다운받고 ftk imager에서 열어주자. pdf파일들이 많은데 삭제된 파일은 seg1 , 2 , 3 , 4 네가지가 있어서 추출해 봤는데 추출이 되지 않았다. $MFT파일이 있어서 추출해준 후 MFT Explorer에서 열어줘봤는데 별다른 정보를 얻을 수 없었다. 파일 시스템은 특정 파일이 삭제되면 새로운 데이터가 덮어 쓰여지지 않는 이상 삭제된 파일의 정보가 남아있기 때문에 복구가 가능하다. -> unallocated space는 새로운 데이터를 덮어쓸 수 있는 공간이니까 지워진 파일의 정보가 남아있을 수 있다. 추출해주고 HxD에서 열어줘 보았다. 02067 파일에서 PDF 헤더 시그니처가 있었다. Hxd에 있는 파일 연결 기능을 사용하여 파일들을 연결해주면(파일 이름 pdf로 저장) 플래그를 구할..

문제를 받으면 Enc라는 파일과 flag라는 jpg파일이 있다. enc 파일이 Hxd로 열어보니 파일 시그니처가 MZ여서 압축을 해제해보니 src들이 나왔다. 실행파일인 듯 했다. 파일 확장자명을 exe로 바꿔보니 flag가 바꼈다. 뭔가 가려져있다. 메모장 형식?인 걸 알려주는 것 같다. Hxd에서 flag.jpg파일을 열어보고 JPG의 푸터 시그니처인 FF D9를 검색해보았다. 두 개가 나오니 중간 하나를 지워주자. flag.jpg에 flag첫 부분이 나왔다. 두 번째 FF D9 부분으로 가보니 바로 두 번째 부분이 나왔다. 세 번째 플래그를 좀 고민했는데 PNG 파일의 구조를 다시 훓어보고 오니 IDAT 앞부분에 플래그로 보이는 부분을 발견했다. 모두 합치면 플래그를 구할 수 있다.

파일 시스템마다 형식이 다르기때문에 복구하는 방법 역시 다르다. NTFS Walker를 사용하여 파일을 복구해보자. EXE, DOCX, JPG, ZIP, PNG 파일을 각각 복구해볼 것이다. NTFS Walker에서 확인할 수 있다! 이제 Shift + Delete를 통해 삭제해보자. 삭제된 것으로 나온다 ! 하나하나 해보자. 제일 위에 있는 PNG파일을 복구해보자. hxd에서 NTFS 이미지 파일을 열어주면 이 드래그한 부분이 MBR영역인데 파티션 정보를 표현하는 부분이다. 16Bytes로 구성되어 있다. 5~8번 부분이 VBR섹터 번호이다. 0x80이므로 128섹터로 이동해보자. VBR영역으로 이동했다. 4번째 줄 8Bytes부분이 Start of MFT부분으로 계산 시 사용된다. 복구하고자 하는 파..

GPT(GUID Partiton Table)은 MBR 파티션 테이블 용량 제약을 개선하기 위해서 생겨났다. 64bit 주소체계를 사용하고, 128개의 주 파티션을 생성할 수 있다. 0번 섹터는 MBR이 들어간다.(호환성을 위함) 1번 섹터에 헤더가 고, 2번 섹터에 Partion Table이 위치한다. 볼륨 자마지막 섹터에 GPT Header의 백업본이 위치하고, 그 전 섹터에 Partition Table의 백업본이 위치한다. Signature : GPT Hedaer의 시그니처 값. 'EFI PART" 문자열이다. Revision : Version 값. Header Size : GPT Header의 크기. Header Checksum : GPT Header의 checksum Reversed : 예약 영역..

하드 디스크의 첫번째 데이터 공간(0번 섹터) 파티션의 스타일. 물리적인 저장 장치에서 확인할 수 있는 영역으로 , 하드디스크의 파티션 정보를 지니고 있다.(512Byte) 다중 파티션의 경우만 존재한다. MBR Slack MBR과 VBR 사이에 있는 공간으로 낭비 되는 공간이다. 악성코드가 악용되는 공간 이며 보안 솔루션으로 사용되는 공간이기도 하다. VBR 볼륨의 시작에 위치하는 구조. 파일 시스템의 메타 데이터(BPB)가 있고, 부트로더 로딩 코드를 담고 있다. 볼륨의 부트로더를 로딩해서 운영체제를 부팅시키는 코드를 VBR이라고한다. Volume Data 할당 된 볼륨의 데이터가 들어있는 공간. 메타 테이터와 파일의 데이터로 구성되어 있다. 1. MBR Boot Code 운영체제 부팅과정 BIOS ..

FAT 파일 시스테밍 개인 용도로 사용하기 위해서 만들어졌다면, NTFS 파일 시스템은 서버용 운영체제에서 사용하기 위한 파일 시스템이다. 버전은 NTFS의 윈도우 운영체제에 따라서 다르다. 운영체제 및 볼륨의 크기에 따른 클러스터 크기 NTFS의 최대 사이즈. NTFS 구조 VBR(Volume Boot Record) VBR의 섹터 크기는 클러스터 크기에 따라 정해진다. Boot Code (0x00~0x02, 3Byte) CPU의 명령 실행 분기를 부트 코드로 옮기는 역할. OEM(Original Equipment Manufacturing) ID (0x03~0x0A, 8byte) NTFS와 공백을 표시. BPB(BIOS Parameter Block) (0x0B~0x59, 78byte) 클러스터 섹터의 크..