관리 메뉴

Lucete

파티션 테이블 확인하는 방법 본문

For3nsic/Forensic

파티션 테이블 확인하는 방법

LuCeT3 2015. 11. 3. 02:39

이건 저의 실제 쓰는 하드를 뜬건데요 


보면 0000001b0을 보면 마지막에 80 20 이 보이는 것을 확인 할수 있다. 그전에 00 00 은 널값인것을 알수 있고 그전에 4바이트는 디스크 서명 구역인것을 알수 있다. 80 20 부터 파티션부분이 시작 되는 것이다. 80 나타내는 것은 Boot Flog 즉, 부팅에 사용하는 것이다. 쉽게 말해서 os가 깔려있는 것이다. 만약 00이라면 부팅에 사용하지 않는 것이다.



노란색 부분이 하나의 엔트리로 16byte 한 파티션을 나타내는 것이다. 이렇게 순서를 보면 첫번째, 두번째, 세번째 파티션들은 주파티션인 것을 확인할수 있을 것이다. 그럼 마지막의 4번째는 무엇일까? 의문이 든다. 이는 확장파티션이다.(논리 드라이브는 마지막 확장 파티션에서 연결되는 EBR에 그정보가 담겨져있다.)


보기 쉽게 이렇게 4파티션으로 나눠 진다. (한 하드에 최대 4개의 파티션을 만들수 있음)


16byte로 된 파티션 테이블의 엔트리 구조 (리틀엔디안) 저렇게 해서 16바이트가 1파티션을 이룬다.


하나 하나 분석해보면

1 - 파티션의 상태 



맨처음의 사진을 보면 내가 쓰는 실제 사용하는 하드이기 때문에 0x80인것을 알수 있다.   일반 파티션이면 0x00의 값을 가진다.

이후의 3바이트는 파티션의 첫 번째 섹터의 실린더-헤드-섹터 주소값을 가진다.


2 - 파티션의 종류 


해당 파티션의 형식(종류)를 나타내준다. 지금 07을 나타내는 것을 보면 NTFS 파일 시스템이거나 exFAT파일 이다. 만약 이값이 0F의 값을 가진다면 해당 파티션은 확장 파티션임을 의미하게 된다.

파티션의 타입은 위키피디 - https://en.wikipedia.org/wiki/Partition_type


3 - 파티션의 시작 위치와 마지막 위치 



디스크의 처음을 기준으로 파티션의 시작과 마지막을 나타내는 값이다. 즉, 해당 파티션이 정확하게 디스크의 어디부터 어디까지 위치해 있는지 그 영역을 알려주는 정보이다.

그러나 이 정보는 현재에는 실질적인 일을 하지 못하는 죽은 정보이다. 

CHS 주소는 실린더 10비트 + 헤드 8비트 + 섹터 6비트 총 24비트(3바이트)로 이루어 져있다. 


4 - 파티션의 시작 위치 : LBA주소 체계



디스크의 처음을 기준으로 파티션이 시작되는 위치를 LBA주소 체계로 표현한 값이다. 즉, 앞에서의 CHS정보와 같이 해당 파티션의 영역이 정확하게 디스크의 어느 지점에서 시작하는지를 알려주는 정보이다. LBA 주소는 CHS 주소처럼 복잡한 구조를 가지고 있지 않고, 논리적으로 모든 섹터를 일렬로 정렬시켜놓고 차례로 번호를 매긴 매우 간단한 주소 체계이기 때문에, 파티션 엔트리에 저장되어 있는 00 08 00 00 값을 그대로 해석하면 됩니다.


해당 값은 리틀 엔디안 방식이기 때문에 역순으로 읽으면 됩니다. 즉, 00 00 08 00 값이 그대로 LBA 주소가 되는 것이죠. 앞의 0 값들은 빈 값이기 때문에 떼어버리면 800 이라는 헥스 값만 남죠. 이를 십진수 값으로 변환하게 되면 LBA 2,048 값이 나오게 됩니다.


5 - 파티션의 크기 : 파티션에 포함된 전체 섹터의 개수 

이는 해당 파티션이 총 몇 개의 섹터로 구성되어있는지를 알려주는 것이다. 이는 단순하게 00 00 00 05를 리틀엔디언방식으로 뒤집으면 05 00 00 00 이된다. 이를 10진수로 변환하면 값이나온다. 거기에 섹터 하나의 용량은 512바이트이다. 그럼 섹터개수*512 를하면 디스크의 크기까지 구할수 있다. 


[참고]http://cappleblog.co.kr/590



'For3nsic > Forensic' 카테고리의 다른 글

포렌식을 더깊게...  (0) 2015.11.10
FTK Imager 이용한 삭제된 파일 살리기  (0) 2015.11.09
파티션 테이블 확인하는 방법  (2) 2015.11.03
MBR 구조  (0) 2015.11.03
파일시스템 분석  (0) 2015.11.02
컴퓨터 기본  (0) 2015.11.01
2 Comments
댓글쓰기 폼