목록filesystem (2)

Plit00's Story

[Windows FileSystem] - $LogFile, $MFT, $J 분석(2)

똑같은 방식으로 $LogFile과 { [root] -> [$Extand] -> [$UsnJrnl] -> [$J] } 을 export 해주고 분석하면 된다. $MFT : 모든 파일의 MFT 엔트리 정보 $LogFile : 파일 시스템 메타데이터 변경사항에 대한 트렌젝션 로그 $J : 저널 데이터를 담고 있는 $DATA 속성의 일부
Security/Forensic 2023. 2. 9. 21:01
[Windows FileSystem] - (1)

MBR : 디스크 부팅 영역 GBT : GPT 파티션은 2.2TB 이상 하드디스크를 단독 사용할 수 있다.(최대 128개까지 파티션을 나눔) UEFI는 그래픽 인터페이스를 제공해 마우스로 BIOS 설정을 변경할 수 있다. VBR: 볼륨 영역 파일 시스템은 데이터 구조체를 해석하는 것 Big-Endian : 첫번째 저장 바이트를 최상위 바이트에 저장 Littile-Endian : 첫번째 저장 바이트를 최하위 바이트에 저장 파일 시스템 특정 디스크 볼륨을 효율적으로 관리(읽기/쓰기)하기 위한 시스템 NTFS 분석 = MFT 분석 LBA 0 ⇒ Sector 1 ⇒ 512byte Sector 1 ⇒ Boot code(446byte) + Partition Table(16byte*4개) 64byte + Signat..
Security/Forensic 2023. 2. 9. 16:05
이전 Prev 1 Next 다음