For3nsic/Forensic

ํŒŒ์ผ์‹œ์Šคํ…œ ๋ถ„์„

๐“›๐“พ๐“ฌ๐“ฎ๐“ฝ๐“ฎ_๐“ข๐“ฝ๐“ฎ๐“ต๐“ต๐“ช 2015. 11. 2.
728x90
๋ฐ˜์‘ํ˜•

์ตœ๊ทผ ์‚ญ์ œ๋œ ํŒŒ์ผ์ด๋‚˜ ์‚ฌ๊ฑด์ด ์ผ์–ด๋‚œ ์‹œ์ ์—์„œ ์‚ญ์ œ๋œ ํŒŒ์ผ์€ ์šฐ์„  ๋ถ„์„ ๋Œ€์ƒ์ด ๋œ๋‹ค.

ํŒŒ์ผ ์‹œ์Šคํ…œ์— ํŒŒ์ผ ์‚ญ์ œ ์‹œ ์‹ค์ œ ๋ฐ์ดํ„ฐ ์‚ญ์ œ ์—†์ด ๋ฉ”ํƒ€์ •๋ณด๋งŒ์ด ์ˆ˜์ • ๊ฐ€๋Šฅ ํ•˜๋‹ค.

์ฆ‰, ์‚ญ์ œ๋œ ํŒŒ์ผ์˜ ๋ฉ”ํƒ€ ์ •๋ณด ๊ตฌ์กฐ๊ฐ€ ๋ฎ์–ด์จ์ง€์ง€ ์•Š์•˜๋‹ค๋ฉด ํŒŒ์ผ์€ ๊ฑฐ์˜ ์™„๋ฒฝํ•˜๊ฒŒ ๋ณต๊ตฌ๋œ๋‹ค๋Š” ๋ง์ด๋‹ค. 


๋””์Šคํฌ ํฌ๋งท์ •๋ณด 

NTFS : ๋น„์—ฐ์†์ /์—ฐ์†์ ์œผ๋กœ ํ• ๋‹น๋œ ํŒŒ์ผ ๋ชจ๋‘ ์™„๋ฒฝํ•˜๊ฒŒ ๋ณต๊ตฌ๊ฐ€ ๊ฐ€๋Šฅํ•˜๋‹ค.

FAT : ๋น„์—ฐ์†์ ์œผ๋กœ ํ• ๋‹น๋œ ํŒŒ์ผ์€ ๋ถ€๋ถ„์ ์ธ ๋ณต๊ตฌ๋งŒ ๊ฐ€๋Šฅํ•˜๋‹ค. (FAT Table์˜ ์ดˆ๊ธฐํ™”๋กœ ์—ฐ๊ฒฐ์ •๋ณด๊ฐ€ ์‚ฌ๋ผ์ง„๋‹ค.)

์‚ญ์ œ๋œ ํŒŒ์ผ ํƒ์ƒ‰ 

FAT12/16/32 : ๋ฃจํŠธ ๋””๋ ‰ํ„ฐ๋ฆฌ๋กœ ๋ถ€ํ„ฐ ํƒ์ƒ‰ํ•˜๋ฉด์„œ ๋””๋ ‰ํ„ฐ๋ฆฌ ์—”ํŠธ๋ฆฌ ์ฒซ ๋ฐ”์ดํŠธ๊ฐ€ 0xe5์ธ ์—”ํŠธ๋ฆฌ ์ˆ˜์ง‘ 

์ˆ˜์ง‘ exFAT : ํŒŒ์ผ ๋””๋ ‰ํ„ฐ๋ฆฌ ์—”ํŠธ๋ฆฌ ๊ฐ’์ด 0x05์ธ ์—”ํŠธ๋ฆฌ ์ˆ˜์ง‘

NTFS : $MFT ์˜ $BITMAP ์†์„ฑ์—์„œ 0x00 ๊ฐ’์„ ๊ฐ€์ง€๋Š” MFT ์—”ํŠธ๋ฆฌ ์กฐ์‚ฌ / MFT ์—”ํŠธ๋ฆฌ ํ—ค๋” ํ”Œ๋ ˆ๊ทธ ๊ฐ’์ด 0x00์ธ MFT ์—”ํŠธ๋ฆฌ ์ˆ˜์ง‘ 


๋Œ€์šฉ๋Ÿ‰ ์ €์žฅ๋งค์ฒด์˜ ์ผ๋ฐ˜์ ์ธ ์‚ฌ์šฉ์œผ๋กœ ๋งŽ์€ ๊ณต๊ฐ„์ด ๋น„ํ• ๋‹น ์˜์—ญ์ผ ๊ฐ€๋Šฅ์„ฑ์ด ํฌ๋‹ค.

๋น„ํ• ๋‹น ํด๋Ÿฌ์Šคํ„ฐ์—๋Š” ์ด์ „ ๋ฐ์ดํ„ฐ๊ฐ€ ๋‚จ์•„ ์žˆ์„ ๊ฐ€๋Šฅ์„ฑ์ด ํฌ๋‹ค.

ํฌ๋งทํ•˜๊ธฐ ์ด์ „ ๋ฐ์ดํ„ฐ
์‚ญ์ œ๋œ ์ดํ›„ ๋ฉ”ํƒ€์ •๋ณด๊ฐ€ ์‚ญ์ œ๋œ ํŒŒ์ผ

๋น„ํ• ๋‹น ์˜์—ญ์ด ํŒ๋ณ„๋  ๊ฒฝ์šฐ ํ•ด๋‹น ์˜์—ญ์„ ๋Œ€์ƒ์œผ๋กœ ๋ฌธ์ž์—ด ์ถ”์ถœ ๋ฐ ๋ฐ์ดํ„ฐ ์นด๋น™ ์ˆ˜ํ–‰


๋น„ํ• ๋‹น ํด๋Ÿฌ์Šคํ„ฐ ์˜์—ญ ์ˆ˜์ง‘
FAT12/16/32 : FAT ์˜์—ญ์—์„œ 0x00 ๊ฐ’์„ ๊ฐ€์ง€๋Š” ํด๋Ÿฌ์Šคํ„ฐ๋ฅผ ์ˆœ์ฐจ์ ์œผ๋กœ ์—ฐ๊ฒฐ
exFAT : ํ• ๋‹น ๋น„ํŠธ๋งต ํ…Œ์ด๋ธ”(Allocation Bitmap Table)์—์„œ 0x00 ๊ฐ’์„ ๊ฐ€์ง€๋Š” ํด๋Ÿฌ์Šคํ„ฐ๋ฅผ ์ˆœ์ฐจ์ ์œผ๋กœ ์—ฐ๊ฒฐ NTFS : $Bitmap ๋ฉ”ํƒ€๋ฐ์ดํ„ฐ ํŒŒ์ผ์—์„œ 0x00 ๊ฐ’์„ ๊ฐ€์ง€๋Š” ํด๋Ÿฌ์Šคํ„ฐ๋ฅผ ์ˆœ์ฐจ์ ์œผ๋กœ ์—ฐ๊ฒฐ 


728x90
๋ฐ˜์‘ํ˜•

'For3nsic > Forensic ' ์นดํ…Œ๊ณ ๋ฆฌ์˜ ๋‹ค๋ฅธ ๊ธ€

ํŒŒํ‹ฐ์…˜ ํ…Œ์ด๋ธ” ํ™•์ธํ•˜๋Š” ๋ฐฉ๋ฒ•  (2) 2015.11.03
MBR ๊ตฌ์กฐ  (0) 2015.11.03
์ปดํ“จํ„ฐ ๊ธฐ๋ณธ  (0) 2015.11.01
Encase ํŒŒํ‹ฐ์…˜ ๋ณต๊ตฌํ•˜๊ธฐ  (2) 2015.10.30
Encase  (0) 2015.10.30

๋Œ“๊ธ€