For3nsic/Forensic

USB forensic

๐“›๐“พ๐“ฌ๐“ฎ๐“ฝ๐“ฎ_๐“ข๐“ฝ๐“ฎ๐“ต๐“ต๐“ช 2015. 11. 23.
728x90
๋ฐ˜์‘ํ˜•

์ตœ๊ทผ๋“ค์–ด ์ด๋™์‹ ๋””์Šคํฌ ์ฆ‰, USB์˜ ์‚ฌ์šฉ์ด ๋งŽ์•„์ง€๊ณ  ์žˆ๋‹ค. ๋˜ํ•œ ์•ž์œผ๋กœ๋„ ๋Š˜์–ด๋‚  ๊ฒƒ ๊ฐ™์€? ๋Š๋‚Œ์ด ๋“ค๊ณ  ์ด๋ฅผ ์•…์„ฑ์ฝ”๋“œ ์œ ํฌ ๋˜๋Š” ์ž๋ฃŒ ์œ ํฌ ๋“ฑ์œผ๋กœ ๋งŽ์ด ์ด์šฉ ๋˜๊ณ  ์žˆ๋‹ค. 

๊ณผ์—ฐ usb๋Š” ์–ด๋–ป๊ฒŒ ์ธ์‹์ด ๋˜๊ณ  ์–ด๋–ป๊ฒŒ ์‚ฌ์šฉ๋ ๊นŒ?


๋จผ์ € usb๋ฅผ ๊ฝ‚์•˜์„ ๋•Œ Bus Driver๋ผ๋Š” ๊ณณ์—์„œ PnP Manager์—๊ฒŒ ์ œ์กฐ์‚ฌ์™€ device์˜ ์ผ๋ จ ๋ฒˆํ˜ธ๋ฅผ ๋ณด๋‚ด์–ด ์—ฐ๊ฒฐ์ด ๋˜์—ˆ์Œ์„ ์•Œ๋ฆฐ๋‹ค.

๊ทธ ํ›„ ์ปค๋„๋ชจ๋“œ PnP Manager๋Š” ๋ ˆ์ง€์ŠคํŠธ๋ฆฌ๋ฅผ ๊ธฐ๋ฐ˜์œผ๋กœ ๋“œ๋ผ์ด๋ฒ„๊ฐ€ ์„ค์น˜๋˜์–ด์žˆ๋Š”์ง€๋ฅผ ํ™•์ธํ•œ๋‹ค.

๋งŒ์•ฝ ์„ค์น˜๊ฐ€ ๋˜์–ด ์žˆ์ง€ ์•Š๋‹ค๋ฉด ์ปค๋„๋ชจ๋“œ PnP Manager๋Š” ์œ ์ €๋ชจ๋“œ PnP Manager์—๊ฒŒ ๋“œ๋ผ์ด๋ฒ„์˜ ๊ด€๋ จ ์ƒํ•ญ์„ ์ „๋‹ฌ ํ•œ๋‹ค. 

์„ค์น˜๊ฐ€ ๋˜์–ด ์žˆ๋‹ค๋ฉด ๋“œ๋ผ์ด๋ฒ„๋ฅผ ๋กœ๋“œํ•œ๋‹ค.

์œ„์˜ ๊ณผ์ •์„ ๋งˆ์น˜๋ฉด ๋ ˆ์ง€์ŠคํŠธ๋ฆฌ์— ๊ธฐ๋ก์„ํ•˜๊ณ  ์„ค์น˜๊ณผ์ •์„ SetupAPI ๋กœ๊ทธ์— ๊ธฐ๋กํ•œ๋‹ค.

์ดํ›„ ์™„๋ฃŒ๋˜๋ฉด USB์žฅ์น˜๋ฅผ ๋งˆ์šดํŠธํ•˜๊ณ  ์ •๋ณด๋ฅผ ๋ ˆ์ง€์ŠคํŠธ๋ฆฌ์— ๊ธฐ๋กํ•œ๋‹ค.



setupAPI.log

C:\Windows\inf ๊ฒฝ๋กœ์— ์œ„์น˜ ํ•˜์—ฌ์žˆ์œผ๋ฉฐ USB ์—ฐ๊ฒฐ๊ณผ ์ตœ์ดˆ ์—ฐ๊ฒฐ ์‹œ๊ฐ„์„ ์•Œ ์ˆ˜ ์žˆ๋‹ค.




event log

Windows7์ดํ›„๋กœ ๋งŽ์€ ๋กœ๊ทธ๊ฐ€ ์ƒ๊ฒผ๋Š”๋ฐ ๊ทธ ์ค‘ DriverFrameworks-UserMode์ด๋ฒคํŠธ ๋กœ๊ทธ๋Š” ์žฅ์น˜๋“ค์œผ ๋“œ๋ผ์ด๋ฒ„๊ฐ€ ๋กœ๋“œ๋œ ์ด๋ฒคํŠธ๋ฅผ ๊ธฐ๋กํ•œ๋‹ค.

๊ฒฝ๋กœ๋Š” Microsoft-Windows-DriverFrameworks-UserMode



๋ ˆ์ง€์ŠคํŠธ๋ฆฌ

USBSTOR

์‹œ์Šคํ…œ์— ์—ฐ๊ฒฐ๋œ USB ๋””๋ฐ”์ด์Šค์™€ ๊ด€๋ จํ•ด ์ œ์กฐ์‚ฌ, ์ œํ’ˆ๋ช…, ์‹œ๋ฆฌ์–ผ ๋ฒˆํ˜ธ, ์—ฐ๊ฒฐ์‹œ๊ฐ„ ๋“ฑ์„ ์•Œ์ˆ˜ ์žˆ๋‹ค.

๊ฒฝ๋กœ๋Š” HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR

HKLM=HKEY_LOCAL_MACHINE




WpdBusEnumRoot

๋ณผ๋ฅจ์˜ ์ด๋ฆ„ ๋˜๋Š” ์‚ฌ์šฉ๋˜์—ˆ๋˜ ๋ฌธ์ž ํ™•์ธ

๊ฒฝ๋กœ๋Š” HKLM\SYSTEM\CurrentControlSet\Enum\WpdBusEnumRoot\UMB






Windows Protable Devices

๋ฌธ์žํ™•์ธ

๊ฒฝ๋กœ๋Š” HKLM\SOFTWARE\Microsoft\Windows Portable Devices\Device



Mounted Devices

๋””์Šคํฌ ์‹œ๊ทธ๋‹ˆ์ฒ˜ ํ™•์ธ

๊ฒฝ๋กœ๋Š” HKLM\SYSTEM\MountedDevices



์ฐธ์กฐ : http://mr-zero.tistory.com/103



728x90
๋ฐ˜์‘ํ˜•

๋Œ“๊ธ€