Volume Boot Record

Historisch gesehen hatten die ersten IBM-PCs keine Partitionen. Das Betriebssystem PC DOS bzw. MS-DOS oder CP/M startete von einer Diskette, die einen Bootsektor in der Größe von 512 Bytes aufwies. Das entspricht der Größe von einem Sektor bzw. der ersten Spur (Spur 0). Erst mit der Einführung variabler Geometrien, also unterschiedlicher Medien, wurde in den Bootsektor eine Möglichkeit eingefügt, auf geänderte Bedingungen Rücksicht zu nehmen: Der BIOS Parameter Block (kurz BPB).

Bei den Dateisystemen FAT12 und FAT16 ist der VBR genau einen Sektor groß. In ihm finden sich alle Informationen, die nötig sind, um das Betriebssystem zu starten, sowie ein Bootloader, dessen Programmcode mithilfe dieser Informationen die Startdateien auf dem Dateisystem lokalisiert und im Chainloading-Prinzip ausführt. Für MS-DOS ist dies z. B. die Datei IO.SYS.

Für den Bootloader macht es jedoch keinen Unterschied, ob der VBR tatsächlich der Bootsektor ist, oder ob er selbst bereits im Chainloading-Prinzip geladen wurde – das ist immer dann der Fall, wenn sich das Dateisystem innerhalb einer Partition auf dem Speichermedium befindet. Der Standard-Fall ist dann ein Master Boot Record als Bootsektor, dessen Programmcode die aktive Partition findet und den dort enthaltenen Partitions-Bootsektor (englisch partition boot sector) lädt. Für das darauf enthaltene Dateisystem ist der erste Sektor somit nicht frei nutzbar, allerdings ist er als volume boot sector ein reservierter Teil von diesem. Die Bezeichnungen sind daher Synonyme für den VBR, wenn dieser tatsächlich nur den ersten Sektor umfasst.

Bei den Dateisystemen HPFS, NTFS, FAT32 und exFAT reicht allerdings die Größe eines Sektors, 512 Bytes, nicht mehr für den Programmcode aus, so dass diese Dateisysteme mehrere Sektoren verwenden. Das liegt u. a. auch daran, dass der BPB bei FAT32 größer ausfällt^[6] und somit weniger Platz für den Bootloader übrig bleibt. Die Bezeichnung englisch Volume Boot Sector beschränkt sich weiterhin auf den ersten Sektor, während Volume Boot Record (VBR) für alle verwendeten Sektoren steht.

Für PCs, die kein BIOS verwenden, ist kein Startprogramm notwendig. Somit wird auch der Programmcode im VBR nicht ausgeführt. Das ist z. B. bei PCs, die UEFI als Firmware nutzen, der Fall.^[7] Der Programmcode wird auch nicht verwendet, wenn bereits ein Betriebssystem gestartet ist und auf ein Dateisystem zugreift. Jedoch wird, je nach Betriebssystem und Dateisystem-Treiber, unter Umständen der BIOS Parameter Block ausgewertet.

Der folgende Absatz beschreibt einen FAT32-VBR, der (ohne Kopie) 3 Sektoren à 512 Bytes groß ist. Bei NTFS umfasst der VBR üblicherweise 16 Sektoren.

Die folgende Tabelle stellt den Aufbau des Sektors 0 eines VBR dar. Dabei werden die einzelnen Funktionsbytes als Offset vom Beginn des VBR gezählt.

Der FSInfo-Sektor soll dem Betriebssystem helfen, schneller das nächste freie Cluster zu finden. Gespeichert werden die momentan freien Cluster der Partition und welches Cluster als Nächstes frei ist bzw. sein könnte. Die Informationen sollen lediglich als Hinweis für das Betriebssystem dienen und müssen nicht stimmen!

Der FSInfo-Sektor ist für einen reibungslosen Betrieb der FAT32 nicht notwendig.

Sektor 2 des VBR hat erstmal keine Verwendung. Er stellt zusätzlichen Speicher für Bootcode zur Verfügung für den Fall, dass Sektor 0 nicht ausreichend Speicherplatz für den Bootcode hatte. Steht der komplette Bootcode schon in Sektor 0, bleibt Sektor 2 leer bis auf die letzten beiden Bytes in Offset 0x5FE und 0x5FF, die wiederum die Magic Number 0x55 0xAA enthalten.

Unter dem Dateisystem FAT32 wird von allen 3 Sektoren des VBR eine Sicherungskopie in den Sektoren 6 bis 8 angelegt. Diese können bei einer eventuellen Beschädigung des VBR zur Wiederherstellung genutzt werden. Gängige Formatierungsprogramme überschreiben diese Sicherungskopie in der Regel nicht, sodass ein reines Formatieren einer Partition und das damit verbundene neue Anlegen einer FAT noch lange nicht ein sicheres Entfernen aller auf der Partition vorhandenen Daten gewährleistet.

Der Volume Boot Record ist prinzipiell unabhängig vom verwendeten Dateisystem. Allerdings fehlt im BIOS Parameter Block (BPB) ein Datenfeld, das das verwendete Dateisystem angeben würde. In der Praxis wurde der VBR daher nicht von anderen Dateisystemen verwendet, beispielsweise verwenden weder ext2 noch ReFS^[8] einen VBR. Allerdings ist der erste Datenblock eines Volumes (bei einem Laufwerk die Spur 0) bei fast allen Dateisystemen für einen etwaigen Bootsektor reserviert.

• All about BIOS parameter blocks (englisch)
• An Examination of the MSWIN4.1 OS Boot Record (englisch)
• The FAT32 Boot Record under Windows™ 2000, XP and 7 (englisch)
• An Examination of the NTFS Volume Boot Record (englisch)
• The VBR (exFAT, englisch)

1. ↑ ^{a b c} Technopedia - Volume Boot Record (VBR). 15. März 2013, abgerufen am 1. Februar 2024 (amerikanisches Englisch). 
2. ↑ Christopher C. Yang et al.: Intelligence and Security Informatics: IEEE ISI 2008 International Workshops: PAISI, PACCF, and SOCO 2008. 2008, S. 306 (englisch). 
3. ↑ NTFS Partition Boot Sector. Abgerufen am 11. Juni 2020. 
4. ↑ Sean K. Daily: Optimizing Windows NT. 1998, S. 719. 
5. ↑ Steve Bunting: EnCase® Computer Forensics: The Official EnCE®: EnCase® Certified Examiner Study Guide. 2008, S. 36 (englisch). 
6. ↑ http://www.ntfs.com/fat-boot-modif.htm
7. ↑ https://www.incibe-cert.es/en/blog/bootkits-en
8. ↑ http://www.resilientfilesystem.co.uk/refs-volume-boot-record