Ch a p t e r   8   -   D a t a   V i e w s 
71 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
8.1
DATA VIEWS SUMMARY 
Each of the Forensic Explorer module tabs contains one or more of the following data 
views: 
Data View Tabs 
Function 
Shows the folder structure of the examined device. 
Separates artifacts into categories, including files by 
extension, files by modified date and flagged files. 
Lists individual items and displays their metadata in 
columns. 
A graphical display of the sectors which make up the 
examined device. 
A thumbnail presentation of the graphics files. 
Hexadecimal view of the currently highlighted item. 
Automatic interpretation of user selected data. 
Text view of the currently highlighted file. 
Content display of currently highlighted file. Displays 
of 300 + different file types including video and audio. 
A graphical representation of byte level data within 
the currently highlighted file.  
Displays information contained in the MFT record or 
FAT entry for the currently highlighted file. 
A breakdown of files metadata components. 
Details the start, end and length of each data run on 
the disk. 
Pdf metadata viewer - add, remove, update PDF metadata in C#.net, ASP.NET, MVC, Ajax, WinForms, WPF
Allow C# Developers to Read, Add, Edit, Update and Delete PDF Metadata
pdf keywords metadata; pdf metadata viewer
Pdf metadata viewer - VB.NET PDF metadata library: add, remove, update PDF metadata in vb.net, ASP.NET, MVC, Ajax, WinForms, WPF
Enable VB.NET Users to Read, Write, Edit, Delete and Update PDF Document Metadata
pdf xmp metadata editor; online pdf metadata viewer
72 | Page 
Ch a p t e r   8   -   D a t a   V i e w s  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
Shows the bookmark details associated with the item. 
These views are described in more detail below. 
8.1.1
COMPONENTS OF A DATA  VIEW 
Figure 47, Data view layout 
View Name: The view name describes the function of the view, e.g. ͞Hex͟ displays a 
hexadecimal view of the currently highlighted item. The options button ▼ provides 
the option to rename a view with a custom name. 
Data Area: The data area of the view is where the content of the highlighted item is 
displayed to the investigator. 
View information bar: The information bar at the bottom of a view. It provides details 
on the data currently displayed in that view. It is an important navigational reference.  
The information bar can contain information such as: 
The full path to the currently highlighted item; 
The currently selected physical sector. 
8.1.2
DATA VIEWS RELATIONSHIPS IN THE FILE SYSTEM MODULE   
Forensic Explorer data views within a module co-exist in linked relationships. In 
simplest terms, when a file is highlighted in one view, the other views also change to 
show that data. 
Note: Data views between different modules are NOT linked. For example, the Hex 
data view in the File System module acts independently from the Hex data view in the 
Keyword Search module. 
VB.NET PDF - WPF PDF Viewer for VB.NET Program
C#.NET PDF Create, C#.NET PDF Document Viewer, C#.NET PDF Windows Viewer, C#.NET search text in PDF, C#.NET edit PDF bookmark, C#.NET edit PDF metadata, C#.NET
remove metadata from pdf online; pdf metadata
VB.NET PDF- View PDF Online with VB.NET HTML5 PDF Viewer
C#.NET PDF Create, C#.NET PDF Document Viewer, C#.NET PDF Windows Viewer, C#.NET search text in PDF, C#.NET edit PDF bookmark, C#.NET edit PDF metadata, C#.NET
adding metadata to pdf files; pdf metadata online
Ch a p t e r   8   -   D a t a   V i e w s 
73 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Figure 48, Relationships between data views 
Key:  
Multi relationship. A selection in view changes the selection 
in all other connected views. 
A single relationship. A change in the parent view changes 
the view in the child view. 
How to C#: Modify Image Metadata (tag)
C#.NET PDF Create, C#.NET PDF Document Viewer, C#.NET PDF Windows Viewer, C#.NET search text in PDF, C#.NET edit PDF bookmark, C#.NET edit PDF metadata, C#.NET
search pdf metadata; modify pdf metadata
C# PDF Library SDK to view, edit, convert, process PDF file for C#
RasterEdge WPF PDF Viewer provides C# users abilities to view, annotate, convert and create PDF in WPF application. C#.NET: Edit PDF Metadata.
add metadata to pdf programmatically; google search pdf metadata
74 | Page 
Ch a p t e r   8   -   D a t a   V i e w s  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
8.2
TREE VIEW 
A Tree view is a hierarchical display of items (e.g. devices, partitions, folders, registry 
key folders, keywords etc.). Like Microsoft͛s Windows Explorer, the Tree view is most 
commonly used to select a folder, causing the contents of the folder to be displayed in 
the adjacent List view. 
The default position for a Tree view is in the top left window. The actual name of the 
Tree view changes according to the module, i.e.: 
Module  
Tree view Name   
More Information 
File System  
Folders    
Chapter 11 
Keyword Search   
Keyword Tree   
Chapter 12 
Bookmarks 
Bookmark Tree   
Chapter 16 
Registry  
Registry Tree    
Chapter 15 
8.2.1
NAVIGATING TREE VIEW 
To navigate Tree view: 
Use the keyboard arrow keys to traverse, expand and contract the tree;  
Double click a Folder to drill down into its sub folders; or 
Click the   and   symbols to expand and contract the tree hierarchy; or 
Right click and use ͞Expand All͟ to expand the currently highlighted folder, or 
͞Expand All͟ to expand all folders; use ͞Contract͟ to contract the currently 
highlighted folder, or ͞Contract All͟ to contract all folders. 
8.2.2
TREE VIEW FILTER 
Some Tree views contain a filter drop down menu, as shown in Figure 49: 
C# WPF PDF Viewer SDK to view, annotate, convert and print PDF in
PDF Online. Convert PDF Online. WPF PDF Viewer. View PDF in Image to PDF. Image: Remove Image from PDF Page. Edit URL. Bookmark: Edit Bookmark. Metadata: Edit, Delete
remove metadata from pdf acrobat; pdf metadata reader
C# TIFF: TIFF Metadata Editor, How to Write & Read TIFF Metadata
C# TIFF - Edit TIFF Metadata in C#.NET. Allow Users to Read and Edit Metadata Stored in Tiff Image in C#.NET Application. How to Get TIFF XMP Metadata in C#.NET.
extract pdf metadata; edit pdf metadata online
Ch a p t e r   8   -   D a t a   V i e w s 
75 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Figure 49, Tree view filter 
A tree view filter is used to display only the folders which match set criteria. For 
example, applying the ͞Graphics Files.pas͟ filter will show only folders containing 
graphics files. The File list view in the right hand window will also only show the 
applied filter criteria.  
Tree view filters are created using scripts. For more information on creating a Tree 
view filter, see 0- Filters. 
8.2.3
BRANCH PLATE 
One of the most powerful features of Tree view is the ͞branch plate͟. When a branch 
plate is selected, all items beneath that plate are displayed as a single list in List view. 
For example, this action can be used to display the contents of a folder and all of its 
sub folders and files. 
To branch plate, click the required plate with the mouse. When the plate turns 
orange,    it is active. 
To plate multiple branches; 
1.
Click the first required plate with the mouse; 
2.
Hold down the CTRL key and click the other required plates. 
C# HTML5 PDF Viewer SDK to view PDF document online in C#.NET
PDF Online. Convert PDF Online. WPF PDF Viewer. View PDF in Image to PDF. Image: Remove Image from PDF Page. Edit URL. Bookmark: Edit Bookmark. Metadata: Edit, Delete
pdf xmp metadata viewer; batch pdf metadata
VB.NET PDF Library SDK to view, edit, convert, process PDF file
PDF Metadata Edit. Offer professional PDF document metadata editing APIs, using which VB.NET developers can redact, delete, view and save PDF metadata.
delete metadata from pdf; change pdf metadata
76 | Page 
Ch a p t e r   8   -   D a t a   V i e w s  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
Figure 50, File System module, Folders view, branch plate with “Aquatic” and “Landscape” folders plated 
Plated folders are displayed in normal font. The non-plated folders are in grey italic. 
The blue number in brackets, e.g. ͞(2)͟ counts the number of items inside the folder 
(but does not count the contents of sub folders). 
To turn off the branch plate: 
Right click in the File System module Folders View, or in the like tree view of 
other modules (plating operated independently in each module), and select 
Branch Plating > Branch Plate Off. When branch plating is turned off the tree 
works in a similar fashion to Windows Explorer. 
Ch a p t e r   8   -   D a t a   V i e w s 
77 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
8.3
LIST VIEW 
A List view displays individual items (e.g. files) and their metadata (e.g. file name, size, 
modified date, created date, etc.) in a table format.  
The default position for a List view is in the top right window. The actual name of the 
List view changes according to the module, i.e.: 
Module 
List View Name 
More Information 
File System 
File List 
Chapter 11 
Keyword Search 
Keyword Result List 
Chapter 12 
Bookmarks 
Bookmarks List 
Chapter 16 
Registry 
Registry List 
Chapter 15 
List view allows items (such as: files, notes, keyword search results and registry 
entries) to be sorted, highlighted, checked, flagged, opened and exported. For more 
information, see Chapter 9 - Working with data. 
78 | Page 
Ch a p t e r   8   -   D a t a   V i e w s  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
8.4
DISK VIEW 
The default location for Disk view is the top right hand window of the File System 
module, accessed via the Disk View tab: 
Figure 51, Disk View tab 
Disk view is a graphical display of the sectors which make up the examined device. 
Disk view can be used to: 
Obtain a graphical overview of items which make up the device (e.g. MBR, 
VBR, FAT, MFT, files, deleted files, unallocated clusters etc.).  
Quickly navigate to a desired sector on the device (see ͞Navigating Disk 
view͟ below); 
Select sectors for examination in other Forensic Explorer views (e.g. Hex 
view, Text view etc.). The selection can include a single sector, a range of 
sectors, or an entire item. 
To open Disk view:  
Open a case or preview evidence; 
Go to the File System module; 
In the left pane, select the device (or an item in the file system of the device) 
to view; 
In the right pane, select the Disk View tab 
Figure 52, Disk view 
Ch a p t e r   8   -   D a t a   V i e w s 
79 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
8.4.1
RESIZING THE DISK VIEW DISPLAY 
The number of sectors shown in Disk view can be dynamically adjusted using the slider 
bar: 
Figure 53, Disk view scale bar 
Large scale can be used for examining small groups of individual sectors. Small scale 
can provide a graphical representation of the data structure on the disk and can also 
be used to quickly identify content (see 8.4.2 - Color Coded Content below). 
8.4.2
COLOR CODED CONTENT 
Disk view opens with the following default color coding representing the content of 
sectors (color coding sourced from http://en.wikipedia.org/wiki/Web_colors)
The start sector of a file 
Currently selected sector 
One type overlays another 
------------------------------------------------- 
MBR/VBR (Red) 
FAT 1 (DarkViolet) 
FAT 2 (WebViolet) 
$MFT (DarkViolet) 
System files (WebTomato) 
$MFT resident file (the file overlays the $MFT) 
Folder (Deepskyblue) 
Allocated File (CornFlowerBlue) 
Unallocated space (LtGray) 
Deleted file (A deleted file overlays unallocated space) 
Carved file (DarkOrange: Carved file overlays unallocated space) 
CUSTOM DISK VIEW COLORS 
Disk view colors can be customized. For example, it is possible to: 
show a file type, e.g. JPGs as a specific color; or 
80 | Page 
Ch a p t e r   8   -   D a t a   V i e w s  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
change the color of a file type over a certain size to a specific color; or 
show a specific file, e.g. ͞sample.txt͟ as a specific color. 
Custom Disk view colors are defined using Forensic Explorer scripts located in the 
͞Scripts > Disk View͟ folder. (Learn more about scripting in Chapter 18 - Scripts 
Module).  
To change Disk view colors using a script: 
1.
Right click in the Disk view window; 
2.
Select ͞Disk Colors͟ from the drop down menu; 
3.
Select the required Disk view colors script. 
Figure 54, Right-click Disk View menu links to scripts 
To reset Disk view colors to default; 
1.
Right click in the Disk view window; 
2.
Select Disk Colors > Default Colors. 
8.4.3
NAVIGATING DISK VIEW 
DISK VIEW MAP 
The vertical bar on the right hand side of the disk view window (shown in Figure 56 
below) is a map to allocated space on the examined device. Use the vertical scroll bar 
to quickly navigate to the colored section which identifies allocated disk pace. 
KEYBOARD NAVIGATION 
The following commands are available for navigation in Disk view: 
Documents you may be interested
Documents you may be interested