DF_m@ster

Browser Forensic디지털 포렌식에서 웹 브라우저 아티팩트 분석은 사용자가 특정 웹 브라우저에서 어떤 인터넷 행위를 했는지 확인할 수 있기 때문에 중요한 분석 과정으로 여겨진다. 본글은 Google의 Chrome 브라우저를 대상으로 History 삭제 정책을 확인하고, 이를 토대로 Ext4 파일 시스템에서의 History 복원 정책을 정의한다. 이후에 History 복원 정책을 토대로 '인터넷 사용 기록 삭제'가 적용된 환경에서 실제 아티팩트 분석을 진행해 정보 추출 가능 여부를 정의한다.     Scenario본 실습은 Rooting이 진행된 Android의 S7(SM-G930S) 기기에서 진행하며, Chrome Browser의 실습 환경은 '검색어', '다운로드', '방문 URL' 기록이 존..

Browser Forensic디지털 포렌식에서 웹 브라우저 아티팩트 분석은 사용자가 특정 웹 브라우저에서 어떤 인터넷 행위를 했는지 확인할 수 있기 때문에 중요한 분석 과정으로 여겨진다. 본글은 Google의 Chrome 브라우저를 대상으로 History 삭제 정책을 확인하고, 이를 토대로 NTFS 파일 시스템에서의 History 복원 정책을 정의한다. 이후에 History 복원 정책을 토대로 '인터넷 사용 기록 삭제'가 적용된 환경에서 실제 아티팩트 분석을 진행해 정보 추출 가능 여부를 정의한다.     Scenario본 실습은 Windows 11의 VM에서 진행하며, Chrome Browser의 실습 환경은 '검색어', '다운로드', '방문 URL' 기록이 존재할 수 있게 재현하고 이후 '인터넷 사용..

Thumbcache File Forensic디지털 포렌식에서 기기에 저장된 그래픽 파일을 활용해 범죄 혐의를 입증 할 수 있다. 하지만 안티 포렌식으로 인해 원본 그래픽 파일이 부재된 경우 Thumbcache 파일을 분석해 부재된 그래픽 파일을 대신하여 범죄 혐의 입증에 사용할 수 있다. 때문에 Thumbcache 파일의 구조와 삭제 정책을 상세하게 이해할 필요가 있다. 본 문단은 안드로이드에서 기본적으로 제공하는 갤러리의 Thumbcache 파일 생성 및 삭제 정책과 Thumbcache 파일에서 Thumbnail 파일 추출 및 추출된 Thumbnail 파일의 원본 파일 연관성 증명 방법을 정의한다.   Thumbcache File ScenarioThumbcache 파일의 구체적인 생성 및 삭제 정책을 ..

Messenger Forensic디지털 포렌식에서 메신저 아티팩트 분석은 사용자가 특정 메신저에서 어떤 정보를 주고받았는지 확인할 수 있기 때문에 중요한 분석 과정으로 여겨진다. 본글은 Kakao사의 KakaoTalk 메신저를 대상으로 대화 삭제 정책을 확인하고, 이를 토대로 효율적인 복구 정책을 정의한다. 이후에 복구 정책을 토대로 실제 아티팩트 분석을 진행해 정보 추출 범위를 확인한다. Scenario본 실습은 Rooting이 진행된 Android의 S7(SM-G930S) 기기에서 진행하며, 메신저 환경은 카카오톡 메신저에서 제공하는 대화 내용 삭제 방법의 모든 경우의 수를 적용해 재현한다.먼저 카카오톡 메신저에서 제공하는 대화 내용 삭제는 세가지 방법이 존재한다. 첫 번째 방법은 '모든 대화..

Ext4 File System File Recovery본 문단은 안드로이드의 Ext4 파일 시스템에서 파일 삭제 정책을 토대로 파일 복구 과정을 정의하고, 삭제된 파일 복구 과정을 정리한 글이다. 파일 복구 실습은 두 가지 파일로 나누어 진행한다. 첫 번째 복구의 경우 Extent 내부에 Extent Entry가 하나 존재하는 파일 단편화가 일어나지 않은 파일이다.두 번째 복구의 경우 파일 단편화가 5번 이상 일어나, Extent Depth가 1 이상인 파일의 복구이다. 아래는 복구 실습에 사용한 두 파일의 기본적인 정보이다.File NameSizeExtent Entry CountExtent Depth20240302_135410.jpg1,941 KB(1,986,687 Byte)1020240302_1354..

Test$MFT, $LogFile, $J의 구체적은 구조, 생성, 삭제 과정을 확인하기 위해 파일 생성 및 삭제 과정을 시나리오 테스트로 진행하였다.구체적인 시나리오는 'logo_image.png'라는 해당 블로그의 로고 이미지를 저장, 삭제, 휴지통 삭제의 세 가지 과정으로 진행하였다. 0. NTFS 구조아래는 디스크의 MBR로 1번 Partition Table Entry만 존재하며, 해당 파티션의 Partition Type이 0x07(NTFS) 임을 확인할 수 있다. 추가로 Start Sector는 0x80(128) 번 섹터이다. 128번 섹터에 NTFS의 VBR이 존재한다. VBR의 BPB에서 $MTF Start Cluster 값(0x63 00 = 25,344)을 참조하여, $MFT 영역으로 접근한..

GMDSOFT본글은 GMDSOFT의 모바일 포렌식 도구 실무교육 후기를 다룬 글입니다. 실무교육 내용에 도구의 기능 관련 내용과 GMDSODT 사의 연구 기술 내용이었기 때문에 후기를 다루는 것 자체가 불가능 할 것 같습니다. 따라서 실무교육 후기 보다는 실무교육 기록을 목적으로 포스팅하려고 합니다. 해당 부분은 양해 부탁드립니다. 본 포스팅의 보안 문제가 발생할 경우 포스팅을 바로 삭제 조치하겠습니다. 또한, GMDSOFT 사의 실무교육과 관련한 모든 질의는 답변하지 않겠습니다. 실무교육실무교육은 총 2일에 걸쳐 진행되었습니다. 1일차는 MD-NEXT 교육을 2일차는 MD-RED 교육을 진행했습니다. 실무 교육 강의를 수강하며 도구의 내부 프로세싱과 관련하여 많은 궁금증이 생겼습니다. GMDSOF..

IDA MCP본 글은 IDA에서 MCP를 사용하기 위한 방법을 기술한 글입니다. IDA에서의 MCP 서버 활성화 방법을 서술하는 글이기 때문에, MCP에 대한 설명은 제외하고 서술하겠습니다. IDA MCP Activation Process2026년 2월 기준 GitHub에서 스타가 많은 레포지토리를 기준으로 IDA MCP 서버 활성화 방법에 대하여 서술하려고 합니다. 해당 레포지토리는 'https://github.com/mrexodia/ida-pro-mcp' 입니다. 해당 레포지토리는 IDA MCP 서버를 활성화하는 오픈소스 중 가장 스타가 많았습니다. 참고로, IDA MCP 서버를 활성화 하기 위해서는 IDA Pro 8.3 이상의 버전을 필요로 합니다. MCP 서버 활성화 방법은 다음과 같습니다.1..

WinDbg Command Options본 글은 WinDbg에서 개인적으로 자주 사용하는 동적 분석(TTD 포함) 명령어 옵션을 정리한 글입니다. 특히 실제로 동적 분석을 진행하며 유용하게 사용했던 명령어 옵션을 정리한 글입니다. 때문에, 추가로 유용하게 활용 가능한 명령어 및 인사이트댓글로 공유 주시면 감사하겠습니다! Debugging - `||` : 디버깅 세션 정보 표시 Process & Thread - `!peb` : Process Environment Block 정보 - `!teb` : Thread Environment Block 정보 Symbol - `.sympath SRV*C:\Symbols*https://msdl.microsoft.com/download/symbol..

Container & CodecContainer는 여러 미디어 스트림(비디오, 오디오, 자막 등)과 메타데이터를 하나의 파일 안에 담을 수 있도록 정의한 파일 포맷을 일컫는 용어이다. Container의 종류로는 QuickTime File Format (QTFF)와 ISO BMFF (ISO/IEC 14496-12)가 있다. QuickTime File Format (QTFF)는 Apple이 1991년에 만든 시간 기반 멀티미디어 컨테이너 포맷으로, 예시로는 MOV 컨테이너가 해당된다. ISO BMFF (ISO/IEC 14496-12)는 QuickTime의 구조를 기반으로 국제 표준화된 일반적이고 확장 가능한 멀티미디어 컨테이너 포맷으로, 예시로는 mp4 컨테이너가 해당된다. Codec는 Coder-De..

안녕하세요 '2025년 디지털 포렌식 챌린지'에 참가하여 후기 글을 작성해봅니다. 제가 알고 있는 국내 디지털 포렌식 대회 중 가장 큰 대회이기도 하고, 정말 운이 좋게도 매우 좋은 팀원들을 만나 수상을 목표로 대회에 참가했습니다. 이번 대회는 숨겨진 문제 1개를 포함해서 총 21문제가 출제되었습니다. 21개의 문제는 '윈도우 아티팩트, 리눅스 침해사고, 영상 복원, 로그 분석, 에이전트 아티팩트, eBPF, 파일 시스템, iOS, 블록체인, 미스크' 등의 카테고리로 출제되었습니다. 저희 팀의 경우 모든 문제의 보고서를 제출했지만, 151, 501번은 완벽하게 풀이하지 못했습니다... ㅎㅎ 대회 기간은 2025년 8월 1일 부터 9월 30일까지였습니다. 21개 문제를 풀이하는 관점에서 대회가 무척이나 길..