carving 2

[Digital Forensic] NTFS File System "MFT" Analysis

MFT NTFS는 파일 시스템을 구성하는 모든 요소들을 파일처럼 다룬다. 즉, 파일이 아닌 존재도 파일처럼 저장한다. MFT: MFT Entry의 집합으로, 파일 시스템에 저장된 파일의 수에 따라 MFT의 크기가 조절되며, 일반적으로 NTFS 볼륨의 12.5%가 MFT 영역으로 할당된다. 특징으로는, NTFS 파일 시스템을 처음 생성하면 16개의 엔트리(0번부터 15번까지)가 자동으로 생성되며, 이들은 메타 데이터 파일 혹은 시스템 파일이라고 부르며, 특별한 목적을 이유로 예약된 영역이다. 이러한 구조 덕분에 NTFS는 효율적으로 파일들을 관리하고, 필요한 정보에 빠르게 접근할 수 있다. Start Sector of MFT Area: Start Sector of VBR + (Start Cluster fo..

[Digital Forensic] FAT32 File System "Test & Result" Analysis

Delete File & File Recovery파일의 실제 저장 데이터 섹터 계산, 파일 삭제 및 휴지통 삭제 시 구체적인 Cluster Entry의 변화와 파일 복구 가능 여부를 확인해 보기 위해 블로그의 로고 이미지 파일(logo.png)을 테스트 진행해 보았다.  아래는 테스트에 사용한 파일의 정보이다.File NameSize (Byte)Allocation Clusterlogo.png150,42937delete.png1,421,030347 테스트를 위해 logo.png 파일 저장해 보았다. 해당 파일 저장 시 할당 클러스터 개수 즉, 생성되어야 할 Cluster Entry(빨간색) 37개와 Short Name Directory Entry(빨간색)이 정상적으로 생성되었다. Starting Clust..