For3nsic/Forensic

FTK Imager 이용한 삭제된 파일 살리기

Stella Lucete 2015. 11. 9.
728x90
반응형

가끔 컴퓨터를 하다보면 파일을 모르고 삭제할 수 있다.

이를 살리기 위해

FTK Imager를 사용하여 살려보자.


FTK Imager 실행 하면 밑에의 창이 뜬다. 여기서



FILE -> Add Evidence Item...을 누르면 



이러한 창이뜨면 다음



이 창은 하드디스크를 선택하는 창이다. 저자는 가상으로 하는 거라 68GB로 잡혀있다. 여러가지가 잡힐수도 있다.



Finish를 하면 이러한 창이 뜨는데 옆에 플러스를 누르면



이렇게 파티션 1, 2 가 나오는 것을 확인하고 처음에는 350MB를 봤을 때 부팅을 도와주는 시스템으로 보인다.



파티션 2를 누르면 Root가 나오는 데 Root 매우 중요하다!!!



Root -> Recycle.Bin에 들어가면 삭제한 파일들이 나온다. 이렇게 간단하게 찾아 낼수 있다. 한번 다른 폴더에도 들어가보자!!


728x90
반응형

'For3nsic > Forensic ' 카테고리의 다른 글

파티셔닝과 디스크레이아웃 등  (0) 2015.11.10
포렌식을 더깊게...  (0) 2015.11.10
파티션 테이블 확인하는 방법  (2) 2015.11.03
MBR 구조  (0) 2015.11.03
파일시스템 분석  (0) 2015.11.02

댓글1