Encase - MBR

PS - 물리적인 섹터 숫자 표시

LS - 논리적인 섹터 숫자 표시

CL - 클러스터 숫자 표시, ~번째 클러스터

SO -  섹터 시작부터의 거리( byte)

FO - 파일 시작부분까지의 거리(byte)

LE - 선택영역의 크기 표시(byte)

X - Deleted, Overwritten File : 파일이 삭제되고 다른 파일에 의해 덮어써진 파일로 완전 복구는 불가능

O - Deleted File : 삭제되었으나 겹쳐쓰기 되지 않았다는 의미, 완전 복구 가능

Lost File(Folder, Unallocated) : parent 폴더가 존재하지 않는 파일들을 모아서 가상의 폴더에 저장한다.

Internal File - 파일시스템과 같이 운영체제가 만드는 파일

Invalid Cluster - 파일이름 흔적은 있으나 저장위치가 없는 파일

Moved File - 증거(하드디스크 등)에서 파일을 이동했던 파일

Physical disk를 조사할 때 가장 첫번째로 하는 것은 디스크의 전체 크기를 알아보는 것이다.  쉽게 말해 만약 500GB의 디스크중에 400GB밖에 찾지 못하였다. 이러한 경우 100GB는 계산하지 못하였다는 말이다. 100GB가 삭제된 파티션을 포함하고 있다면 여기에서 더 많은 정보를 찾아 낼수 있는 것이다. 

[그림 1] 볼륨분석 - volume layout

[참조] http://ccibomb.tistory.com/18

1) MBR(Master Boot Record)을 찾은 다음 파티션의 합이 맞는지를 검사한다.

MBR이란?

하드 디스크의 제일 앞쪽의 영역으로 컴퓨터가 부팅할 때 필요한 정보를 저장하는 장소이다. 이가 훼손 되었다면, 부팅자체가 안되기 때문에 중요한 장치이다. Hard Drive의 첫 번째 Physical sector(sector 0)으로 크기는 512byte를 가진다. 

[그림 2] MBR 영역

위의 사진에서 MBR영역은 빨간색으로 표시된 곳이다. 

Executable Code(실행코드) , 에러 메시지, 마스터 파티션 테이블과 마지막의 55h aah(HDD의 남은 공간은 00h -> 55h -> aah -> FFh 순서대로 write한다.)의 Signature로 이루어진다.

[그림 3] MBR 위치 확인 마지막이 55h AAh 로 끝나는 것을 확인 할 수 있다.