mbr3

• 

  파티션 테이블 확인하는 방법 이건 저의 실제 쓰는 하드를 뜬건데요 보면 0000001b0을 보면 마지막에 80 20 이 보이는 것을 확인 할수 있다. 그전에 00 00 은 널값인것을 알수 있고 그전에 4바이트는 디스크 서명 구역인것을 알수 있다. 80 20 부터 파티션부분이 시작 되는 것이다. 80 나타내는 것은 Boot Flog 즉, 부팅에 사용하는 것이다. 쉽게 말해서 os가 깔려있는 것이다. 만약 00이라면 부팅에 사용하지 않는 것이다. 노란색 부분이 하나의 엔트리로 16byte 한 파티션을 나타내는 것이다. 이렇게 순서를 보면 첫번째, 두번째, 세번째 파티션들은 주파티션인 것을 확인할수 있을 것이다. 그럼 마지막의 4번째는 무엇일까? 의문이 든다. 이는 확장파티션이다.(논리 드라이브는 마지막 확장 파티션에서 연결되는 EBR에.. For3nsic/Forensic 2015. 11. 3.

• 

  MBR 구조 MBR 구조를 보면 이러한 구조를 가지게 되어 있다. 우리가 기본적으로 MBR을 보면 512byte를 활당하여 가지고 있으며 440을 코드 영역에서 가지고 있으며 4바이트를 디스크 서명을 차지한다. 그후 2바이트는 쓰레기 값이고 나머지 값은 파티션값을 나타낸다. 마지막 2바이트는 55 AA를 나타냄으로서 하드상 문제가 없다는 것을 나태내준다. For3nsic/Forensic 2015. 11. 3.

• 

  Encase - MBR PS - 물리적인 섹터 숫자 표시LS - 논리적인 섹터 숫자 표시CL - 클러스터 숫자 표시, ~번째 클러스터SO - 섹터 시작부터의 거리( byte)FO - 파일 시작부분까지의 거리(byte)LE - 선택영역의 크기 표시(byte) X - Deleted, Overwritten File : 파일이 삭제되고 다른 파일에 의해 덮어써진 파일로 완전 복구는 불가능O - Deleted File : 삭제되었으나 겹쳐쓰기 되지 않았다는 의미, 완전 복구 가능Lost File(Folder, Unallocated) : parent 폴더가 존재하지 않는 파일들을 모아서 가상의 폴더에 저장한다. Internal File - 파일시스템과 같이 운영체제가 만드는 파일Invalid Cluster - 파일이름 흔적은 있으나 저장.. For3nsic/Forensic 2015. 10. 30.