
EnCe Phase 1 ์ํ์ ์ณค์ต๋๋ค!! ์ ๋ฒ์ ๋ถํฉ๊ฒฉํด์ ์ฐ์ธํ๋๋ฐ ์ด๋ฒ์ ๋ค์ ์ํ์ ์ณค์ต๋๋ค. ๋ฌผ๋ก ๋ค์ ๋์ ๋ด๊ตฌ... ๊ฒฐ๊ณผ๋ ํฉ๊ฒฉ!! ํ์ต๋๋ค!! ใ ์ผ์ผ์ผ์ผ์ผ์ผ์ผใ ใ ๊ฒฐ๊ณผ๋ ์ํ์น๊ณ ๋ฐ๋ก ๋์ต๋๋ค. ๊ทธ๋์ ํฉ๊ฒฉ ๋ถํฉ๊ฒฉ์ ๋ฐ๋ก ์์ ์์ฃ !! ํฉ๊ฒฉํ๋๊น ์ด๋ ๊ฒ ๋ฉ์ผ์ ํตํด์๋ ์๋ ค์ค๋ค๋ ์ !! ์ด์ Phase2๋ฅผ ์ค๋นํ๋ฌ ๊ฐ์ผํ๋๋ฐ ์ค๊ธฐ๋ 2๋ฌ๋์ ์น๋ค์ง๋ค๋์ !! ์์ ผ ์งฑ๊ธธ์ฅฌ...? ๋ง๋์๋ ์ค๊ธฐ๋ฅผ ๋ถ์ด์ ๊ผฌ์ฅ์ค๊ฒ ์ต๋๋ค!! ๊ทธ๋ผ 20000์ผ์ผใ ์ผ์ผ์ผ
์ด์ฉ๋ค ๋ณด๋ ํ๊ต ๊ณผ์ ์ ์ด๋ฐ๊ฒ๋ค๋ก ์ธํด ๋๋ฌด ์ ์ ์ด ์์ด์ ์ ๋ถ๋ค ์ ๊น ์คํํ๊ณ ํ๊ต์ ๋งค์ง์ ํ๋ค๋ณด๋ ์ผ๋ฏ์์์์ผ๋ฏ๋ฏ๋ฏ๋ฏ.... ์ข ๊ฐ์ ํด๋ฒ๋ ธ์ต๋๋ค. ์ด์ EnCase Ence๋ฅผ ๋ค์ ์น๋ ค๊ณ ๊ณต๋ถ๋ฅผ ํ๊ณ ์๋๋ฐ ์ฐํก!!! ํฉ๊ฒฉํ ์ ์๊ฒ ์ฅฌ? ๊ทผ๋ฐ ์ฌ๊ธฐ์ ๊ถ๊ธํ๊ฒ 16์ง์๋ 2bytes์ 0-9 a-z ์๋๋ฉด 2character์ 0-9 a-z ์ค ๋์ค ๋ฌด์์ผ๊น? ์ฐํก ๊ฐ๋ ๊ทธ๋ฅ ์ด๊ฒ์ ๊ฒ ๋ณด๊ณ ์์ผ๋ฉด ๋จผ๊ฐ ํท๊ฐ๋ฆฌ๋ ๊ฒ๋ค์ด ๋ง์๊ฒ ๊ฐ์๋๋? ๋ํ encase๋ฅผ ๋ฌด์กฐ๊ฑด ์จ๋ณด๊ณ ์ํ์ ์ณ์ผํ๋ค๋ ์ !!

์.....์ด์ ๋ ์ผ์ด์ค๋ฅผ ๋ง๋๋ ๊ฒ์ ํ์ผ๋ ์ค๋์ evidence๋ฅผ ์ถ๊ฐํด๋ณด์!! ์ผ์ด์ค ์์ฑ์ ํ๊ณ ๋๋ฉด Evidence์์ Add Evidence๋ฅผ ํ๋ฉด ์ฆ๊ฑฐ๋ฅผ ์ถ๊ฐํ ์ ์๋ค. ๊ทธ ํ Add Local Deviceํ๋ฉด ์ง๊ธ ๋์ ์ฅ์ฐฉ๋์ด ์๋ ๋๋ฐ์ด์ค๋ค์ ํ์ธํ ์ ์๋ค. ๋ฐ์ ์๋ Add Evidence File์ ์ฆ๊ฑฐํ์ผ์ ์ถ๊ฐํ ์ ์์ผ๋ฉฐ, Raw Image๋ ๋ง๊ทธ๋๋ก Raw Image๋ฅผ ๋ฃ๋ ๊ฒ์ด๋ค. Acquire Smartphone๊ฐ์ ๊ฒฝ์ฐ ์ค๋งํธํฐ์ ์์งํ๋ ๊ธฐ๋ฅ์ ์ฌ์ฉํ ์ ์๋ค. ์ฆ, ํด๋์ฉ ์์ง ๊ธฐ๋ฅ์ธ ๊ฒ๊ฐ์๋ฐ... EnCase7์์๋ Portable์ด ๋ฐ๋ก ์๋๋ฐ 8๋ฒ์ ๋ถํฐ๋ ํฉ์ณ์ง ๊ฒ์ผ๋ก ์๊ณ ์๋ค. ๋์ ์์ฐฉ๋์ด ์๋ ๋๋ฐ์ด์ค ๋ค์ ๋ณด๋๋ฐ 2๋ฒ์งธ๊บผ๋ฅผ ์ฒดํฌํ๋ฉด ์ฐ๊ธฐ๋ฐฉ์ง๋ฅผ ํด๋์..

EnCase 1์ผ์ฐจ ์ผ์ด์ค ์์ฑ๋ถํฐ ํด๋ณผ ๊ฒ์ด๋ค. ์ฝฌ์ฝ์ฝฌ์ฝ์ฝ์ฝ์ฝฌ ๋จผ์ ์ธ์ผ์ด์ค๋ฅผ ์คํ ์ํจ ํ ํด๋ฆญ ํ๋ค. ๋ง์ฝ ๊ธฐ์กด์ ์ผ์ด์ค๊ฐ ์๋ค๋ฉด Open๋ฉ๋ด๋ฅผ ์ด์ฉํ์ฌ ๊ธฐ์กด์ ์ผ์ด์ค๋ฅผ ์ด์ด๋ ๋ฌด๋ฐฉํ๋ค. ๋ณด์ด๋ ๊ฒ์ฒ๋ผ ์ด๋ฐ ์ฐฝ์ด ๋จ๋๋ฐ ์์์ ๋ถํฐ ์ฐจ๋ก๋๋ก ์ผ์ด์ค์ ์ด๋ฆ, ์ผ์ด์ค์ ์ ์ฒด๊ฒฝ๋ก ๋ฑ์ ์ฐจ๋ก๋๋ก ์ญ์ฑ ์ ์ด์ฃผ๋ฉด๋๋ค. Backup settings ๋ถ๋ถ์์ ์ฐ์ต์ ํ๋ ๊ฒ์ด๊ธฐ ๋๋ฌธ์ ์ฒดํฌ๋ฅผ ํด์ ํ์๋ค. ๊ธฐ๋ฅ์ 30๋ฌธ๋ง๋ค ์๋ ๋ฐฑ์ ์ ํ๋ ๊ธฐ๋ฅ์ธ๋ฐ ๋์ค์ ์ด๋ฏธ์ง๋ฅผ ๋ฃ๊ณ ํ๋ก์ธ์ฑ์ ํ ๋ค์ ์ ์ฅ์ ํ ๊ฒ์ด๋ผ ๋นผ๊ณ ์งํํ๊ฒ ์ด๋ ! ์ด๋ ๊ฒ ์ผ์ด์ค๊ฐ ์์ฑ๋ ๊ฒ์ ํ์ธ ํ ์ ์์ต๋๋ค. ๋ค์๋ด์ฉ์ ์ฆ๊ฑฐ๋ฌผ์ ๊ด๋ จํ์ฌ ์์ฑํ๋๋ก ํ๊ฒ ์ต๋๋น!!

์ธ์ผ์ด์ค๋ฅผ ๊ฐ์ธ์ ์ผ๋ก ๊ตฌ๋งคํ๊ธฐ๊ฐ ํ๋ ๋ถ๋ถ์ด ์์ด ํ๊ต์ ์๋ ๋๊ธ์ ๋น๋ ค์ ์ฌ์ฉํ๊ณ ์๋ค. ์ธ์ผ์ด์ค ๋ฒ์ 8๊ฐ์ ๊ฒฝ์ฐ ๋์ถฉ ๊ฐ๊ฒฉ์ด 1000๋ง์ ์ ๋ ํ๋ ๊ฒ๊ฐ๋๋ฐ... ์ ๋๋ ๋น์ผ๊ฒ... ์ด์ ๋ด์ฉ์ ์ ์ด๋ด์ผ๊ฒ ๋น. ๊ณต์์ ์ผ๋ก EnCase ์ ์ ๊ฐ์ด๋๋ฅผ ๋ณด๊ฒ ๋๋ฉด ๋ํ๋ด๊ณ ์๋ ์ปดํจํฐ ์ฌ์์ ์ฆ, ์ด์์ฒด์ ๋ Windows 8.1 64bit, CPU๋ i5 ์๋ฆฌ์ฆ ์ด์, Ram์ 16GB์ด์, ํ๋ ์ฉ๋ ๋ํ ์ฆ๊ฑฐ ์ ์ฅ ๋๋ผ์ด๋ธ๋ 1ํ ๋ผ ssd, ๋ฐฑ์ ๋๋ผ์ด๋ธ๋ 2ํ ๋ผ ํ๋ ๋ฑ์ ์๊ตฌํ๊ณ ์๋ค. ๊ธฐ๋ณธ์ ์ผ๋ก ์ง์์ ์ฌ์ฉํ๋ ์ปดํจํฐ๋ ๋จ๊น์ง๋ ์ปค๋ฒ๊ฐ ๊ฐ๋ฅํ๋ฐ ์ 1ํ ๋ผ ssd ๊ฐ์ ๊ฒ๋ค์ ์ชผ๊ธ ํ์ด ๋ ๋ค๊ณ ์๊ฐํ๋ค. ์์ ๊ฒ์ ๊ธฐ๋ณธ๊ถ์ฅ ์ฌ์์ด์ง๋ง ๊ธฐ๋ณธ์ด๋ผ๋ ๋ง์ด ์๋ ๊ถ์ฅ ์ฌ์์ ๋ณด๋ฉด ์ ... ์์ ๋?....์ฆ,..
Encase ๋ฅผ ์ด์ฉํ์ฌ ํํฐ์ ์ ๋ณต๊ตฌํ์!!! ๋จผ์ keyword๋ฅผ ์ถ๊ฐํ์ ์ถ๊ฐํ ํค์๋๋ \xEB..(MSDOS)|(NTFS)
Partition Table (Entry size : 16byte) - Partition Table Layout`[๊ทธ๋ฆผ 1] [๊ทธ๋ฆผ 2]๊ธฐ๋ณธ์ ์ผ๋ก MBR์ 512 byte๋ฅผ ๊ฐ์ง๋ค. ์ฝ๋์์ญ์ด 440 byte๋ฅผ ๊ฐ์ง๊ณ ๋์คํฌ ์๋ช ์ด 4byte๋ฅผ ๊ฐ์ง๋ค. ํํฐ์ ํ ์ด๋ธ์ ๊ฐ๊ธฐ ์ ์ 2 byte๊ฐ ๋น์ด์์ผ๋ฉฐ 16 byte์ฉ ์ด๋ฃจ์ด ์ ธ์๋ค. ํ๋์ ๋์คํฌ์ ์ต๋ ๋ค ๊ฐ์ ํํฐ์ ๋ง์ ๊ธฐ๋กํ ์ ์๋ค. ๊ทธ๊ฒ ๋ฐ๋ก ์ฃผ ํํฐ์ ์ด๋ค. ์ด์ ์ฒซ๋ฒ์งธ ํํฐ์ ์ ์ฐพ์ ๋ณด์. - NTFS๊ฐ ์์ํ๋ ๊ณณ์ MBR๋ก๋ถํฐ 63sector๋งํผ ๋จ์ด ์ ธ์๋ค.(File System์ MBR๋ก ๋ถํฐ 63 sector ๋จ์ด์ง ๊ณณ์ ์์นํ๋ค.)
๋ถ๋งํฌ - Highlighted Data Bookmark : ๋ฐ์ดํฐ ๋ณต์ฌํด์ ๋ถ๋งํฌ - Notable File Bookmark : ๊ฐ๊ฐ์ ํ์ผ์ ๋ถ๋งํฌํ์ผ์ ํ -> ๋ถ๋งํฌ - Folder Information Bookmark : ํด๋์ ํธ๋ฆฌ ๊ตฌ์กฐBookmark Folder structure ์ ํ - Notes Bookmark : ์ฃผ์ ๊ฐ๋ฅ
1. ์ฆ๊ฑฐ ์ฅ์น ๋ง์ดํธ๊ฐ. USBAdd Device -> Local Drivers -> Choose Drive(E:\) [๊ทธ๋ฆผ 1] Choose Devices [๊ทธ๋ฆผ 2] ๋. ์ด๋ฏธ์ง์ด๋ฏธ์ง ๋ง๋ค๊ธฐ - Edit -> Acquire - ๊ธฐ๋ณธํฌ๊ธฐ : 640MB- ์์ถ- ์ ์ฅ๊ฒฝ๋ก [๊ทธ๋ฆผ 3] ํค์๋ ์ถ๊ฐ Global keyword : view -> keyword(keywords.ini์ ์ ์ฅ)local keyword : view -> Cases SubTab -> keyword ? 4.2์๋ Hemmmmm... [๊ทธ๋ฆผ 4] ํค์๋ ๊ฒ์ : keyword -> New -> ํค์๋ ์ ๋ ฅ -> ํค์๋ ์ฒดํฌ - ์ด๋ฏธ์ง : Discarded Diskette ์ถ๊ฐ - keyword ๊ฒ์ : Basher, Stewart, M..
little-endian - ์ฒซ๋ฒ์งธ ์ ์ฅ๋ฐ์ดํธ์ ์ซ์์ ๊ฐ์ฅ ํ์ ๋ฐ์ดํธ๋ฅผ ์์นํ๋ค.- intel ๊ฐ์ IA32๊ธฐ๋ฐ ์์คํ ์ด ์ฃผ๋ก ์ฐ๋ ์ ์ฅ ๋ฐฉ์Ex)0xaabbccdd -> ddccbbaa big-endian - ์ฒซ๋ฒ์งธ ์ ์ฅ๋ฐ์ดํธ์ ์ซ์์ ๊ฐ์ฅ ์์ ๋ฐ์ดํธ๋ฅผ ์์นํ๋ค. - APPLE, UNIX ๊ณ์ด Ex) 0xaabbccdd -> aabbccdd FAT(File Allocation Table)- Directory Entry : ํ์ผ/ํด๋์ด๋ฆ, ์์ ํด๋ฌ์คํฐ์ ์ ๋ณด- FAT : ํด๋ฌ์คํฐ ํ์ฌ ์ฌ์ฉ ์ฌ๋ถ, ์ฌ์ฉ๊ฐ๋ฅ ํ์ง ํ์ธ NTFS(New Technology File System)- $MFT : ํ์ผ/ํด๋ ์ด๋ฆ, ์์ ํด๋ฌ์คํฐ์ ์ ๋ณด- $BitMap : ํด๋ฌ์คํฐ ํ์ฌ ์ฌ์ฉ ์ฌ๋ถ, ์ฌ์ฉ๊ฐ๋ฅํ์ง ํ์ธ Res..
PS - ๋ฌผ๋ฆฌ์ ์ธ ์นํฐ ์ซ์ ํ์LS - ๋ ผ๋ฆฌ์ ์ธ ์นํฐ ์ซ์ ํ์CL - ํด๋ฌ์คํฐ ์ซ์ ํ์, ~๋ฒ์งธ ํด๋ฌ์คํฐSO - ์นํฐ ์์๋ถํฐ์ ๊ฑฐ๋ฆฌ( byte)FO - ํ์ผ ์์๋ถ๋ถ๊น์ง์ ๊ฑฐ๋ฆฌ(byte)LE - ์ ํ์์ญ์ ํฌ๊ธฐ ํ์(byte) X - Deleted, Overwritten File : ํ์ผ์ด ์ญ์ ๋๊ณ ๋ค๋ฅธ ํ์ผ์ ์ํด ๋ฎ์ด์จ์ง ํ์ผ๋ก ์์ ๋ณต๊ตฌ๋ ๋ถ๊ฐ๋ฅO - Deleted File : ์ญ์ ๋์์ผ๋ ๊ฒน์ณ์ฐ๊ธฐ ๋์ง ์์๋ค๋ ์๋ฏธ, ์์ ๋ณต๊ตฌ ๊ฐ๋ฅLost File(Folder, Unallocated) : parent ํด๋๊ฐ ์กด์ฌํ์ง ์๋ ํ์ผ๋ค์ ๋ชจ์์ ๊ฐ์์ ํด๋์ ์ ์ฅํ๋ค. Internal File - ํ์ผ์์คํ ๊ณผ ๊ฐ์ด ์ด์์ฒด์ ๊ฐ ๋ง๋๋ ํ์ผInvalid Cluster - ํ์ผ์ด๋ฆ ํ์ ์ ์์ผ๋ ์ ์ฅ..