파일 시스템마다 형식이 다르기때문에 복구하는 방법 역시 다르다. NTFS Walker를 사용하여 파일을 복구해보자. EXE, DOCX, JPG, ZIP, PNG 파일을 각각 복구해볼 것이다. NTFS Walker에서 확인할 수 있다! 이제 Shift + Delete를 통해 삭제해보자. 삭제된 것으로 나온다 ! 하나하나 해보자. 제일 위에 있는 PNG파일을 복구해보자. hxd에서 NTFS 이미지 파일을 열어주면 이 드래그한 부분이 MBR영역인데 파티션 정보를 표현하는 부분이다. 16Bytes로 구성되어 있다. 5~8번 부분이 VBR섹터 번호이다. 0x80이므로 128섹터로 이동해보자. VBR영역으로 이동했다. 4번째 줄 8Bytes부분이 Start of MFT부분으로 계산 시 사용된다. 복구하고자 하는 파..

GPT(GUID Partiton Table)은 MBR 파티션 테이블 용량 제약을 개선하기 위해서 생겨났다. 64bit 주소체계를 사용하고, 128개의 주 파티션을 생성할 수 있다. 0번 섹터는 MBR이 들어간다.(호환성을 위함) 1번 섹터에 헤더가 고, 2번 섹터에 Partion Table이 위치한다. 볼륨 자마지막 섹터에 GPT Header의 백업본이 위치하고, 그 전 섹터에 Partition Table의 백업본이 위치한다. Signature : GPT Hedaer의 시그니처 값. 'EFI PART" 문자열이다. Revision : Version 값. Header Size : GPT Header의 크기. Header Checksum : GPT Header의 checksum Reversed : 예약 영역..

하드 디스크의 첫번째 데이터 공간(0번 섹터) 파티션의 스타일. 물리적인 저장 장치에서 확인할 수 있는 영역으로 , 하드디스크의 파티션 정보를 지니고 있다.(512Byte) 다중 파티션의 경우만 존재한다. MBR Slack MBR과 VBR 사이에 있는 공간으로 낭비 되는 공간이다. 악성코드가 악용되는 공간 이며 보안 솔루션으로 사용되는 공간이기도 하다. VBR 볼륨의 시작에 위치하는 구조. 파일 시스템의 메타 데이터(BPB)가 있고, 부트로더 로딩 코드를 담고 있다. 볼륨의 부트로더를 로딩해서 운영체제를 부팅시키는 코드를 VBR이라고한다. Volume Data 할당 된 볼륨의 데이터가 들어있는 공간. 메타 테이터와 파일의 데이터로 구성되어 있다. 1. MBR Boot Code 운영체제 부팅과정 BIOS ..

FAT 파일 시스테밍 개인 용도로 사용하기 위해서 만들어졌다면, NTFS 파일 시스템은 서버용 운영체제에서 사용하기 위한 파일 시스템이다. 버전은 NTFS의 윈도우 운영체제에 따라서 다르다. 운영체제 및 볼륨의 크기에 따른 클러스터 크기 NTFS의 최대 사이즈. NTFS 구조 VBR(Volume Boot Record) VBR의 섹터 크기는 클러스터 크기에 따라 정해진다. Boot Code (0x00~0x02, 3Byte) CPU의 명령 실행 분기를 부트 코드로 옮기는 역할. OEM(Original Equipment Manufacturing) ID (0x03~0x0A, 8byte) NTFS와 공백을 표시. BPB(BIOS Parameter Block) (0x0B~0x59, 78byte) 클러스터 섹터의 크..

FAT 파일 시스템은 File Allocation Table로, 다양한 운영체제를 위한 주된 파일 시스템이다. FAT32(32는 표현 가능한 최대 클러스터 수를 의미. 2^28-12만큼의 표현이 가능한 클러스터를 가진다.) 에약 영역, FAT 영역, DATA 영역 3가지로 나눌 수 있다. 예약된 영역(Reserved Area) BR(Boot Record) - 섹터 1개(512Byte)를 갖고, 윈도우를 부팅시키기 위한 기계어 코드와 FAT 파일 시스템의 여러 설정 값이 저장되어 있다. FSINFO(File System Information) - 파일 시스템의 정보를 저장한다. Boot Strap - 부팅에 사용되는 파티션일 경우 수행하는 부분. 부팅 시 동작해야 할 명령코드가 들어있는 부분 Reserve..

Local File Header - 압축 파일에 대한 기본정보들이 포함되는 공간 . 압축 전 후 파일 크기, 수정 시간, Checksum, 압축 해제시 필요한 아카이브 버전 등이 포함되어 있다. File Name - 파일 이름 형식에 대한 임의의 길이와 byte 순서를 나타내고,이름의 길이는 65536 문자를 초과할 수 없다. File Data - byte 배열 형태로 압축된 파일 컨텐츠. 비어 있거나 디렉토리를 포함하는 경우 이 배열은 사용되지 않지만 다음 Local File Header 제목은 해당 파일이나 디렉토리를 설명한다. Central Directory - Local File Header의 확장된 데이터 뷰를 제공하며, 파일 속성, 구조에 대한 local 기준을 가진다. End of centr..