines oder mehrere Leerzeichen enthält, damit alle Zeichen innerhalb der Anführungszeichen als ein Parameter erkannt werden.

Wo immer numerische Parameter erwartet werden, ermöglicht der integrierte Formel-Parser die Verwendung mathematischer Notation. Solche Ausdrücke müssen in Klammern angegeben werden. Sie dürfen keine Leerzeichen enthalten. Sie dürfen zuvor deklarierte Variablen verwenden, die als Integer-Werte interpretiert werden können. Unterstützte Operationen sind die Addition (+), Subtraktion (-), Multiplikation (*), Integer-Division (/), Modulo-Division (%), bitweises AND (&), bitweises OR (|) und bitweises XOR (^). Gültige mathematische Ausdrücke sind zum Beispiel (5*2+1), (MyVar1/(MyVar2+4)), oder (-MyVar).

S. auch: WinHex API

Im Folgenden finden Sie Beschreibungen aller gegenwärtig unterstützten Scriptbefehle, incl. Beispiel-Parameter.

Create "D:\My File.txt" 1000

Erzeugt die angegebene Datei mit einer anfänglichen Dateigröße von 1000 Bytes. Wenn die Datei bereits existiert, wird sie überschrieben.

Open "D:\My File.txt"

Open "D:\*.txt"

Öffnet die angegebene(n) Datei(en). Geben Sie "?" als Parameter an, um den Nutzer die zu öffnende Datei wählen zu lassen.

Open C:

Open D:

Öffnet das angegebene logische Laufwerk. Opens the specified logical drive. Geben Sie "?" als Parameter an, um den Nutzer das zu öffnende logische Laufwerk oder den physischen Datenträger wählen zu lassen.

Open 80h

Open 81h

Open 9Eh

Öffnet den angegebenen physischen Datenträger. Die Numerierung von Floppy-Laufwerken beginnt mit 00h, die fest eingebauter und Wechseldatenträger mit 80h und die für optische Laufwerke mit 9Eh.

Optional können Sie einen zweiten Parameter mit dem Open-Befehl angeben, der den Editier-Modus angibt, in dem die Datei oder der Datenträger zu öffnen ist ("in-place" oder "read-only").

CreateBackup

Erzeugt ein WHX-Backup der aktiven Datei in seinem aktuellen Zustand.

CreateBackupEx 0 100000 650 true "F:\My backup.whx"

Erzeugt ein WHX-Backup der aktiven Platte, beginnend mit Sektor 0 bis Sektor 1.000.000. Die Backup-Datei wird automatisch in Stücke von 650 MB segmentiert. Komprimierung ist aktiv ("true"). Die erzeugte Datei ist der letzte Parameter.

Wenn die Backup-Datei nicht segmentiert werden soll, geben Sie 0 als dritten Parameter an. Um Komprimierung abzuschalten, übergeben Sie "false". Um vom Backup-Manager automatisch einen Namen zuweisen zu lassen und die Datei im Verzeichnis für Backup-Dateien ablegen zu lassen, geben Sie "" als letzten Parameter an.

Goto 0x128

Goto MyVariable

Bewegt die aktuelle Cursor-Position zur hexadezimalen Adresse 0x128. Alternativ kann auch eine existierende Variable (bis zu 8 Bytes groß) als numerischer Wert interpretiert werden.

Move -100

Bewegt die aktuelle Cursor-Position um 100 Bytes (dezimal) zurück.

Write "Test"

Write 0x0D0A

Write MyVariable

Schreibt die vier ASCII-Zeichen "Test" oder die zwei Hexadezimal-Werte "0D0A" an die aktuelle Position (im Überschreiben-Modus). Kann auch den Inhalt einer als Parameter angegebenen Variablen schreiben. Bewegt die aktuelle Cursor-Position entsprechend der Anzahl geschriebener Bytes vorwärts. Um das sicherzustellen, wird, falls das Ende der Datei erreicht wird, ein Nullbyte hinten angehängt. Das ist nützlich, damit weitere Write-Aufrufe nicht das letzte vom vorherigen Write-Aufruf geschriebene Byte wieder überschreiben.

Write2

Identisch zu Write, aber hängt kein Nullbyte an, wenn das Ende der Datei erreicht wurde. Daher darf man sich nicht darauf verlassen, daß Write2 die aktuelle Position um die Anzahl der geschriebenen Bytes vorwärts bewegt.

Insert "Test"

Arbeitet genau wie der "Write"-Befehl, jedoch im Einfügen-Modus. Darf nur mit Dateien benutzt werden.

Read MyVariable 10

Liest 10 Bytes von der aktuellen Position aus in die Variable namens "MyVariable". Wenn diese Variable noch nicht existiert, wird sie erzeugt. Bis zu 48 verschiedene Variablen sind erlaubt. Eine andere Art, eine Variable zu erzeugen, ist der "Assign"-Befehl.

ReadLn MyVariable

Liest von der aktuellen Position in eine Variable namens "MyVariable" bis das nächste Zeilenende-Zeichen gefunden wird. Wenn die Variable bereits existiert, wird ihre Größe entsprechend angepasst.

Close

Schließt das aktive Fenster ohne es zu speichern.

CloseAll

Schließt alle Fenster ohne zu speichern.

Save

Speichert die Änderungen an der Datei oder dem Datenträger im aktiven Fenster.

SaveAs "C:\New Name.txt"

Speichert die Datei im aktiven Fenster unter dem angegebenen Namen und Pfad. Geben Sie "?" als Parameter an, um den Nutzer das Ziel selbst auswählen zu lassen.

SaveAll

Speichert alle Änderungen in allen Fenstern.

Terminate

Bricht die Ausführung des Skripts ab.

Exit

Bricht die Ausführung des Skripts ab und beendet WinHex.

ExitIfNoFilesOpen

Bricht die Ausführung des Skripts ab, wenn aktuell keine Dateien in WinHex geöffnet sind.

Block 100 200

Block "My Variable 1" "My Variable 2"

Legt den aktuellen Block im aktiven Fenster fest beginnend bei Adresse 100 und endend bei Adresse 200 (dezimal). Alternativ können auch existierende Variablen (jede bis zu 8 Bytes groß) als numerische Werte interpretiert werden.

Block1 0x100

Legt den Anfang des Blocks auf die hexadezimale Adresse 0x100. Eine Variable ist ebenfalls als Parameter möglich.

Block2 0x200

Legt das Ende des Blocks auf die hexadezimale Adresse 0x200. Eine Variable ist ebenfalls als Parameter möglich.

Copy

Kopiert den aktuell definierten Block in die Zwischenablage. Wenn kein Block festgelegt ist, bewirkt der Befehl das gleiche wie der "normale" Kopieren-Befehl im Bearbeiten-Menü.

Cut

Schneidet den aktuell markierten Block aus der Datei aus und speichert ihn in der Zwischenablage.

Remove

Entfernt den aktuell markierten Block aus der Datei.

CopyIntoNewFile "D:\New File.dat"

CopyIntoNewFile "D:\File +MyVariable+.dat"

Kopiert den aktuell markierten Block in die angegebene Datei ohne die Zwischenablage zu benutzen. Wenn kein Block festgelegt ist, bewirkt der Befehl das gleiche wie der "normale" Kopieren-Befehl im Bearbeiten-Menü. Kann Datenträger-Sektoren genauso kopieren wie Dateien. Die neue Datei wird automatisch in einem anderen Datenfenster geöffnet. Erlaubt eine unbegrenzte Anzahl von "+" Konkatenationen im Parameter. Eine Variable wird als Integer interpretiert wenn sie nicht größer als 2^24 (~16 Mio.) ist. Nützlich für Schleifen und Datenrettung.

Paste

Schreibt den aktuellen Inhalt der Zwischenablage an die aktuelle Position in einer Datei, ohne die aktuelle Position zu ändern.

WriteClipboard

Schreibt den aktuellen Inhalt der Zwischenablage an die aktuelle Position ein einer Datei oder auf einem Datenträger ohne die aktuelle Position zu verändern und indem es die Daten an der aktuellen Position überschreibt.

Convert Param1 Param2

Konvertiert die Daten der aktiven Datei von einem Format in ein anderes. Gültige Parameter sind ANSI, IBM, EBCDIC, Binary, HexASCII, IntelHex, MotorolaS, Base64, UUCode, LowerCase und UpperCase, in den Kombinationen wie sie vom herkömmlichen Konvertieren-Menübefehl bekannt sind.

AESEncrypt "My Password"

Verschlüsselt die aktive Datei oder den Datenträger oder einen davon ausgewählten Block mit dem angegebenen Schlüssel (bis zu 32 Zeichen lang) mit AES.

AESDecrypt "My Password"

Entschlüsselt die aktive Datei oder den Datenträger.

Find "John" [MatchCase MatchWord Down Up BlockOnly SaveAllPos Unicode Wildcards]

Find 0x0D0A [Down Up BlockOnly SaveAllPos Wildcards]

Sucht im aktiven Fenster nach dem Namen John bzw. dem Hexadezimal-Wert 0x0D0A und hält beim ersten Treffer an. Die anderen Parameter sind optional. Standardmäßig durchsucht WinHex die komplette Datei bzw. Platte. Die optionalen Parameter funktionieren wie von den WinHex-Suchoptionen bekannt.

ReplaceAll "John" "Joan" [MatchCase MatchWord Down Up BlockOnly Unicode Wildcards]

ReplaceAll 0x0A 0x0D0A [Down Up BlockOnly Wildcards]

Ersetzt alle Suchtreffer einer Zeichenkette oder eines Hexadezimal-Wertes in der aktiven Datei durch etwas anderes. Kann auf Laufwerke nur im In-Place-Modus angewandt werden.

IfFound

Ein boolescher Wert, der davon abhängt, ob die letzte Suchen- oder Ersetzen-Anweisung erfolgreich war. Setzen Sie Anweisungen, die ausgeführt werden sollen, wenn etwas gefunden wird, hinter die IfFound-Anweisung.

IfEqual MyVariable "Hello World"

IfEqual 0x12345678 MyVariable

IfEqual MyVariable 1000

IfEqual MyVariable MyOtherVariable

IfEqual MyVariable (10*MyOtherVariable)

Vergleicht entweder zwei numerische Integer-Werte (von denen jede ein konstanter Wert, eine Integer-Variable oder ein mathematischer Ausdruck sein kann) oder zwei Variablen, ASCII-Zeichenketten oder Hexadezimal-Werte auf binärer Ebene. Der binäre Vergleich zweier Objekte mit unterschiedlichen Längen liefert immer das Ergebnis »falsch«. Wenn die beiden Objekte gleich sind, werden die folgenden Befehle ausgeführt. If-Bedingungen dürfen nicht verschachtelt werden.

IfGreater MyVariable "Hello World"

IfGreater 0x12345678 MyVariable

IfGreater MyVariable 1000

IfGreater MyVariable MyOtherVariable

IfGreater MyVariable (10*MyOtherVariable)

Akzeptiert die gleichen Parameter wie IfEqual. Wenn der erste größer ist als der zweite, werden die folgenden Anweisungen ausgeführt. If-Bedingungen dürfen nicht verschachtelt werden.

Else

Darf nach IfEqual und IfFound auftreten. Setzen Sie Anweisungen, die ausgeführt werden sollen, wenn nichts gefunden wurde oder wenn die verglichenen Objekte nicht gleich sind, hinter die Else-Anweisung.

EndIf

Beendet die bedingte Befehlsausführung (nach IfFound oder IfEqual).

ExitLoop

Beendet eine Schleife. Eine Schleife wird von geschweiften Klammern definiert. Der schließenden Klammer kann direkt ein Integer-Wert in eckigen Klammern folgen, der die Anzahl der Rundendurchläufe angibt. Dies kann auch eine Variable oder das Schlüsselwort "unlimited" (in diesem Fall kann die Schleife nur durch die Anweisung "ExitLoop" verlassen werden) sein. Schleifen dürfen nicht verschachtelt werden.

Beispiel für eine Schleife:

{ Write "Schleife" }[10] schreibt das Wort "Schleife" zehn Mal.

Label ContinueHere

Erzeugt ein Label mit dem Namen "ContinueHere"

JumpTo ContinueHere

Setzt die Ausführung des Skriptes mit der Anweisung, die dem Label folgt, fort.

NextObj

Springt zyklisch zum nächsten geöffneten Fenster und macht es zum "aktiven" Fenster. Wenn beispielsweise drei Fenster offen sind und das Fenster Nr. 3 aktiv ist, macht NextObj Fenster Nr. 1 zum neuen aktiven Fenster.

ForAllObjDo

Der folgende Block von Skriptbefehlen (bis EndDo auftritt) wird auf alle offenen Dateien und Laufwerke angewandt.

CopyFile C:\A.dat D:\B.dat

Kopiert den Inhalt von C:\A.dat in die Datei D:\B.dat.

MoveFile C:\A.dat D:\B.dat

Verschiebt die Datei C:\A.dat nach D:\B.dat.

DeleteFile C:\A.dat

Löscht überraschenderweise die Datei C:\A.dat.

InitFreeSpace

InitSlackSpace

Initialisiert den freien bzw. den Schlupfspeicher auf dem aktuellen logischen Laufwerk unter Verwendung der aktuellen Initialisierungs-Einstellungen. InitSlackSpace setzt das Laufwerk vorübergehend in den In-Place-Modus, womit alle noch anstehenden Änderungen gespeichert werden.

InitMFTRecords

Initialisiert alle unbenutzten MFT-FILE-Records auf dem aktuellen logischen Laufwerk, sofern es mit NTFS formatiert ist, unter Verwendung der aktuellen Initialisierungs-Einstellungen. Tut nichts auf anderen Dateisystemen. Die Änderungen werden unmittelbar auf die Platte geschrieben.

Assign MyVariable 12345

Assign MyVariable 0x0D0A

Assign MyVariable "I like WinHex"

Assign MyVariable MyOtherVariable

Speichert die angegebene Integer-Zahl, Binärdaten, ASCII-Text oder den Inhalt einer anderen Variable in eine Variable mit Namen "My Variable". Wenn diese Variable noch nicht existiert, wird sie erzeugt. Andere Methoden, eine Variable anzulegen, sind z. B. Read, GetUserInput, InttoStr. Bis zu 48 verschiedene Variablen sind erlaubt, d. h. können gleichzeitig existieren.

Release MyVariable

Specifically disposes an existing variable. Mandatory to invoke only when more than 48 variables with different names are to be used during the execution of a script, so that earlier variables that are not needed any more can be destroyed.

SetVarSize MyVariable 1

SetVarSize MyVariable 4

Setzt die zugewiesene Speichergröße einer Variablen ausdrücklich auf eine bestimmte Byte-Größe zu diesem Zeitpunkt. Dies kann hilfreich sein, z. B. um Variablen, die Integer-Werte enthalten und die aus einer Berechnung stammen, in eine binäre Datei mit einer fixen Struktur zu schreiben. Ohne Aufruf von SetVarSize dürfen keinerlei Annahmen über die Größe einer Variablen gemacht werden. Zum Beispiel könnte die Zahl 300 in einer beliebigen Zahl von Bytes größer als 1 gespeichert werden. Wenn die neue Größe mit SetVarSize kleiner ist als die bisherige, wird der zugewiesene Speicher abgeschnitten. Wenn die neue Größe größer ist, wird der zugewiesene Speicher ausgeweitet. In jedem Fall wird der Wert der verbleibenden Bytes beibehalten.

GetUserInput MyVariable "Bitte geben Sie Ihren Namen ein:"

Speichert den ASCII-Text oder die binären Daten (0x...), die der Nutzer zur Laufzeit des Skripts eingegeben hat (max. 128 Bytes), in einer Variablen mit Namen "MyVariable". Der Nutzer erhält ein Dialogfenster mit der Nachricht, die Sie als zweiten Parameter angeben. Wenn die Variable nicht existiert, wird sie erzeugt. Andere Möglichkeiten zur Erzeugung einer Variablen: Assign, Read.

GetUserInputI MyIntegerVariable "Bitte geben Sie Ihr Alter in Jahren ein:"

Funktioniert wie GetUserInput, akzeptiert und speichert aber nur Integer-Werte.

Inc MyVariable

Interpretiert eine Variable als Integer (sofern sie nicht größer als 8 Bytes ist) und inkrementiert sie um eins. Praktisch in Schleifen.

Dec MyVariable

Interpretiert eine Variable als Integer (sofern sie nicht größer als 8 Bytes ist) und dekrementiert sie um eins.

IntToStr MyStr MyInt

IntToStr MyStr 12345

Speichert die dezimale ASCII-Text-Repräsentation der Integer-Zahl, die als zweiter Parameter übergeben wird, in die Variable, die als erster Parameter angeben ist.

StrToInt MyInt MyStr

Speichert die Binärcodierung der Integer-Zahl, die als dezimaler ASCII-Text als zweiter Parameter übergeben wird, in die die Variable, die als erster Parameter angegeben ist.

StrCat MyString MyString2

StrCat MyString ".txt"

Hängt eine Zeichenkette an eine andere an. Der zweite Parameter kann eine Konstante oder eine Variable sein. Der erste Parameter muss eine Variable sein. Das Ergebnis wird in der Variablen gespeichert, die als erster Parameter übergeben wurde, und darf nicht länger als 255 Zeichen sein.

GetClusterAlloc MyStr

Kann auf ein logisches Laufwerk angewendet werden. Holt eine textuelle Beschreibung der Zuordnung der aktuellen Position, z. B. welche Datei im aktuellen Cluster gespeichert ist, und speichert diese Beschreibung in der angegebenen Variablen.

GetClusterAllocEx IntVar

May be applied to a logical volume. Retrieves an integer value that indicated whether the cluster at the current position is allocated (1) or not (0), and saves that description in the specified variable.

GetClusterSize IntVar

May be applied to a logical volume. Retrieves the cluster size and saves that value in the specified integer variable.

InterpretImageAsDisk

Behandelt ein Roh-Image oder ein Evidence-File wie eine echte physische Platte oder Partition. Erfordert eine Specialist- oder forensische Lizenz.

CalcHash HashType MyVariable

CalcHashEx HashType MyVariable

Berechnet einen Hashwert wie es aus dem Extras-Menü bekannt ist und speichert ihn in der angegebenen Variablen (die erzeugt wird, wenn sie nicht existiert). Der HashType-Parameter muss einer der folgenden sein: CS8, CS16, CS32, CS64, CRC16, CRC32, MD5, SHA-1, SHA-256, PSCHF. CalcHashEx zeigt den Hashwert zusätzlich in einem Dialogfenster an.

MessageBox "Caution"

Zeigt ein Dialogfenster mit dem Text "Caution" an und bietet einen OK und einen Cancel-Knopf. Durch Drücken von Cancel wird der Skriptdurchlauf abgebrochen.

ExecuteScript "ScriptName"

Führt ein anderes Skript aus einem laufenden Skript heraus aus am aktuellen Punkt der Skriptausführung, z.B. abhängig von einer Bedingung. Aufrufe an andere Skripte dürfen verschachtelt sein. Wenn der Aufruf des Skripts beendet ist, wird das ursprüngliche Skript mit dem nächsten Kommando weiter ausgeführt. Diese Funktion ermöglicht eine bessere Strukturierung Ihrer Skripte.

Turbo On

Turbo Off

Im Turbo-Modus werden die meisten Bildschirm-Elemente zur Laufzeit des Skripts nicht aktualisiert und es ist nicht möglich, das Skript abzubrechen (beispielsweise durch Drücken von Esc) oder zu pausieren. Dies beschleunigt das Skript um bis zu 75%, wenn sehr viele einfache Befehle wie Move oder NextObj in einer Schleife ausgeführt werden.

Debug

Alle folgenden Befehle müssen vom Nutzer einzeln bestätigt werden.

UseLogFile

Fehlermeldungen werden in die Log-Datei "Scripting.log" im Verzeichnis für temporäre Dateien geschrieben. Diese Meldungen werden nicht in einem Dialogfenster angezeigt, das Nutzerinteraktion verlangt. Nützlich insbesondere um Skripte unbeaufsichtigt auf einem Rechner laufen zu lassen.

CurrentPos

GetSize

unlimited

sind Schlüsselworte, die als Platzhalter fungieren und die benutzt werden können, wo numerische Parameter erwartet werden. Zur Skriptlaufzeit steht CurrentPos für die aktuelle Adresse im aktiven Datei- oder Laufwerksfenster und GetSize für seine Größe in Bytes. unlimited steht tatsächlich für die Zahl 2.147.483.647.


WinHex API

Ziel

Die WinHex API (Anwendungsprogrammierschnittstelle) erlaubt es Ihnen, die fortgeschrittenen Fähigkeiten des WinHex Hex-Editors von Ihren eigenen C++-, Delphi- oder Visual-Basic-Programmen aus zu verwenden. Insbes. stellt sie eine bequeme und einfache Schnittstelle für den wahlfreien Zugriff auf Dateien und Datenträger zur Verfügung.

Anforderungen

Das Entwickeln von Software, die von der WinHex API Gebrauch macht, erfordert eine gültige professionelle oder Specialist-WinHex-Lizenz. Außerdem benötigen Sie Import-Deklarationen für Ihre Programmiersprache, die Bibliotheksdatei „whxapi.dll" und die API-Dokumentation. Sie finden alle benötigten Dateien sowie weitere Details unter http://www.winhex.com/winhex/api/.

Sie dürfen jede Software, die die WinHex API benutzt, und WinHex auch weitervertreiben. Es gibt zwei Möglichkeiten, WinHex weiterzugeben:

1. Geben Sie die unlizenzierte Evaluationsversion von WinHex weiter. Damit die API funktioniert, muß Ihr Kunde professionelle, Specialist- oder API-Lizenzen in der Zahl der benötigten WinHex-Installationen selbst beschaffen.

-oder-

2. Empfohlen: Bestellen Sie selbst die spezielle API-Version von WinHex und geben Sie sie einfach weiter. Diese Version ist so konfiguriert, daß sie nur die API-Funktionalität bereitstellt (die normale Benutzerschnittstelle ist nicht verfügbar), und sie ist zu einem reduzierten Preis verfügbar. Sie können API-Lizenzen bestellen unter http://www.winhex.com/winhex/api/. Mengenrabatte auf Anfrage. Bitte geben Sie dazu die Anzahl der Lizenzen, an denen Sie interessiert sind, an. Pro Endbenutzer-Computer ist eine WinHex-API-Lizenz erforderlich. WinHex wird auf Ihren Namen lizenziert, Sie sind der tatsächliche Inhaber der Lizenzen, aber jeder Ihrer Kunden kann sie verwenden. Der Endbenutzer muß sich im Zusammenhang mit WinHex um nichts selbst kümmern.

Siehe auch: Scripte


Dateien retten nach Typ
Dateien retten nach Typ/Datei-Header-Signatursuche

Datenrettungsfunktion im Extras-Menü und auch eine Strategie zum Auffinden ehemals existierender Dateien als Teil der Befehls "Datei-Überblick erweitern". Erkennt Dateien an bestimmten Header-Signaturen, also an einer für den jeweiligen Dateityp charakteristischen Bytewert-Folge. Wird auch als "File Carving" bezeichnet. Aufgrund dieses Ansatzes ist "Dateien retten nach Typ" nicht vom Vorhandensein von funktionierenden Dateisystemstrukturen abhängig. Wenn anhand der Signatur gefunden, werden die Dateien in dem von Benutzer angegebenen Ausgabeordner gespeichert (Dateien retten nach Typ) bzw. in einem virtuelle Verzeichnis des Datei-Überblicks bloß aufgelistet (Datei-Header-Signatursuche). Optional werden Dateien jedes Typs in ihrem eigenen Unterordner abgelegt (...\JPEG, ...\HTML, usw.). Beachten Sie, daß "Dateien retten nach Typ" physisch zusammenhängende Cluster voraussetzt, also im Fall von fragmentiert gespeicherten Clusterketten inkonsistente Dateien ausgibt. Eine Log-Datei namens "File Recovery by Type.log", die über die gewählten Parameter und die Datenrettungsergebnisse Auskunft gibt, wird zu Prüfzwecken ebenfalls in den Ausgabeordner geschrieben.

Da auf ein ggf. vorhandenes Dateisystem (funktional oder nicht) nicht zurückgegriffen wird, sind dem Algorithmus die Original-Dateigrößen nicht bekannt, und die Original-Dateinamen auch nicht. Das ist der Grund, warum die resultierenden Dateien nach folgendem Muster benannt werden: Prefix#####.ext. "Prefix" ist ein von Ihnen angegebenes optionales Präfix. "#####" ist eine laufende Nummer pro Asservat. "ext" ist die Dateinamenserweiterung, die laut Dateityp-Definition zu diesem Dateitype gehört. Das Präfix für den Ausgabedateinamen darf optional einen Platzhalter "%d" enthalten, der durch den Datenträgernamen ersetzt wird. Dies ist nützlich, wenn Sie "Dateien retten nach Typ" auf mehrere Datenträger auf einmal anwenden und später leicht erkennen können möchten, welche Datei von welchem Datenträger stammt.

Mit Specialist-Lizenzen oder höher gilt: Exif-JPEG-Dateien werden optional automatisch nach dem Digitalkamera-Modell benannt, das sie erzeugt hat, sowie nach ihrem internen Zeitstempel, sofern verfügbar. Viele Windows-Registry-Dateien erhalten ihren ursprünglichen Namen. Thumbs.db-Dateien werden automatisch thumbs.db genannt. Das o. g. Präfix wird nicht zusammen mit Originaldateinamen verwendet.

Der interne Algorithmus versucht Dateien vom Typ JPEG, GIF, PNG, BMP, TIFF, PSD, CDR, AVI, WAV, MOV, MP4, 3GP, M4V, M4A, ASF, WMV, WMA, ZIP, RAR, 7Z, TAR, MS Word, MS Excel, MS PowerPoint, RTF, PDF, HTML, XML, XSD, DTD, PST, DBX, AOL PFC, Windows Registry, Prefetch, SPL, und EML in ihrer ursprünglichen, korrekten Größe wiederherzustellen, indem es deren Datenstrukturen untersucht. Die zugehörigen Einträge in der Dateityp-Definitionsdatei dürfen nicht verändert werden, sonst funktioniert die Größen- und Typerkennung für diese Dateitypen u. U. nicht. Hat der Algorithmus keine Vorstellung von der Originalgröße einer Datei, wird ersatzweise die vom Benutzer angegebenen Standardgröße angenommen. Seien Sie eher „großzügig“ beim Spezifizieren dieser Pauschalgröße, da „zu groß“ wiederhergestellte Dateien durchaus noch von ihren zugehörigen Anwendungsprogrammen geöffnet werden können, abgeschnittene unvollständige Dateien aber nicht. Der Versuch des internen Algorithmus', die Originalgröße von Dateien bestimmter Typen herauszufinden, wird begrenzt durch ein Limit, das ein vom Benutzer angegebenes Vielfaches der Standardgröße ist.

Technisch können Sie so viele Dateitypen für die simultane Rettung auswählen wie Sie möchten. Wenn Sie allerdings z. B. MS-Office- und AVI-Dateien auf einmal retten möchten, Sie aber für die Office-Dateien Größen von ein paar KB und für die AVI-Dateien Größen von etwas 1 GB erwarten, wäre die Anwendung einer einzigen globalen Standard-Dateigröße nicht sinnvoll. Daher können Sie optional individuelle Standardgrößen für jeden Dateityp in der Dateityp-Definitionsdatei angeben, die wenn vorhanden optional Vorrang vor der im Dialogfenster festgelegten globalen Standardgröße haben.

Dateiheader können optional nur an Cluster-Grenzen gesucht werden, da der Anfang eines Clusters der einzige Ort ist, an dem eine Datei in einem Cluster-basierten Dateisystem anfangen kann. Sie können allerdings auch nach Dateiheadern an Sektor-Grenzen suchen lassen. Dies ist ein guter Kompromiß, die voreingestellte Wahl, der am besten optimierte Algorithmus und nützlich, um Dateien von einer früheren Partition mit einem anderen Cluster-Layout zu finden. Wenn der Algorithmus auf einen physischen Datenträger oder eine einfache Datei angewandt wird, wo keine Cluster definiert sind, sucht WinHex ohnehin an Sektorgrenzen, auch wenn Cluster-Grenzen auswählt sind. Es gibt noch eine weitere Möglichkeit, die vollständige Suche auf Byte-Ebene. Diese ist erforderlich zum Extrahieren von Dateien aus Backups, Bändern o. ä. (oder auch JPEG-Dateien innerhalb von MS-Word-Dokumenten), wo sie nicht an Cluster- oder Sektorgrenzen ausgerichtet sind. Damit kann allerdings eine erhöhte Zahl von fälschlicherweise erkannten Dateiheadern einhergehen, also Bytewertfolgen, die zufällig auf einem Datenträger vorkommen, aber dort nicht den Anfang einer Datei anzeigen.

Sie können den Erfassungsbereich der Datenrettung wenn gewünscht auf einen ggf. ausgewählten Block einschränken und/oder auf belegten oder unbelegten Speicher (bei einem logischen Laufwerk oder einer Partition verfügbar). Um nur Dateien zu retten, die gelöscht worden sind, wählen Sie unbelegten Speicher. Dateien, die z. B. nur aufgrund von Dateisystemfehlern nicht mehr zugreifbar sind, können dagegen durchaus noch in als belegt gekennzeichneten Clustern gespeichert sein.

Die Option "Ext2/Ext3-Block-Logik anwenden" veranlaßt diese Wiederherstellungsmethode, von der Standardannahme nicht-fragmentierter Speicherung abzuweichen: Statt dessen folgt sie dem typischen Ext-Block-Muster, in dem beispielsweise der 13. Block ab dem Header der Datei als indirekter Block betrachtet wird, der selbst auf die folgenden Datenblöcke verweist. Diese Option zeigt keine Wirkung, wenn sie auf Partitionen angewendet wird, von denen WinHex weiß, daß sie ein anderes Dateisystem als Ext2 oder Ext3 haben oder wenn ein Header gefunden wird, der nicht an einer Block-Grenze ausgerichtet ist.

Die Auswirkungen von NTFS-Kompression auf Dateiinhalte können bei der Datei-Header-Signatursuche optional besonders berücksichtigt werden (nur mit forensischer Lizenz), in vielen Fällen erfolgreich. Wenn die Signatur einer NTFS-komprimierten Datei gefunden wird, wird die Datei als komprimiert gekennzeichnet, und es wird versucht, die Datei bei Bedarf automatisch zu dekomprimieren, mit einem ausgeklügelten Algorithmus, der sogar aus mehreren Kompressionseinheiten bestehende Dateien dekomprimieren kann.

Bei der Suche nach MPEG-Dateisignaturen an Sektorgrenzen stellt der interne Algorithmus sicher, daß keine überlappende MPEG-Fragmente und keine MPEG-Fragmente inmitten bekannter MPEG-Dateien ausgegeben werden. Die ist nützlich, weil die MPEG-Signatur nicht nur am Anfang von MPEG-Dateien steht, sondern wiederholt in ihrem gesamten Inhalt.


Specialist-Menü

Nur für Inhaber einer Specialist-Lizenz verfügbar.

Datei-Überblick erweitern

Technischer Detailbericht: Zeigt Informationen über den aktiven Datenträger bzw. die aktive Datei an und läßt Sie diese kopieren, z. B. in einen Bericht den Sie anfertigen. Besonders ausführlich bei physischen Festplatten, zu denen Details über jede Partition und allen keiner Partition zugeordneten Speicherlücken aufgeführt werden. Unter Windows 2000 und XP berichtet WinHex auch den Paßwortschutz-Status von ATA-Festplatten.

Nur mit forensischer Lizenz: WinHex kann unter Windows 2000 und XP versteckte sog. Host Protected Areas (HPAs, auch bekannt als ATA-geschützte Bereiche) sowie Device Configuration Overlays (DCO-Bereiche) auf IDE-Festplatten erkennen. Ein Meldungsfenster mit einer Warnung wird angezeigt, falls eine künstlich herabgesetzte Festplattengröße festgestellt wird. Auf jeden Fall wird die tatsächliche Gesamtzahl der Sektoren laut ATA, wenn erfolgreich ermittelt, im Detailbericht mit aufgelistet. Auch einige wichtige SMART-Status-Informationen werden angezeigt für über [S]ATA angeschlossene Festplatten, die SMART unterstützen. Useful to check for one's own hard disk as well as that of suspects. For example, you can learn how often and how long the hard disk was used and whether it has had any bad sectors (in the sense that unreliable sectors were replaced internally with spare sectors). If a hard disk is returned to a suspect and he or she consequently complains about bad sectors and accuses you of having damaged the disk, a details report created when the hard disk was initially captured can now show whether it was already in a bad shape at that time. Also, seeing that spare sectors are in use means knowing that there is additional data to gain from the hard disk (with the appropriate technical means).

Image als Datenträger interpretieren: Behandelt eine geöffnete und aktive Image-Datei entweder als logisches Laufwerk oder physischen Datenträger. Das ist nützlich, wenn Sie den Inhalt eines Disk-Image untersuchen möchten, einzelne Dateien aus dem Dateisystem extrahieren möchten usw., ohne das Image zurück auf einem Datenträger zurückzuspielen. Beim Interpretieren als physischen Datenträger kann WinHex die im Image enthaltenen Partitionen öffnen wie von einer »echten« physischen Festplatte.

WinHex kann sogar dateiübergreifende Roh-Images interpretieren, also Image-Dateien, die aus einzelnen Segmenten beliebiger Größe bestehen (sog. "spanned image files"). Damit WinHex ein dateiübergreifendes Image erkennt, darf das erste Segment einen beliebigen Namen und eine nicht-numerische Namenserweiterung oder die Namenserweiterung ".001" haben. Das zweite Segment muß denselben Basisdateinamen, aber die Erweiterung ".002" haben, das dritte Segment ".003" usw. Sowohl der Befehl Datenträger-Sicherung als auch das Plattenklon-Programm X-Ways Replica für DOS erzeugen kompatibel benannte Disk-Image-Segmente. Das Segmentieren ist nützlich, da die maximal unterstützte Dateigröße bei FAT-Dateisystemen limitiert ist.

In seltenen Fällen kann WinHex nicht korrekt erkennen, ob der erste Sektor in einem Image ein Sektor ist, der den Master Boot Record enthält, oder bereits ein Bootsektor einer Partition ist, und interpretiert die Struktur der Image-Datei daraufhin falsch. Um Abhilfe zu schaffen, können Sie die Umschalt-Taste beim Aufruf dieses Befehls gedrückt halten, damit WinHex nicht selbst entscheidet, sondern Sie fragt. Sie haben dann außerdem die Gelegenheit, die ursprüngliche Sektorgröße anzugeben. Wenn die Segmente eines Roh-Image über zwei Laufwerke verteilt vorliegen, halten Sie die Strg-Taste gedrückt, um den anderen Speicherort mitteilen zu können. Sollte es Probleme bei der Erkennung des Dateisystems auf einem Volume geben, können Sie Umschalt und Strg beim Öffnen gedrückt halten, um WinHex das von Ihnen darin vermutete Dateisystem selbst mitzuteilen.

Mit einer forensischen Lizenz kann WinHex auch Evidence-Files (.e01-Sicherungen) interpretieren, die mit dem Befehl Datenträger-Sicherung erstellt werden können.

RAID-System zusammensetzen

Freien Speicher extrahieren: Durchläuft das gegenwärtig geöffnete logische Laufwerk und sammelt alle unbenutzten Cluster in einer von Ihnen anzugebenen Zieldatei. Nützlich um Datenfragmente von vormals existierenden Dateien, die nicht sicher gelöscht wurden, zu untersuchen. Nimmt keine Änderungen am untersuchten Laufwerk vor. Die Zieldatei muß auf einem anderen Laufwerk abgelegt werden.

Schlupfspeicher extrahieren: Sammelt Schlupfspeicher (englisch »slack space«, die unbenutzten Bytes im jeweils letzten Cluster einer Clusterkette, hinter dem tatsächlichen Ende der Datei) in einer Zieldatei. Jedem Vorkommen von Schlupfspeicher werden Zeilenumbrüche vorangestellt und die Nummer des Clusters, in dem er gefunden wurde, als ASCII-Text. Ansonsten ähnlich wie »Freien Speicher extrahieren«. WinHex kann Schlupfspeicher von Dateien, die auf Dateisystemebene komprimiert oder verschlüsselt sind, nicht erfassen.

Partitionslücken extrahieren: Erfaßt die Speicherbereiche einer physischen Festplatte, die zu keiner Partition gehören, in einer Zieldatei, zur schnellen Untersuchung, um herauszufinden, ob dort etwas versteckt ist oder übrig geblieben von früheren Partitionierungen.

Text extrahieren: Erkennt Text anhand der von Ihnen anzugebenden Parameter, erfaßt alle Vorkommnisse in einer Datei, auf einem Datenträger oder innerhalb eines Speicherbereichs und schreibt diese in eine Datei. Diese Art von Filter ist nützlich, um auszuwertende Datenmengen beträchtlich zu verringern, wenn z. B. bei einer forensischen Computeranalyse Hinweise in Form von Text (wie E-Mails, Dokumente) gesucht werden. Die Zieldatei kann leicht in benutzerdefinierte Größen zerlegt werden. Diese Funktion kann auch auf Dateien mit gesammelten Schlupf- oder freiem Speicher angewandt werden, oder auf beschädigte Dateien in einem proprietären Format, die nicht mehr von der zugehörigen Applikation, wie MS Word, geöffnet werden können, um zumindest unformatierten Text zu retten.

Datei-Container

Externe Virenprüfung: (nur mit forensischer Lizenz) Schickt alle Dateien oder alle markierten Dateien im Datei-Überblick eines Asservats, optional nur solche unterhalb einer bestimmte Größe, an einen externen Viren-Scanner. Dateien, die vom Viren-Scanner im Ausgabeverzeichnis gesperrt, gelöscht oder umbenannt werden, werden einer Berichtstabelle namens „Virenverdacht“ hinzugefügt. Es liegt in der Verantwortung des Benutzers sicherzustellen, daß ein Viren-Scanner aktiv ist, daß er das Verzeichnis für temporäre Dateien beobachtet und daß er infizierte Dateien tatsächlich sperrt, löscht oder umbenennt. Nachdem X-Ways Forensics überprüft hat, ob die Datei extern gesperrt, gelöscht oder umbenannt wurde, löscht es sie, wenn sie noch existiert.

Bates-Numerierung: Versieht alle Dateien innerhalb eines bestimmten Ordners und seiner Unterordner für die forensische Verwendung mit einer Bates-Numerierung. Fügt ein bis zu 13 Zeichen langes konstantes Präfix und eine eindeutige laufende Nummer zwischen Dateinamen und Dateinamenserweiterung ein, ähnlich wie Anwälte Papierdokumente für spätere Bezugnahme kennzeichnen.

Sicherer Dateiexport: Auch: »trusted download« (vertrauenswürdiges Überspielen von Daten). Löst ein Sicherheitsproblem. Wenn als vertraulich oder geheim eingestuftes Material von einem klassifizierten auf einen nicht-klassifizierten Datenträger übertragen wird, muß sichergestellt sein, daß keine überschüssigen Informationen in einem Cluster- oder Sektorüberhang ungewollt mit der eigentlichen Datei mitkopiert werden, da dieser sog. Schlupfspeicher (s. o.) noch vertrauliches oder geheimes Material von einem früheren Zeitpunkt enthalten kann, an dem er noch einer anderen Datei zugeordnet war. Dieser Befehl kopiert die ausgewählte(n) Datei(en) nur in ihrer aktuellen tatsächlichen Größe, und kein weiteres Byte mehr. Er kopiert nicht ganze Sektoren oder Cluster, wie es konventionelle Kopierbefehle tun. Es können mehrere Dateien eines Ordners auf einmal kopiert werden.

Freien Speicher/Schlupfspeicher hervorheben: Zeigt Offsets und Daten in weicheren Farben an (hellblau bzw. grau). Hilft, diese speziellen Laufwerksbereiche leicht zu erkennen. Funktioniert auf FAT-, NTFS- und Ext2/3-Partitionen.


Manuelle Datenrettung

WinHex bietet nicht nur verschiedene automatische Datenrettungsmechanismen an, es ist auch ein sehr mächtiges Werkzeug, um Daten manuell (von Hand) zu retten. Es ist möglich, verlorengegangene oder logisch gelöschte Dateien (oder allgemeiner: Daten), die nur im Dateisystem als »gelöscht« verzeichnet sind, aber nicht tatsächlich physisch gelöscht oder überschrieben wurden, wiederherzustellen.

Öffnen Sie das logische Laufwerk, auf dem sich die gelöschte Datei befand, mit dem Disk-Editor. Prinzipiell können Sie eine solche Datei wiederherstellen, indem Sie die Datenträger-Sektoren, die dieser Datei zugeordnet waren, als aktuellen Block auswählen und mit dem Menübefehl »Bearbeiten | Block kopieren | In neue Datei« speichern. Allerdings kann es sich als schwierig erweisen, die Sektoren, in denen die Datei noch gespeichert ist, zu finden. Es gibt zwei verschiedene Möglichkeiten, dies zu bewerkstelligen:

1. 	Falls Sie einen kurzen Ausschnitt aus der Datei, die Sie suchen, genau kennen (z.B. die charakteristische Signatur im Header einer JPEG-Datei oder die Wörter »Sehr geehrter Herr Meier« in einem MS-Word-Dokument), suchen Sie diesen auf dem Datenträger unter Zuhilfenahme der üblichen Suchbefehle (»Text suchen« oder »Hex-Werte suchen«). Dies ist eine sehr einfache und zuverlässige Möglichkeit, die jedem empfohlen werden kann.

2. 	Falls Sie nur den Namen der gesuchten Datei kennen, brauchen Sie etwas Hintergrundwissen über das Dateisystem auf dem Datenträger (FAT16, FAT32, NTFS, ...), um Spuren des ehemaligen Verzeichniseintrags der Datei zu finden und dadurch die Nummer des ersten der Datei zugeordneten Clusters zu ermitteln. Detaillierte Informationen über Dateisysteme sind auf der WinHex Web-Site verfügbar. Folgendes gilt für alle FAT-Varianten:

Wenn das Verzeichnis, das die Datei enthielt (nennen wir es »D«) noch existiert, dann können Sie D auf dem Datenträger mit Hilfe des Menübefehls »Extras | Disk-Tools | Verzeichniscluster auflisten« finden. Die WinHex beiliegende Schablone für FAT-Verzeichniseinträge hilft Ihnen dann, die Nummer des ersten der Datei zugeordneten Clusters herauszufinden. Andernfalls, wenn D auch gelöscht wurde, müssen Sie ersten den Inhalt von D (mit Hilfe derselben Schablone) finden, ausgehend von dem Verzeichnis, das D enthielt (möglicherweise das Stammverzeichnis).

Gelöschte Dateien und Verzeichnisse sind mit dem Zeichen »å« (hexadezimal: E5) als ersten Buchstaben ihres Namens gekennzeichnet.

Möglicherweise stoßen Sie auf das Problem, daß die wiederherzustellende Datei fragmentiert ist, also nicht in aufeinanderfolgenden, zusammenhängenden Clustern gespeichert ist. Auf FAT-Laufwerken kann der nächste Cluster einer Datei in der Dateizuordnungstabelle am Anfang des Datenträgers nachgeschlagen werden, aber diese Information geht beim Löschen einer Datei verloren.


Überhangsektoren

Dieser Ausdruck wird in WinHex auf folgende Weise verwendet:

Als Überhangsektoren werden auf einem logischen Laufwerk die

wenigen Sektoren am Ende bezeichnet, die keinen ganzen Cluster

mehr ergeben und daher vom Betriebssystem nicht benutzt werden

können (und daher auch von keinem konventionellen Anwendungs-

programm). Synonym: Dateisystemschlupf.

Überhangsektoren auf einem physischen Datenträger sind diejenigen

Sektoren am Ende, die sich außerhalb der regulären Plattengeometrie

befinden (da sie keine volle Zylinder/Kopf/Spur-Einheit mehr ergeben),

weshalb sie gewöhnlich von keiner Partition und auch nicht vom

Betriebssystem (oder konventionellen Anwendungsprogrammen)

benutzt werden. Synonym: nicht partitionierbarer Bereich.

Überhangsektoren haben nichts mit beschädigten Sektoren zu tun

oder Sektoren, die von einer Festplatte intern als unsichbarer Ersatz

für beschädigte Sektoren eingesetzt werden.


Flexible Integer-Variablen

Ein besonderer Variablentyp, der von Schablonen unterstützt wird, ist uint_flex. Dieser Typ ermöglicht es, einen vorzeichenlosen Integer-Wert aus verschiedenen individuellen Bits innerhalb eines 32-Bit- (4-Byte-) Bereichs in beliebiger Reihenfolge zusammenzusetzen, und ist sogar flexibler als das sogenannte Bit-Feld der Programmiersprache C.

uint_flex erfordert als zusätzlichen Parameter eine Zeichenkette in Anführungszeichen, die genau festlegt, welche Bits in welcher Reihenfolge verwendet werden, getrennt von Kommas. Das zuerst genannte Bit wird das signifikanteste (höchstwertige) Bit in der resultierenden Zahl und es wird nicht als Vorzeichen interpretiert. Das zuletzt genannte Bit wird das insignifikanteste Bit der resultierenden Zahl.

Die Bits werden gezählt beginnend mit 0. Bit 0 ist das am wenigsten signifikante Bit des ersten Bytes. Bit 31 ist das signifikanteste Bit des vierten Bytes. Die Definition basiert also auf der little-endian Philosophie.

Zum Beispiel ist

uint_flex "15,14,13,12,11,10,9,8,7,6,5,4,3,2,1,0" "Standard 16-Bit-Integer"

genau das gleiche wie uint16, die gewöhnliche vorzeichenlose 16-Bit-Integer Variable.

uint_flex "31,30,29,28,27,26,25,24,23,22,21,20,19,18,17,16,15,14,13,12,11,10,9,8,7,6,5,4,3,2,1,0" "Standard 32-Bit-Integer"

ist genau das gleiche wie uint32, die gewöhnliche vorzeichenlose 32-Bit-Integer Variable.

Der Vorteil von uint_flex ist aber der, daß die Anzahl, die Position und die Interpretationsreihenfolge aller Bits völlig frei gewählt werden kann. Zum Beispiel erzeugt

uint_flex "7,15,23,31" "Ein ungewöhnlicher 4-Bit-Integer"

einen 4-Bit-Integer aus den jeweils signifikantesten Bits von jedem der vier beteiligten Bytes. Wenn diese vier Bytes beispielsweise den Wert F0 A0 0F 0A = 11110000 10100000 00001111 00001010 besitzen, dann gilt: Bit 7 ist 1, Bit 15 ist 1, Bit 23 ist 0 und Bit 31 ist 0. Der resultierende uint_flex ist also 1100 = 1*8 + 1*4 + 0*2 + 0*1 = 12.


Verzeichnis-Browser

Der wohl zentralste Bestandteil der Benutzeroberfläche von WinHex und X-Ways Forensics ist der sog. Verzeichnis-Browser an, der der Liste auf der rechten Seite im Windows Explorer ähnelt. Die Hauptaufgabe des Verzeichnis-Browsers ist die Anzeige von und Interaktion mit dem Datei-Überblick. Der Verzeichnis-Browser listet standardmäßig zuerst existierende Dateien und Verzeichnisse auf, dann gelöschte Dateien und Verzeichnisse. Komprimierte Dateien werden in blauer Schrift angezeigt, verschlüsselte in grüner Schrift. Klicken Sie Dateien oder Verzeichnisse im Verzeichnis-Browser mit der rechten Maustaste an, um ein Kontextmenü zu erhalten. Dieses enthält Befehle, um eine Datei oder ein Verzeichnis zu öffnen, ein Verzeichnis zu erkunden, den Anfang einer Datei oder eines Verzeichnisses auf dem Datenträger zu finden, den zugehörigen Verzeichniseintrag (FAT) bzw. Datei-Datensatz (NTFS) zu finden, die zugehörigen Cluster in einem separaten Fenster aufzulisten usw.

Verzeichnis-Browser-Optionen

Kontextmenü

Spalten und Filter

Die Icons werden in der Legende direkt im Programm erklärt (nur mit forensischer Lizenz). Gelöschte Dateien und Verzeichnisse werden im Verzeichnis-Browser mit blasseren Icons dargestellt. Icons mit einem blauen Fragezeichen zeigen an, daß der Originalinhalt einer Datei oder eines Verzeichnisses noch immer verfügbar sein kann. Gelöschte Objekte, von denen bekannt ist, daß sie nicht mehr zugreifbar sein (weil entweder ihr erster Cluster in der Zwischenzeit anderweitig verwendet wurde, weil er unbekannt ist oder weil sie eine Größe von 0 Bytes haben), haben Icons mit einem roten Kreuz. Icons mit einem Pfeil auf FAT-Partitionen (nur mit Specialist-Lizenz oder höher) und (nach Erweitern des Datei-Überblicks) NTFS-Partitionen zeigen umbenannte oder verschobene Dateien mit ihrem Originalnamen bzw. in ihrem früheren Verzeichnis an. Auf Reiser4 sind dies verschobene Dateien mit ihrem jetzigen Namen im früheren Verzeichnis. Ein blauer Pfeil zeigen an, daß Inhalte für die Dateien verfügbar sind (wenn auch nicht die Originalinhalte von vor dem Umbenennen bzw. Verschieben). Ein roter Pfeil zeigt an, daß keine Inhalte verfügbar sind.

Der Verzeichnis-Browser kann Dateien und Verzeichnisse aufsteigend oder absteigend sortieren und zeigt das vorhergehende Sortierkriterium mit einem helleren Pfeil weiterhin an. Zum Beispiel, wenn Sie zuerst die Dateinamensspalte anklicken und dann die Dateierweiterungsspalte, werden alle Dateien mit der gleichen Erweiterung intern immer noch nach Namen sortiert.

Um das sekundäre Sortierkriterium zu neutralisieren, halten Sie die Umschalt-Taste gedrückt wenn Sie eine Spaltenüberschrift zum Festlegen des Hauptsortierkriteriums anklicken. Intern wählt dies die interne ID als sekundäres Kriterium aus. Dies stellt sicher, daß die Reihenfolge der Objekte mit identischen Daten für das Hauptsortierkriterium wohldefiniert ist und reproduzierbar, auch wenn zwischendurch nach anderen Kriterien sortiert wird.

Wenn verwaiste Objekte gefunden werden, also z. B. gelöschte Dateien, deren ursprünglicher Pfad nicht bekannt ist, werden sie in einem speziellen virtuellen Verzeichnis namens „Pfad unbekannt“ angezeigt. Mit einer Specialist- oder forensischen Lizenz sehen Sie im Stammverzeichnis virtuelle Dateien, die es Ihnen erlauben, besondere Bereiche in Dateisystemen einzusehen:

Dateisystembereiche: Reservierte Sektoren und/oder Cluster, die vom Dateisystem selbst für interne Zwecke in Beschlag genommen wurden.

Freier Speicher: Cluster, die vom Dateisystem nicht als „in Gebrauch“ markiert sind.

Brachliegender Speicher: Cluster, die als „in Gebrauch“ markiert sind, deren exakte Zuordnung von X-Ways Forensics aber nicht festgestellt werden konnte. Das kann der Fall sein, weil das Dateisystem diese Cluster aus den Augen verloren, also vergessen hat, daß sie in Wirklichkeit wiederverwendbar wären (bei FAT auch „verlorene Clusterketten“ genannt). Normalerweise gibt es keinen brachliegenden Speicher. Die Größe des brachliegenden Speichers und die Nummer des ersten brachliegenden Clusters werden erst berechnet, wenn erforderlich (z. B. wenn Sie die virtuelle Datei zum ersten Mal anklicken), weil das je nach Anzahl der Cluster insgesamt zeitaufwendig sein kann.

Dateisystemschlupf: Sektoren am Ende einer Partition, die nicht vom Dateisystem verwendet werden, weil sie keinen weiteren ganzen Cluster ergeben.

Indirekte Blöcke (Ext2, Ext3, UFS): Spezielle Blöcke (Cluster), die Blocknummern enthalten. Nicht Teil von „Dateisystembereiche”.

Unbeachtete Attribut-Cluster (NTFS): Cluster, die nicht-residente Attribute enthalten, die von X-Ways Forensics nicht speziell verarbeitet wurden. Nicht Teil von „Dateisystembereiche”.

.journal (ReiserFS): Blöcke, die den feststehenden Journalling-Bereich bilden. Auf Ext3 und HFS+ wird das Journal nicht als virtuelle Datei angesehen, weil es dort vom Dateisystem selbst in fest zugeordneten Datensätzen definiert wird.


Fallbearbeitung

Die integrierte Umgebung für Computerforensik in WinHex kann nur mit einer forensischen Lizenz benutzt werden. Sie bietet eine komplette Fall-Verwaltung an, automatische Protokoll- und Berichtserstellung und verschiedene zusätzliche Features wie Galerie-Ansicht, Dateisignatur-Prüfung, Erkennung von geschützten Festplattenbereichen und Erkennung von Hautfarben in Bildern.

Wenn Sie WinHex zum ersten Mal starten, werden Sie gefragt, ob Sie die Software mit der forensischen Benutzeroberfläche starten möchten. Das heißt, das Falldaten-Fenster wird angezeigt, WinHex im View-Modus ausgeführt und Sie werden gefragt, ob die Ordner für temporäre Dateien und Falldaten korrekt eingestellt sind, um zu verhindern, daß WinHex Dateien auf das falsche Laufwerk schreibt.

Um an einem Fall zu arbeiten, stellen Sie sicher, daß das Falldaten-Fenster (links im Hauptfenster) sichtbar ist. Wenn es das nicht ist, schalten Sie Ansicht | Anzeigen | Falldaten ein.

Vom Datei-Menü aus können Sie einen neuen Fall erstellen (neu beginnen), einen existierenden Fall öffnen, den aktiven Fall schließen, den aktiven Fall speichern, eine Sicherung der Falldatei und des Fallverzeichnisses in Form eines ZIP-Archivs erstellen (nur für Dateien bis 4 GB möglich), und einen automatischen Bericht zum aktiven Fall erzeugen. Ein Fall wird in einer .xfc-Datei gespeichert (xfc steht für X-Ways Forensics Case) und in einem Unterordner desselben Namens, nur ohne die .xfc-Erweiterung. Dieser Unterordner und dessen Unterordner werden automatisch beim Anlegen des Falls erzeugt. Den Basisordner für Ihre Fälle können Sie unter Allgemeine Optionen auswählen. Es ist nicht erforderlich, einen Fall explizit zu speichern, es sei denn, Sie möchten sicher sein, daß er zu einem bestimmten Zeitpunkt gesichert ist. Ein Fall wird spätestens dann automatisch gespeichert, wenn er geschlossen wird oder Sie das Programm verlassen.

Im Fenster »Eigenschaften« eines Falls können Sie einen Fall nach Ihren Konventionen benennen oder ihm eine Nummer zuweisen. Datum und Zeit der Anlage des Falls werden aufgenommen und angezeigt. Der interne Fall-Dateiname ist ebenfalls zu sehen. Sie können eine Beschreibung des Falls (beliebiger Länge) angeben sowie den Namen des Bearbeiters, dessen Organisation und Anschrift usw. Sie können von hier aus auch die automatische Mitprotokollierung für den Fall aus- oder einschalten. Optional werden immer die Unterverzeichnisse der jeweiligen Asservate im Fallordner als Standard-Ausgabeordner beim Wiederherstellen/Herauskopieren von Dateien aus Dateisystemen vorgeschlagen. Diese Eigenheit können ausschalten, wenn Sie z. B. Dateien von verschiedenen Asservaten in einen einzigen Ausgabeordner kopieren möchten.

Sie können bis zu zwei Codepages, die sich für die Bearbeitung des Falls eigenen (also typisch sind für die Region, in der die zu untersuchenden Originaldatenträger verwendet wurden). Seit v14.3 werden diese Codepages beim Benennen von .eml-Dateien basierend auf der Betreffzeile benutzt (.eml-Dateien, die aus E-Mail-Archiven extrahiert wurden). Wenn beide Codepages identisch sind, hat das keine negativen Auswirkungen. Wenn sie identisch mit der derzeit in Windows aktiven Codepage sind, haben sie überhaupt keine Auswirkungen. Seit v14.9 werden diese Codepages auch benutzt, um Dateinamen in Zip-Archiven nach Unicode zu konvertieren. In späteren Version kann es noch weitere Verwendungsmöglichkeiten für die Codepages geben.

Falldateien können mit einem Paßwort geschützt werden. Dies ist keine Verschlüsselung, sondern nur eine Art Sperre. Falldateien, die mit der Ermittlerversion von X-Ways Forensics gesperrt wurden, können notfalls mit dem Super-User-Paßwort geöffnet werden, wenn ein solches zum Zeitpunkt des Speicherns bereits in der verwendeten Installation hinterlegt war.

Asservate

Das mächtigste Konzept in X-Ways Forensics, welches die systematische und vollständige Auswertung von Dateien auf Computer-Datenträgern erlaubt, ist der sogenannte erweiterte Datei-Überblick. Es ist möglich, solche erweiterten Datei-Überblicke für alle Asservate in einem Fall in einem Schritt zu erstellen und alle Asservate mit Datei-Überblicken logisch auf einmal mit Hilfe des globalen Fallwurzelfensters zu durchsuchen. Beachten Sie, daß es möglich ist, eine flache Ansicht aller existierender und gelöschter Verzeichnisse aus allen Unterverzeichnissen auf einer Partition oder einer Image-Datei einer Partition zu erhalten, indem man das Stammverzeichnis rekursiv erkundet. Zum rekursiven Erkunden eines Verzeichnisses (d. h. Auflisten seines Inhalts incl. des Inhalts all seiner Unterverzeichnisse und deren Unterverzeichnisse) klicken Sie es im Verzeichnisbaum mit der rechten Maustaste an. Um ein Verzeichnis zu markieren, klicken Sie im Verzeichnisbaum mit der mittleren Maustaste an.

Um einen Fall komplett zu löschen, müssen Sie die .xfc-Datei und den zugehörigen Ordner desselben Namens mit all seinen Unterordnern löschen.


Asservate
Asservate/Beweisobjekte

Sie können jeden an den Computer angeschlossenen Datenträger (wie Festplatte, Speicherkarte, USB-Stick, CD-ROM, DVD, ...), eine Image-Datei oder eine normale Datei dem aktuellen Fall hinzufügen. Dadurch wird das Objekt permanent mit dem Fall verbunden (es sei denn, Sie entfernen es später wieder aus dem Fall), in der baumartigen Fallstruktur angezeigt und fortan als Asservat oder Beweisobjekt bezeichnet. Im Fallordner wird für jedes Asservat ein Unterordner angelegt, wo Dateien, die Sie aus dem Asservat herauskopieren, standardmäßig abgelegt werden, so daß immer offenkundig ist, von welchem Asservat genau (und aus welchem Fall) wiederhergestellte Dateien stammen.

Im Fenster der Asservat-Eigenschaften können Sie eine Bezeichnung oder eine Nummer für das Asservat nach Ihren Namenskonventionen eingeben. Datum und Zeit des Zuordnens des Asservats zum aktuellen Fall werden aufgenommen und angezeigt. Die programminterne Bezeichnung eines Asservats wird ebenso angezeigt wie seine Originalgröße in Bytes. Sie können Kommentare beliebiger Länge, die sich auf das Asservat beziehen, eingeben. Eine technische Beschreibung wird von WinHex automatisch hinzugefügt (wie aus dem Datenträger-Detailbericht im Specialist-Menü bekannt). Sie können WinHex einen Hash-Wert (Prüfsumme oder Digest) des Asservats berechnen und später überprüfen lassen, so daß Sie sicherstellen können, daß die Datenauthentizität in der Zwischenzeit nicht beeinträchtigt wurde. MD5-Hashes in Evidence Files werden automatisch beim Hinzufügen zum Fall importiert. Ferner können Sie das automatische Mitprotokollieren für ein bestimmtes Asservat ausschalten, wenn es insgesamt für den Fall eingeschaltet ist.

Folgende Möglichkeiten existieren, eine Datei oder einen Datenträger einem Fall hinzuzufügen: Die »Hinzufügen«-Befehle im Datei-Menü des Falldaten-Fensters, der »Hinzufügen«-Befehl im Kontextmenü der Registerkarte eines Editierfensters und der »Hinzufügen«-Befehl im Kontextmenü eines Objekts im Verzeichnis-Browser.

The command "Replace with New Image" in the context menu of an evidence object allows you to replace a disk that is used as an evidence object in your case with an image (useful if you first preview the disk before you acquire it, i.e. created an image of it), without losing your volume snapshot, search hits, comments, etc. Can also be used to simply tell X-Ways Forensics the new path of an image that is used as an evidence object in your case in case the image was moved to a different drive letter or directory, or if the image filename was changed, or if the type of the image was changed (e.g. raw image to be replaced with a compressed and encrypted .e01 evidence file). In the case of a physical, partitioned evidence object it is recommended to replace the image for that parent object. The change will then automatically also be applied to the child evidence objects (i.e. partitions). If the new image is a different image or a different evidence file container or an evidence file container that has been filled further, i.e. if the volume snapshots cannot match, you will likely get a warning because the size of the new image is different from the size of the previous image.


Fallprotokoll

Wenn im Fall und in den Asservatseigenschaften eingestellt, protokolliert WinHex beharrlich alle Benutzeraktivitäten mit, wenn der Fall offen/aktiv ist. Das erlaubt es, die Schritte, die Sie zu einem bestimmten Ergebnis geführt haben, auf einfachste Weise nachzuvollziehen, zu reproduzieren und zu dokumentieren, zu Ihrer eigenen Informationen oder für ein Gerichtsverfahren.

Folgende Daten werden aufgenommen:

• wenn Sie einen Menübefehl angewählt haben, der Titel des Befehls (oder zumindest seine Identifikationsnummer) und der Name des aktiven Editierfensters, falls kein Asservat, mit vorangestelltem Schlüsselwort »Menu«,

• wenn ein Meldungsfenster angezeigt wird, dessen Text und welchen Schalter Sie gedrückt haben (OK, Ja, Nein oder Abbrechen), mit vorangestelltem Schlüsselwort »MsgBox«,

• wenn ein kleines Fortschrittsfenster angezeigt wird, dessen Titel (wie etwa »Durchsuche Sektoren...«) und ob der Vorgang vollendet oder vorzeitig abgebrochen wurden, mit vorangestelltem Schlüsselwort »Operation«,

• ein Bildschirmfoto eines jeden angezeigten Dialogfensters mit allen gewählten Optionen für einen ggf. folgenden komplexen Vorgang, vorangehend der Titel dieses Fensters,

• das ausführliche Protokoll, das von Datenträger klonen und Dateien retten nach Type erzeugt wird,

• Ihre eigenen Einträge (freier Text), die Sie mit dem Menübefehl »Protokolleintrag« hinzufügen können, entweder zu dem Fall als ganzes oder zu einem speziellen Asservat.

Der Ausgabepfad einer jeden mit dem Verzeichnis-Browser-Kontextmenü kopierten/wiederherstellten Datei, zusammen mit ausgewählten Metadaten wie Originalname, Originalpfad, Größe, Zeitstempel, wird in einer separaten Datei names „copylog.html“ oder „copylog.txt“ im Unterverzeichnis „_log“ mitprotokolliert.

Alle Aktivitäten werden mit Datum und exakter Uhrzeit erfaßt, intern im Datenformat FILETIME mit einer Genauigkeit von 100-Nanosekunden. Aufzeichnungen von Aktivitäten werden standardmäßig mit dem Fall als Ganzes verknüpft. Aktivitäten, die sich auf ein Asservat beziehen, werden jedoch unterhalb des jeweiligen Asservats aufgezeichnet. Dies bestimmt, wo im Bericht die protokollierten Aktivitäten aufgeführt werden. Bildschirmfotos werden als PNG-Dateien im Unterordner „_log“ eines Fallordners abgelegt.


Interner Viewer

Nur mit einer forensischen Lizenz von WinHex verfügbar. Der interne Viewer kann mit dem Befehl "Einsehen" im Menü Extras und im Kontextmenü des Verzeichnis-Browsers auf eine Datei angewandt werden, des weiteren im Vorschau-Modus. Er zeigt Bilddateien verschiedener Formate (JPEG, PNG, GIF, TIFF, BMP, PSD, HDR, PSP, SGI, PCX, CUT, PNM/PBM/PGM/PPM, ICO) sowie die innere Struktur von Windows-Registrierungsdateien, Windows Event Logs, Windows-Shortcut-Dateien (.lnk), Windows-Prefetch-Dateien, $LogFile-Dateien, Windows Task Scheduler (.job), $EFS LUS, INFO2 und AOL-PFC-Dateien mit eingebauten Mitteln an. Wenn Sie versuchen, eine Datei einzusehen, deren Format nicht vom internen Viewer unterstützt wird, wird statt dessen die separate Viewer-Komponente aufgerufen.

Es gibt eine zusätzliche, separate Dateibetrachtungskomponente, die nahtlos in WinHex und X-Ways Forensics integriert werden kann und es ermöglicht, über 270 (!) Dateiformate (wie zum Beispiel MS Word/Excel/PowerPoint/Access/Works/Outlook, HTML, PDF, CorelDraw, StarOffice, OpenOffice, ...) direkt und auf besonders bequeme Art und Weise einzusehen. Dieses Modul wird allen Besitzern einer forensischen Lizenz zur Verfügung gestellt, deren Lizenz auf Version 12.05 oder später ausgestellt wurde. Es kann unter Optionen | Externe Programme aktiviert werden. Weitere Informationen online. Der Ordner für temporäre Dateien der Viewer-Komponente wird von WinHex/X-Ways Forensics gesteuert, d. h. auf den vom Benutzer unter Allgemeine Optionen bestimmten gesetzt. Allerdings akzeptiert die Viewer-Komponente im Gegensatz zu X-Ways Forensics nicht stillschweigend ungeeignete Pfade etwa auf schreibgeschützten Datenträgern. Bitte beachten Sie, daß die Viewer-Komponente in ihrer Version 8.2 Dateien im Windows-Profil des aktuell angemeldeten Benutzers erzeugt, um darin ihre Konfiguration und Einstellungen zu speichern. In früheren Versionen hinterließ sie bei tatsächlicher Verwendung (nicht beim bloßen Laden) statt dessen Einträge in der Windows-Registry.

Registry-Viewer

MS Windows führt eine interne Datenbank baumförmiger Struktur (die sogenannte System-Registrierung, engl. Registry), in der alle wichtige Einstellungen des Betriebssystems gespeichert sind. Die Daten sind permanent gespeichert in mehreren Dateien (sogenannte Hives), die eine bestimmte Struktur aufweisen. Vom Verzeichnis-Browser aus lassen sich Registry-Dateien im Registry-Viewer einsehen. Mit dem Registry-Viewer können Hives angezeigt werden, ohne sie in die aktuellen Datenbankeinträge des eigenen Systems zu importieren. Unterstützt wird die Anzeige von Win9x/Me/NT/2k/XP-Hives. Win9x- und WinMe-Hives befinden sich in den Dateien "user.dat", "system.dat" und ihren Sicherungen. WinNT-, Win2k- und WinXP-Hives befinden sich in der Datei "ntuser.dat" im Benutzerprofil und im Verzeichnis \system32\config.

Es können bis zu 32 Hives gleichzeitig im Registry-Viewer angezeigt werden. Allerdings können Win9x/Me- und WinNT/2k/XP-Hives aufgrund unterschiedlicher interner Formate nicht zusammen angezeigt werden. Es wird dann nur der zuletzt geöffnete Hive angezeigt.

Durch Klick mit der rechten Maustaste kann an jeder Stelle im Hauptfenster ein Menü aufgerufen werden, über das man die Befehle "Suchen" und "Weitersuchen" ausführen kann. Beim Suchen kann über einen Auswahldialog festgelegt werden, nach welchem Ausdruck gesucht werden soll, und ob der Suchausdruck in den Schlüsselnamen oder in den Namen oder den Werten (oder in allem) gesucht werden soll. Die Suche beginnt immer ganz am Anfang im ersten geladenen Hive und erstreckt sich über alle geöffneten Hives. Mit "Weitersuchen" kann der nächste Treffer nach einem bereits gefundenen Treffer gesucht werden. Das zu der Zeit ausgewählte Element hat keinen Einfluß darauf, von wo aus weitergesucht wird. Die Option "nur als ganzes Wort suchen" funktioniert für Werte nicht garantiert.

Im rechten Fenster kann durch Rechtsklick im Menü weiterhin "Kopieren" ausgewählt werden, wodurch sich der Wert des ausgewählten Elements in die Zwischenablage kopieren läßt.

Wenn Sie einen Eintrag in einem geladenen Hive im Registry-Viewer anklicken und sich das Datenfenster mit dem Datenträger/Image, von dem aus der Hive geladen wurden, im Dateimodus befindet, springt der Cursor nun automatisch auf den jeweiligen Eintrag in der Registry-Datei im Dateimodus, und er wird automatisch in der Datei als Block ausgewählt. Dies erlaubt es einem, insbes. binäre Registry-Einträge sowohl hexadezimal als auch als Text zu sehen, und Binäreinträge leicht in Binärform oder als Text zu kopieren, nicht nur als Hex-ASCII wie zuvor.

Registry-Berichte automatisch erstellen

$LogFile-Viewer

Grundsätzlich liefert der Parser Statements aus drei Kategorien:

1) Log-Operation: Die Daten auf dem Datenträger bei (LCN,Byte-Offset) sind im Falle einer Redo/Undo-Operation durch die hier angegebenen Daten zu ersetzten.

2) Das PAGE-Statement kennzeichnet den Beginn einer neuen Log-Seite (ist stets ein Vielfaches von 4 KB). Die LSN gibt die letzte in dieser Seite verwendete LSN an. Ein * markiert eine veraltete Seite.

3) Das CheckPoint-Statement gibt die LSN für den nächsten Restart an.

Jedes Statement beginnt mit einem Byte-Offset für die betreffende $LogFile-Datei.

Abkürzungen:

LSN=Logical Sequence Number

LCN=Logical Cluster Number

VCN=Virtual Cluster Number

FID=File ID

Beschränkungen:

Es werden nur Log-Operationen aufgeführt, die Ondisk-Strukturen betreffen. Andere Log-Operationen werden der Einfachheit halber weggelassen. FILE-Records und INDX-Puffer werden nicht vollständig angezeigt, da das Ergebnis sonst unübersichtlich würde. Um an den vollständigen Inhalt dieser Records zu gelangen, folgen Sie dem Byte-Offset in die Log-Datei für die Sie interessierende Operation. Es können auch Kopien von Log-Dateien verarbeitet werden: Im Pfad einer solchen Datei muß dazu jedoch der Teilstring $LogFile an beliebiger Stelle enthalten sein.


Laufwerksinhaltstabelle

Diese Funktion hat ausgedient. Das Erweitern des Datei-Überblicks zusammen mit dem dynamischen Filter der Erstellung einer Laufwerksinhaltstabelle überlegen.


WinHex vs. X-Ways Forensics
Unterschiede zwischen WinHex und X-Ways Forensics

WinHex und X-Ways Forensics haben eine gemeinsame Code-Basis. X-Ways Forensics bietet unzählige zusätzliche Features gegenüber WinHex mit einer Specialist-Lizenz. Wenn Sie eine Lizenz für X-Ways Forensics haben, können Sie alternativ mit derselben Lizenz (und demselben Dongle) auch WinHex verwenden. Beide Programm arbeiten dann mit dem vollen forensischen Funktionsumfang und sind identisch bis auf die folgenden Unterschiede:

• Die Benutzeroberfläche von WinHex (winhex.exe) identifiziert sich immer als WinHex, die von X-Ways Forensics (xwforensics.exe) als X-Ways Forensics. Die Programmhilfe und das Benutzerhandbuch verwenden allerdings zumeist statisch "WinHex".

• winhex.exe ist optional als separater Download für Benutzer von X-Ways Forensics verfügbar. Wenn Sie winhex.exe zu einer Installation von X-Ways Forensics hinzufügen, müssen die Versionsnummern übereinstimmen.

• In X-Ways Forensics werden Datenträger, interpretierte Image-Dateien, virtueller Arbeitsspeicher und physischer RAM-Speicher ausschließlich schreibgeschützt (im View-Modus) geöffnet, um forensisch sicheres Arbeit zu gewährleisten, bei dem keinerlei Veränderung von Beweisen geduldet wird. Dieser strenge Schreibschutz in X-Ways Forensics stellt sicher, daß die Original-Asservate nicht versehentlich verändert werden können, was vor Gericht von wesentlicher Bedeutung sein kann. Nur wenn Sie nicht von strengen Regeln gebunden sind und/oder aggressiver vorgehen möchten (weil z. B. ein Bootsektor repariert werden soll), können Sie WinHex statt X-Ways Forensics ausführen. Mit WinHex können Sie Datenträgersektoren editieren, ganze Datenträger oder freien Speicher oder Schlupfspeicher sicher überschreiben (wipen).

• Die WinHex-API kann nur mit WinHex verwandt werden.


Registry-Bericht
Automatischer Registry-Bericht

WinHex kann über den Befehl "Bericht erzeugen" im Rechts-Klick-Menü des Registry-Viewer für die geöffneten Hives einen Bericht im HTML-Format erstellen, der potentiell relevante Schlüssel aus der Registry mit ihren Werten auflistet. Die Registry-Dateien müssen ihren Originalnamen haben, sonst kann der Bericht u. U. nicht erstellt werden. Die zu untersuchenden Schlüssel sind in einer Textdatei wie der mitgelieferten "Reg Report.txt" vorzuhalten, die nach eigenen Bedürfnissen angepaßt oder erweitert werden kann.

Das Format der Einträge in "Reg Report.txt"

(Betriebssystemkürzel) (Tabulator) (Schlüsselpfad) (Tabulator) (Beschreibung) (Zeilenvorschub)

Betriebssystemkürzel:

9x: Windows 9x/Me

NT: Windows NT/2000/XP

Schlüsselpfad:

Kompletter Pfad des Registrierungsschlüssels

HKLM entspricht HKEY_LOCAL_MACHINE

HKCU entspricht HKEY_CURRENT_USER

Wenn ein "*" als Platzhalter im letzten Teilpfad verwendet wird, werden alle Pfade auf dieser Verzweigungsebene und allen tieferen Verzweigungsebenen mit ihren Werten in dem Bericht mitaufgelistet.

Beispiel:

NT	HKLM\Software\Microsoft\Windows\CurrentVersion\*	der gesamte Windows-Unterzweig

Wenn ein bestimmter Wert von Interesse ist, der in allen Unterschlüsseln eines bestimmten Schlüssels vorkommt, dann können die Unterschlüssel abermals durch ein "*" ersetzt werden und der konkrete Wert dahinter angegeben werden.

Beispiel:

9x	HKCU\Identities\*\UserID	UserID-Wert von allen Identitäten

Der erzeugte Bericht enthält jeweils den Schlüsselpfad mit der zugehörigen Zeitangabe der letzten Änderung (nur Windows NT/2000/XP), den Dateinamen des Hives, aus dem dieser Schlüssel ist, die Beschreibung aus "Reg Report Keys.txt" und den Wert.


Modus-Schalter

Beim Untersuchen eines logischen Laufwerks, einer Partition oder einer Image-Datei mit einem Dateisystem, das von WinHex unterstützt wird, gibt es mehrere Schalter, die die Anzeige in der unteren Hälfte des Fensters (unter dem Verzeichnis-Browser) bestimmen. Erfordert eine forensische Lizenz.

Disk/Partition/Volume/Container

Ehem. „Sektoren“ genannt, zeigt diese Standard-Ansicht die binären Daten in allen Sektoren der vom aktiven Datenfenster repräsentierten Platte/Partition bzw. des Volumes/Container als Hexadezimal-Code, als Text oder als beides. Offsets und Sektornummern beziehen sich auf den Anfang der jeweiligen Platte/Partition bzw. des Volume/Containers.

Datei

Sieht dem Sektorenmodus ähnlich, zeigt aber nur die Cluster an, die der Datei oder dem Verzeichnis zugeordnet sind, die bzw. das aktuell im Verzeichnis-Browser ausgewählt ist, in der Reihenfolge wie von der Datei verwendet, defragmentiert falls fragmentiert, dekomprimiert falls komprimiert, mit Offsets relativ zum Anfang der Datei.

Vorschau

Prüft die Signature der aktuell im Verzeichnis-Browser ausgewählten Datei. Wenn als Bild erkannt (unterstützte Type s. u.), wird es als solches angezeigt, sonst wird ein ASCII-Text-Extrakt vom Anfang der Datei dargestellt. Das Ergebnis der Signaturprüfung (ob die Signatur zur Dateiendung paßt oder nicht) wird in der Statusleiste angezeigt. Durch Doppelklick auf eine Miniaturansicht erhalten Sie eine Ansicht des Bildes in voller Größe, wobei Sie mit den Tasten + und - hinein- und wieder herauszoomen können. Selbst unvollständige Bilder (Datei z. B. wegen Fragmentierung nur partiell korrekt gerettet) können normalerweise teilweise angezeigt werden.

Details

Enthält all die Informationen über eine einzige ausgewählte Datei aus allen Verzeichnis-Browser-Spalten, inclusive denen, die gar nicht sichtbar sind. Sehr nützlich z. B., wenn der Pfad sehr lang ist und nicht in die Pfad-Spalte paßt, u. U. sogar nicht einmal in Form der Tooltip-Anzeige in der Pfad-Spalte. Erlaubt es auch, Dateinamen und Pfad oder andere Daten leicht in die Zwischenablage zu kopieren.

Der Details-Modus zeigt außerdem die in einem NTFS-Dateisystem hinterlegten Zugriffsrechte an (gespeichert in Access Control Lists, ACLs). Jedes einzelne Recht hat typischerweise die Eigenschaft „Grant“ (=erlauben) oder „Deny“ (=verbieten). Zusätzlich hat es eine SID zugeordnet, für die dieses Recht gilt. Wann immer möglich, wird die SID in einen benutzerfreundlichen Namen übersetzt. Ein Recht gehört einer von vier Kategorien an: R = Read, Leseberechtigung; C = Change, Änderungsberechtigung; Full Access = Vollzugriff; Special Access = in diesem Fall werden die individuellen Rechte einzeln aufgeführt. Für jedes einzelne Zugriffsrecht sind zwei „Inheritance-Flags“ möglich: container inherit (CI), object inherit (OI) oder zwei „Propagation-Flags“: inherit only (IO), no-propagate inherit (NP)., Den Abschluß der Liste bildet gewöhnlich die Gruppenzugehörigkeit.

Der Details-Modus extrahiert auch die wesentlichen internen Metadaten aus OLE2-Compound-Dateien (z. B. MS-Office-Dokumenten vor Version 2007), MS Office 2007 XML, OpenOffice XML, StarOffice XML, MDI, PDF, RTF, WRI, AOL PFC, ASF, WMV, WMA, MOV, AVI, WAV, MP4, 3GP, M4V, M4A, JPEG, BMP, EXE/DLL (nur auf Laufwerksbuchstaben), THM, TIFF, GIF, PNG, GZ, ZIP, PF, IE cookies, DMP Speicher-Dumps, hiberfil.sys, PNF, SPL & SHD Drucker-Spool, WIM Vista Image-Dateien, DocumentSummary alternativen Datenströmen und tracking.log-Dateien. Für MS-Office-Dokuments sehen Sie oft viele weitere Zeitstempel (z. B. wann zuletzt gedruckt), Thema, Autor, Organisation, Schlüsselwörter, Gesamtbearbeitungszeit u. v. a. m.

Galerie

Prüft die Signatur aller Dateien im gegenwärtig sichtbaren Ausschnitt des Verzeichnis-Browsers. Wenn als Bild erkannt, wird eine Miniaturansicht angezeigt, sonst eine Kurzinformation (Dateiname, Größe, Signatur). Indem Sie im Verzeichnis-Browser hoch- oder herunterrollen, bewegen Sie auch die Bilderliste im Galerie-Fenster. Sie können das Verzeichnis wechseln auch während die Miniaturansichten noch erzeugt werden. Durch Doppelklick auf eine Miniaturansicht erhalten Sie eine Ansicht des Bildes in voller Größe, wobei Sie mit den Tasten + und - hinein- und wieder herauszoomen können. Selbst unvollständige Bilder (Datei z. B. wegen Fragmentierung nur partiell korrekt gerettet) können normalerweise teilweise angezeigt werden. Die Galerie-Ansicht zeigt Dateien folgenden Typs an: JPEG, PNG, GIF, TIFF, BMP, PSD, HDR, PSP, SGI, PCX, CUT, PNM/PBM/PGM/PPM, ICO. Die Galerie harmoniert nicht besonders gut mit Suchtrefferlisten.

Kalender (Zeitlinien-Ansicht)

Gibt einen komfortablen Überblick darüber, wann die Dateien und Verzeichnisse, die im Verzeichnis-Browser ausgewählt sind, im Dateisystem erzeugt (rot) wurden, zuletzt geändert wurden (blau) und wann auf sie zuletzt zugegriffen wurde (grün). Jeder Tag mit einem Zeitstempel für zumindest eine Datei oder ein Verzeichnis wird im Kalender mit der entsprechenden Farbe gefüllt. Wochenenden (Samstage und Sonntage) werden besonders markiert. Bewegen Sie den Maus-Cursor über einen Tag, um herauszufinden, welche Dateien genau dort repräsentiert sind, und um die jeweiligen Uhrzeiten zu sehen. Wenn die Liste für einen bestimmten Tag zu lang ist, um vollständig angezeigt zu werden, können Sie immer noch den Verzeichnis-Browser geeignet sortieren und dort alles herausfinden.

Beispiel: In welchem Zeitraum wurden JPEG-Dateien auf einem Laufwerk angelegt? Klicken Sie entweder mit der rechten Maustaste das Stammverzeichnis im Verzeichnisbaum (Falldatenfenster) an, um alle Dateien aus allen Unterverzeichnissen auf einmal (rekursiv) aufzulisten. Dann schränken Sie die Ansicht mit dem Dateityp-Filter auf JPEG-Dateien ein, wählen alle aufgelisteten Dateien aus, schalten die Kalenderansicht an und halten nach den roten Balken Ausschau.

Sync

Synchronisiert den Verzeichnis-Browser und den Verzeichnisbaum, so daß in einer rekursiven Ansicht das Auswählen einer Datei im Verzeichnis-Browser dazu führt, daß ihr Elternverzeichnis im Baum kenntlich gemacht wird. Außerdem wird beim Anklicken des Sync-Schalters die Datei, die den gegenwärtig angezeigten Cluster im Modus Volume/Partition enthält, automatisch ausgewählt (es sei denn, der Datei-Überblick wurde ohne Cluster-Zuordnungsinformationen erzeugt, s. Sicherheitsoptions).


Dateityp-Definitionen

"File Type Signatures *.txt" sind durch Tabulatorzeichen in Spalten aufgeteilte Textdateien, die als Datenbank von Dateityp-Definitionen fungieren. Sie werden verwendet beim Erweitern des Datei-Überblicks und beim Befehl Dateien retten nach Typ.

WinHex ist werksseitig mit verschiedenen Dateityp-Signatur-Definitionen ausgestattet. Sie können diese Definitionen aber beliebig an Ihren Bedarf anpassen und erweitern, entweder in der Datei "File Type Signatures Search.txt" oder in zusätzlichen Dateien desselben Formats, die "File Type Signatures *.txt" heißen und ebenfalls geladen werden. Letzteres hat den Vorteil, daß solche Dateien nicht überschrieben werden, wenn Sie das nächste Mal ein Update installieren und einen nicht bereits verwendeten Dateinamen benutzen. Nur wenn der Dateiname das Wort "Search" enthält, werden die in der Datei definierten Typen auch für die Datei-Header-Signatur-Suche benutzt, sonst nur für die Überprüfung des Typs von Dateien, die bereits im Datei-Überblick enthalten sind (nur mit forensischer Lizenz). Insgesamt werden bis zu 4096 Einträge unterstützt (1024 für die Suche).

Klicken Sie den Schalter "Typ-Definition" bzw. "Signaturen" an, um die Datei "File Type Signatures Search.txt" zu editieren. Standardmäßig öffnet WinHex die Datei in MS Excel. Das ist bequem, weil die Datei aus Spalten besteht, die durch Tabulatorzeichen getrennt sind. Wenn Sie die Datei mit einem Text-Editor verändern, stellen Sie sicher, daß die Tabulatorzeichen erhalten bleiben, denn WinHex verläßt sich beim Interpretieren der Datei auf deren Vorhandensein. MS Excel erhält sie automatisch. Nach dem Editieren der Dateityp-Definitionen müssen Sie das Dialogfenster schließen und erneut aufrufen, damit Sie die Änderungen in der Dateityp-Definitionsdatei sehen.

1. Spalte: File Type

Eine menschenlesbare Bezeichnung des Dateityps, z. B. "JPEG". Nur die ersten 19 Zeichen werden berücksichtigt.

2. Spalte: Extensions

Einer oder mehrere Datei-Erweiterungen, die typischerweise für diesen Dateityp benutzt werden, z. B.  "jpg;jpeg;jpe". Geben Sie die üblichste Erweiterung zuerst an, denn diese wird für die Benennung wiederhergestellter Dateien verwendet. Mehr als 255 Zeichen unterstützt.

3. Spalte: Header

Eine eindeutige Header-Signatur, anhand derer Dateien dieses Dateityps erkannt werden können. Er wird in GREP-Syntax angeben (Erläuterung unter Suchoptionen), so daß es möglich ist, variable Byte-Werte zuzulassen (z. B. bedeutet [\xE1\xE2]: "Der Byte-Wert könnte 0xE1 oder 0xE2 sein.") oder undefinierte Bereiche (.). Die Maximallänge der repräsentierten Signatur beträgt 48 Bytes. Um überhaupt geeignete charakteristische Dateiheader-Signaturen herauszufinden, öffnen Sie ein paar existierende Dateien des gewünschten Typs in WinHex und halten Sie nach übereinstimmenden Bytewerten nah dem Anfang der Dateien an identischen Offsets Ausschau.

4. Spalte: Offset

Der relative Offset innerhalb einer Datei, an dem die Signatur auftritt. Oft einfach 0.

5. Spalte: Footer

Optional. Eine Signatur (Folge konstanter Byte-Werte), die das Ende einer Datei verläßlich anzeigt, anzugeben in GREP-Syntax. Das kann Ihnen helfen, eine Rettung mit der korrekten Dateigröße zu erreichen. GREP-Ausdrücke, die Daten variabler Länge repräsentieren, funktionieren u. U. nicht wie erwartet. Der Algorithmus sucht hinter dem Header nicht weiter nach Footern als durch die in Bytes angegebene maximale Dateigröße bestimmt.

6. Spalte: Default in KB

Optional. Eine dateitypspezifische maximale Dateigröße in KB, die die globale Maximalgröße aufheben kann, die im Fenster für die Datenrettung nach Typ angegeben wird. Nützlich, da beispielsweise ein MPEG-Video ca. 1 GB groß sein könnte während eine Windows-Symboldatei (.ico) ca. 1 KB groß sein könnte.


Verzeichnis-Browser-Optionen

Spalten

• Das Gruppieren von Dateien und Verzeichnisse im Verzeichnis-Browser ist optional.

• Das Gruppieren existenter und gelöschter Objekte im Verzeichnis-Browser ist optional. Es gibt zwei Möglichkeiten der Gruppierung: Wahlweise werden möglicherweise wiederherstellbare Dateien (mit einem Fragezeichen versehen) und bekanntermaßen nicht wiederherstellbare Dateien (mit einem X versehen) zusätzlich intern gruppiert oder nicht.

• Optional kann X-Ways Forensics die nach einer Signaturprüfung vermutete korrekte Dateiendung beim Kopieren auf die Festplatte oder in einen Container an den Dateinamen anhängen, auch beim Herauskopieren zum Ausführen mit dem verknüpften Programm.

• Alternative Datenströme (ADS) von NTFS sowie Resource-Forks von HFS und andere Objekte mit Doppelpunkt im vollständigen Namen können vom Befehl Wiederherstellen/Kopieren optional als ADS ausgegeben werden. Standardmäßig werden sie in Form gewöhnlicher Dateien wiederhergestellt, damit sich leichter zugreifbar sind.

• Dateien können optional inklusive ihrem Schlupfspeicher geöffnet und durchsucht werden.

• Standardmäßig wählt man mit Strg+A im Verzeichnis-Browser auch nicht-existente Dateien aus, deren erster Cluster nicht verfügbar ist. Dieses Verhalten können Sie aber ausschalten, damit z. B. bei einer logischen Suche in ausgewählten Dateien weniger Cluster doppelt und dreifach abgedeckt werden.

• Das Auflisten von Unterverzeichnissen beim rekursiven Erkunden ist optional. Verzeichnisse wären in einer rekursiven Ansicht nützlich, wenn Sie sich für die Namen oder Zeitstempel von Verzeichnissen interessieren, aber sie lenken eher ab, wenn Sie einfach nur alle aufgelisteten Dateien begutachten möchten.

• Die rekursive Auswahlstatistik rechts unterhalb des Verzeichnis-Browsers enthüllt, wie viele Unterverzeichnisse, Dateien und wieviel Daten ein Verzeichnis enthält, wenn es im Verzeichnis-Browser ausgewählt wird, unter Beachtung etwaiger aktiver Filter. Wenn diese Option nicht gewählt ist, wird nur eine Statistik über die direkte Auswahl im Verzeichnis-Browser angezeigt, nicht über ggf. über Verzeichnisse indirekt mit ausgewählte Unterobjekte. Wenn die Option halb gewählt ist, berücksichtigt die Statistik Unterobjekte von Verzeichnissen, aber nicht Unterobjekte von Dateien.

• Bei Verzeichnissen und Objekten mit Unterobjekten wird bei Sortierung nach Pfad optional auch der Name des Verzeichnisses bzw. der Datei selbst mit einbezogen. Dadurch werden die Unterobjekte hinter ihren jeweiligen Eltern einsortiert (z. B. Datei-Anhänge hinter den enthaltenden E-Mails).

• Dynamische E-Mail-Spalten überläßt X-Ways Forensics die Entscheidung darüber, ob die Spalten "Absender" und "Empfänger" im Verzeichnis-Browser angezeigt werden sollen oder nicht. Wenn aktiv, werden sie genau dann  angezeigt, wenn zumindest eine extrahierte E-Mail im sichtbaren Ausschnitt des Verzeichnis-Browsers enthalten ist. Dies ist nützlich, weil mehr Platz für andere Spalten bleibt, wenn die ausschließlich für extrahierte E-Mails gefüllten Spalten nicht benötigt werden.

• Diverse Erweiterungen des Datei-Überblicks erzeugen Unterobjekte für Dateien, z. B. extrahierte Bilder. Wenn Sie es vorziehen, keine Unterobjekte zu Dateien zu erhalten, sondern nur zu Verzeichnissen, können behelfsweise virtuelle Verzeichnisse erzeugt werden, die als Sammelordner für Unterobjekte fungieren, wie in früheren Versionen. Das ist nützlich, wenn Sie Container erstellen, die mit früheren Versionen von X-Ways Forensics oder X-Ways Investigator untersucht werden sollen. Wenn Sie Dateien mit Unterobjekten erlauben (Voreinstellung), stellt der Befehl Wiederherstellen/Kopieren automatisch sicher, daß sich im Ausgabeordner keine Namenskonflikte ergeben.

• Dateigrößen können Sie optional immer in Bytes statt gerundet anzeigen lassen. Im mittleren Zustand des Kontrollkästchens betrifft das nur Größen von Objekten in Volumes, wenn vollständig gewählt auch Objekte auf physischen, partitionierten Datenträgern.

• In Zeitangaben können optional Sekundenbruchteile angezeigt werden. Sie können bis zu 3 Dezimalstellen wählen. Nützlich für die Dateisysteme NTFS, Reiser4 und FAT, die mit einer höheren Genauigkeit als bloß Sekunden in allen bzw. einigen Zeitstempeln aufwarten.

• Optional kann der Abstand von Zeitangaben von der UTC-Zeitzone direkt in dern Spalten für Zeitstempel mit angezeigt werden. Dieser Abstand hängt von der für die Anzeige gewählten Zeitzone und der Sommerzeit-Einstellung ab.

• Das Anzeigen des ISO9660-Dateisystems auf CDs zusätzlich zu einem evtl. ebenfalls vorhandenen Joliet-Dateisystem kann nützlich sein, wenn der Joliet-Teil beschädigt ist, z. B. weil Kratzer auf der Oberfläche der CD zu unlesbaren (defekten) Sektoren geführt haben. Die Option greift beim (Neu-) Einlesen des Datei-Überblicks.

• Das Aufnehmen von sog. „Logged Utility Streams“ (LUS) in NTFS in neu eingelesene Datei-Überblicke ist optional. Entweder werden alle LUS aufgenommen (wenn ganz gewählt) oder nur Nicht-$EFS-LUS (wenn halb gewählt) oder gar keine LUS. Nützlich für von Windows Vista geschriebene NTFS-Dateisysteme, wenn Sie sich nicht für $TXF_DATA-LUS interessieren.

• Mit einer forensischen Lizenz kann das Programm sich optional merken, welche Dateien bereits vom Benutzer eingesehen worden sind, und diese optisch mit einer grünen Hintergrundfarbe um das Markierungsfeld herum kenntlich machen. Das ist besonders nützlich, wenn Hunderte oder Tausende von Dokumenten oder Bildern über einen längeren Zeitraum hinweg begutachtet werden sollen, um zu vermeiden, versehentlich dieselben Dateien mehrfach anzuschauen. Eine Datei kann automatisch als bereits eingesehen gekennzeichnet werden, wenn sie im Vollfenstermodus oder im Vorschaumodus betrachtet wird, wenn Bilder in der Galerie zu sehen sind oder wenn eine Datei basierend auf der Hash-Datenbank als bekanntermaßen irrelevant identifiziert wird. Um eine Datei manuell als bereits eingesehen kenntlich zu machen, können Sie Alt in Kombination mit dem Pfeiltasten drücken. Alt+Links entfernt die Kennzeichnung. Sie können auch das Markierungsfeld einer Datei im Verzeichnis-Browser mit der rechten Maustaste anklicken um die Kennzeichnung zu setzen oder zu entfernen. Ein Verzeichnis gilt als bereits eingesehen, wenn all seine Dateien und Unterverzeichnisse als solches kenntlich gemacht sind.

Filter

Folgendes kann bei Bedarf herausgefiltert werden (indem Sie sich entscheiden, es nicht anzeigen zu lassen):

• Existierende Dateien. Nützlich, wenn Sie sich lediglich für ehemals existierende Dateien interessieren (die sich in existierenden Verzeichnissen befinden können).

• Ehemals existierende Dateien und Verzeichnisse. Dritter Auswahlzustand: Nur Objekte, deren erster Cluster bekanntermaßen nicht verfügbar ist.

• Markierte Dateien und Verzeichnisse.

• Nicht markierte Dateien und Verzeichnisse.

• Unterdrückte Dateien und Verzeichnisse.

• Nicht unterdrückte Dateien und Verzeichnisse.

Sie können auch Filter basierend auf Kriterien (Spalten) wie Dateiname, Dateityp-Kategorie, Attribute oder Hash-Set einschalten. Immer wenn ein aktiver Filter tatsächlich Dateien oder Verzeichnisse herausfiltert, wird das mit einem blauen Filtersymbol in der Überschriftszeile des Verzeichnis-Browsers kenntlich gemacht, und Ihnen wird angezeigt, wie viele Objekte genau aus der Liste ausgelassen wurden.

Unter den Filtermöglichkeiten links unten finden Sie in diesem Dialogfenster einen Schalter namens „Alle Unterdrückungen aufheben“, der es erlaubt, alle unterdrückten Dateien und Verzeichnisse im Datei-Überblick des Asservats im aktiven Datenfenster wieder in den Normalzustand zu versetzen (nicht unterdrückt). Um selektiv die Unterdrückung bestimmter Dateien aufzuheben, stellen Sie zunächst sicher, daß diese Dateien nicht herausgefiltert werden. Dann können Sie sie auswählen und die Unterdrückung mit einem Befehl im Kontextmenü aufheben.

Es gibt einen weiteren Schalter, der es Ihnen ermöglicht, unterdrückte Objekte aus dem Datei-Überblick gänzlich zu entfernen, wenn Sie irrelevant sind und nicht mehr benötigt werden, z. B. bedeutungslose Fehlfunde der Datei-Header-Signatursuche. Dies macht den Datei-Überblick kleiner, d. h. effizienter in der Handhabung, und spart Arbeitsspeicher. Verfügbar für Datei-Überblicke, die mit v14.2 oder neuer erzeugt wurden. Nützlich auch, wenn Sie möchten, daß X-Ways Forensics bestimmte Dateien über die Datei-Header-Signatursuche noch einmal findet, sie dann aber mit einer anderen Standardgröße auflistet, weil die ursprünglich angegeben Standardgröße sich als inadäquat herausgestellt hat. Das Entfernen läuft schneller ab, wenn man vorher alle Suchtreffer löscht. Das Entfernen bringt es mit sich, daß die internen IDs durcheinandergewürfelt werden, d. h. nach dem Entfernen können Sie aus der internen ID nicht mehr auf die Reihenfolge schließen, in der die Objekte dem Datei-Überblick hinzugefügt wurden.

Immer wenn ein oder mehrere Filter aktiv sind, die auch tatsächlich Dateien im aktuellen Inhalt des Verzeichnis-Browsers herausfiltern, werden zwei blaue Filtersymbole in der Überschriftszeile des Verzeichnis-Browsers angezeigt. Diese machen deutlich, daß die aktuelle Ansicht wegen aktiver Filter unvollständig ist, und sie ermöglichen es Ihnen auch, alle Filter mit einem einzigen Mausklick zu deaktivieren, um sicherzustellen, daß Sie keine Datei übersehen, wenn Sie den Filter nicht mehr wollen.

Es sind diverse Spalten im Verzeichnisbrowser verfügbar. Sie sind alle optional. Sie werden angezeigt, wenn sie eine Spaltenbreite von mehr als 0 Pixeln haben, oder versteckt, wenn ihre Breite 0 ist.

Es ist möglich, die Reihenfolge der Spalten des Verzeichnis-Browsers anders festzulegen. Dies ändert auch die Reihenfolge der Felder im Fallbericht (d.h. in Berichtstabellen), auf Deckblättern beim Drucken, in exportieren Dateilisten und im separaten Protokoll für den Wiederherstellen/Kopieren-Befehl. Sie können eine Spalte verschieben, indem Sie erst den der Spalte zugeordneten runden Auswahlschalter anklicken und dann den vertikalen Rollbalken, der oben erscheint. Sie ursprüngliche Standardreihenfolge der Spalten kann wiederhergestellt werden, indem Sie diese Spalte mit der rechten Maustaste anklicken.


Logische Suche

Mächtige Unterart der parallelen Suche. Erlaubt es, entweder alle Dateien, markierte Dateien oder (wenn vom Verzeichnis-Browser-Kontextmenü aus aufgerufen) ausgewählte Dateien zu durchsuchen. Dateischlupf kann gezielt eingeschlossen oder ausgelassen werden. Die logische Suche hat gegenüber einer physischen Suche diverse Vorteile:

+ Der Suchbereich kann auf bestimmte Dateien und Verzeichnisse eingeschränkt werden, per Markierung oder Auswahl. Bitte beachten Sie, daß eine etwaige im Dialogfenster angezeigte Datenmenge nur eine Schätzung ist und die tatsächlich zu durchsuchende Datenmenge wegen Schlupfspeicher abweichen kann.

+ Die Suche in Dateien (üblicherweise = in den Clusterketten der jeweiligen Dateien) findet Suchbegriffe auch dann, wenn der Suchbegriff zufällig physisch durch die Dateifragmentierung zerschnitten ist (passiert am Ende und am Anfang nicht zusammenhängender Cluster).

+ Die Suche kann auch erfolgreich auf Dateien angewandt werden, die auf NTFS-Dateisystemebene komprimiert sind, weil diese für die Suche dekomprimiert werden. Dies gilt sogar für per Datei-Header-Signatur-Suche gefundene Dateien, sofern dabei NTFS-Kompression gesondert berücksichtigt wurde.

+ Wenn die Inhalte von Archiven (Dateien in ZIP, RAR, GZ, TAR, BZ2, 7Z und ARJ, falls nicht verschlüsselt, nur mit forensischer Lizenz) und individuelle E-Mails und E-Mail-Anhänge in den Datei-Überblick aufgenommen wurden, können sie mit durchsucht werden.

+ Der Text, der in Dateien der Formate PDF (Adobe), WPD (Corel WordPerfect), CDR (Corel Draw), VSD (Visio) oder SWF (Shockwave Flash) enthalten ist, kann automatisch extrahiert und zu unformatiertem 8-Bit-ASCII- und 16-Bit-Unicode-Klartext dekodiert werden, der damit zusätzlich zum eigentlichen Dateiinhalt erfolgreich durchsucht werden kann. Potentielle Suchtreffer in solchen Dateien würden sonst übersehen, da diese Dateitypen Text üblicherweise auf eine besonders codierte, verschlüsselte, komprimierte oder anderweitig unlesbare Art speichern. Auch für HTML-, XML- und RTF-Dokumente sowie HTML-formatierte E-Mails in .eml-Dateien, die verschiedene Methoden wie u. a. UTF-8 zur Codierung von Nicht-7-Bit-ASCII-Zeichen (z. B. deutsche Umlaute) heranziehen, kann das Decodieren nützlich sein, abhängig von der Sprache Ihrer Suchbegriffe. Wenn Sie eine Dateimaske zum Decodieren angeben, wird diese nicht nur auf die Namen einer jeden zu durchsuchenden Datei angewandt, sondern auch auf den wahren Typ, sofern dieser über eine Signaturprüfung herausgefunden wurde (siehe Erweiterte Datei-Überblicke). Diese Funktion benötigt eine aktivierte separate Viewer-Komponente für die Dekodierung und die Textextraktion. Der decodierte Text wird entweder in Latin 1 oder Unicode ausgegeben. Er kann optional gepuffert werden (s. Optionen | Viewer-Programme), was eine bequeme Kontextvorschau für Suchtreffer in decodiertem Text ermöglicht und künftige Suchvorgänge beschleunigt. Die voreingestellte Dateimaske für diese Option ist *.pdf;*.htm*;*.xml;*.rtf;*.eml;*.wpd;*.cdr;*.vsd.

+ Wenn Sie sich nicht für jeden einzelnen Suchtreffer interessieren, sondern lediglich dafür, welche Dateien zumindest einen der spezifizierten Suchbegriffe enthalten, kann eine logische Suche stark beschleunigt werden, indem Sie X-Ways Forensics anweisen, nur maximal einen Treffer pro Datei aufzuzeichnen und dann gleich mit der nächsten Datei fortzufahren. Die sich daraus ergebende Suchtrefferliste ist dann systematisch unvollständig, und Sie können nicht davon ausgehen, daß der eine ausgegebene Treffer pro Datei gerade ein für Sie besonders nützlicher oder aussagekräftiger ist oder daß bei mehreren Suchbegriffen gerade ein Treffer für einen Ihnen besonders wichtigen Suchbegriff ausgegeben wird. Es ist allerdings gewährleistet, daß die Suchtrefferliste alle Dateien enthält, für die es mind. einen Treffer (mit irgendeinem der verwendeten Suchbegriffe) gab, und zwar jede Datei nur einmal. Eine solche Liste ist ausreichend (und effizient!), um die betroffenen Dateien manuell einzusehen, sie mit Kommentaren zu versehen, sie aus einem Image herauszukopieren, sie an andere Ermittler in Form eines Containers weiterzugeben usw.

+ Dateien, die sich durch Hash-Berechnung und Abgleich mit der Hash-Datenbank als irrelevant herausgestellt haben sowie Dateien, die vom Benutzer unterdrückt wurden oder die von einem aktiven Filter herausgefiltert werden, können bei der logischen Suche gezielt ausgelassen werden, um Zeit zu sparen und die Anzahl irrelevanter Treffer zu verringern. Der Schlupf solcher Dateien wird jedoch durchsucht, wenn die entsprechende Option eingeschaltet ist, weil sie eine höhere Priorität hat.

+ E-Mail-Archive vom Typ PST und DBX sowie Dateiarchive der unterstützten Typen (ZIP, RAR usw.) werden bei eingeschalteter empfehlenswerter Datenreduktion nicht durchsucht, sofern die in ihnen enthaltenen Bestandteile dem Datei-Überblick hinzugefügt wurden. In diesem Fall werden nur diese Bestandteile (E-Mails und weitere Dateien) durchsucht, in seinem natürlichen (nicht codierten und nicht komprimierten) Zustand. Der Schlupf solcher Archive wird jedoch durchsucht, wenn die entsprechende Option eingeschaltet ist, weil sie eine höhere Priorität hat.

+ Den Nachteil, den logische Suchen in konventionellen Computerforensik-Programmen aufweisen (daß Sie den Übergang von Dateischlupf in direkt darauf folgenden freien Speicher nicht abdecken), gibt es in X-Ways Forensics nicht, da solche Bereiche auf einer Partition gesondert berücksichtigt werden können.

Suchoptionen

Sollte X-Ways Forensics während dieser Operation einfrieren, denken Sie daran, daß die interne ID und er Name der zuletzt bearbeiteten Datei in den kleinen Fortschrittsanzeigefenster angezeigt werden. Wenn diese Operation auf ein Asservat angewandt wird und X-Ways Forensics während dessen bei einer bestimmten Datei abstürzen, wird Ihnen beim Neustart des Programms die betreffende Datei mitgeteilt, und die Datei wird einer Berichtstabelle hinzugefügt. Das hängt von den Sicherheitsoptionen ab. All dies geschieht, damit Sie eine solche Datei ggf. unterdrücken und so bei einem nochmaligen Versuch auslassen können.


Hash-Datenbank

Nur mit forensischer Lizenz verfügbar. Die interne Hash-Datenbank besteht, sofern einmal erstellt, aus 257 binären Dateien mit der Endung .xhd (X-Ways Hash Database). Der Speicherordner dafür kann im Dialogfenster Allgemeine Optionen festgelegt werden. Die Hash-Datenbank ist auf sehr effiziente Weise organisiert, so daß die Performanz beim Abgleich von Hash-Werten maximiert wird. Sie selbst entscheiden, auf welchem Hashtyp die Datenbank aufbauen soll (MD5, SHA-1, SHA-256, ...).

Jeder Hash-Wert in der Datenbank gehört zu einem oder mehreren Hash-Sets. Jedes Hash-Set gehört entweder zur Kategorie “bekanntermaßen irrelevant”/“harmlos”/"gutartig" oder “verdächtig"/beachtenswert"/"relevant"/"bösartig”.

Hash-Werte von Dateien können berechnet und mit der Hash-Datenbank abgeglichen werden, wenn Sie den Datei-Überblick erweitern. Die optionalen Spalten "Hash-Set" und "Kategorie" im Verzeichnis-Browser zeigen dann an, welche Dateien zu welchem Hash-Set und welcher Kategorie gehören, was es Ihnen ermöglicht, nach diesen Aspekten zu sortieren/filtern und irrelevante Dateien einfach herauszufiltern. Beachten Sie: Falls derselbe Hash-Wert in mehreren Hash-Sets enthalten ist, wird nach einem Abgleich nur ein Hash-Set mit einer Übereinstimmung in der Hash-Set-Spalte angezeigt, und es nicht definiert, welches das ist. Sollte Ihnen ein Hash-Set A wichtiger sein als andere Hash-Sets B und C, können Sie bei Bedarf einfach nochmal abgleichen (das reine Abgleichen ist relativ schnell, nur die erstmalige Hash-Berechnung je nach Dateigröße kostet u. U. mehr Zeit) und dann nur das wichtigere Hash-Set A zum Abgleich auswählen. So bleiben diejenigen Dateien, deren Hash-Wert nur in B oder C vorkommt, B bzw. C zugeordnet, und die, die auch in A vorkommen, werden dann auf jeden Fall A zugeordnet.

Das Extras-Menü erlaubt es,

- die aktive Hash-Datenbank zu verwalten: Erstellen Sie eine leere, neue Datenbank, sehen Sie die Liste von Hash-Sets ein, benennen Sie Hash-Sets um oder löschen Sie existierende Hash-Sets. Sie können außerdem die Hash-Set-Kategorie jedes Hash-Sets wechseln und die Integrität der Hash-Datenbank überprüfen (F8).

- einzelne Hash-Sets zu importieren (Textdateien der Formate NSRL RDS 2.x, HashKeeper und ILook sowie * werden unterstützt)

- alle Hash-Sets in einem bestimmten Ordner und dessen Unterordnern zu importieren (dito), optional in ein einziges internes Hash-Set, dessen Namen Sie angeben können

- die aktive Hash-Datenbank zu löschen, z. B. um mit einer jungfräulichen Datenbank von Grund auf neu zu beginnen und/oder einen neuen Hashtyp festzulegen.

Der Befehl "Hash-Set erzeugen" im Kontextmenü des Verzeichnis-Browsers erlaubt es Ihnen, Ihre eigenen Hash-Sets in der internen Hash-Datenbank zu erstellen. Die Hash-Datenbank kann bis zu 65.535 Hash-Sets verwalten.

*Ein weiteres Import- und das Export-Format ist eine sehr einfache und universelle Hash-Set-Textdatei, in der die erste Zeile einfach den Hash-Typ angibt (z. B. "MD5") und alle weiteren Zeilen jeweils Hash-Werte in ASCII-Hex sind, 1 pro Zeile. Das Zeilenende-Zeichen ist 0x0D 0x0A.


Kontextmenü des Verzeichnis-Browsers

Vorbemerkung: Befehle im Hauptmenü (Datei, Bearbeiten, Suchen, ...) beziehen sich immer auf das gesamte aktive Datenfenster (das z. B. eine geöffnete Datei oder einen geöffneten Datenträger repräsentiert), oder auf noch vom Benutzer anzugebende Dateien oder Datenträger. Sie beziehen sich niemals auf im Verzeichnis-Browser ausgewählte Dateien. Dafür gibt es das Kontextmenü des Verzeichnis-Browsers.

Das Kontextmenü des Verzeichnis-Browsers erlaubt es dem Nutzer, direkt mit den aktuell ausgewählten Dateien bzw. Verzeichnissen zu interagieren (wohlgemerkt nicht mit den mit einem blauen Quadrat markierten). Es gibt eine Reihe von Befehlen, die in Abhängigkeit von den aktuell ausgewählten Objekten verfügbar sind. Ein Doppelklick auf Dateien oder Verzeichnisse löst je nach Kontext entweder "Einsehen", "Erkunden" oder den Aufruf des verknüpften externen Programms aus.

Einsehen

Hiermit können Windows Registry-Dateien und diverse Bilddateiformate mit dem internen Viewer von WinHex eingesehen werden. Für alle anderen Dateien hängt die Funktionsweise dieses Kommandos von den installierten Komponenten ab: Falls X-Ways Trace installiert ist und es sich um eine "index.dat"-Datei des Internet Explorer oder eine "history.dat" von Mozilla/Firefox oder eine "dcache4.url" von Opera, wird für diese Datei X-Ways Trace aufgerufen. Falls die separate Viewer-Komponente von X-Ways Forensics aktiv ist, werden alle anderen Dateien an diese Komponente übergeben. Falls nicht, wird stattdessen das erste installierte externe Programm aufgerufen.

Ausnahmen zu allem bisher gesagten sind Dateien mit mehr als 2 GB Größe und die NTFS-Systemdateien. Diese werden immer in Datenfenstern geöffnet.

Erkunden

Nur verfügbar für Verzeichnisse und Archive (ZIP, RAR, TAR...): Mit diesem Kommando navigiert man in diese mit dem Verzeichnis-Browser hinein. Ein Doppelklick auf ein Archiv oder Verzeichnis hat dieselbe Wirkung. Ein Kommando, das gleichzeitig alle Inhalte eines Verzeichnisses und aller seiner Unterverzeichnisse auflistet, finden Sie stattdessen im Kontextmenü des Verzeichnisbaums (im Falldatenfenster, "Rekursiv erkunden").

Externe Programme

Gezielt die selektierten Dateien an eines der externen Programme schicken, die aktuell konfiguriert sind, oder an das Programm, das in der aktuellen Windows-Installation mit dem Dateityp verknüpft ist. Diese Verknüpfung wird ausgewertet auf der Basis der Datei-Erweiterung, wie dies in Windows üblich ist.

Wiederherstellen/Kopieren

Ermöglicht es, die ausgewählten Dateien von ihrer aktuellen Position, z. B. aus einer interpretierten Image-Datei oder einer lokalen Platte heraus, an einen beliebigen Ort zu kopieren, der für einen Standard-Windows-Dateidialog erreichbar ist. Dies kann sowohl auf existierende als auch auf gelöschte Dateien angewandt werden. Ungültige Zeichen in Dateinamen werden herausgefiltert.

Die folgenden Extra-Funktionen stehen mit einer forensische Lizenz zur Verfügung:

• Optional können Dateien im Ausgabe-Ordner mit ihrem vollständigen Originalpfad erstellt werden, oder auch teilweise, wenn die Option halb gewählt wird, d. h. nur der Teilpfad unterhalb des aktuell erkundeten Verzeichnisses wird ausgegeben.

• Überlange Pfade werden unterstützt (mehr als 260, bis zu 510 Zeichen, für den Ausgabepfad + optional den Originalpfad + den Originaldateinamen). Sie können Pfadlängen immer noch freiwillig auf die herkömmliche Länge von 260 Zeichen begrenzen, wenn Sie solche Datei ohne nicht weiter verarbeiten können (z. B. einsehen, kopieren, löschen), denn herkömmliche Programm wie der Windows Explorer erlauben das nicht.

• Ausgelassene Dateien (wenn z. B. der Pfad zu lang ist) werden einer Berichtstabelle hinzugefügt.

• Die Original-Zeitstempel (Erstellung, Änderung, letzter Zugriff) der Dateien werden wiederhergestellt.

• Doppelt vorkommende Dateinamen werden durch Einfügen einer laufenden Nummer vor der Dateinamenserweiterung eindeutig gemacht.

• Die vermutete korrekte Dateitypendung kann optional an den Ausgabe-Dateinamen angehängt werden, wenn sie von der Dateiendung laut Dateiname abweicht (s. Verzeichnis-Browser-Optionen).

• Wenn die spezielle Protokollierung dieses Befehls aktiv ist (s. Falleigenschaften), wird der Kopier-/Wiederherstellungsvorgang in der Datei „copylog.html“ oder „copylog.txt“ dokumentiert. Praktisch alle Metadaten der kopierten Dateien und die Ausgabedateinamen (optional incl. Zielpfad) können festgehalten werden.

• Schlupfspeicher kann optional ebenfalls mit ausgegeben werden, entweder als Teil der Datei oder separat, oder es kann sogar nur der Schlupf kopiert werden.

• Sie können entscheiden, ob Unterobjekte gewählter Verzeichnisse und Dateien mitkopiert werden sollen.

Wenn der Wiederherstellen/Kopieren-Befehl in einer Suchtrefferliste eingesetzt wird, werden Verzeichnisse, die Suchtreffer enthalten, im Ausgabeordner als Dateien wiederhergestellt, da es wahrscheinlich ist, daß der Benutzer die Originaldaten kopieren möchte, die den eigentlichen Suchtreffer enthalten. Unterobjekte werden beim Kopieren aus Suchtrefferliste nie mit ihren Elternobjekten mitkopiert.

Liste exportieren

Erfordert eine Specialist-Lizenz. Gibt die ausgewählten Objekte im Verzeichnis-Browsers in eine HTML-Datei aus. Diese kann in jedem Web-Browser betrachtet oder auch z. B. in MS Excel und MS Word einfach importiert und weiter bearbeitet werden kann. Die zu exportierenden Spalten sind frei wählbar. Sogar die Suchtrefferspalte kann exportiert werden, mitsamt dem textuellen Kontext, in dem jeder Suchtreffer steht, wobei der Suchbegriff selbst visuell durch eine gelbe Hintergrundfarbe hervorgehoben werden kann (nicht empfohlen für die Weiterverarbeitung in MS Excel). Es kann alternativ eine tabulatorseparierte Textdatei anstelle einer HTML-Datei erzeugt werden.

Berichtstabellen-Verknüpfung

Kommentar bearbeiten

Erfordert eine forensische Lizenz. Verwenden Sie diesen Befehl, um ein Objekt im Verzeichnis-Browser mit einem Kommentar zu versehen oder einen existierenden Kommentar zu bearbeiten oder zu entfernen. Nachdem Sie Kommentare vergeben haben, können Sie den Filter bequem so setzen, daß nur solche Dateien angezeigt werden, die mit einem bestimmten oder überhaupt mit einem Kommentar versehen wurden.

Interne Metadaten extrahieren

Erfordert eine forensische Lizenz.

1) Erlaubt das Übernehmen von bestimmten Metadaten in die Metadaten-Spalte, was es wiederum ermöglicht, Dateien anhand dieser Metadaten zu filtern, Metadaten mit dem Befehl „Liste exportieren“ zu exportieren oder in Form einer Berichtstabelle mit dem Fallbericht auszugeben. Metadaten können extrahiert werden aus allen im Details-Modus speziell unterstützten Dateitypen sowie aus Windows-Link-Dateien (.lnk) und Windows-Prefetch-Dateien (.pf).

2) Erlaubt das Extrahieren von intern gespeicherten Erzeugungszeitstempeln aus OLE2-Compound-Dateien (z. B. MS-Office-Dokumente vor Version 2007), PDF, MDI, ASF, WMV, WMA, MOV, JPEG, THM, TIFF, PNG, GZ, GHO, PGP pubring.pkr keyring, IE Cookies, SHD Drucker-Spool, PF Prefetch, LNK-Shortcut und DocumentSummary alternativen Datenströmen. Diese Zeitstempel werden in der Spalte „Interne Erzeugung“ des Verzeichnis-Browsers angezeigt. Aus technischen Gründen ist dies für Dateien mit einem Löschdatum aus dem Dateisystem nicht möglich.

Metadaten bearbeiten

Erfordert eine forensische Lizenz. Erlaubt das Editieren des Metadatenfelds einer Datei, sobald Metadaten extrahiert wurden. Nützlich wenn Sie ausgewählte, aber nicht alle extrahierten Metadaten in einen Bericht ausgeben möchten.

Parallele Suche in Objekten, die im Verzeichnis-Browser ausgewählt sind

Markieren/Markierung aufheben

Erfordert eine forensische Lizenz. Visuelle Markierung können per Kontextmenü gesetzt und wieder aufgehoben werden. Das Erweitern des Datei-Überblicks kann auf markierte Dateien beschränkt werden.

Anzeige unterdrücken/Unterdrückung aufheben

Sie können im Verzeichnis-Browser ausgewählte Objekte oder alle im Datei-Überblick als markiert oder nicht markiert geführten Objekte unterdrücken, so daß sie, wenn tatsächlich ausgeblendet, im Verzeichnis-Browser nicht angezeigt werden und ausgeschlossen sind von der Galerie-Ansicht und von allen Befehlen im Kontextmenü des Verzeichnis-Browsers. Wenn Sie nur den Inhalt bestimmter Verzeichnisse auswerten möchten oder dürfen, können Sie anfangs alle Dateien in allen anderen Verzeichnissen unterdrücken, um das sicherzustellen. Das Erweitern des Datei-Überblicks kann auf nicht unterdrückte Dateien beschränkt werden. Tatsächlich ausgeblendet werden unterdrückte Objekte nur, wenn der entsprechende Filter in den Verzeichnis-Browser-Option eingeschaltet ist. Wenn Sie nicht ausgeblendet werden, werden sie in grau aufgelistet, und die Unterdrückung kann dann gezielt mit dem Kontextmenü des Verzeichnis-Browsers aufgehoben werden.

Wenn Sie Dateien mit identischem Inhalt nur einmal begutachten möchten und wenn Dateinamen, Zeitstempel, Löschzustand und andere Metadaten zunächst von sekundärer Bedeutung sind, können Sie den Befehl Anzeige unterdrücken | „Duplikate im Verzeichnis-Browser laut Hash“ verwenden, um doppelte Dateien im aufgelisteten Bereich des Datei-Überblicks basierend auf Hash-Werten (sofern berechnet) zu unterdrücken. Nur eine von zwei oder mehreren identischen Dateien wird nicht unterdrückt. Wenden Sie diesen Befehl nicht mehrfach auf die gleichen Dateien an, sonst werden womöglich alle identischen Dateien unterdrückt.

Wenn Sie später eine relevante Datei finden, für die es Duplikate gab, und Sie sich nun auch für diese Duplikate interessieren (z. B. deren Dateinamen, Pfade oder Zeitstempel), können Sie ein Hash-Set von dieser Datei erzeugen, um alle Duplikate bequem und automatisch zu identifizieren, indem Sie die Hash-Werte aller Dateien gegen dieses spezielle Hash-Set abgleichen und dann den Hash-Set-Filter verwenden.

In Suchtrefferlisten können Sie im Untermenü "Anzeige unterdrücken"

1. ausgewählte Suchtreffer permanent löschen,

2. doppelte Suchtreffer permanent löschen. Suchtreffer werden als identisch/doppelt eingestuft, wenn sie entweder den gleichen physischen Offset haben oder, falls kein physischer Offset angegeben ist, wenn ihr logischer Offset und die zugehörige interne Datei-ID gleich sind. Man darf sich nicht darauf verlassen, daß der vom Programm zum Löschen ausgewählte Suchtreffer der "weniger wertvolle" ist (aber das könnte in künftigen Versionen verbessert werden). Z. B. könnte ein Suchtreffer in einer gelöschten Datei namens "Lieferschein 28924.pdf" hilfreicher sein als in der virtuellen Datei "Freier Speicher", auch wenn es im Grunde derselbe Suchtreffer ist. Oder ein Treffer für "Meierhoff" könnte wertvoller sein als ein Treffer für "Meier".

Position

Die Gruppe der Kommandos im Positionsmenü ermöglicht Interaktionen mit den aktuell ausgewählten Dateien auf einer eher technischen Ebene. Es ermöglicht, den ersten Cluster einer Datei bzw. eines Verzeichnisses auf der Platte in der Sektoransicht direkt aufzusuchen, auf die Metainformationen wie MFT-Record in NTFS oder die Inode in Ext2/Ext3/Ext4 zuzugreifen und auch die Dateien nach ihrer physischen Rangfolge auf der Platte zu sortieren: "Nach Eintragsadresse sortieren" (FAT), "Nach Inode-Adresse sortieren" (Ext2/Ext3/Ext4) bzw. "Nach Record-Adresse sortieren" (NTFS) ermöglichen es, die Dateien und Verzeichnisse in der Reihenfolge zu sehen, in der diese physisch in den Datenstrukturen des Dateisystems (Verzeichniseinträge, die MFT oder die Inode-Tabellen) erscheinen.

Im Positionsmenü kann man sich außerdem eine Liste aller Cluster anzeigen lassen, die der gewählten Datei bzw. dem gewählten Verzeichnis zugeordnet sind. Diese Cluster-Liste kann per Kontextmenübefehl in eine Textdatei exportiert werden. Die Liste kann optional stark gekürzt und ihre Erstellung stark beschleunigt werden, indem die Cluster mitten in einem Fragment ausgelassen und durch Zeilen mit drei Punkten repräsentiert werden. Diese Option können Sie ebenfalls im Kontextmenü des Cluster-Listen-Fensters finden. Sie wirkt sich erst auf das nächste erzeugte Fenster aus.

Übergeordnetes Objekt aufsuchen: Navigiert zum Elternobjekt des gewählten Objekts und wählt es aus, genau wie das Drücken der Rücktaste. Dabei kann das Unterobjekt ein gewöhnliche Datei in einem Verzeichnis sein, oder eine E-Mail in einem E-Mail-Archiv oder ein Dateianhang zu einer E-Mail oder ein Bild in einem Dokument oder eine Datei in einem komprimierten Archiv usw.

In Suchtrefferlisten gibt es einen Befehl im Untermenü „Position“, der es ermöglicht, die Suchtrefferliste zu verlassen und Verzeichnis-Browser direkt zu der Datei, die den angeklickten Suchtreffer enthält, in ihrem jeweiligen Verzeichnis zu springen und somit auch den weiteren Inhalt dieses Verzeichnisses zu sehen.

Hash-Set erzeugen

Erzeugt ein Hash-Set der aktuell ausgewählten Dateien und Verzeichnisse und ihrer Unterverzeichnisse direkt in der internen Hash-Datenbank.

Externe Datei anhängen

Erfordert eine forensische Lizenz. Ermöglicht es, eine oder mehrere externe Dateien in den Datei-Überblick einzubinden und von X-Ways Forensics wie normale Dateien im Datei-Überblick weiter verarbeiten zu lassen. Nützlich, wenn Originaldateien z. B. übersetzt, konvertiert oder entschlüsselt werden müssen und das Ergebnis wieder in den ursprünglichen Datei-Überblick aufgenommen werden soll, im Originalpfad, zur weiteren Untersuchung, zur Aufnahme in den Bericht, zum Filtern, für Suchläufe usw. Nützlich auch für aus Videos extrahierte Standbilder. Sobald sie eingebunden sind, werden solche externen Dateien vollständig von X-Ways Forensics verwaltet und dazu im Metadaten-Verzeichnis aufbewahrt und im Datei-Überblick als virtuelle Dateien gekennzeichnet. Beim Anhängen einere einzigen Datei und Gedrückthalten der Umschalt-Taste schlägt X-Ways Forensics einen neuen Dateinamen vor, der auf dem Namen der ausgewählten Datei basiert, und die Datei wird im selben Verzeichnis eingefügt. Andererseits werden die externen Namen der Dateien übernommen, und die Dateien werden Unterobjekte des gewählten Objekts.

Umbenennen

Möglichkeit, virtuelle Verzeichnisse und virtuell angehängte Dateien im Datei-Überblick umzubenennen.

Drucken

Wenn die separate Viewer-Komponente aktiv ist, können Sie Dateien zum Drucken auswählen. Erlaubt es, mehrere ausgewählte Dokumente ohne Unterbrechung zu drucken und ohne Klicks nach jedem Dokument. Das optionale Deckblatt enthält Datum und Uhrzeit, an denen der Druckauftrag gestartet wurde, und ausgewählte Metainformationen wie Dateiname, Pfad, Asservatname, Dateigröße, Beschreibung, Zeitstempel, Kommentare usw. Das Deckblatt wird von X-Ways Forensics selbst gedruckt, die folgenden Seiten mit dem eigentlichen Dokument von der Viewer-Komponente. Eine weitere Möglichkeit ist, X-Ways Forensics den Dateinamen und Pfad oben auf die erste Seite drucken zu lassen. Diese Option ist nicht denselben Pfadlängenbeschränkungen unterworfen wie der optional von der Viewer-Komponente gedruckte Header. Um zu vermeiden, daß der Pfad auf der ersten Seite zweimal gedruckt wird, lassen Sie ihn entweder von X-Ways Forensics oder von der Viewer-Komponente drucken, nicht von beiden.

Treffer als wichtig kennzeichnen

Kennzeichnet in einer Suchtrefferliste ausgewählte Treffer mit einer gelben Flagge und fügt sie der Liste wichtiger Treffer hinzu. Sie können auch die Leertaste drücken, um einen Suchtreffer als wichtig zu kennzeichnen oder diese Kennzeichnung wieder aufzuheben.

Treffer permanent speichern

In einer Suchtrefferliste, die mit Index-Suchtreffern gefüllt ist, erlaubt dieser Befehl, ausgewählte Treffer permanent unter dem betreffenden Suchbegriff zu speichern. Standardmäßig werden Index-Suchtreffer nicht gespeichert, da sie ja wegen der Schnelligkeit von Index-Suchen ohnehin bei Bedarf in wenigen Sekunden erneut aufgelistet werden können.

Öffnen

Öffnet die aktuelle Datei bzw. bei Verzeichnissen die Datenstrukturen des Verzeichnisses in einem eigenen Datenfenster. Im Gegensatz zu Datei | Öffnen, wo Dateien wie in anderen Applikationen mit Hilfe des Betriebssystems geöffnet werden können, ist dies eine forensische einwandfreie Operation, da sie keinerlei Zeitstempel o. ä. im Dateisystem beeinflußt, weil das Betriebssystem übergangen wird und die Logik zum Lesen des Dateiinhalts aus den richtigen Datenträgersektoren in WinHex selbst für diverse Dateisystem implementiert ist. Allerdings können an Dateien, die auf diese Weise geöffnet wurden, keine Änderungen vorgenommen werden. Im Fall eines Verzeichnisses werden die Datenstrukturen des Verzeichnisses geöffnet.


Datei-Überblicke

Der Datei-Überblick ist eine Datenbank vom Inhalt eines Dateisystems zu einem bestimmten Zeitpunkt. Der Verzeichnisbaum und der Verzeichnis-Browser erlauben Einblicke in diese Datenbank. Basierend auf den zugrundeliegenden Dateisystem-Datenstrukturen besteht ein Datei-Überblick aus einem Datensatz pro Datei und Verzeichnis und speichert praktisch alle Metadaten (Name, Pfad, Größe, Zeitstempel, Attribute, ...), nur den Inhalt der Dateien nicht. Ein Datei-Überblick referenziert gewöhmlich sowohl existierende als auch vormals existierende (z. B. gelöschte) Dateien, auch virtuelle (künstlich definierte) Dateien, wenn diese für computerforensische Untersuchungen von Nutzen sind (so daß z. B. auch unbenutzte Bereiche eines Datenträgers abgedeckt werden). Operationen wie logische Suchen, Indexierung und alle Befehle im Kontextmenü des Verzeichnis-Browsers werden auf die Dateien und Verzeichnisse angewandt, wie sie im Datei-Überblick abgelegt sind. Wegen komprimierten Dateien und weil gelöschte Dateien und die virtuelle Datei "freier Speicher" mit denselben Clustern eines Dateisystems mehrfach verknüpft sein können, kann die Summer aller Dateien und Verzeichnisse in einem Datei-Überblick leicht die gesamte physische Größe des Datenträgers/der Partition übersteigen.

Ein Datei-Überblick wird gespeichert in Form einer Handvoll Dateien des Namens Volume*.dir, entweder im Ordner für temporäre Dateien oder (wenn mit einem Fall verbunden) im Metadaten-Verzeichnis des Asservats.

Das Specialist-Menü erlaubt es, den Standard-Datei-Überblick auf verschiedene Weisen anzureichern, zu erweitern. Erfordert eine Specialist- oder forensische Lizenz.

Dateisystem-Struktur-Suche besonders intensiv:

• FAT12/FAT16/FAT32: Diese Option sucht nach verwaisten Unterverzeichnissen, also Unterverzeichnissen, die von keinem anderen Verzeichnis mehr referenziert werden.

• NTFS: Diese Option sucht nach FILE-Records in Sektoren, die nicht der MFT in ihrer aktuellen Größe und Lage angehören. Solche FILE-Records können z. B. gefunden werden, wenn eine Partition neu erstellen, neu formatiert, verschoben, vergrößert, verkleinert oder defragmentiert wurde. Diese Option sucht mit einer forensischen Lizenz in einem zweiten und dritten Schritt außerdem in INDX-Puffern und in $LogFile nach Überbleibseln von Index-Records mit einem gewissen Mehrwert, die entweder frühere Namen oder Pfade von umbenannten/verschobenen Dateien/Verzeichnissen enthüllen, die im Datei-Überblick schon verzeichnet waren, oder gelöschte Dateien, die dem Datei-Überblick noch unbekannt waren (allerdings ohne zugehörige Dateiinhalte).

• ReiserFS, Reiser4: Sucht nach gelöschten Dateien (die in einem Standard-Datei-Überblick überhaupt nicht enthalten sind).

• UDF: Während die erste und die letzte Session auf einer Multisession-UDF-CD/-DVD automatisch aufgelistet werden, können weitere Sessions in der Mitte nur mit dieser Option gefunden werden.

• CDFS: In den meisten Fällen werden alle Sessions auf Multisession-CD/DVDs automatisch gefunden. In Ausnahmefällen (z. B. wenn CDFS zeitgleich zu UDF existiert oder die Abstände zwischen den Sessions ungewöhnlich groß sind), können hiermit weitere Sessions hinter der ersten gefunden werden.

• andere Dateisysteme: kein Unterschied zum Standard-Datei-Überblick

Das intensive Suchen nach Dateisystem-Datenstrukturen ist eine potentiell lang andauernde Operation, abhängig von der Größe der Partition, und aus diesem Grund nicht Teil der Standardprozedur beim Öffnen von Partitionen.

Die Option »Datei-Header-Signatur-Suche« hilft, solche Dateien in den Datei-Überblick aufzunehmen, die im freien oder belegten Laufwerksspeicher nur noch anhand ihrer Datei-Header-Signatur gefunden werden können und nicht mehr von Dateisystem-Datenstrukturen referenziert werden. Dazu werden Sie gefragt, welche bestimmten Dateitypen erkannt werden sollen, welche Standardgröße verwendet werden soll, welcher Präfix für den Ausgabenamen verwendet werden sollen usw., wie von Dateien retten nach Typ bekannt (Details s. dort und in den Dateityp-Definitionen). Dateien, die mit dieser Methode gefunden werden, werden nur dann in den Datei-Überblick aufgenommen, wenn es noch keine andere Datei im Datei-Überblick mit derselben Startsektornummer gibt, um Doppelungen zu vermeiden. Dateien werden mit dieser Methode mit einem generischen Namen und der Größe wie sie vom Mechanismus »Dateien retten nach Typ« erkannt ausgegeben. Wenn auf eine physische, partitionierte Asservate angewandt, werden nur unpartitionierte Bereiche und Partitionslücken nach Signaturen durchsucht, und grundsätzlich an Sektorgrenzen, da die Partitionen als separate, zusätzliche Asservate behandelt werden.

Es können Hash-Werte für Dateien im Datei-Überblick berechnet werden. Zusätzlich erlauben es forensische Lizenzen, Hash-Werte mit individuell ausgewählten (oder einfach allen) Hash-Sets in der internen Hash-Datenbank abzugleichen. Der dynamische Filter kann dann anschließend eingesetzt werden, um bekanntermaßen irrelevante Dateien auszublenden. Mit Hilfe der Hash-Datenbank als irrelevant erkannte Dateien werden außerdem von der weiteren Bearbeitung bei der Erweiterung des Datei-Überblicks ausgeschlossen, wenn die entsprechende Option gewählt ist, was u. a. Zeit spart.

Eine forensische Lizenz erlaubt es, Hash-Werte, die bereits früher berechnet wurden oder aus einem Container importiert wurden, zu überprüfen. Das Ergebnis wird ins Nachrichtenfenster ausgegeben. Dateien, deren aktueller Hash-Wert nicht mit dem usprünglich berechneten übereinstimmt, werden einer besonderen Berichtstabelle zugeordnet, so daß man sie sich bequem auflisten lassen kann. Das erneute Ausführen der Hashing-Option beim Erweitern des Datei-Überblicks aktualisiert nie die Hash-Werte, die bereits zuvor für Dateien im Datei-Überblick berechnet wurden.

Eine forensische Lizenz erlaubt es, Dateitypen u. a. anhand von Signaturen (auch mit Hilfe weiterer Algorithmen) zu überprüfen, d. h. Dateinamens-/Dateityp-Unstimmigkeiten in allen Dateien im Datei-Überblick aufzudecken außer denen, deren ursprünglicher erster Cluster bekanntermaßen nicht mehr verfügbar ist. Wenn z. B. jemand ein belastendes JPEG-Bild durch Umbenennen in "Rechnung.xls" (falsche Dateiendung) versteckt hat, wird der erkannte Dateityp "jpg" in der Spalte "Typ" des Verzeichnis-Browsers angezeigt. Weitere Informationen finden Sie in den Beschreibungen der Spalten Typ und Status. Die Dateisignaturen und Namensendungen, die für die Erkennung von Unstimmigkeiten verwendet werden, sind in den begleitenden Dateityp-Definitionsdateien definiert, die Sie nach Ihren Bedürfnissen anpassen können. Es ist die gleiche Datenbank, die auch die Grundlage für die Datei-Header-Signatur-Suche ist. Bitte beachten Sie, daß die Verbindung zwischen den gegenwärtig in einem freien Cluster gespeicherten Daten und einer gelöschten Datei, die dort mal gespeichert war, und deren Namen schwach ist, so daß allein schon deshalb eine Divergenz zwischen Dateiendung und erkanntem Typ bestehen kann, weil einfach nur der erste Cluster einer gelöschten Datei in der Zwischenzeit für eine ganz andere Datei wiederverwendet wurde. Wenn Sie die Dateityp-Überprüfung wiederholen möchten, z. B. weil Sie die Dateityp-Signatur-Datenbank bearbeitet haben, müssen Sie die Option "Erneut" wählen.

Selbstextrahierende .exe-Archive, wie von WinZip (getestet mit v9.0 und v11.0), WinZip Self-Extractor (getestet mit v2.2 und v3.1), WinRAR (Typen GUI und Console, Zip- und RAR-Kompression, getestet mit v3.0, v3.3, v3.62 und v3.7 Beta), 7-Zip (Non-GUI-SFX, getestet mit v4.42) und WinACE (getestet mit SFX-Factory 2.64) erstellt werden, werden intern ebenfalls bei der Signaturprüfung erkannt. Sie werden klassifiziert als Dateityp "sfx" und der Kategorie "Archives" zugewiesen. Diese Dateien manuell zu überprüfen verhindert, daß komprimierte Dateien in solchen Archiven in einer Untersuchung völlig übersehen werden. .exe-Archive mit Zip-Kompression können im Vorschaumodus eingesehen werden. Andere selbstextrahierende Archive müßten aus dem Asservat herauskopiert und mit einem geeigneten Tool wie WinRAR oder 7-Zip geöffnet werden.

Die Signaturprüfung enttarnt auch MS-Office-Hybrid-Dateien, d. h. verschmolzene MS-Word- und MS-Excel-Dokumente, die in beiden Applikationen geöffnet werden können und jeweils unterschiedliche Inhalte zeigen. Ein Hinweis darauf wird im Nachrichtenfenster angezeigt, und alle detektierten Dateien werden einer besonderen Berichtstabelle hinzugefügt. MS-Office-Hybrid-Dateien sind ein cleverer Versuch, den Inhalt eines der verschmolzenen Dokumente zu verstecken.

Mit einer forensischen Lizenz kann der Inhalt von ZIP-, RAR-, ARJ-, GZ-, TAR-, 7Zip- und BZIP-Archiven in den Datei-Überblick aufgenommen werden, so daß Dateien in solchen Archiven separat aufgelistet, eingesehen, nach Stichwörtern durchsucht werden können usw., in ihrem dekomprimierten Zustand, sofern die Archive nicht verschlüsselt sind. Theoretisch gibt es kein Limit für die Verschachtelungstiefe, die verarbeitet werden kann (also Archive in Archiven in Archiven...). Wenn die Dateien in einem Archiv verschlüsselt sind, werden sie mit einem "e" in der Attributspalte gekennzeichnet und das Archiv selbst mit "e!". Das ermöglicht es, solche Dateien effizient mit dem Attributfilter zu finden. Auch Office-Dokumente können Zip-Archive sein und werden dann auf diese Weise behandelt.

Beachten Sie, daß Sie zur korrekten Verarbeitung von Dateinamen mit echten Unicode-Zeichen in Zip-Archiven in den Falleigenschaften erst die richtige Codepage angeben müssen. Z. B. ist das für Zip-Archive, die unter Linux erstellt wurden, wahrscheinlich UTF-8. Für Zip-Archive, die im asiatischen Raum unter Windows erstellt wurden, ist das wahrscheinlich diejenige Codepage, die für das jeweilige Land typisch ist.

Eine forensische Lizenz erlaubt es, E-Mails und Dateianhänge von E-Mails einzeln aufzulisten und zu untersuchen, die enthalten sind in Dateien folgender Formate: Outlook Personal Storage (.pst), Outlook Message (.msg), Outlook Template (.oft), Outlook Express (versions 4, 5, and 6, .dbx), AOL-PFC-Dateien, Mozilla Mailbox (including Netscape and Thunderbird), Generic Mailbox (mbox, Berkeley mail format, BSD mail format, Unix mail format), Eudora Mailbox (.toc and .mbx), PocoMail and Barca Mailbox (.idx and .mbx), Opera Mailbox (.mbs), Forte Agent (.idx), The Bat! (.msb and .tbb), Pegasus (.pmi, .pmm, and .cnm), PMMail Message-Dateien (.msg), FoxMail (.box), Maildir-Folders (lokale Kopien), Mailbag Assistant (.mbg), MHT Web Archive (.mht) und E-mail Examiner (.pmx). Standardmäßig versucht X-Ways Forensics, E-Mails aus solchen Dateien zu extrahieren, deren Name oder Typ folgender Dateinamensmaske entspricht:

*.pst;*.dbx;*.pfc;*.mbox;*.mbx;*.mbs;*.msb;*.tbb;*.pmi;*.pmm;*.cnm;*.mbg;*.mht;*.pmx;*.msg.

Die Zeitangabe in der "Date:"-Zeile im Header einer E-Mail (wenn begleitet von einer Zeitzonenanzeige wie -0700 oder +0200) wird als Erzeugungsdatum und -zeit ausgegeben. Die Zeitangabe in der Zeile "Delivery-Date:" wird das Datum und Uhrzeit der letzte Änderung angezeigt.

Alle Datei-Anhänge und eingebettete Dateien werden in ebenfalls extrahiert, und werden im Datei-Überblick normalerweise zu Unterobjekten der jeweils enthaltenden E-Mail. Alle extrahierten E-Mails und Anhänge liegen tatsächlich im Metadaten-Verzeichnis des Asservats und benötigen u. U. viel Plattenplatz. Optional können Datei-Anhänge zusätzlich auch direkt in die aufgelisteten .eml-Dateien aufgenommen werden. Dies erlaubt es, in HTML-Mails eingebettete Bilder direkt zu sehen, wird aber nicht empfohlen, weil diese Extraktion länger dauer, mehr Plattenplatz belegt und das Indexieren aufgrund der Base64-Codierung unnötigerweise verlangsamt. Diese Option hat keinen Einfluß auf die Verarbeitung von AOL-PFC-Dateien. Weil viele Benutzer diese Option blind einzuschalten scheinen, ohne sie tatsächlich zu benötigen und ohne die Auswirkungen zu verstehen, trotz der zusätzlichen Bestätigungsabfrage, wird die Option in künftigen Versionen wahrscheinlich entfernt.

Weitere Details

Mit einer forensischen Lizenz können Sie JPEG- und PNG-Bilder innerhalb Dokumenten wie MS Word, PDF, MS PowerPoint, MS Excel sowie in MP3-Dateien und thumbs.db-Miniaturbild-Sammlungen suchen lassen (*.doc;*.pdf;*.ppt;*.pps;*.xls;*.ole2;*.mp3;*.jpg;thumb*.db). Solche Bilder können anhand Ihrer Dateiheader-Signatur gefunden werden und werden mit generischen Namen aufgelistet (»Embedded 1...jpg«, »Embedded 2...png«, usw). Die Trägerdokumente werden zusätzlich als virtuelle Verzeichnisse aufgelistet, damit die darin enthaltenen Bilder bequem eingesehen werden können. Die Bilder sind evtl. nicht vollständig oder korrekt sichtbar und ggf. auf Hautfarben untersuchbar, wenn sie im Trägerdokument fragmentiert gespeichert sind. Wenn *.jpg eine der angegebenen Namensmasken ist, können Sie mit dieser Funktion auch JPEG-Miniaturansichten finden, die in JPEG-Bildern enthalten sind. Nur ein JPEG-Bild wird pro JPEG-Datei gesucht. Ein solches JPEG-Bild wird als virtuelle Dateien mit dem Originaldateinamen und dem Namenszusatz "Thumbnail" aufgelistet. Thumbnails in bestimmten alten "thumbs.db"-Dateien können nicht korrekt angezeigt werden. Solche thumbs.db-Dateien werden einer Berichtstabelle namens "Unsupported thumbs.db" zugeordnet und können z. B. mit dem frei verfügbaren Programm "DM Thumbs" von GreenSpot Technologies Ltd. eingesehen werden.

Diese Funktion sucht außerdem nach .emf-Dateien, die in mehrseitigen Ausdrucken (.spl-Spool-Dateien) enthalten sind, und listet sie auf. .spl-Dateien, die nur eine einzige .emf-Datei enthalten, können direkt mit der Viewer-Komponente eingesehen werden.

Eine forensische Lizenz erlaubt es, JPEG-Bilder aus Video-Dateien zu extrahieren, in benutzerdefinierten Zeitabständen (z. B. alle 20 Sekunden). Diese Funktionalität wird angewandt auf Dateien, deren Typ auf die angegebene Reihe von Dateimasken paßt. Erfordert ein externes Programm, entweder MPlayer oder Forensic Framer, und kann nur auf Asservate angewandt werden. Bilder können aus allen Video-Formaten und Codecs extrahiert werden, die von MPlayer unterstützt werden. Nützlich, wenn Sie viele Videos auf unangemessenen oder illegalen Inhalt hin überprüfen müssen (z. B. Kinderpornographie). Das Extrahieren von Bildern reduziert die Datenmenge erheblich, und das Betrachten der Bilder in der Galerie ist viel schneller und bequemer als ein Video nach dem anderen anzusehen. Der potentiell zeitaufwendige Extraktionsprozeß kann unbeaufsichtigt ablaufen, z. B. über Nacht. Auch nützlich, wenn Sie extrahierte Bilder in einem Bericht unterbringen möchten. Das erste extrahierte Bild kann optional gleichzeitig als Vorschau für das Video im Vorschaumodus und in der Galerie dienen. ASF/WMV-Videos, die mit DRM geschützt sind, können nicht verarbeitet werden und werden konsequenterweise in der Attributsspalte mit e! gekennzeichnet. Daß Sie während der Extraktion gelegentlich kurz Sound aus den Videos hören, ist normal. Bitte schalten Sie die Tonwiedergabe Ihres Computers ab, wenn Sie dies vermeiden möchten. Beachten Sie, daß Sie bei einem kleinen Zeitintervall (wie etwas weniger als 5 Sekunden) nicht notwendigerweise weitere Bilder erhalten. Das hängt von der Art der Codierung/Kompression des Videos ab. Identische Standbilder werden bei der Extraktion mit MPlayer nicht in den Datei-Überblick übernommen.

Des weiteren ermöglicht es eine forensische Lizenz, den Hautfarbenanteil in Bildern in Prozent zu berechnen sowie Schwarz-Weiß-Bilder zu erkennen. Dies kann für die Dateitypen JPEG, PNG, GIF, TIFF, BMP, PSD, HDR, PSP, SGI, PCX, CUT, PNM/PBM/PGM/PPM, ICO geschehen. Wenn ein Ermittler nach Spuren von Kinderpornographie suchen muß, kann das Sortieren aller Bilder nach Hautfarbenanteil (HFA) absteigend die Arbeit stark beschleunigen, weil es das Prüfen der großen Masse von Bildern mit 0-9% HFA (z. B. zig tausende kleine Grafiken im Browser-Cache) und die am wahrscheinlichsten belastenden Bilder ganz oben in der Liste angezeigt werden. Bitte beachten Sie, daß es falsche Treffer geben kann, also hautartige Farben auf einer Oberfläche, die keine Haut ist. Das Erkennen von Schwarz-Weiß- und Graustufen-Bildern ist nützlich, wenn nach elektronisch gespeicherten Faxen und eingescannten Dokumenten gesucht werden soll. Bilder, die nicht erfolgreich auf ihre Farbzusammensetzung Hautfarben überprüft werden können, da z. B. zu groß oder defekte), werden mit einem Fragezeichen aufgelistet. Besonders kleinformatige Bilder (Höhe oder Breite nicht größer als 8 Pixel, oder Höhe und Breite nicht größer als jeweils 16 Pixel) werden als unerheblich klassifiziert, basierend auf der Annahme, daß sie weder belastenden pornographischen Inhalts noch Dokumente sein können.

Eine forensische Lizenz erlaubt es, optional dateiformatspezifische und statistische Verschlüsselungstests durchzuführen. Mit einem Entropietest werden alle existierenden Dateien, die mind. 256 Byte groß sind, darauf geprüft, ob sie möglicherweise vollverschlüsselt sind. Wenn der Test positiv ist (die Entropie einen bestimmten Schwellwert überschreitet), wird die betreffende Datei mit dem Hinweis "e?" in der Attributsspalte versehen, um anzuzeigen, daß sie möglicherweise besondere Aufmerksamkeit verdient. Typisches Beispiel: Verschlüsselte Container-Dateien, die von Verschlüsselungsprogrammen wie PGP Desktop, BestCrypt oder DriveCrypt als Laufwerksbuchstabe geladen werden können. Der Entropietest wird nicht angewandt auf Dateien vom Typ ZIP, RAR, TAR, GZ, BZ, 7Z, ARJ, CAB, JPG, PNG, GIF, TIF, MPG oder SWF, von denen bekannt ist, daß sie intern komprimiert sind und damit eine ähnlich hohe Entropie aufweisen wie Zufallsdaten und verschlüsselte Daten. Dieser Test wird nicht benötigt, um festzustellen, daß Dateien auf NTFS-Dateisystemebene oder innerhalb von Archiven verschlüsselt sind. Der zweite Test prüft Dateien mit den Endungen/Typen .doc (MS Word 4...2003), .xls (MS Excel 2...2003), .ppt, .pps (MS PowerPoint 97-2003), .mpp (MS Project 98-2003), .pst (MS Outlook), .odt (OpenOffice2 Writer) und .pdf (Adobe Acrobat) auf dateiformatspezifische Verschlüsselung, MS-Office-Dokumente auch auf Schutz durch angewandtes digitales Rechtemanagement (DRM). Wenn der Befund positiv ist, werden diese Dateien mit dem Hinweis "e!" in der Attributsspalte versehen. Dieser Test erfordert, daß die separate Viewer-Komponente aktiv ist.

Sollte X-Ways Forensics während dieser Operation einfrieren, denken Sie daran, daß die interne ID und er Name der zuletzt bearbeiteten Datei in den kleinen Fortschrittsanzeigefenster angezeigt werden. Wenn diese Operation auf ein Asservat angewandt wird und X-Ways Forensics während dessen bei einer bestimmten Datei abstürzen, wird Ihnen beim Neustart des Programms die betreffende Datei mitgeteilt, und die Datei wird einer Berichtstabelle hinzugefügt. Das hängt von den Sicherheitsoptionen ab. All dies geschieht, damit Sie eine solche Datei ggf. unterdrücken und so bei einem nochmaligen Versuch auslassen können.

Wechselseitige Abhängigkeiten

Es gibt verschiedene Interdependenzen zwischen all diese Operationen. Z. B., wenn die Inhalte eines Archivs in dem Datei-Überblick aufgenommen werden, können sich unter diesen Dateien Bilder befinden, die auf Hautfarben geprüft werden sollen, oder Dokumente, die auf Verschlüsselung zu testen sind. Sie können mit der Prämisse arbeiten, daß wenn im Rahmen von "Datei-Überblick erweitern" eine zusätzliche Datei in den Datei-Überblick aufgenommen oder ihr wahrer Typ erkannt wird, auch alle sinnvollen anderen Operationen auf diese Datei angewandt werden, sofern sie gewählt sind.

Es könnte jemand auf die Idee kommen, ein belastendes JPEG-Bild zu verbergen, indem er es in ein MS-Word-Dokument einbettet, diese .doc-Datei umbenennt in .dll, sie in einem Zip-Archiv komprimiert, das Zip-Archiv in .dll umbenennt, das falsch benannte Zip-Archiv in ein weiteres Zip-Archiv packt, dieses wiederum in .dll umbennt und diese .dll-Datei als E-Mail-Attachment per MS Outlook verschickt. Wenn die jeweiligen Optionen in "Datei-Überblick erweitern" alle gewählt sind, macht X-Ways Forensics Folgendes: Es extrahiert den E-Mail-Anhang aus dem PST-E-Mail-Archiv. Es erkennt, daß die .dll genannte Datei eigentlich ein Zip-Archiv ist. Dann nimmt es den Inhalt dieses Archivs in den Datei-Überblick auf, nämlich eine Datei mit der Endung .dll. Diese Datei wird als ein weiteres Zip-Archiv erkannt. Konsequenterweise wird auch dieses Archiv erkundet, und die .dll-Datei darin als MS-Word-Dokument erkannt. Bei der Suche nach eingebetteten Bildern findet X-Ways Forensics die JPEG-Datei in der .doc-Datei und sie wenn gewünscht sofort auf Hautfarben überprüfen. All dies geschieht in einem einzigen Schritt. Wahnsinn.

X-Ways Forensics merkt sich, welche Operationen schon auf welche Dateien angewandt wurden, so daß bei einem weiteren Durchlauf Zeit gespart wird.. Sollten Sie aus irgendeinem Grund dieselbe Operation noch ein weiteres Mal auf dieselbe Datei anwenden wollen, können Sie die Datei auswählen und mit Strg+Entf auf den Zustand "noch zu bearbeiten" zurücksetzen. Diese Funktion löscht keine bereits extrahierten Unterobjekte. Dies muß bei Bedarf vom Benutzer erledigt werden.


Viewer-Programme

Hier können Sie die separate Viewer-Komponente aktivieren und den Pfad angeben, wo sie zu finden ist (standardmäßig im Unterverzeichnis ..\viewer). Sie können entscheiden, daß sie auch für die Anzeige von Bildern verwandt werden soll (was nützlich ist, wenn Sie Bilder häufig drucken, da die interne Bildanzeige nicht drucken kann). Sie können Ihren Lieblings-Text-Editor angeben und ein HTML-Betrachtungsprogramm. Letzteres kann etwa MS Word oder NVU sein, d. h. ein Programm, mit dem Sie HTML-Fallberichte, wie von X-Ways Forensics automatisch erzeugt, weiter bearbeiten können. Zum bloßen Ansehen und Ausdrucken ist der Internet Explorer zu empfehlen.

Sie können hier auch den Pfad der .exe-Datei des MPlayer (getestet mit Version 1.0rc2, Nicht-GUI-Version, auch zugehöriges Codecs-Package herunterladen und ins Unterverzeichnis "codecs" von MPlayer extrahieren) oder Forensic Framer angeben, zwei Programme, die X-Ways Forensics das Extrahieren von Bildern aus Videos ermöglichen. Wenn mplayer.exe in einem Unterverzeichnis \MPlayer unterhalb des Installationsverzeichnisses von X-Ways Forensics gefunden wird, wird es automatisch als Videoextraktionsprogramm und auch als externes Betrachtungsprogramm eingestellt. Bitte beachten Sie, daß wir für externe Programme keinen Support bieten können.

Es können auch mehrere benutzerdefinierte Betrachtungsprogramme angegeben werden, die direkt aus X-Ways Forensics heraus über das Verzeichnis-Browser-Kontextmenü aufgerufen werden können. Des weiteren können Sie angeben, welche Dateitypen Sie gern mit den Programmen ansehen möchten, die in Ihrem Windows-System mit den jeweiligen Dateiendungen verknüpft sind, typischerweise Dateitypen, die die separate Viewer-Komponente nicht unterstützt.


RAID-System zusammensetzen

Menübefehl im Specialist-Menü.

WinHex kann RAID-Systeme der Level 0 und 5 intern zusammenführen ("destripe"), die aus bis zu 16 Komponenten bestehen (physische Festplatten oder Sicherungen). Auf diese Weise ist es nicht erforderlich, RAID-Systeme mit Hilfe eines Scripts zusammenzuführen und in eine Image-Datei zu exportieren, was Zeit und Plattenplatz spart. Stellen Sie sicher, daß Komponenten, die in Form von Sicherungsdateien (Images) vorliegen, bereits geöffnet und interpretiert sind, wenn Sie diese Funktion aufrufen. Sie müssen die Komponenten in der richtigen Reihenfolge angeben. WinHex läßt Sie die Blockgröße in Sektoren ("stripe size", oftmals 128 or eine andere Potenz von 2 wie 32, 64, 256) angeben sowie individuelle RAID-Header-Größen pro Komponente (normalerweise einfach 0). Daß entweder Komponentenreihenfolge, Blockgröße, Verteilungsmuster oder RAID-Header-Größe nicht korrekt von Ihnen ausgewählt wurden, erkennen Sie normalerweise daran, daß keine Partitionen erkannt werden oder Partitionen mit unbekannten Dateisystemen oder mit Dateisystemen, die nicht richtig interpretiert werden.

Wenn Sie zusammengesetztes RAID-System einem Fall hinzufügen (und optional daraus geöffnete Partitionen), werden die gewählten RAID-Parameter zusammen mit dem Asservat gesichert, so daß Sie auf das RAID-System zu einem späteren Zeitpunkt ohne Zeitverlust erneut zugreifen können (nur forensische Lizenzen).

RAID Level 5 wird von verschiedenen RAID-Controller-Herstellern in unterschiedlicher Weise implementiert, d. h. sie verwenden unterschiedliche Stripe-/Parity-Muster. Die unterstützten Muster sind die folgenden:

Backward Parity aka Left Asynchronous (Adaptec)

Component 1:  1  3  P

Component 2:  2  P  5

Component 3:  P  4  6

Backward Dynamic Parity aka Left Synchronous (AMI and Linux standard)

Component 1:  1  5  9  P

Component 2:  2  6  P  10

Component 3:  3  P  7  11

Component 4:  P  4  8  12

Backward Delayed Parity (HP/Compaq)

Component 1:  1  3  5  7   9   11  13  15

Component 2:  2  4  6  8   P   P   P   P

Component 3:  P  P  P  P   10  12  14  16

Forward Parity (aka Right Asynchronous)

Component 1:  P  3  5

Component 2:  1  P  6

Component 3:  2  4  P

Forward Dynamic Parity (aka Right Synchronous)

Component 1:  P  6  8  10

Component 2:  1  P  9  11

Component 3:  2  4  P  12

Component 4:  3  5  7  P

Die Parity-Startkomponente kann erforderlichenfalls anders definiert werden. Um beim gewählten Standardmuster zu bleiben, belassen Sie diesen Wert auf 0. Um eine Nicht-Standard-Parity-Startkomponente festzulegen, geben Sie die Nummer der Komponente an, auf der sich das Parity zuerst befindet (von 1 an gezählt).

Der Verzug (Delay), mit dem das Parity sich bei HP/Compaq-Controllern rückwärts bewegt, beträgt meistens 4 oder 16, ist aber frei konfigurierbar.

Wenn eine der RAID-Komponentenplatten nicht verfügbar ist, können Sie ein RAID-5-System dennoch zusammensetzen, weil eine Komponente redundant ist. Wählen Sie einfach behelfsweise einen Ersatz (eine der anderen, verfügbaren Komponenten desselben RAID-Systems) als fehlende Komponente aus und kennzeichnen Sie sie als fehlend.


Container über Umweg befüllen
Optional können Dateien einem Container nur über den Umweg der eigenen Festplatte hinzugefügt werden. Das heißt, sie werden nicht direkt in den Container kopiert, sondern zunächst in das Verzeichnis für temporäre Dateien (s. Allg. Optionen), und dann erst von dort in den Container. Das hat den Vorteil, daß ein aktives Virenschutzprogramm die Gelegenheit hat, die Dateien zu prüfen, unschädlich zu machen, umzubenennen, zu verschieben, zu löschen, zu sperren usw. Es kann also verhindern, daß die Dateien in den Container gelangen. Der Container bleibt dann mit hoher Gewißheit virenfrei und kann in verantwortlicher Weise in einer Umgebung mit höheren Sicherheitsanforderungen weitergegeben werden.


Zeitzonen-Konzept

Folgendes gilt für WinHex und X-Ways Forensics, wenn die Software mit einer Specialist- oder forensischen Lizenz betrieben wird.

X-Ways Forensics bedient sich nicht der Windows-Logik, sondern seiner eigenen Logik, um UTC-Zeiten in Ortszeiten umzurechnen. Es zeigt Zeitstempel unabhängig von der in der Windows-Systemsteuerung des Untersuchungssystems eingestellten Zeitzone an. Die Anzeige von Zeiten in X-Ways Forensics und Windows kann sich unterscheiden weil Windows Zeitangaben in der Sommerzeit nicht basierend auf Sommerzeit anzeigt, wenn zum Zeitpunkt der Anzeige Winterzeit gilt.

Beim Arbeiten mit einem Fall, gilt die für diesen Fall eingestellte Zeitzone global für das gesamte Programm (wählbar in in den Falleigenschaften), ansonsten die Zeitzone, die in den Allgemeinen Optionen eingestellt ist. Beim Arbeiten mit einem Fall ist es optional möglich, unterschiedliche Zeitzonen für verschiedene Asservate einzustellen, so daß Sie immer Ortszeiten sehen selbst für Datenträger, die in unterschiedlichen Zeitzonen verwendet wurden, wenn Sie dies vorziehen. Beachten Sie, daß die Zeitstempel nur für die Anzeige umgerechnet werden. Das heißt, in einer rekursiven Ansicht im Asservat-Überblick, der mehrere Datenträger enthält, hängt eine etwaige Sortierung nach Zeiten immer noch von absoluten UTC-Zeiten ab. Optional können Sie direkt im Verzeichnis-Browser bei jeder Zeitangabe sehen, wie viele Stunden tatsächlich für die Umrechnung in Ortszeit zu UTC addiert oder von UTC subtrahiert wurden (s. Verzeichnis-Browser-Optionen).

Zeitstempel auf FAT-Partitionen werden nie umgerechnet, da diese nicht in UTC gespeichert sind, sondern auf einer oder mehreren unbekannten lokalen Zeitzonen basieren.

Berichtstabellen werden mit Zeitangaben in Ortszeit ausgegeben.

Die Definition der Zeitzonen kann bei Bedarf angepaßt werden. Bitte beachten Sie, daß das Ändern der Definitionen egal in welchem Dialogfenster die Definition der Zeitzonen im gesamten Programm betrifft.

WinHex und X-Ways Forensics verwenden noch immer die Standard-Windows-Umrechnungslogik, die von der Zeitzone abhängt, die in der Systemsteuerung des Benutzers eingestellt ist, ...

- in Datei | Eigenschaften, wo Zeitstempel von Dateien auf den System des Benutzers selbst abgefragt und geändert werden können,

- für die Protokollierung der Fallbearbeiten,

- allgemein wenn nicht mit Specialist- oder forensischer Lizenz betrieben, und

- wenn ohne die Datei "timezone.dat" betrieben.

Daß eine der beiden letzten Bedingungen zutrifft, können Sie daran sehen, daß der Schalter »Anzeige-Zeitzone« im Dialogfenster Allgemeinen Optionen nicht sichtbar ist oder grau angezeigt wird.


Verzeichnis-Browser-Spalten
Verzeichnis-Browser-Spalten/-Filter

Die meisten Filter und viele Spalten sind nur mit forensischer Lizenz verfügbar.

1. Name: Name der aufgelisteten Datei oder des aufgelisteten Verzeichnisses. Erlaubt das Filtern anhand einer oder mehrerer Dateinamensmasken, einer pro Zeile, wobei eine Dateinamensmaske ein vollständiger Dateiname sein kann oder ein Teil des Names. Im Fall eines Namensteils muß der fehlende Teil durch ein Sternchen ersetzt werden, wie z. B. "*.jpg". Bis zu zwei Sternchen pro Maske sind erlaubt, wenn sie an ihrem Anfang und ihrem Ende vorkommen. Ausschließen können Sie Dateien mit einer Maske, die mit einem Doppelpunkt (:) beginnt. Beispiel: Alle Dateien mit Namen, die mit "A" anfangen und nicht das Wort "Garten" enthalten: "A*" in einer Zeile und ":*Garten*" in einer weiteren Zeile.

Wenn mehrere positive Ausdrücke angegeben werden, werden sie logisch mit einem ODER verknüpft; negative Ausdrücke (:) mit einem UND.

Dieser Filter ist nützlich, wenn Sie eine Liste relevanter Dateinamen oder Stichwörter haben und schnell herausfinden möchten, ob Dateien mit solchen Namen vorhanden sind.

2. Erw.: Dateinamenserweiterung/Dateiendung. Der Teil des Dateinamens, der dem letzten Punkt folgt, sofern vorhanden.

3. Typ (nur forensische Lizenz): Wenn die Header-Signatur einer Datei nicht gezielt überprüft wurde (s. Datei-Überblick erweitern), ist diese Spalte bloß eine Wiederholung der Dateiendung und wird grau angezeigt. Andernfalls, wenn die Prüfung der Dateisignatur die wahre Natur der Datei enthüllt hat, wird eine typische Endung dieses Dateiformats ausgegeben. Diese Endung wird in Schwarz angezeigt, wenn sie identisch ist mit der tatsächlichen Endung im Dateinamen, oder in Blau, wenn die tatsächliche Endung nicht mit dem Typ der Datei übereinstimmt. Ein komfortabler Filter kann für diese Spalte aktiviert werden.

4. Status (nur forensische Lizenz): Der Status der vorangehenden Dateityp-Spalte. Anfänglich „nicht geprüft”. Nach der Dateisignatur-Überprüfung (im Rahmen einer Datei-Überblickserweiterung oder des Laden einer Datei in die Vorschau oder Galerie) gilt: Wenn eine Datei sehr klein ist (wenige Bytes groß), ist der Status „unerheblich“. Wenn weder die Dateiendung noch die Signatur in der Dateitypsignatur-Datenbank aufgeführt ist, lautet der Status „nicht verzeichnet”. Wenn die Signatur laut Datenbank zu der Endung paßt, ist der Status „bestätigt”. Wenn die Endung in der Datenbank aufgeführt ist, aber die Signatur unbekannt ist, sehen Sie als Status „nicht bestätigt”. Wenn sowohl Signatur als auch Endung der Datenbank bekannt sind, beide aber zu unterschiedlichen Dateitypen gehören, die Datei also aus Sicht der Datenbank eine falsche Endung hat, oder es keine Endung im Dateinamen gibt, aber die Signatur bekannt ist, ist der Status „neu erkannt”. Filter verfügbar.

5. Typbeschreibung (nur forensische Lizenz): Zeigt den Namen des zugehörigen Anwendungsprogramms an, wofür die Dateiendung eine Abkürzung ist o. ä., je nach Angabe in File Type Categories.txt. Wenn dieselbe Dateiendung mehrfach in der Definitionsdatei vorkommt, werden all ihre Bedeutungen aufgelistet. Z. B. kann .pm ein Perl-Modul sein, ein PageMaker-Dokument, eine Pegasus-Datei oder eine X11-Pixmap-Datei.

6. Kategorie (nur forensische Lizenz): Dateityp-Kategorie, zu der der Dateityp gehört, gemäß Definition in "File Type Categories.txt" (s. u.). Filter verfügbar. Sollte derselbe Dateityp bzw. dieselbe Dateiendung mehrfach definiert sein und zu unterschiedlichen Kategorien gehören, wird jeweils nur eine Kategorie angezeigt. Der Kategoriefilter funktioniert jedoch trotzdem.

7. Asservat (nur forensische Lizenz): Der Name des Asservats, dessen Teil die Datei oder das Verzeichnis ist. Nützlich in einem rekursiv erkundeten Asservatüberblick, wenn also der Verzeichnis-Browser alle Dateien aus allen Asservaten zeigt.

8. Pfad: Pfad der Datei oder des Verzeichnisses. Fängt mit einem umgekehrten Schrägstrich an, relativ zum Stammverzeichnis des Dateisystems. Filter verfügbar. Der Filterausdruck wird als Teilwort interpretiert, der auf einen beliebigen Teil des Pfades passen kann. Jokerzeichen sind nicht erforderlich.

9. Absender, 10. Empfänger (beide nur forensische Lizenz): Diese Spalten werden nur für extrahierte E-Mails ad-hoc gefüllt, wenn sie im sichtbaren Ausschnitt des Verzeichnis-Browsers angezeigt werden (daher ist das Sortieren und Filtern je nach Anzahl der E-Mails im Verzeichnis-Browser insgesamt u. U. langsam). Sie bieten Filter an, in denen Sie einen beliebigen Teil einer E-Mail-Adresse oder eines Namens eingeben können, um nach E-Mails zu suchen, die diesen Ausdruck in der Zeile „From:“ bzw. „To:“ enthalten. Da der Filterausdruck als Teilwort interpretiert wird, sind Jokerzeichen nicht erforderlich.

11. Größe: Größe der Datei oder des Verzeichnisses ohne Schlupf (logische Größe). Filter verfügbar.

12. Erzeugung*: Zeitpunkt (Datum und Uhrzeit), an dem die Datei oder das Verzeichnis in dem Dateisystem erzeugt wurde. Nicht verfügbar in Linux-Dateisystemen. Filter verfügbar.

13. Änderung*: Zeitpunkt (Datum und Uhrzeit), an dem die Datei oder das Verzeichnis zuletzt geändert wurde. Auf FAT ist die Uhrzeit nur auf 2 Sekunden genau. Auf CDFS wird der einzige verfügbare Zeitstempel in dieser Spalte angezeigt, auch wenn er nicht notwendigerweise die letzte Änderung angibt. Filter verfügbar.

14. Zugriff*: Zeitpunkt (Datum und Uhrzeit), an dem auf die Datei oder das Verzeichnis zuletzt lesen oder anderweitig zugegriffen wurde. Auf FAT wird nur das Datum gespeichert. Filter verfügbar.

15. Record-Änderung*: Zeitpunkt (Datum und Uhrzeit), an dem der FILE-Record (NTFS) bzw. die Inode (Linux-Dateisystem) der Datei oder des Verzeichnisses zuletzt geändert wurde. Dies sind Dateisystem-Datenstrukturen, die Metadaten über Dateien enthalten. Filter verfügbar.

16. Löschzeitpunkt*: Zeitpunkt (Datum und Uhrzeit), an dem die Datei oder das Verzeichnis in dem Dateisystem gelöscht wurden. Nur auf Linux-Dateisystemen verfügbar. Filter verfügbar.

17. Interne Erzeugung (nur forensische Lizenz): Erzeugungszeitstempel, der aus intern in Dateien diverser Typen gespeicherten Metadaten extrahiert werden kann (Liste der Typen s. Dokumentation des zugehörigen Befehls im Kontextmenü). Interne Zeitstempel sind üblicherweise weniger flüchtig als Zeitstempel im Dateisystem und schwieriger zu manipulieren. Sie können insbes. nützlich zur Erhärtung bestimmter Annahmen oder Schlußfolgerungen sein. Filter verfügbar.

18. Attr.: DOS/Windows-Attribute auf den Dateisystemen FAT und NTFS. Unix/Linux-Permissions und Filemode auf den Unix/Linux/Mac-Dateisystemen. Verwendet einige proprietäre Symbole, die unten sowie in der Legende erklärt werden. Filter verfügbar.

19. Besitzer (nur forensische Lizenz): Die ID des Besitzers der Datei bzw. des Verzeichnisses, auf Dateisystemen, die diese Information aufzeichnen. Bei NTFS ist dies die SID, oder, wenn X-Ways Forensics diese mit Hilfe der SAM-Registry-Datei einem Benutzernamen zuordnen kann, der Benutzername.

20. Verweise (nur forensische Lizenz): Die Anzahl der sog. Hard Links der Datei oder des Verzeichnisses, d. h. wie oft sie bzw. es von einem Verzeichnis referenziert wird.

21. 1. Sektor: Die Nummer des Sektors, der den Anfang der Daten der Datei oder des Verzeichnisses enthält. Das Sortieren nach 1. Sektor sortiert nach physischer Anordnung auf dem Datenträger, und erlaubt es bspw., leicht Dateien zu identifizieren, die von bekanntermaßen defekten Sektorbereichen auf einer Platte betroffen sind.

22. ID: Zahlenschlüssel, der einer Datei oder einem Verzeichnis vom Dateisystem oder von WinHex zugeordnet wurde. Nicht notwendigerweise nur einmalig vergeben.

23. Int. ID: Der eindeutige interne Schlüssel einer Datei oder eines Verzeichnisses im Datei-Überblick. Objekte, die dem Datei-Überblick zuletzt hinzugefügt wurden, haben die höchsten Schlüsselwerte.

24. Int. Elter: Der eindeutige interne Schlüssel des Elternverzeichnisses (übergeordneten Verzeichnisses) einer Datei oder eines Verzeichnisses im Datei-Überblick. Das Wort Elter wird hier als Singular verwendet, wie in der Informatik und Biologie üblich. Nützlich z. B., wenn man Dateien und Verzeichnisse exportiert und es mehrere Verzeichnisse gleichen Namens im gleichen Pfad gibt (z. B. eins existierend, eins gelöscht), so daß man anhand der internen ID des Elters einer Datei ansehen kann, in welchem Verzeichnis sie liegt, auch wenn es sich allein aus dem Namen nicht eindeutig ergibt.

24. Pixel (nur forensische Lizenz): Die Maße eines Bildes in KP (tausend Pixel) oder MP (Millionen Pixel, Megapixel), als Produkt aus Breite und Höhe, gerundet. KP-Werte werden in Grau angezeigt, damit es leichter fällt, kleinere Bilder auszumachen. Die Abmessungen werden gleichzeit mit der Hautfarbenerkennung berechnet, außerdem beim Betrachten der Bilder (Vollbildmodus, Vorschau oder Galerie). Nützlich, um z. B. unterscheiden zu können zwischen kleinen Bildchen aus dem Browser-Cache, die man sich beim Surfen im Internet einfängt, und hochaufgelösten Digitalfotos, mit Hilfe des zugehörigen Filters.

25. HFA (nur forensische Lizenz): Hautfarbenanteil. Nach Erweitern des Datei-Überblicks verfügbar. Gibt den Prozentsatz der Hautfarben in Bildern an. Nach dieser Spalte zu sortieren oder zu filtern ist die effizienteste Vorgehensweise, um Spuren z. B. von Kinderpornographie zu suchen oder nach eingescannten Dokumenten (Graustufen- oder Schwarzweiß-Bildern) zu fahnden.

26. Hash: Der Hash-Wert einer Datei, sofern berechnet.

27. Hash-Set (nur forensische Lizenz): Der Name des Hash-Sets in der internen Hash-Datenbank, in der der Hash-Wert enthalten ist, sofern verfügbar. Beachten Sie, daß dies immer nur der Name eines einzigen Hash-Sets sein kann, selbst wenn der Hash-Wert in mehreren Hash-Sets in der Hash-Datenbank enthalten ist. Filter verfügbar.

28. Hash-Kategorie (nur forensische Lizenz): Die Kategorie des Hash-Sets, in dem der Hash-Wert der Datei, sofern verfügbar, enthalten ist. Entweder "irrelevant" oder "beachtenswert" oder nicht angegeben. Filter verfügbar.

29. Berichtstabelle (nur forensische Lizenz): Die Namen der Berichtstabellen, denen die Datei oder das Verzeichnis zugeordnet wurde. Filter verfügbar.

30. Kommentar (nur forensische Lizenz): Der Freitextkommentar, mit dem eine Datei oder ein Verzeichnis vom Benutzer versehen wurde. Filter verfügbar.

31. Metadaten (nur forensische Lizenz): Metadaten, die aus Dateien diverser Typen mit einem Kontextmenübefehl extrahiert werden können. Filter verfügbar.

Zusätzliche Spalten für Suchtrefferlisten: Physischer/absoluter Offset, logischer/relativer Offset, Beschreibung der Art des Suchtreffers (Codepage/Unicode, ob in decodiertem Text, ob im Schlupf gefunden), Suchtreffer mit Kontextvorschau.

*Bitte beachten Sie, daß Zeitstempel auf FAT-Laufwerken im Original angezeigt und für alle anderen Dateisysteme nach dem Zeitzonen-Konzept verfahren wird.

Die meisten Filter sind nur mit einer forensischen Lizenz verfügbar. Mehr über Filter.

Attribute

A = zu archivieren

R = schreibgeschützt

H = versteckt

S = System

O = offline

T = Temporärdatei

P = Junction-/Reparse-Point

C = auf Dateisystemebene komprimiert

c = in einem Archiv (ZIP, RAR, ...) komprimiert

E = auf Dateisystemebene verschlüsselt

e = in einem Archiv (ZIP, RAR, ...) verschlüsselt

e! = dateiformatspezifisch verschlüsselt

e? = möglicherweise verschlüsselt oder komprimiert laut Entropie-Test

Die eingebaute Prioritätsregel beim Sortieren nach den Attributsspalte in absteigender Reihenfolge lautet wie folgt:

1) Document-level encryption

2) User-level encryption (e.g. in a ZIP archive)

3) NTFS filesystem encryption

4) User-level encryption supposed (flagged by the entropy test)

5) Unix/Linux SUID

6) Unix/Linux SGID

7) NTFS reparse/junction points

8) NTFS alternate data streams

9) File slack (listed separately only in evidence file containers)

10) User-level compression (e.g. in a ZIP archive)

11) NTFS filesystem compression

12) NTFS $EFS attributes

13) NTFS INDX/BTM/LUS attributes

14) HFS/HFS+ resource forks

15) Unix/Linux symlink

16) Unix/Linux other special file

17) Windows attribute "temporary"

18) Windows attribute "offline"

19) ordinary DOS/Windows attributes and Linux permission

File Type Categories.txt

Diese vom Benutzer anpaßbare Datei definiert, aus welchen Dateitypen sich Kategorien zusammensetzen. Dem Namen einer Kategorie gehen drei Sternchen und ein Leerzeichen voraus (*** ), um ihn besonders kenntlich zumachen. Ihm folgt eine Liste von Dateitypen, die zu dieser Kategorie gehören, und zwar ein Dateityp pro Zeile. Solche Zeilen beginnen entweder mit einem "+" oder "-", wobei "+" einfach nur bedeutet, daß der Dateityp im Dateitypfilter mit einem Häkchen versehen ist. Darauf folgt die typische Dateinamenserweiterung, dahinter ein Leerzeichen, und dann eine Beschreibung des Dateityps. Großbuchstaben in der Erweiterung sind nicht zu verwenden. Derselbe Dateityp/dieselbe Dateiendung darf mehreren Kategorien zugeschlagen werden (Einschränkungen s. Beschreibung der Kategoriespalte).

Alternativ zu Dateinamenserweiterungen werden auch ganze Dateinamen unterstützt. Dies ist nützlich für bestimmte Dateien mit einem wohldefinierten Namen, deren Endung allein nicht spezifisch genug ist oder die keine Dateiendung haben. Vollständige Dateinamen müssen durch umschließende Semikolons kenntlich gemacht werden. Beispiele:

-;index.dat; Internet Explorer history/cache

-;history.dat; Mozilla/Firefox browser history

-;passwd; Existing users

Es gibt eine virtuelle Kategorie „Anderer/unbekannter Typ“, die nicht speziell in der Datei definiert wird und einfach alle Dateien umfaßt, die nicht zu einer der anderen, definierten Kategorien gehören.


Suchtrefferlisten

Verfügbar nur mit einer forensischen Lizenz, beim Arbeiten mit einem Fall, für Asservate mit einem Datei-Überblick. (Ansonsten erfüllt der Positions-Manager diese Aufgabe.)

Der Verzeichnis-Browser kann Suchtreffer anzeigen. In diesem Modus enthält er drei zusätzliche Spalten: physische (absolute) Offsets von Suchtreffern, logische (relative) Offsets und die Suchtreffer selbst (normalerweise mit einer Kontextvorschau, sortierbar nach Suchbegriff, Kontextvorschau nicht korrekt für arabischen oder hebräischen Text). Die Gruppieroptionen des Verzeichnis-Browsers haben keine Wirkung, wenn nach einer dieser Spalten sortiert wird. Um in diesen Anzeigemodus zu gelangen, klicken Sie den Schalter mit dem Fernglas und den vier waagerechten Linien an. Er ist nur für Asservate verfügbar.

Fast alle Befehle im Verzeichnis-Browser-Kontextmenü sind auch für Suchtrefferlisten verfügbar, insbes. Möglichkeiten zum Kopieren, Einsehen, Markieren und Kommentieren von Dateien. Der dynamische Filter, der auf den regulären Verzeichnis-Browser-Spalten basiert, kann in Verbindung mit Suchtrefferlisten zum Einsatz kommen, z. B. um Treffer in allen .doc- und .xls-Dateien mit einem bestimmten Änderungsdatum zu einzusehen.

Die Suchtrefferliste basiert auf der Position und der Ebene im Verzeichnisbaum, die Sie anklicken, so daß Sie z. B. alle Suchtreffer in Dateien im Verzeichnis \Dokumente und Einstellungen sowie all dessen Unterverzeichnissen einsehen können, und sogar Suchtreffer von allen Asservate des gesamten Falls auf einmal, wenn Sie den Asservatüberblick verwenden. Es ist außerdem möglich, bequem einen oder mehrere Suchbegriffe für das Einsehen der Treffer auszuwählen, in der Suchbegriffsliste unten im Falldatenfenster. Dadurch ist es auch einfach, schnell herauszufinden, wie viele Suchtreffer es für einen gegebenen Suchbegriff gibt, für jede beliebige Ebene im Verzeichnisbaum, weil diese Zahl in der Überschriftszeile Verzeichnis-Browsers je nach Befüllung mit Suchtreffern angezeigt wird.

Suchtrefferlisten sind nicht statisch, sondern werden dynamisch zusammengestellt, abhängig von gewählten Suchbegriffen, aktuellen Filtereinstellungen usw. Ein weiteres damit zusammenhängendes Merkmal ist, daß sie mit einem Befehl im Kontextmenü des Verzeichnis-Browsers nicht-destruktiv „ausgedünnt“ werden können, so daß jede Datei mit zumindest einem Suchtreffer nur noch genau einmal aufgelistet wird. Dadurch können auch aus Suchtrefferlisten Dateien ohne Duplikate bequem auf die eigene Festplatte oder in Datei-Container kopiert werden, und es kann Zeit sparen, wenn jede Datei mit mind. 1 Treffer nur einmal betrachtet werden soll.

Suchtreffer können als wichtig gekennzeichnet werden (so daß links eine Fahne angezeigt wird), mit Hilfe des Verzeichnis-Browser-Kontextmenüs sowie durch Drücken der Leertaste. Mit der Leertaste können Sie solche Kennzeichnungen auch wieder aufheben. Die Suchbegriffsliste erlaubt es, sich einen schnellen Überblick über alle markierten Suchbegriff zu verschaffen. Alternativ können Sie die Verzeichnis-Browser-Option "Markierte Objekte gruppieren" dazu einsetzen, die im Fall einer Suchtrefferliste nicht auf die Markierung von Dateien, sondern auf die Wichtig-Kennzeichnung der Suchtreffer abstellt.

Suchtreffer werden in der Falldatei gespeichert. Wenn Sie bestimmte Suchtreffer nicht mehr benötigen, wählen Sie sie aus und drücken Sie die Entf-Taste. Wenn Sie keinen der Suchtreffer für bestimmte Suchbegriffe mehr benötigen, wählen Sie die Suchbegriffe in der Suchbegriffsliste aus und drücken Sie die Entf-Taste.


Indexierung, Suche im Index

Vorbemerkungen: Verfügbar nur mit forensischer Lizenz, im Suchen-Menü, beim Arbeiten mit einem Fall, für Asservate. In der Informatik ist der Plural von Index Indexe, und nicht Indizes. Das zugehörige Verb heißt indexieren, und nicht indizieren. Die Indexierung erfaßt die Daten mit derselben Logik wie eine logische Suche, mit den gleichen Vorteilen (s. dort).

Erstellt Indexe aller Wörter in allen oder bestimmten Dateien im Datei-Überblick, basierend auf den von Ihnen angegebenen Zeichen, basierend auf dem Unicode-Zeichensatz und/oder bis zu zwei von Ihnen anzugebende Codepages. Es ist möglich, bis zu drei solcher Indexe pro Asservat zu haben (z. B. kyrillische Zeichen indexiert in Unicode und zwei kyrillischen Codepages). X-Ways Forensics erlaubt Ihnen, bequem die Zeichen von mehr als 22 Sprachen für die Indexierung auszuwählen. Derzeit sind die meisten europäischen und viele asiatische Sprachen vordefiniert, z. B. Deutsch, Spanisch, Französisch, Portugiesisch, Italienisch, skandinavische Sprachen, Russisch, südslawische Sprachen, osteuropäische Sprachen, Griechisch, Türkisch, Hebräisch, Arabisch, Thailändisch und Vietnamesisch.

Das Indexieren kann ein lang andauernder Prozeß sein und ggf. viel Plattenplatz benötigen (grobe Faustregel mit Voreinstellungen bei üblichen Daten: 5-25% der Originaldatenmenge). Dafür erlaubt es Ihnen der Index, weitere Suchvorgänge äußerst schnell und spontan durchzuführen. Die Index-Dateien werden im Metadaten-Ausgabeordner des betreffenden Asservats gespeichert. Die zu indexierende Datenmenge können Sie gezielt steuern. Standardmäßig werden alle existierende Dateien indexiert (incl. ihrem Schlupf, sofern das in den Verzeichnis-Browser-Optionen nicht ausgeschaltet ist) sowie die virtuellen Dateien (was sämtlichen freien Speicher abdeckt). Das vermeidet, daß bestimmte Bereiche des freien Speichers mehrfach indexiert werden, wenn sie noch von mehreren gelöschten Dateien zugleich referenziert werden. Beachten Sie, daß der Index auf partitionierten Datenträgern wie z. B. physischen Festplatten ausschließlich die unpartitionierten Bereiche abdeckt, weil jede Partition ihren eigenen Index haben kann.

Wörter, die kürzer als ein von Ihnen bestimmtes unteres Limit sind, werden ignoriert. Je größer die Minimallänge von Wörtern in Zeichen, desto kleiner wird der Index und schneller die Indexierung. Voreinstellung als Minimum sind 4 Zeichen. Häufig vorkommende irrelevante Wörter kann man durch die Ausnahmeliste mit vorangestelltem Minuszeichen aus dem Index ausschließen (z. B. -und, wenn schon 3 Zeichen akzeptiert werden), was den Index verkleinert und das Indexieren beschleunigt. Je größer Sie die Spanne akzeptierter Wortlängen wählen, desto größer wird der Index und desto langsamer die Indexierung. Relevante Wörter mit 3 Buchstaben können Sie in die Ausnahmeliste mit vorangestelltem Pluszeichen aufnehmen (z. B. +xtc), so daß diese trotz Unterschreiten des Standard-Limits von 4 mit indexiert werden. Die Ausnahmeliste muß nicht alphabetisch sortiert sein. Wörter in der Ausnahmeliste, die länger als das von Ihnen angegebene obere Limit sind, werden im Index abgeschnitten. Die Ausnahmeliste kann keine Ausnahmen von der angegebenen Auswahl an zu indexierenden Zeichen definieren.

Groß- und Kleinschreibung wird bei der Indexierung optional unterschieden. Dies kann z. B. dann nützlich sein, wenn Sie den Index deswegen erstellen, um später eine Wortliste zum Zweck eines individuellen Wörterbuchangriffs auf ein Paßwort zu exportieren.

Wenn Sie X-Ways Forensics Teilwörter in den Index mit aufnehmen lassen, verlangsamt das die Indexierung (um den Faktor 3-5) und bläht den Index auf. Allerdings wird Sie das in die Lage dazu versetzen, verläßlich und schnell z. B. "Rechnung" in "Berechnung" und "Verrechnung" sowie "Gesellschaft" in "Aktiengesellschaft" zu finden. Allerdings können Sie auch wenn Sie den Index nicht speziell für die Teilwortsuche auslegen später nach Teilwörter suchen, jedoch wird die Suche dann langsamer sein und das Ergebnis unvollständig. Bitte beachten Sie, daß es in der Verantwortung des Benutzers liegt, die Teilwortindexierung einzuschalten, wenn die Wörter der zu indexierenden Sprache nicht durch Leerzeichen voneinander getrennt sind (wie z. B. im Thailändischen).

Das Indexieren ist unnötig langsam wenn die zu indexierenden Daten auf demselben Datenträger liegen wie Ihr Fall, in dem der Index erzeugt wird. Vermeiden Sie es, mit aktiver Internet-Verbindung zu indexieren, wenn Ihr Windows-System für automatische Updates konfiguriert ist und nach der Installation von Updates den Computer evtl. selbständig neu startet.

Optional kann der Text in bestimmten Dateitypen zur Indexierung decodiert werden (s. Logische Suche), und es ist möglich, Indexe für ausgewählte mit einem Fall verbundenen Datenträger/Images in einem einzigen Durchgang zu erstellen.

Sie können gleichzeitig in Unicode und in bis zu zwei verschiedenen Codepages indexieren. Beachten Sie aber bitte, daß X-Ways Forensics nicht gleichzeitig Zeichen in derselben Multi-Byte-Zeichen-Codepage indexieren kann, wenn einige Zeichen davon 1 Byte benutzen und andere 2 Bytes.

Es ist möglich, eine Zeichenersetzungsliste in Unicode zu definieren, die bewirkt, daß bestimmte Buchstaben als andere Buchstaben indexiert werden (z. B. „é“ wie „e“). Das erlaubt es Ihnen, Varianten in der Schreibweise mit einer einzigen Index-Suche abzudecken, z. B. sowohl den Namen „René“ mit Accent also auch „Rene“ ohne. Diese Liste muß die Struktur

é>e

è>e

à>a

...

aufweisen (d.h. 1 Ersetzung pro Zeile) und in einer Unicode-Textdatei namens „indexsub.txt“ gespeichert sein, die mit dem LE-Unicode-Zeichen 0xFF 0xFE beginnt. „indexsub.txt“ ist eine optionale Datei. Sie wird im Installationsverzeichnis von X-Ways Forensics erwartet.

Verteiltes Indexieren: Erlaubt es, die Erzeugung eines Index' in zeitkritischen Fällen zu beschleunigen. Wenn n Computer an der Indexierung teilnehmen, kann jeder Computer ca. 1/n der gesamten Datenmenge indexieren (kann schwanken, abhängig von der Größe sehr großer Dateien im Datei-Überblick). Wenn alle

entstehenden Index-Dateien (.xfi-Dateien) im gleichen Metadaten-Verzeichnis erzeugt oder gesammelt werden, werden diese genau wie ein Index behandelt, der nur von einem Computer erzeugt wurde. Um sicherzustellen, daß kein Teil des Datei-Überblicks zweimal indexiert oder versehentlich ausgelassen wird, müssen sich alle Beteiligten auf die gleichen Einstellungen einigen und sich eindeutige Nummern zuweisen lassen. Wenn beispielsweise 9 Computer beteiligt sind, muß jede der Nummern 1...9 genau einmal bei der Indexierung angegeben werden.

Beim verteilten Indexieren versucht X-Ways Forensics Unterschiede in den jeweiligen Indexierungseinstellungen der diversen Beteiligten zu erkennen (Optionen wie Codepages, Teilwortberücksichtigung, Zeichenvorrat usw.). Wenn erkannt, bekommt zumindest einer der Beteiligten eine Warnung angezeigt, bevor das Indexieren auf seinem Computer startet. In einer aufgeteilten Indexierungsoperation sollten natürlich die Einstellungen auf allen Computern gleich sein.

Wenn mehrere Ermittler mit derselben Image-Datei arbeiten, jedoch in jeweils eigenen Falldateien, weil sie unterschiedliche Aspekte desselben Falls untersuchen, oder wenn man nicht auf EDV spezialisierte Ermittler mit Containern und vorbereiteten Index-Dateien versorgt, oder wenn von der Möglichkeit des verteilten Indexierens Gebrauch gemacht wird, gibt es die Option, ein gemeinsames Metadaten-Unterverzeichnis für den Suchindex zu verwenden, was Plattenplatz spart, den Zugriff auf den Index wegen synergetischer Pufferung durch Windows beschleunigt und das Verwalten der Index-Dateien erleichtert. Ein solches gemeinsam genutztes Metadaten-Verzeichnis für Suchindex-Dateien (.xfi-Dateien) wird sowohl für die Erzeugung des Index' als auch für die Suche im Index herangezogen, allerdings nur, wenn es vom Benutzer gezielt erstellt wurde, also schon existiert, wenn es gebraucht wird. Erwartet wird es als Unterverzeichnis des Verzeichnisses, in dem die Image-Datei liegt, mit demselben Basisnamen wie die Image-Datei, ohne Dateinamenserweiterung, und dem Suffix " Metadata". Wenn z. B. der Name des Images "Meier HD1.e01" ist, dann ist der erwartete Name des zugehörigen Unterverzeichnisses "Meier HD1 Metadata". Wenn Sie es aus Performanzgründen vorziehen, den Index auf einem anderen Laufwerk unterzubringen als die Image-Dateien, können Sie das leicht erreichen, indem Sie das Metadaten-Unterverzeichnis als einen sog. Reparse Point in NTFS erzeugen, der auf das andere Laufwerk umleitet. Aber dies und die Entscheidung, ob von dem Feature überhaupt Gebrauch gemacht werden soll, obliegt dem Gutdünken des Benutzers.

Sollte X-Ways Forensics während dieser Operation einfrieren, denken Sie daran, daß die interne ID und er Name der zuletzt bearbeiteten Datei in den kleinen Fortschrittsanzeigefenster angezeigt werden. Wenn diese Operation auf ein Asservat angewandt wird und X-Ways Forensics während dessen bei einer bestimmten Datei abstürzen, wird Ihnen beim Neustart des Programms die betreffende Datei mitgeteilt, und die Datei wird einer Berichtstabelle hinzugefügt. Das hängt von den Sicherheitsoptionen ab. All dies geschieht, damit Sie eine solche Datei ggf. unterdrücken und so bei einem nochmaligen Versuch auslassen können.

Index optimieren

Suche in Index: Nach dem Indexieren von Dateien können Sie den Index sehr schnell nach Schlüsselwörtern durchsuchen. Geben Sie einen einzelnen Suchbegriff ein und drücken Sie die Enter-Taste. Eingegebene Buchstaben in Suchbegriffen, die über die für die Indexierung verwendete Maximalwortlänge hinausragen, werden bei der Suche ignoriert. Groß- und Kleinschreibung wird nicht unterschieden, es sei denn, Sie haben den Index mit dieser Option erzeugt. Wenn das Auflisten der Suchtreffer zu lange dauert, z. B. weil Sie nur ein einziges Zeichen oder ein sehr häufiges kurzes Wort eingegeben haben, können Sie jederzeit Esc drücken oder den Fortschrittsanzeigefenster schließen, um den Vorgang abzubrechen. Wenn Sie Teilworte suchen lassen, aber den Index nicht für die Teilwortsuche vorbereitet haben, ist das Ergebnis unvollständig und langsam. In der Suchtrefferliste sind physische Offsets nicht verfügbar, und das Sortieren nach Suchbegriff hat keine Auswirkung.

Wenn Sie die Indexe mehrerer oder aller Asservate in einem Fall auf einmal durchsuchen möchten, rufen Sie Suchen | Suche im Index aus dem Asservatüberblicksfenster auf und stellen Sie sicher, daß diese Asservate für das rekursive Erkunden ausgewählt sind und indexiert wurden.


Datei-Container

Nur mit forensischer Lizenz verfügbar. Das Specialist-Menü erlaubt es, einen neuen Datei-Container anzulegen, einen existierenden zum weiteren Befüllen zu öffnen und den aktiven Datei-Container wieder zu schließen. Befüllt werden kann ein Container mit ausgewählten Dateien über das Kontextmenü des Verzeichnis-Browsers.

Ein Datei-Container ist eine Roh-Image-Datei formatiert mit dem Dateisystem XWFS. Wenn Sie ausgesuchte Dateien (auch von verschiedenen Asservaten) mit besonderer Relevanz für einen Fall gesammelt und bequem an andere Beteiligte des Verfahrens weitergeben möchten, die irrelevante Dateien nicht zu sehen brauchen oder sogar nicht sehen dürfen, empfehlen sich Datei-Container. Darin bleiben die allermeisten Metadaten aus dem Dateisystem (Name, Pfad, Größe, Attribute/Filemode, Zeitstempel, Löschzustand, Klassifikation als alternativer Datenstrom oder virtuelle Datei, ...) und insbes. natürlich der Inhalt der kopierten Dateien erhalten.

Beim Erstellen eines Containers wählen Sie zwischen der normalen direkten Füllmethode und einem indirekten Weg. Indirekt heißt, Dateiinhalte werden dem Container über den Umweg der eigenen Festplatte hinzugefügt werden. Sie werden nicht direkt in den Container kopiert, sondern zunächst in das Verzeichnis für temporäre Dateien (s. Allg. Optionen), und dann erst von dort in den Container. Das hat den Vorteil, daß ein aktives Virenschutzprogramm die Gelegenheit hat, die Dateien abzufangen, d. h. zu prüfen, unschädlich zu machen, umzubenennen, zu verschieben, zu löschen, zu sperren usw. Es kann also verhindern, daß die Dateien in den Container gelangen. Der Container bleibt dann mit hoher Gewißheit virenfrei und kann in verantwortlicher Weise in einer Umgebung mit höheren Sicherheitsanforderungen/größerem Schutzbedürfnis weitergegeben werden.

Sie können mehr Wert legen auf größere Performanz beim Befüllen eines Containers mit besonders vielen Dateien oder sich für einen schlankeren Container für weniger Dateien entscheiden. Um die Quelle von Dateien im Container, die aus verschiedenen Asservaten stammen, deutlich zu machen, können die jeweiligen Asservatnamen als oberste Verzeichnisebene im Container aufgenommen werden.

Eine optionale interne Bezeichnung (bis zu 31 Zeichen) kann angegeben werden. Diese wird als Volume-Label des XWFS-Dateisystems verwendet. Eine optionale Beschreibung kann auch in den Container integriert werden (bis zu 60.000 Zeichen). Diese wird beim Hinzufügen des Containers in einen Fall importiert und ist dann in den Kommentaren zu dem Asservat sichtbar. Die im Container gespeicherte Beschreibung kann auch später noch hinzugefügt oder bearbeitet werden.

Einem aktiven (d. h. geöffneten oder gerade neu erstellten) Datei-Container können Sie im Verzeichnis-Browser ausgewählte Dateien per Kontextmenu hinzufügen. Entweder man kopiert dann den logischen Datei-Inhalt, den logischen Inhalt und den Schlupf separat, nur den Schlupf, nur einen im Datei-Modus ausgewählten Block oder sogar nur die Metadaten des Dateisystems. Sie können des weiteren entscheiden, ob Unterobjekte gewählter Verzeichnisse und Dateien mitkopiert werden sollen.

Optional können Container die Daten/Inhalte von Verzeichnissen selbst transportieren, d. h. abhängig vom Dateisystem Verzeichniseinträge, INDX-Puffer usw. Dies ist nützlich, wenn der Empfänger des Containers technisch bewandert ist und sich für Zeitstempel oder sonstige Metadaten in diesen Datenstrukturen interessieren könnte. Falls Sie sich entscheiden, Verzeichnisdaten in einen Container aufzunehmen, wenn Sie ihn erzeugen, hat das direkte Auswirkungen nur auf Verzeichnisse, die selbst ausgewählt sind. Es hat einen Effekt auf das jeweilige direkte Elternverzeichnis von gewählten Objekten nur dann, wenn Sie eine weitere Option einschalten ("Daten/Inhalte übergeordneter Objekte aufnehmen"). Diese weitere Entscheidung ist erforderlich, weil die Verzeichnisdaten sonst unbeabsichtigt Namen und sonstige Metadaten von Dateien enthüllen könnten, die z. B. aus Datenschutzgründen bewußt nicht in den Container aufgenommen wurden.

Bei eingeschalteter Option "Daten/Inhalte übergeordneter Objekte aufnehmen" wird auch die ggf. jeweils übergeordnete Datei automatisch mitkopiert (z. B. eine E-Mail, zu der der ausgewählte Datei-Anhang gehört, oder ein Zip-Archiv, das die ausgewählte Datei enthält, oder ein Dokument, in dem das ausgewähltes Bild eingebettet ist).

Einem Container kann jede Datei hinzugefügt werden, der Teil eines Datei-Überblicks sind, also z. B. auch einzelne extrahierte E-Mails. Einmal hinzugefügte Dateien können nicht wieder physisch entfernt, aber permanent unterdrückt werden. Datei-Container lassen sich ab X-Ways Forensics 12.8 (ASCII-Variante: 12.6) wie andere Image-Dateien auch interpretieren und bequem untersuchen. Container können insbes. auch in X-Ways Investigator, der stark vereinfachten Version von X-Ways Forensics für nicht auf EDV spezialisierte Ermittler, eingesehen werden.

Optional können Hash-Werte von den in einen Container kopierten Dateien berechnet und direkt in den Container integriert werden. Dies erlaubt es, die Integrität der Datei später zu überprüfen, wenn der Container einem Fall hinzugefügt wurde, durch das Erweitern des Datei-Überblicks. Die Hash-Werte werden direkt für die Daten berechnet, wie sie vom Original-Quelldatenträger gelesen wurden.

Optional kann die Person, die einen Container erstellt, ihre eigenen Berichtstabellen-Verknüpfungen und/oder Kommentare zu den in den Container zu kopierenden Dateien mit weitergeben, über ein Unterverzeichnis im selben Pfad, in dem der Container erzeugt wird. Der Empfänger des Containers sieht diese Kommentare, wenn er nicht nur den Container erhält, sondern auch das optionale Metadaten-Unterverzeichnis des Containers, nach dem Hinzufügen des Containers zum Fall. Dies ist nützlich, wenn nicht nur eine Sammlung von Dateien an andere Ermittler weitergegeben werden soll, sondern auch weitere fallspezifische Informationen und bereits gewonnene Erkenntnisse. Z. B. könnten Computer-Spezialisten den Namen des Besitzers einer Datei hinzufügen, so daß der nicht auf EDV spezialisierte Fachermittler diesen sehen kann, oder den Grund angeben, aus dem eine Datei zur Weitergabe im Container überhaupt ausgewählt wurde. Wenn Sie beim Erzeugen des Containers wählen, Kommentare mitzugeben, den Container mit Dateien befüllen, die mit Kommentaren versehen wurden, und den Container dann schließen, wird das Metadaten-Unterverzeichnis automatisch erstellt, mit demselben Basisnamen wie die Container-Datei, ohne Dateinamenserweiterung, und dem Suffix " Metadata". Wenn z. B. der Name des Containers "Meier HD1.ctr" ist, dann ist der erwartete Name des zugehörigen Unterverzeichnisses "Meier HD1 Metadata".

Beim Schließen eines im Hintergrund geöffneten Containers wird dem Benutzer angeboten, den Container zu komprimieren, zu verschlüsseln und/oder in kleinere Segmente aufzuteilen. Das ist nützlich, wenn der Container vollständig befüllt wurde, relativ groß geraten ist und z. B. auf CDs oder DVDs verschickt werden soll.


Berichtstabellen

Im Verzeichnis-Browser eines Asservats kann man relevante Dateien in Berichtstabellen aufnehmen. Eine Berichtstabelle ist einer benutzerdefinierte (virtuelle) Liste von Dateien. Dateien, die mit Berichtstabellen verknüpft sind, können leicht in den Fallbericht aufgenommen werden (mit all ihren Metadaten und einem Link zur Datei, Bilder sogar direkt), und Sie können in einer rekursiven Ansicht nach der Berichtstabellen-Verknüpfung filtern, um diese später leicht wiederfinden zu können (Lesezeichen/Aktenvermerk).

Z. B. könnten Sie Berichtstabellen erstellen mit Beschreibungen wie "Verbindung zu Fa. X", "Beweise gegen Beschuldigten B", "Kipo", "zweifelhafte Betriebsausgabe", "an Kollege Müller weitergeben", "später noch ausdrucken", "übersetzen lassen" usw. Und später, wenn Sie alle Dateien systematisch durchgegangen sind, können Sie sich mit Hilfe des Berichtstabellenfilters einen Überblick verschaffen (z. B. "Zeige mir alle Dateien, die eine Verbindung zu Fa. X nahelegen und zugleich als Beweise gegen Beschuldigten B eingestuft wurden."). Sie weisen Dateien also praktisch einer von Ihnen selbst definierten Kategorie zu. Zugleich erlaubt Ihnen die Verknüpfung auch, sich Dateien bequem erneut aufzusuchen, um sie genauer unter die Lupe nehmen zu können.

Dateien in speziellen Berichtstabellen aufzunehmen ermöglicht es bspw. des weiteren, sie in einem einzigen Durchgang später herauszukopieren oder in einer zusammenhängenden Galerie-Übersicht zu betrachten. Dieselbe Datei kann auch mit mehreren Berichtstabellen verknüpft werden. Die Verknüpfung definieren Sie in dem Dialogfenster, das beim Aufruf des Befehls "Berichtstabellen-Verknüpfung" im Kontextmenü des Verzeichnis-Browsers erscheint, für eine Datei oder mehrere ausgewählte Dateien auf einmal. Im selben Dialogfenster können Sie auch neue Berichtstabellen anlegen, bestehende umbenennen oder löschen, und existierende Verknüpfungen für die ausgewählte(n) Datei(en) entfernen/ersetzen.

Um Berichtstabellen in einen Bericht auszugeben, verwenden Sie den Befehl "Bericht erstellen" im Falldatenfenster.

Wenn Sie viele Dateien mit Hilfe von Berichtstabellen kategorisieren möchten, können Sie auch Tastenkombinationen dazu nutzen. X-Ways Forensics ordnet Ihren Berichtstabellen automatisch die Tastenkürzel Strg+1, Strg+2, ..., Strg+9 zu. In dem Dialogfenster für Berichtstabellen-Verknüpfungen können Sie diese Tastenkürzel auch selbst vergeben, indem Sie die Tasten drücken während eine Berichtstabelle ausgewählt ist. Strg+0 entfernt alle Berichtstabellen-Verknüpfungen von einer Datei. Ohne Verbindung mit der Strg-Taste können Sie auch einfach die entsprechende Taste im Nummernblock drücken, wenn Num Lock aktiv ist. In diesem Fall werden die Tastendrücke nicht als Eingabe in den Verzeichnis-Browser verstanden, obwohl die Strg-Taste nicht gedrückt ist. Die Alternative mit dem Nummernblock funktioniert evtl. nicht auf allen Computern.


E-Mail-Unterstützung

Die Unterstützung von .pst-Dateien erfordert ein vollständiges Extended-MAPI-System. Ein solches ist bei Ihnen installiert, wenn Sie eine funktionierende Installation von MS Outlook haben. Nur Outlook 2003 und neuer können die Unicode-Variante von PST-E-Mail-Archiven verarbeiten. Nicht-Unicode-PST-Dateien können auch mit älteren Versionen von MS Outlook verarbeitet werden. Outlook 97 und älter sind nicht empfehlenswert und funktionieren u. U. nicht richtig. Beachten Sie, daß gelöschte E-Mails in PST-Archiven nicht gefunden werden können. Dafür ist das kostenlose Tool ScanPST zu empfehlen.

Falls das Extrahieren von PST-E-Mail-Archiven in X-Ways Forensics immer fehlschlägt, andere E-Mail-Formate aber erfolgreich verarbeitet werden, gehen Sie in die Windows-Systemsteuerung, stellen Sie fest, ob es ein E-Mail-Profil mit einem Namen wie "pstloadtmp000" gibt und löschen Sie dieses ggf.

In älteren AOL-PFC-Dateien können Bilder auf eine besondere Weise in E-Mails eingebettet sein. Dann wird die E-Mail zwar mit einer Büroklammer gekennzeichnet, aber das Bild wird nicht separat als Datei extrahiert. Solche Bilder, wenn JPG oder PNG, kann man aber finden, indem man X-Ways Forensics JPGs und PNGs auch aus *.pfc extrahieren läßt.


Parallele Suche

Dieser Befehl im Suchen-Menü ist verfügbar für Inhaber von Specialist- und forensischen Lizenzen verfügbar, und bietet alle Optionen nur für Inhaber von forensischen Lizenzen. Diese Suche arbeitet parallel in dem Sinn, daß sie Sie nach nach einer praktisch unbegrenzt langen Liste von Suchbegriffen zugleich suchen läßt (1 pro Zeile). Die Vorkommnisse dieser Suchbegriffe werden gespeichert und aufgelistet in der Suchtrefferliste eines Asservats (für forensische Lizenzen, beim Arbeiten mit einem Fall) oder im allgemeinen Positions-Manager.

Sie können die parallele Suche einsetzen, um systematisch mehrere Festplatten oder Image-Dateien in einem einzigen Durchlauf nach Wörter zu durchsuchen wie "Droge", "Kokain", (umgangssprachliches Synonym Nr. 1 für Kokain), (umgangssprachliches Synonym Nr. 2 für Kokain), (umgangssprachliches Synonym Nr. 3 für Kokain), (umgangssprachliches Synonym Nr. 3 für Kokain in alternativer Schreibweise), (Name von Händler Nr. 1), (Name von Händler Nr. 2), (Name von Händler Nr. 3) usw. Die Suchtreffer vermögen die Untersuchung einzuschränken auf eine Liste von Dateien, auf die Sie sich konzentrieren können.

Wenn Sie bewußt Suchbegriffe verwenden, die redundant sind, bei denen Suchbegriff B ein Teilwort von Suchbegriff A ist und bei denen B ganz am Anfang in A enthalten ist, wenn Sie z. B. sowohl nach "Architektur" als auch "Architekt" suchen, wird empfohlen, den längeren Suchbegriff als ersten anzugeben. Dies stellt sicher, daß Treffer für den längeren Suchbegriff A auch tatsächlich A zugeschlagen werden und nicht B. Andernfalls würde ein Vorkommnis des Wortes "Architektur" als Treffer für "Architekt" gewertet (was es offensichtlich auch ist), und Sie würden u. U. zu Unrecht schlußfolgern, daß das Wort "Architektur" gar nicht vorkommt.

Die parallele Suche kann physisch oder logisch eingesetzt werden. Physisch sucht sie alle Sektoren eines Datenträgers in der Reihenfolge Ihrer LBA-Numerierung ab (es sei denn, Sie suchen aufwärts, dann wird die Reihenfolge umgekehrt). Wenn Sie WinHex die Treffer einer physischen Suche nicht auflisten lassen, können Sie die F3-Taste betätigen, um zum nächsten Treffer zu springen. Logisch geht die Suche dateiweise vor, was vorteilhaft ist, da viel mächtiger und sorgfältiger. Mehr über die logische Suche.

Sie können denselben Suchbegriff zugleich in Unicode (UTF-16LE) und in bis zu zwei Codepages suchen. Die in Ihrem Windows-System aktive Standard-Codepage ist mit einem Sternchen kenntlich gemacht und anfangs voreingestellt. Z. B. auf Computern in Westeuropa und in den USA ist dies die Codepage 1252 ANSI Lateinisch I. Die Codepages mit der Bezeichnung »ANSI« im Namen werden in Microsoft Windows verwendet. »MAC« zeigt eine Codepage des Apple Macintosh an. »OEM« bezeichnet eine Codepage, die von MS-DOS und Windows-Kommandozeilenfenstern zum Einsatz kommt. Wenn ein Suchbegriff nicht in die ausgewählte Codepage umgesetzt werden kann, weil er Zeichen enthält, die in dieser Codepage unbekannt sind, wird eine Warnung ausgegeben.

Es ist möglich, eine (unvollständige) Suchtrefferliste bereits dann einzusehen, wenn die Parallele Suche noch nicht beendet ist. Das Anklicken des Schalters für die Suchtrefferliste hält die Suche dazu vorübergehend an und erlaubt es, die vorläufige Trefferliste zu betrachten, bis der Benutzer die Suche, falls noch erforderlich, fortsetzt. Die ist nützlich z. B. bei einer Einsichtnahme vor Ort, um herauszufinden, ob ein Datenträger möglicherweise relevante Dateien enthält und sichergestellt werden soll. Wenn nach Durchsuchen von 5% aller Daten und Betrachten der bis dahin gesammelten Suchtreffer diese Frage bereits mit Ja beantwortet werden kann, kann die Suche abgebrochen werden, und es wurde viel Zeit gespart.

Suchoptionen


Suchbegriffsliste

Die Suchbegriffsliste befindet sich unten im Falldatenfenster, wenn man sich im Modus zum Einsehen von Suchtreffern befindet (den Schalter mit dem Fernglas und den vier horizontalen Linien angeklickt hat). Die Suchbegriffsliste enthält alle Suchbegriffe, die jemals für konventionelle (Nicht-Index-) Suchen in dem Fall verwandt wurden sowie Index-Suchbegriffe, wenn deren zugehörige Treffer permanent gespeichert wurden.

Wenn Sie Suchbegriffe in der Suchbegriffsliste auswählen und den Enter-Schalter anklicken, erhalten Sie eine Auflistung aller Treffer zu diesen Begriffen im aktuell gewählten Pfad, ggf. beeinflußt durch Filter, in einer Suchtrefferliste. Sie können mehrere Suchbegriffe auswählen, indem Sie die Umschalt- oder Strg-Taste gedrückt halten, wenn Sie sie anklicken. Benutzen Sie die Entf-Taste, um gewählte Suchbegriffe und all deren Suchtreffer permanent zu löschen.

Um eine Suchtrefferliste zu reduzieren auf eine Liste von Dateien, die mind. einen Suchtreffer aufweisen, kreuzen Sie "Nur 1 Treffer pro Datei auflisten" an. Dies kann sich als sehr nützlich erweisen, wenn Sie all solche Dateien einzeln durchsehen möchten, weil es gewährleistet, daß jede solche Datei dann nur noch genau einmal aufgelistet wird. Sie können allerdings nicht davon ausgehen, daß der eine übrigbleibende Treffer pro Datei gerade ein für Sie besonders nützlicher oder aussagekräftiger ist oder daß bei mehreren ausgewählten Suchbegriffen gerade ein Treffer für einen Ihnen besonders wichtigen Suchbegriff übrigbleibt. Die Reduktion ist nicht destruktiv; sobald Sie das Kreuz bei dieser Option entfernen und den Enter-Schalter wieder anklicken, erscheint wieder die komplette Suchtrefferliste.

Es bestehen zwei verschiedene Möglichkeiten, mehrere Suchbegriffe mit Booleschen Operatoren logisch zu verknüpfen:

1) Standardmäßig werden mehrere ausgewählte Suchbegriffe mit einem logischen ODER verknüpft. Um einen Suchbegriff zu erzwingen, wählen Sie ihn aus und drücken die „+“-Taste. Um einen Suchbegriff auszuschließen, wählen Sie ihn aus und drücken die „-“-Taste. Um einen Suchbegriff auf normale ODER-Kombination zurückzusetzen, drücken Sie die Esc-Taste. Sie können für all dies auch das Kontextmenü der Suchbegriffsliste verwenden. Die folgenden Beispiele beschreiben die Auswirkung des Auswählens der Suchbegriffe A und B in Abhängigkeit ihres „+“- bzw. „-“-Status'.

A

B

= Suchtreffer für A und Suchtreffer für B in beliebigen Dateien (normale ODER-Kombination)

+A

B

= Suchtreffer für A und Suchtreffer für B in Dateien, die A enthalten

+A

+B

= Suchtreffer für A und Suchtreffer für B in Dateien, die sowohl A als auch B enthalten

+A

-B

= Suchtreffer für A in Dateien, die nicht B enthalten

2) Um eine logische UND-Kombination zu erreichen, wenn die Suchbegriffe nicht mit „+“ oder „-“ versehen sind, verwenden Sie den kleinen Rollbalken, der erscheint, wenn Sie mehrere Suchbegriffe auswählen. Erlaubt es Ihnen, nur Suchtreffer in solchen Dateien zu sehen, die alle gewählten Suchbegriffe zugleich enthalten. Sie können bis zu 7 Suchbegriffe auf diese Weise verknüpfen. Wenn Sie mehr als 2 Suchbegriffe auswählen, können Sie auch weniger streng vorgehen und nur eine Minimalzahl von verschiedenen Suchbegriffen angeben, die in derselben Datei vorkommen muß, z. B. fordern, daß von den Suchbegriffen A, B, C und D eine beliebige Kombination von zweien in derselben Datei ausreicht, z. B. (A und B) oder (A und C) oder (B und D) usw. (unscharfe UND-Kombination).


Fallbericht

Sie können einen Bericht mit dem entsprechenden Befehl im Dateimenü des Falldaten-Fensters erzeugen. Der Bericht wird als HTML-Datei gespeichert und kann daher in einer Vielzahl von Applikationen angezeigt und geöffnet werden. Z. B. können Sie ihn mit Ihrem bevorzugten Internet-Browser ansehen oder in MS Word öffnen und weiterverarbeiten.

Der Bericht kann die folgenden Bestandteile haben:

• Hauptteil: Beginnt mit einer optionalen Berichtsüberschrift, einem optionalen Logo, optionalen Vorbemerkungen, dem Titel und den Details des Falls, gefolgt von einer Liste von Hyperlinks zu den einzelnen Asservat-Sektionen. Zu jedem Asservat gibt der Bericht wiederum Titel, Beschreibung und technischer Detailbericht, Ihre Kommentare und Anmerkungen.

• Berichtstabellen: Alle Dateien in ausgewählten Berichtstabellen werden in den Bericht ausgegeben, mit ausgewählten Metadaten wie Dateiname, Pfad, Zeitstempel und Kommentaren. Dateien können optional aus dem Asservat für die Einbindung im Bericht herauskopiert werden, in ein Unterverzeichnis des Verzeichnisses, in dem der Bericht gespeichert wird. Dann werden diese Dateien vom Bericht aus verlinkt. Es können entweder alle Dateien oder nur Bilder herauskopiert werden. Bilder werden standardmäßig direkt in der HTML-Berichtsdatei angezeigt und nicht bloß verlinkt. Sie werden auf die von Ihnen angegebene Maximalgröße zurechtgestutzt, wobei ihr Seitenverhältnis erhalten bleibt. Wenn Sie als Maximalgröße 0×0 angeben, werden die Bilder doch nur verlinkt, wie andere Dateien. Wenn Sie es vorziehen, mehrere Dateien in einer Zeile auszugeben (zum Beispiel um die Anzahl der benötigten Seiten beim Drucken zu minimieren), bietet sich die Möglichkeit an, besonders lange Dateinamen und Pfadangaben nach einer benutzerdefinierten Anzahl von Pixel umbrechen zu lassen, damit die Seitenbreite nicht überschritten wird.

• Fallprotokoll


X-Ways Forensics kennenlernen

Zum Kennenlernen der Software würde ich Ihnen empfehlen, folgendes auszuprobieren: Erst einmal legen Sie einen neuen Fall an (im Falldaten-Fenster). Dann fügen sie ihm ein Asservat hinzu (z. B. Ihr eigenes Laufwerk C:, Festplatte 0 oder bereits vorliegende Images von Datenträgern). Per Rechtsklick im Verzeichnisbaum lassen sich  Verzeichnisse mitsamt dem Inhalt aller Unterverzeichnisse rekursiv im Verzeichnis-Browser ausgeben. Klicken Sie also z. B. im Verzeichnisbaum mit der rechten Maustaste auf das Stammverzeichnis, sehen Sie alle Dateien des gesamten Dateisystems auf einmal. Gleichzeitig können Sie auch den dynamischen Filter einsetzen (Optionen | Verzeichnis-Browser), um etwa Dateien mit einem bestimmten Namen oder Typ, einer bestimmten Größe oder bestimmten Zeitstempeln aufzulisten. Weitere entscheidende Funktionen in X-Ways Forensics finden Sie im Kontextmenü des Verzeichnis-Browsers (dort z. B. auch die Möglichkeit, Dateien herauszukopieren) sowie im Suchen-Menü (dort die Parallele Suche und die Indexierung) und im Specialist-Menü (dort vor allem "Datei-Überblick erweitern"). Mit letzterer Funktion kann man Dateien einzeln oder massenweise gezielt weiterverarbeiten, z. B. Inhalte von Archiven oder E-Mails und Datei-Anhänge mit in den Datei-Überblick aufnehmen, Bilder auf Hautfarbenanteile untersuchen, Dokumente auf Verschlüsselung usw. usf.