c0wb3ll's 5tudy B109

ShimCache (Windows 10)

www.notion.so/ShimCache-Windows-10-75bb3613daaf4d03a8163e304c3a1c0a

JumpList (Windows10)

JumpList (Windows10) JumpList? Windows7에서 새롭게 추가된 Artifact이다. 응용 프로그램 별로 그룹화가 되어있다. 사용자가 자주 사용하거나 최근에 사용한 문서 도는 프로그램을 관리하는 링크 파일이다. 포렌식적 관점 문서, 프로그램 실행 유무 자주 사용하는 문서, 프로그램 정보 확인 최근에 사용한 문서, 프로그램 정보 확인 사용자의 행위 파악 정보 유출 사건 분석 사용자의 사용흔적 및 패턴 파악 가능 사용자가 직접 삭제하지 않는 이상 운영체제 설치 시 부터 지속적으로 로그가 저장 됩니다. 따라서 이러한 사용자의 행위를 파악하거나 정보 유출 사건 분석에 도움이 됩니다. 응용프로그램 실행 응용프로그램 실행 시 작업표시줄에 표시되고 작업 표시줄에 나타나는 응용프로그램에 마우스..

LNK File Structure

LNK File Structure LNK File? LNK File은 다른 데이터들에 접근하기 위한 정보를 가지고 있는 데이터이다. Shell Link Binary File Format은 확장자가 .LNK인 윈도우 파일 포맷이다. Shell Link는 보통 응용프로그램을 실행하거나 OLE 같은 시나리오를 Linking하는데 제공하기 위해서 사용하는 것 뿐만 아니라 파일에 대한 참조를 저장하는 기능을 필요로하는 애플리케이션에 사용될 수 도 있다. LNK 파일 생성 조건 특정 응용프로그램을 실행할 때 바탕화면에 자동으로 생성 사용자가 편의를 위해 바로가기를 생성했을 때 생성 로컬 및 원격 데이터 파일, 문서를 열었을 때 생성 바탕화면 외에도 최근 문서 폴더, 시작프로그램, 빠른 실행 등 다양한 곳에서 생성 ..

OLE File Format Structure

OLE File Format Structure OLE File Format? OLE File Format은 MS 오피스인 워드, 엑셀, 파워포인트의 문서 포맷으로 사용되어 왔다. OLE File Format은 내부가 하나의 작은 하드 디스크와 같은 파일 시스템 구조를 가진다. 따라서 OLE File 내부에는 폴더 및 파일과 비슷한 개념으로 Storage와 Stream이 있다. OLE File Format Structure OLE File Structure OLE File은 크게 Header Block 과 Data Block 2개의 블록으로 나뉜다. Header Block은 512Byte의 크기를 가지고 그 이후에 Data Block은 512Byte 이상의 크기를 가지게 된다. Header Block은 O..

ShellBags (Windows10)

Shellbags (Windows10) Shellbag이란? 1-1. 정의 Shellbags란 User Registry Hive 파일 (ntuser.dat/usrclass.dat) 의 ShellBag의 하위키이며 사용자가 로컬, 네트워크 및 이동식 저장장치에서 접근한 폴더 정보가 기록되며 최초로 폴더를 열람시에 생성이 된다. 또한 폴더의 생성, 복사, 압축 프로그램에 의해서 실행되었을 경우에도 생성된다. NTUSER.DAT는 데스크톱, Windows 네트워크 폴더, 원격 컴퓨터 및 원격 폴더에 대한 ShellBags 정보를 저장한다. UsrClass.dat는 데스크톱, ZIP파일, 원격 폴더, 로컬 폴더, Windows 특수 폴더 및 가상 폴더에 대한 ShellBags 정보를 저장한다. 1-2. 포렌식적..

섹터 주소 지정 방식

섹터 주소 지정 방식 CHS 주소 지정 방식 CHS(Cylinder-Head-Sector) 주소 지정 방식은 이름을 보면 알 수 있듯이 실린더(Cylinder), 헤드(Head), 섹터(Sector) 구조를 기반으로 주소를 지정하는 방식이다. 이 방식은 물리적으로 주소를 할당하는 방식이고, 각각 실린더, 헤드, 섹터에 번호를 할당해 그 주소를 이용하여 데이터를 찾아 읽고 쓰는 방식이다. 예를 들어 CHS(1,2,3)이면 2번째 헤드를 1번째 실린더, 3번째 섹터에 위치 시킨다. 이 후 읽기 명령을 발생시켜 해당 위치부터 지정한 만큼 데이터를 읽게 만든다. 초기에 ATA 표준은 28bit 블록 주소 방식으로 실린더 16bit, 헤드 4bit, 섹터 8bit로 할당되었다. 이 후 ATA-1 이 정식으로 소개..

NTFS 파일 시스템 특징

NTFS 파일 시스템의 특징 NTFS 파일 시스템의 특징 1) USN 저널 USN 저널은 NTFS의 메타데이터를 구성하는 파일로 $UsnJnrl 이라는 이름을 가진다. 이 파일은 파일 시스템의 모든 파일 및 디렉터리의 변경 사항을 기록하는 로그이다. 2) ADS (Alternate Data Stream) 일반적으로 파일은 하나의 데이터 스트림만 가지지만 ADS라는 기능을 추가함으로 하나 이상의 데이터 스트림을 가지도록 함 ADS의 크기는 파일의 크기에 영향을 미치지 않음 ADS는 탐색기로 내용 확인 불가 3) Sparse 특징 Sparse 특징은 파일의 데이터가 대부분 0으로 채워져 있는 경우, 실제 데이터를 기록하지 않고 크기만 유지하는 특징 4) 파일 압축 NTFS에서는 파일시스템 수준의 압축을 지원..

FAT 16 구조 분석

FAT16 구조 분석 FAT12와 FAT16은 클러스터를 표현하는 FAT Entry의 비트 수가 12와 16개인 점을 제외하면 동일 하므로 FAT16만 분석 1. Reserved Area (예약된 영역) - 1 Sector 예약된 영역은 이름 그대로 미리 예약된 영역이다. 파티션의 가장 첫 부분에 위치(VBR도 이 예약된 영역에 속함) FAT12/16과 FAT32의 제일 큰 차이점은 '예약된 영역' 이다. 기본적으로 FAT12/16은 1섹터의 크기로 할당 됨 (FAT32, NTFS는 추가적인 예약 영역을 가짐) 여기서 알 수 있는 점은 VBR=(부트섹터)는 파티션의 가장 첫번째 부분에 위치하는데 즉 FAT12/16에서는 VBR이 예약된 영역이란는 것을 알 수 있다. 1.1. Jump Command to ..

FAT(File Allocation Table) File System 개념

FAT(File Allocation Table) File System 개념 FAT(File Allocation Table)를 공부하는 이유 휴대용 저장매체 USB 플래시 메모리, 디지털 카메라 등등 에서 활용하기 때문에 포렌식 관점에서 FAT 파일 시스템에 대해 공부할 필요성 존재 #FAT 파일 시스템의 구조 Reserved Area(예약 영역)은 FAT 파일 시스템의 가장 앞 부분에 위치하며, 파일시스템에 대한 각종 정보들이 담겨있다. FAT Area #1, #2는 클러스터를 관리하기 위한 테이블이 담겨있고 그 백업본이 존재 Data Area(데이터 영역)에는 파일에 대한 메타데이터(디렉토리 엔트리)와 파일 내용이 저장되어 있다. 기본 구조는 위 그림과 같은 형태를 따라가며, 세부적으로 할당된 크기나 ..

MBR(Master Boot Record)

1.1. MBR(Master Boot Record) MBR은 파티션된 하드 디스크의 첫 섹터에 존재하며 파티션 섹터(Partition Sector)라고도 부름 (MBR 구조 : 빨간 부분 - Boot Code , 초록 부분 - Partition Table Entry , 파란 부분 - Signature) 중요한 부분은 "디스크 서명"과 "파티션 테이블" 이다. (디스크 서명은 파티션 테이블 엔트리에서 2byte 전 부터 4byte 이다. 여기서는 0xA4B57300) (Partition Table 16byte 씩 4개로 64byte 짜리 Partition Table Entry) 위치(Offset) 크기(byte) 설명 0x00 1byte 파티션 상태 (0x80 부팅 가능 , 0x00 부팅 불가 , 기타 =..

파일 시스템(File System)이란

파일시스템(File System) 이란? #파일 시스템의 개념 파일시스템 이란, 파일의 이름을 정하고 저장, 검색을 위해서 논리적으로 어디에 위치 시켜야 하는지에 대한 방법을 구성한 시스템 저장 매체의 공간이 증가 할수록 보관하는 파일의 수 또한 증가하게 되어 별도의 관리 시스템이 필요하게 되었다. 그래서 개발된 것이 파일시스템 파일시스템의 종류에는 FAT16,FAT32,NTFS,ext2,ext3,ext4,HFS+등등 다양함 #파일시스템의 구조 파일시스템은 해당 파일에 대한 메타데이터, 즉 파일 데이터의 데이터가 저장된 영역과 실제 데이터가 기록된 영역 2가지로 구분된다. 메타데이터 영역에는 파일이름, 파일위치, 파일크기, 파일유형 등의 정보들이 담겨 있음 데이터 영역에는 해당 파일의 실제 데이터들이 담..

하드 디스크 구조와 파일 시스템

1) 하드 디스크 구조와 파일 시스템 MBR(Master Boot Record) : 디스크의 파티션을 나누거나 하나로 사용하더라도 반드시 디스크의 시작 위치에 자 리 잡는 구조 전원이 켜지면 "BIOS"점검과 설정을 하기 위한 코드가 담겨있으며 파티션 테이블 구조를 포함하고 있음 파일 시스템 : 컴퓨터 디스크 내에 파일들을 일종의 색인 작업을 하여 쉽게 접근할 수 있도록 관리하는 핵심요소 if 파일 시스템이 없으면 디스크 상에 저장되어 있는 정보 등을 찾아내기 어려워짐 why? 파일과 관련된 메타데이터에 기록된 정보를 토대로 파일의 위치정보 및 상세정보를 알 수 있기 때문에 매체 운영체제 ( OS ) 파일 시스템 PC MS-DOS, Windows FAT12, FAT16 Windows FAT32, NTFS..