-
파일시스템 정리 (1)CERT/Forensic 2019. 6. 28. 17:12
운영체제 별 파일시스템
운영체제 파일시스템 Windows FAT (12,16,32) , exFAT , NTFS Linux EXT (2,3,4) Mac OS HFS , HFS+ Solaris ZFS AIX JFS MBR (Master Boot Record)
- 파티션 데이터 구조
- 부팅 가능한 파티션 최대 4개까지 생성가능
- 저장매체의 첫 번째 섹터에 위치하는 512Byte 크기의 영역
MBR 구조
Partition Table
1byte / Boot Indicator / 부팅 가능 여부 (0x80: 부팅 가능한 파티션)
3byte / Starting CHS address / CHS 시작 주소 위치
1byte / Partition Type / 파티션 종류 (0x07: exFAT, Advanced Unix, NTFS / 0x81: Linux / 0x86: FAT16)
3byte / Ending CHS address / CHS 마지막 주소 위치
4byte / Starting LBA address / LBA 시작 주소 위치
4byte / Total Sector / 파티션의 크기(섹터 개수)
ex) 위의 그림에서 0x1BE위치 부터 16Byte
80 20 21 00 07 DF 13 0C 00 08 00 00 00 20 03 00
80 / 20 21 00 / 07 / DF 13 0C / 00 08 00 00 / 00 20 03 00
1byte / Boot Indicator / 0x80 : 부팅 가능
3byte / Starting CHS address / 0x002120 : CHS 시작 주소 위치
1byte / Partition Type / 0x07 : NTFS
3byte / Ending CHS address / 0x0C13DF : CHS 마지막 주소 위치
4byte / Starting LBA address / 0x00000800 : LBA 시작 주소 위치
4byte / Total Sector / 0x00032000 : 파티션의 크기(섹터 개수)
MBR 실습
Step 1. Hxd 프로그램을 [관리자권한]으로 실행한다.
Step 2. 메뉴에서 [디스크 열기] - [물리 디스크] - [하드 디스크1]을 열기한다.
Step 3. 현재 PC의 MBR 구조와 파티션 테이블의 레코드 값을 확인할 수 있다.
'CERT > Forensic' 카테고리의 다른 글
파일시스템 정리 (2) (0) 2019.07.01 윈도우 기반 VSC 접근 및 분석 (1) (0) 2019.03.07 dd를 활용한 디스크 이미지 덤프 및 분석환경 구성 (Linux 환경 테스트) (0) 2019.02.22 FTK Imager 디스크 이미지 (0) 2019.02.13 댓글