EnCe Phase 1 시험을 쳤습니다!! 저번에 불합격해서 우울했는데 이번에 다시 시험을 쳤습니다. 물론 다시 돈을 내구... 결과는 합격!! 했습니다!! ㅔ케케케케케케케ㅔㅋ 결과는 시험치고 바로 나옵니다. 그래서 합격 불합격을 바로 알수 있죠!! 합격하니깐 이렇게 메일을 통해서도 알려준다는 점!! 이제 Phase2를 준비하러 가야하는데 실기는 2달동안 치뤄진다는점!! 완젼 짱길쥬...? 말두안뎅 실기를 붙어서 꼬옥오겠습니다!! 그럼 20000케케ㅔ케케켘

어쩌다 보니 학교 과제와 이런것들로 인해 너무 정신이 없어서 전부다 잠깐 스탑하고 학교에 매진을 하다보니 으므음음음으믕믕믕므.... 종강을 해버렸습니다. 이제 EnCase Ence를 다시 치려고 공부를 하고있는데 쓰흡!!! 합격할 수 있겠쥬? 근데 여기서 궁금한게 16진수는 2bytes와 0-9 a-z 아니면 2character와 0-9 a-z 중 둘중 무엇일까? 쓰흡 가끔 그냥 이것저것 보고있으면 먼가 헷갈리는 것들이 많은것 같은느낌? 또한 encase를 무조건 써보고 시험을 쳐야한다는 점!!

음.....어제는 케이스를 만드는 것을 했으니 오늘은 evidence를 추가해보자!! 케이스 생성을 하고나면 Evidence에서 Add Evidence를 하면 증거를 추가할 수 있다. 그 후 Add Local Device하면 지금 나의 장착되어 있는 디바이스들을 확인할 수 있다. 밑에 있는 Add Evidence File은 증거파일을 추가할 수 있으며, Raw Image는 말그대로 Raw Image를 넣는 것이다. Acquire Smartphone같은 경우 스마트폰을 수집하는 기능을 사용할 수 있다. 즉, 휴대용 수집 기능인 것같은데... EnCase7에서는 Portable이 따로 있는데 8버전부터는 합쳐진 것으로 알고 있다. 나의 작착되어 있는 디바이스 들을 보는데 2번째꺼를 체크하면 쓰기방지를 해놓은..

EnCase 1일차 케이스 생성부터 해볼 것이다. 콬코콬코코코콬 먼저 인케이스를 실행 시킨 후 클릭 한다. 만약 기존에 케이스가 있다면 Open메뉴를 이용하여 기존의 케이스를 열어도 무방하다. 보이는 것처럼 이런 창이 뜨는데 위에서 부터 차례대로 케이스의 이름, 케이스의 전체경로 등을 차례대로 쭈욱 적어주면된다. Backup settings 부분에서 연습을 하는 것이기 때문에 체크를 해제하였다. 기능은 30문마다 자동 백업을 하는 기능인데 나중에 이미지를 넣고 프로세싱을 한 다음 저장을 할 것이라 빼고 진행하겠슴돠! 이렇게 케이스가 생성된 것을 확인 할 수 있습니다. 다음내용은 증거물에 관련하여 작성하도록 하겠습니당!!

인케이스를 개인적으로 구매하기가 힘든부분이 있어 학교에 있는 동글을 빌려서 사용하고 있다. 인케이스 버전8같은 경우 대충 가격이 1000만원 정도 하는 것같던데... 음 넘나 비싼것... 이제 내용을 적어봐야겠당. 공식적으로 EnCase 유저가이드를 보게 되면 나타내고 있는 컴퓨터 사양은 즉, 운영체제는 Windows 8.1 64bit, CPU는 i5 시리즈 이상, Ram은 16GB이상, 하드 용량 또한 증거 저장 드라이브는 1테라 ssd, 백업드라이브는 2테라 하드 등을 요구하고 있다. 기본적으로 집에서 사용하는 컴퓨터는 램까지는 커버가 가능한데 음 1테라 ssd 같은 것들은 쪼금 힘이 든다고 생각한다. 위에 것은 기본권장 사양이지만 기본이라는 말이 없는 권장 사양을 보면 음 ... 요정도?....즉,..

Encase 를 이용하여 파티션을 복구하자!!! 먼저 keyword를 추가하자 추가할 키워드는 \xEB..(MSDOS)|(NTFS)

Partition Table (Entry size : 16byte) - Partition Table Layout`[그림 1] [그림 2]기본적으로 MBR은 512 byte를 가진다. 코드영역이 440 byte를 가지고 디스크 서명이 4byte를 가진다. 파티션테이블에 가기 전에 2 byte가 비어있으며 16 byte씩 이루어 져있다. 하나의 디스크에 최대 네 개의 파티션만을 기록할 수 있다. 그게 바로 주 파티션이다. 이제 첫번째 파티션을 찾아 보자. - NTFS가 시작하는 곳은 MBR로부터 63sector만큼 떨어 져있다.(File System은 MBR로 부터 63 sector 떨어진 곳에 위치한다.)

북마크 - Highlighted Data Bookmark : 데이터 복사해서 북마크 - Notable File Bookmark : 개개의 파일을 북마크파일선택 -> 북마크 - Folder Information Bookmark : 폴더의 트리 구조Bookmark Folder structure 선택 - Notes Bookmark : 주석 가능

1. 증거 장치 마운트가. USBAdd Device -> Local Drivers -> Choose Drive(E:\) [그림 1] Choose Devices [그림 2] 나. 이미지이미지 만들기 - Edit -> Acquire - 기본크기 : 640MB- 압축- 저장경로 [그림 3] 키워드 추가 Global keyword : view -> keyword(keywords.ini에 저장)local keyword : view -> Cases SubTab -> keyword ? 4.2에는 Hemmmmm... [그림 4] 키워드 검색 : keyword -> New -> 키워드 입력 -> 키워드 체크 - 이미지 : Discarded Diskette 추가 - keyword 검색 : Basher, Stewart, M..

little-endian - 첫번째 저장바이트에 숫자의 가장 하위 바이트를 위치한다.- intel 같은 IA32기반 시스템이 주로 쓰는 저장 방식Ex)0xaabbccdd -> ddccbbaa big-endian - 첫번째 저장바이트에 숫자의 가장 상위 바이트를 위치한다. - APPLE, UNIX 계열 Ex) 0xaabbccdd -> aabbccdd FAT(File Allocation Table)- Directory Entry : 파일/폴더이름, 시작 클러스터의 정보- FAT : 클러스터 현재 사용 여부, 사용가능 한지 확인 NTFS(New Technology File System)- $MFT : 파일/폴더 이름, 시작 클러스터의 정보- $BitMap : 클러스터 현재 사용 여부, 사용가능한지 확인 Res..

PS - 물리적인 섹터 숫자 표시LS - 논리적인 섹터 숫자 표시CL - 클러스터 숫자 표시, ~번째 클러스터SO - 섹터 시작부터의 거리( byte)FO - 파일 시작부분까지의 거리(byte)LE - 선택영역의 크기 표시(byte) X - Deleted, Overwritten File : 파일이 삭제되고 다른 파일에 의해 덮어써진 파일로 완전 복구는 불가능O - Deleted File : 삭제되었으나 겹쳐쓰기 되지 않았다는 의미, 완전 복구 가능Lost File(Folder, Unallocated) : parent 폴더가 존재하지 않는 파일들을 모아서 가상의 폴더에 저장한다. Internal File - 파일시스템과 같이 운영체제가 만드는 파일Invalid Cluster - 파일이름 흔적은 있으나 저장..