GPT(GUID Partition Table)에서의 MFT는 과연?

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다.

내용

최근에 이것저것 하다가 한가지 의문점이 생겼다. 자동화를 만들고 있는데 NTFS파일 시스템의 경우 MFT(master file table)을 손쉽게 수집을 할수있었다. 그런데 어느 시스템에서는 잘되는데 어느 시스템에서는 수집이 잘안되어서 궁금증이 생겼었다. 그래서 이것저것 찾다가 GPT(GUID Partition Table)의 경우 수집이 잘안되는 것같았다. 원인이 과연 이것일까 생각하면서 확인을 해보니 논리적 물리적 구성간에 차이 때문인것 같았다.

 

여기서 요즘 핫한 chatGPT한테도 물어보았다.

Q. guid partition table 에서 mft수집이 가능해?

A. GPT (GUID Partition Table)은 하드 디스크의 파티션 테이블을 정의하는 방법 중 하나이며, NTFS 파일 시스템에서 사용되는 MFT (Master File Table)는 파일 및 디렉토리에 대한 정보를 저장하는 데 사용됩니다.

GPT는 파티션 테이블 정보를 저장하는 데 사용되는 반면, MFT는 NTFS 파일 시스템에서 파일 및 디렉토리 정보를 저장하는 데 사용됩니다. GPT는 물리적 구성과 관련이 있으며, MFT는 논리적 구성과 관련이 있습니다.

따라서 GPT에서 MFT를 직접적으로 수집할 수 없습니다. 그러나 NTFS 파일 시스템에서는 MFT가 있는 영역이 있기 때문에, 별도의 도구나 소프트웨어를 사용하여 MFT 정보를 수집할 수 있습니다.

예를 들어, NTFS 파일 시스템에서 MFT 정보를 수집하는 도구 중 하나인 "Sleuth Kit"은 GPT와 NTFS 파일 시스템 모두를 지원하며, MFT 정보를 수집할 수 있습니다. 그러나 이는 NTFS 파일 시스템에서 MFT 정보를 수집하는 것이며, GPT에서 직접적으로 MFT 정보를 수집할 수 있는 방법은 없습니다.

이렇게 답변을 받았다.

흠 ... 수집을 할수는 있지만 수집된정보는 NTFS파일시스템에서 MFT정보를 수집한것이고 직접적으로는 못한다고 한다.

 

결론

NTFS 파일 시스템에서 MFT 정보를 수집하는 도구 중 하나인 "Sleuth Kit"은 GPT와 NTFS 파일 시스템 모두를 지원하며, MFT 정보를 수집할 수 있습니다. 그러나 이는 NTFS 파일 시스템에서 MFT 정보를 수집하는 것이며, GPT에서 직접적으로 MFT 정보를 수집할 수 있는 방법은 없습니다.

 

이말을 보아하면 수집은 가능하다. 하지만 그 수집된 정보는 NTFS파일 시스템에서 MFT정보를 가져오는것이지 GPT에 대한 MFT정보는 아니라는 것이다.

 

 

틀린 내용이있으면 말씀부탁드립니다 :)