Ext4 — Forensic du système de fichiers Linux

Structure

Ext4 organise les données en inodes (métadonnées + pointeurs/extents), superblock, et journal (jbd2). Chaque inode porte les timestamps atime/mtime/ctime/crtime, clés pour la timeline Linux.

Analyse

# Infos du système de fichiers
fsstat disk.dd

# Détails d un inode (timestamps, blocs)
istat disk.dd <inode>
debugfs -R 'stat <inode>' /dev/sdX

# Lister et naviguer
fls -r disk.dd
debugfs -R 'ls -l /home' /dev/sdX

Journal & récupération

# Examiner le journal ext4 (jbd2) pour des états antérieurs
jls disk.dd            # lister les entrées du journal
debugfs -R 'logdump' /dev/sdX
# extundelete pour récupérer des fichiers supprimés
extundelete /dev/sdX --restore-all