삼전동해커

https://stylesuxx.github.io/steganography/ https://29a.ch/photo-forensics/#forensic-magnifier

(1)FAT 1)FAT16 - 최대 2GB까지 지원. - 암호화 및 압축이 불가능. - 클러스터당 1600KB를 할당하여 내부 단편화가 발생한다. - 파일명 최대 길이는 영문 8글자. 2)FAT32 - 최대 2TB까지 지원. - 파일명 최대 길이는 영문 256글자. - 클러스터당 4KB를 할당하여 내부 단편화를 줄임. (2)NTFS - 암호화 및 압축을 지원하며 대용량 파일 시스템을 지원. - 가변 클러스터이며, 기본은 4KB. - 트랜젝션 로깅을 통한 복구/오류 수정이 가능. (3)EXT - 리눅스 시스템에서만 사용가능하다. 1)EXT - 최대 2GB까지 파일 시스템 크기 지원. - 255byte까지 파일명을 지원. 2)EXT2 - 파일 시스템은 2GB, 볼륨 크기는 32TB까지 지원 3)EXT3 - ..

다중 파티션으로 구성되어 있다. 다 열리는걸 보니 어디가 망가진건 아닌 것 같다.맨 밑에 unpartitioned space는 말그대로 아직 파티션이 생성되지 않은 공간.slack이라고 한다. 이번에도 MBR을 보면 파티션 정보가 들어있는데파티션이 여러 개로 구성되어 있다.하나씩 확인해 보자.[파티션1]00 - 0x00으로 부팅 불가능 상태 04 01 00 - CHS 필요X 정보 07 - NTFS 파일 시스템 03 20 32 - CHS 필요X 정보 80 00 00 00 - LBR 시작 주소(파티션 섹터는 0x80 = 128섹터에 위치해 있다.) 00 90 01 00 - 파티션의 총 섹터 개수(0x019000 = 102400개)총 용량 = 102400*512 = 52428800byte [파티션2]00 - ..

파티션을 복구해보는 방법에 대해 알아보자. 먼저 ftk imager로 파티션을 열어본다. unrecognized file system이 보인다. 파티션에 문제가 생긴 것 같다. 복구를 해보자.HxD를 이용해 파티션을 열어본다.HxD에서 extras->open disk image로 열어 섹터 단위로 구분을 할수 있게 열자. 파티션을 분석해보자. 한 섹터의 단위는 512바이트 이다. 512바이트 의 구성은Boot Code 446byte Partition table 64byte Signature 2byte로 구성이 되어 있다. Boot code는 부팅에 관련된 정보들이 저장되어 있다.Paritition table에는 파티션들의 정보가 저장되어 있고,Signature는 55 AA로 고정 값이다.여기서 우리가 봐..

윈도우 포렌식에 대해 공부해보자.윈도우 포렌식윈도우 시스템을 사용하면서 남는 아티팩트를 이용하여 파일 유출 불법 다운로드 문서 조작 지정 매체 연결 흔적 등에 대해 분석할 수 있다. #아티팩트란 증거물 같은 의미. 레지스트리 - 운영체제와 응용 프로그램 운영에 필요한 정보를 저장하기 위한 계층형 데이터 베이스. - 부팅 과정, 로그인, 서비스 실행, 응용프로그램 실행, 사용자 행위와 관련된 모든 것을 기록해 관리. - 레지스트리 정보는 하이브 파일이 관리한다. #하이브 파일 - 레지스트리 정보를 저장하고 있는 물리적인 파일. - c:\windows\system32\config에 저장되어 있음. - 바이너리 형태로 저장되기 때문에 레지스트리 편집기가 없으면 볼수 없음. 레지스트리 구성regedit을 열어 ..

volatility에 대해 알아보장. 출처:https://velog.io/@jjewqm/%EB%A9%94%EB%AA%A8%EB%A6%AC-%ED%8F%AC%EB%A0%8C%EC%8B%9D volatility란?volatility는 CLI 기반 메모리 분석 도구이다.여러 옵션과 플러그인을 사용해 덤프한 메모리 파일을 분석할 수 있다. 설치 :https://www.volatilityfoundation.org/26 volatility를 사용해 1. 프로세스 정보2.네트워크 연결 정보3.윈도우 레지스트리 정보4.패스워드,캐시정보,클립보드 정보5.악성코드 파일 정보6.하드웨어 설정 정보 등을 알아낼 수 있다. volatility 플러그인운영체제 분석 - imageinfo : 덤프 파일의 이미지 정보 분석$vol...