For3nsic/Forensic

ํŒŒํ‹ฐ์…˜ ํ…Œ์ด๋ธ” ํ™•์ธํ•˜๋Š” ๋ฐฉ๋ฒ•

๐“›๐“พ๐“ฌ๐“ฎ๐“ฝ๐“ฎ_๐“ข๐“ฝ๐“ฎ๐“ต๐“ต๐“ช 2015. 11. 3.
728x90
๋ฐ˜์‘ํ˜•

์ด๊ฑด ์ €์˜ ์‹ค์ œ ์“ฐ๋Š” ํ•˜๋“œ๋ฅผ ๋œฌ๊ฑด๋ฐ์š” 


๋ณด๋ฉด 0000001b0์„ ๋ณด๋ฉด ๋งˆ์ง€๋ง‰์— 80 20 ์ด ๋ณด์ด๋Š” ๊ฒƒ์„ ํ™•์ธ ํ• ์ˆ˜ ์žˆ๋‹ค. ๊ทธ์ „์— 00 00 ์€ ๋„๊ฐ’์ธ๊ฒƒ์„ ์•Œ์ˆ˜ ์žˆ๊ณ  ๊ทธ์ „์— 4๋ฐ”์ดํŠธ๋Š” ๋””์Šคํฌ ์„œ๋ช… ๊ตฌ์—ญ์ธ๊ฒƒ์„ ์•Œ์ˆ˜ ์žˆ๋‹ค. 80 20 ๋ถ€ํ„ฐ ํŒŒํ‹ฐ์…˜๋ถ€๋ถ„์ด ์‹œ์ž‘ ๋˜๋Š” ๊ฒƒ์ด๋‹ค. 80 ๋‚˜ํƒ€๋‚ด๋Š” ๊ฒƒ์€ Boot Flog ์ฆ‰, ๋ถ€ํŒ…์— ์‚ฌ์šฉํ•˜๋Š” ๊ฒƒ์ด๋‹ค. ์‰ฝ๊ฒŒ ๋งํ•ด์„œ os๊ฐ€ ๊น”๋ ค์žˆ๋Š” ๊ฒƒ์ด๋‹ค. ๋งŒ์•ฝ 00์ด๋ผ๋ฉด ๋ถ€ํŒ…์— ์‚ฌ์šฉํ•˜์ง€ ์•Š๋Š” ๊ฒƒ์ด๋‹ค.



๋…ธ๋ž€์ƒ‰ ๋ถ€๋ถ„์ด ํ•˜๋‚˜์˜ ์—”ํŠธ๋ฆฌ๋กœ 16byte ํ•œ ํŒŒํ‹ฐ์…˜์„ ๋‚˜ํƒ€๋‚ด๋Š” ๊ฒƒ์ด๋‹ค. ์ด๋ ‡๊ฒŒ ์ˆœ์„œ๋ฅผ ๋ณด๋ฉด ์ฒซ๋ฒˆ์งธ, ๋‘๋ฒˆ์งธ, ์„ธ๋ฒˆ์งธ ํŒŒํ‹ฐ์…˜๋“ค์€ ์ฃผํŒŒํ‹ฐ์…˜์ธ ๊ฒƒ์„ ํ™•์ธํ• ์ˆ˜ ์žˆ์„ ๊ฒƒ์ด๋‹ค. ๊ทธ๋Ÿผ ๋งˆ์ง€๋ง‰์˜ 4๋ฒˆ์งธ๋Š” ๋ฌด์—‡์ผ๊นŒ? ์˜๋ฌธ์ด ๋“ ๋‹ค. ์ด๋Š” ํ™•์žฅํŒŒํ‹ฐ์…˜์ด๋‹ค.(๋…ผ๋ฆฌ ๋“œ๋ผ์ด๋ธŒ๋Š” ๋งˆ์ง€๋ง‰ ํ™•์žฅ ํŒŒํ‹ฐ์…˜์—์„œ ์—ฐ๊ฒฐ๋˜๋Š” EBR์— ๊ทธ์ •๋ณด๊ฐ€ ๋‹ด๊ฒจ์ ธ์žˆ๋‹ค.)


๋ณด๊ธฐ ์‰ฝ๊ฒŒ ์ด๋ ‡๊ฒŒ 4ํŒŒํ‹ฐ์…˜์œผ๋กœ ๋‚˜๋ˆ  ์ง„๋‹ค. (ํ•œ ํ•˜๋“œ์— ์ตœ๋Œ€ 4๊ฐœ์˜ ํŒŒํ‹ฐ์…˜์„ ๋งŒ๋“ค์ˆ˜ ์žˆ์Œ)


16byte๋กœ ๋œ ํŒŒํ‹ฐ์…˜ ํ…Œ์ด๋ธ”์˜ ์—”ํŠธ๋ฆฌ ๊ตฌ์กฐ (๋ฆฌํ‹€์—”๋””์•ˆ) ์ €๋ ‡๊ฒŒ ํ•ด์„œ 16๋ฐ”์ดํŠธ๊ฐ€ 1ํŒŒํ‹ฐ์…˜์„ ์ด๋ฃฌ๋‹ค.


ํ•˜๋‚˜ ํ•˜๋‚˜ ๋ถ„์„ํ•ด๋ณด๋ฉด

1 - ํŒŒํ‹ฐ์…˜์˜ ์ƒํƒœ 



๋งจ์ฒ˜์Œ์˜ ์‚ฌ์ง„์„ ๋ณด๋ฉด ๋‚ด๊ฐ€ ์“ฐ๋Š” ์‹ค์ œ ์‚ฌ์šฉํ•˜๋Š” ํ•˜๋“œ์ด๊ธฐ ๋•Œ๋ฌธ์— 0x80์ธ๊ฒƒ์„ ์•Œ์ˆ˜ ์žˆ๋‹ค.   ์ผ๋ฐ˜ ํŒŒํ‹ฐ์…˜์ด๋ฉด 0x00์˜ ๊ฐ’์„ ๊ฐ€์ง„๋‹ค.

์ดํ›„์˜ 3๋ฐ”์ดํŠธ๋Š” ํŒŒํ‹ฐ์…˜์˜ ์ฒซ ๋ฒˆ์งธ ์„นํ„ฐ์˜ ์‹ค๋ฆฐ๋”-ํ—ค๋“œ-์„นํ„ฐ ์ฃผ์†Œ๊ฐ’์„ ๊ฐ€์ง„๋‹ค.


2 - ํŒŒํ‹ฐ์…˜์˜ ์ข…๋ฅ˜ 


ํ•ด๋‹น ํŒŒํ‹ฐ์…˜์˜ ํ˜•์‹(์ข…๋ฅ˜)๋ฅผ ๋‚˜ํƒ€๋‚ด์ค€๋‹ค. ์ง€๊ธˆ 07์„ ๋‚˜ํƒ€๋‚ด๋Š” ๊ฒƒ์„ ๋ณด๋ฉด NTFS ํŒŒ์ผ ์‹œ์Šคํ…œ์ด๊ฑฐ๋‚˜ exFATํŒŒ์ผ ์ด๋‹ค. ๋งŒ์•ฝ ์ด๊ฐ’์ด 0F์˜ ๊ฐ’์„ ๊ฐ€์ง„๋‹ค๋ฉด ํ•ด๋‹น ํŒŒํ‹ฐ์…˜์€ ํ™•์žฅ ํŒŒํ‹ฐ์…˜์ž„์„ ์˜๋ฏธํ•˜๊ฒŒ ๋œ๋‹ค.

ํŒŒํ‹ฐ์…˜์˜ ํƒ€์ž…์€ ์œ„ํ‚คํ”ผ๋”” - https://en.wikipedia.org/wiki/Partition_type


3 - ํŒŒํ‹ฐ์…˜์˜ ์‹œ์ž‘ ์œ„์น˜์™€ ๋งˆ์ง€๋ง‰ ์œ„์น˜ 



๋””์Šคํฌ์˜ ์ฒ˜์Œ์„ ๊ธฐ์ค€์œผ๋กœ ํŒŒํ‹ฐ์…˜์˜ ์‹œ์ž‘๊ณผ ๋งˆ์ง€๋ง‰์„ ๋‚˜ํƒ€๋‚ด๋Š” ๊ฐ’์ด๋‹ค. ์ฆ‰, ํ•ด๋‹น ํŒŒํ‹ฐ์…˜์ด ์ •ํ™•ํ•˜๊ฒŒ ๋””์Šคํฌ์˜ ์–ด๋””๋ถ€ํ„ฐ ์–ด๋””๊นŒ์ง€ ์œ„์น˜ํ•ด ์žˆ๋Š”์ง€ ๊ทธ ์˜์—ญ์„ ์•Œ๋ ค์ฃผ๋Š” ์ •๋ณด์ด๋‹ค.

๊ทธ๋Ÿฌ๋‚˜ ์ด ์ •๋ณด๋Š” ํ˜„์žฌ์—๋Š” ์‹ค์งˆ์ ์ธ ์ผ์„ ํ•˜์ง€ ๋ชปํ•˜๋Š” ์ฃฝ์€ ์ •๋ณด์ด๋‹ค. 

CHS ์ฃผ์†Œ๋Š” ์‹ค๋ฆฐ๋” 10๋น„ํŠธ + ํ—ค๋“œ 8๋น„ํŠธ + ์„นํ„ฐ 6๋น„ํŠธ ์ด 24๋น„ํŠธ(3๋ฐ”์ดํŠธ)๋กœ ์ด๋ฃจ์–ด ์ ธ์žˆ๋‹ค. 


4 - ํŒŒํ‹ฐ์…˜์˜ ์‹œ์ž‘ ์œ„์น˜ : LBA์ฃผ์†Œ ์ฒด๊ณ„



๋””์Šคํฌ์˜ ์ฒ˜์Œ์„ ๊ธฐ์ค€์œผ๋กœ ํŒŒํ‹ฐ์…˜์ด ์‹œ์ž‘๋˜๋Š” ์œ„์น˜๋ฅผ LBA์ฃผ์†Œ ์ฒด๊ณ„๋กœ ํ‘œํ˜„ํ•œ ๊ฐ’์ด๋‹ค. ์ฆ‰, ์•ž์—์„œ์˜ CHS์ •๋ณด์™€ ๊ฐ™์ด ํ•ด๋‹น ํŒŒํ‹ฐ์…˜์˜ ์˜์—ญ์ด ์ •ํ™•ํ•˜๊ฒŒ ๋””์Šคํฌ์˜ ์–ด๋Š ์ง€์ ์—์„œ ์‹œ์ž‘ํ•˜๋Š”์ง€๋ฅผ ์•Œ๋ ค์ฃผ๋Š” ์ •๋ณด์ด๋‹ค. LBA ์ฃผ์†Œ๋Š” CHS ์ฃผ์†Œ์ฒ˜๋Ÿผ ๋ณต์žกํ•œ ๊ตฌ์กฐ๋ฅผ ๊ฐ€์ง€๊ณ  ์žˆ์ง€ ์•Š๊ณ , ๋…ผ๋ฆฌ์ ์œผ๋กœ ๋ชจ๋“  ์„นํ„ฐ๋ฅผ ์ผ๋ ฌ๋กœ ์ •๋ ฌ์‹œ์ผœ๋†“๊ณ  ์ฐจ๋ก€๋กœ ๋ฒˆํ˜ธ๋ฅผ ๋งค๊ธด ๋งค์šฐ ๊ฐ„๋‹จํ•œ ์ฃผ์†Œ ์ฒด๊ณ„์ด๊ธฐ ๋•Œ๋ฌธ์—, ํŒŒํ‹ฐ์…˜ ์—”ํŠธ๋ฆฌ์— ์ €์žฅ๋˜์–ด ์žˆ๋Š” 00 08 00 00 ๊ฐ’์„ ๊ทธ๋Œ€๋กœ ํ•ด์„ํ•˜๋ฉด ๋ฉ๋‹ˆ๋‹ค.


ํ•ด๋‹น ๊ฐ’์€ ๋ฆฌํ‹€ ์—”๋””์•ˆ ๋ฐฉ์‹์ด๊ธฐ ๋•Œ๋ฌธ์— ์—ญ์ˆœ์œผ๋กœ ์ฝ์œผ๋ฉด ๋ฉ๋‹ˆ๋‹ค. ์ฆ‰, 00 00 08 00 ๊ฐ’์ด ๊ทธ๋Œ€๋กœ LBA ์ฃผ์†Œ๊ฐ€ ๋˜๋Š” ๊ฒƒ์ด์ฃ . ์•ž์˜ 0 ๊ฐ’๋“ค์€ ๋นˆ ๊ฐ’์ด๊ธฐ ๋•Œ๋ฌธ์— ๋–ผ์–ด๋ฒ„๋ฆฌ๋ฉด 800 ์ด๋ผ๋Š” ํ—ฅ์Šค ๊ฐ’๋งŒ ๋‚จ์ฃ . ์ด๋ฅผ ์‹ญ์ง„์ˆ˜ ๊ฐ’์œผ๋กœ ๋ณ€ํ™˜ํ•˜๊ฒŒ ๋˜๋ฉด LBA 2,048 ๊ฐ’์ด ๋‚˜์˜ค๊ฒŒ ๋ฉ๋‹ˆ๋‹ค.


5 - ํŒŒํ‹ฐ์…˜์˜ ํฌ๊ธฐ : ํŒŒํ‹ฐ์…˜์— ํฌํ•จ๋œ ์ „์ฒด ์„นํ„ฐ์˜ ๊ฐœ์ˆ˜ 

์ด๋Š” ํ•ด๋‹น ํŒŒํ‹ฐ์…˜์ด ์ด ๋ช‡ ๊ฐœ์˜ ์„นํ„ฐ๋กœ ๊ตฌ์„ฑ๋˜์–ด์žˆ๋Š”์ง€๋ฅผ ์•Œ๋ ค์ฃผ๋Š” ๊ฒƒ์ด๋‹ค. ์ด๋Š” ๋‹จ์ˆœํ•˜๊ฒŒ 00 00 00 05๋ฅผ ๋ฆฌํ‹€์—”๋””์–ธ๋ฐฉ์‹์œผ๋กœ ๋’ค์ง‘์œผ๋ฉด 05 00 00 00 ์ด๋œ๋‹ค. ์ด๋ฅผ 10์ง„์ˆ˜๋กœ ๋ณ€ํ™˜ํ•˜๋ฉด ๊ฐ’์ด๋‚˜์˜จ๋‹ค. ๊ฑฐ๊ธฐ์— ์„นํ„ฐ ํ•˜๋‚˜์˜ ์šฉ๋Ÿ‰์€ 512๋ฐ”์ดํŠธ์ด๋‹ค. ๊ทธ๋Ÿผ ์„นํ„ฐ๊ฐœ์ˆ˜*512 ๋ฅผํ•˜๋ฉด ๋””์Šคํฌ์˜ ํฌ๊ธฐ๊นŒ์ง€ ๊ตฌํ• ์ˆ˜ ์žˆ๋‹ค. 


[์ฐธ๊ณ ]http://cappleblog.co.kr/590



728x90
๋ฐ˜์‘ํ˜•

๋Œ“๊ธ€