728x90 ๋ฐ์ํ For3nsic54 ๋์งํธ ํฌ๋ ์์ด๋? ๋์งํธ ํฌ๋ ์์ด๋ ๋ฌด์์ผ๊น? ํฌ๋ ์ -> ๋ฒ์ํ์ปดํจํฐ ๋ฏธ๋์ด์ ์ ์์ ์ผ๋ก ์ ์ฅ๋ ๋ฐ์ดํฐ๋ฅผ ์ทจ๋,๋ณด์กด,๋ณต๊ตฌ,์ ์ถํ๋ ๊ฒ๊ณผ ๊ด๋ จ๋ ๋ฐฉ๋ฒ๋ก ์ด๋ค.๋ํ ๊ฒฝ์ฐฐ๊ณผ ๊ฒ์ฐฐ์ด ์ฐ๋ ์์ฌ ๊ธฐ๋ฒ์ค ํ๋์ด๋ค.์ฆ, ๋์งํธ ๊ธฐ๊ธฐ์์ ๋ง์ ์ ๋ณด๋ฅผ ์ฐพ๊ฑฐ๋ ๋ณต๊ตฌํ๋ ์ผ์ด๋ค. ๋ค๋ง ์ค์ํ์ ์ ํฌ๋ ์์ด ๋ฒ์ํ์ฒ๋ผ ๋ฒ์ ์์ ์ฌ์ฉ๋ ์ ์๋ค๋ ๊ฒ์ด๋ค. ํฌ๋ ์์ ์ข ๋ฅ์๋ ์ฌ๋ฌ๊ฐ์ง๊ฐ ์กด์ฌํ๋ค.์ปดํจํฐ ํฌ๋ ์, ๋ชจ๋ฐ์ผ ํฌ๋ ์, ์๋ฒ ๋๋ ํฌ๋ ์, ๋คํธ์ํฌ ํฌ๋ ์ ๋ฑ๋ฑ ํฌ๋ ์ ์ ์ฉ ๋ถ์ผ1 - ์ฌ์ด๋ฒ ๋ฒ์ฃ ๋ฐ ์ง๋ฅ ๋ฒ์ฃ2 - ์ผ๋ฐ ๋ฐ ๊ฐ๋ ฅ ๋ฒ์ฃ3 - ์ธํฐ๋ท ์นจํด์ฌ๊ณ ์กฐ์ฌ4 - ์ฌ์ฉ์์ ๋ถ์ ์ด๋ ๋ฒ์ฃ ํ์์ ๋ํ ์กฐ์ฌ For3nsic/Forensic 2015. 11. 10. ํ๋ฐ์ฑ ์์ And ํฌ๋ ์ ์์งํ ์ฆ๊ฑฐ์ ์ฐ์ ์์๋ฅผ ์ ํ๋ ๊ฒ์ด ์ข๋ค.๊ทธ๋ฌ๋ ํ๋ฐ์ฑ์ด ๊ฐํ ๊ฒ๋ถํฐ ์์งํ๋ ๊ฒ์ด ์ข์ ๋ฏํ๋ค. ํ๋ฐ์ฑ ์์1 - CPU, ์บ์ ๋ฐ ๋ ์ง์คํฐ ๋ฐ์ดํฐ2 - ๋ผ์ฐํ ํ ์ด๋ธ, ARP ์บ์, ํ๋ก์ธ์ค ํ ์ด๋ธ, ์ปค๋ ํต๊ณ3 - ๋ฉ๋ชจ๋ฆฌ4 - ์์ ํ์ผ ์์คํ / ์ค์ ๊ณต๊ฐ5 - ํ๋ ๋์คํฌ์ ์๋ ๋ฐ์ดํฐ6 - ์๊ฒฉ์ ์๋ ๋ก๊ทธ ๋ฐ์ดํฐ7 - ์์นด์ด๋ธ ๋งค์ฒด์ ์๋ ๋ฐ์ดํฐ RAM์ ์๋ ์ฆ๊ฑฐํ๋ฐ์ฑ ๋ฉ๋ชจ๋ฆฌ(RAM)์๋ ํ์ฌ ์คํ ์ค์ธ ํ๋ก์ธ์ค, ์คํ๋ ์ฝ์ ๋ช ๋ น์ด, ์ํธํ๋์ง ์์ ๋น๋ฐ๋ฒํธ, ์ํธํ๋์ง ์์ ๋ฐ์ดํฐ, ๋ฉ์ ์ ๋ด์ฉ, IP์ฃผ์, ์ ์ฑ์ฝ๋ ๋ฑ ์ค์ํ ์ฆ๊ฑฐ๊ฐ ์ ์ฅ๋์ด ์์์ ์๋ค. For3nsic/The Art of Memory Forensic 2015. 11. 10. ํํฐ์ ๋๊ณผ ๋์คํฌ๋ ์ด์์ ๋ฑ ํํฐ์ ๋๊ณผ ๋์คํฌ ๋ ์ด์์ ์ค๋๋ ๊ฐ์ฅ ๋ง์ด ์ฌ์ฉํ๋ ๋ ๊ฐ์ง ์ฃผ์ ํํฐ์ ๋ ๋ฐฉ์์ MBR(Master Boot Record) ๋ฐฉ์๊ณผ GUID Partition Table(GPT)์ด๋ค. MBR ํํฐ์ ๋ ๊ธฐ๋ฒ์ ๊ธฐ๋ณธ์ ์ผ๋ก ์ค์ง ๋ค ๊ฐ์ ํ๋ผ์ด๋จธ๋ฆฌ ํํฐ์ ๊ณผ ์ต๋ 2ํ ๋ผ๋ฐ์ดํธ ํฌ๊ธฐ์ ๋์คํฌ๋ง ์ง์ํ๋ค. GPT ํ์์ 8 ์ ํ๋ฐ์ดํธ ํฌ๊ธฐ์ ๋์คํฌ๊น์ง ์ง์ํ๋ฉฐ 128๊ฐ์ ํ๋ผ์ด๋จธ๋ฆฌ ํํฐ์ ์ ๋ง๋ค์ ์๋ค. ํํฐ์ ์๋ณ ๋ฐ ๋ณต๊ตฌ์ญ์ ๋๊ฑฐ๋ ์ฌ๋ผ์ง ํํฐ์ ์ ์๋ณํ ๋๋ ์์์ ์ธ๊ธํ sigfind ๋ช ๋ น์ ์ฌ์ฉํ ์ ์๋ค. ์ด ๋๊ตฌ๋ ํํฐ์ ํ ์ด๋ธ์ด๋ ํ์ผ ์์คํ ํค๋์ ์จ๊ธธ ์ ์๋ ํ์ ์ ์ฐพ์์ฃผ๋ ์ฌ์ ์ ์๋ ์ฌ๋ฌ ๋ฐ์ดํฐ ๊ตฌ์กฐ ํ ํ๋ ์ดํธ๋ฅผ ๊ฐ์ง๊ณ ์๋ค. RAIDRedundant Array of Inexpensive D.. For3nsic/Forensic 2015. 11. 10. ํฌ๋ ์์ ๋๊น๊ฒ... ํฌ๋ ์ ๋ถ์์ ๋ชฉ์ - ์ง์ค์ ์ฐพ๊ณ ๊ทธ๊ฒ์ ํตํด ์ฌ๊ฑด์ ์ง์ค์ ์ฌํํ๋ ๊ฒ ์ด๋ฏธ์ง ๋ค๋ฃจ๊ธฐ - ImDisk -> NTFS ๋ณผ๋ฅจ ์ด๋ฏธ์ง ๋ง์ดํ ํ์ผ ์์คํ ๋ค๋ฃจ๊ธฐ - Ext2FsdMac OS - HFS Explorer -> ์ผ๋ถ CD/DVD์ DMG ์ปจํ ์ด๋ ํฌํจ HFS์ HFS+ ํ์ผ ์์คํ ์ ์ฝ์ ์ ์๋ ํ๋ก๊ทธ๋จ์ด๋ค. ๋์คํฌ์ ํ์ผ ์์คํ ๋ถ์ํฌ๋ ์ ๋ถ์์ ๋งค์ฒด์ ์๋ ํ์ผ์ ๋ค๋ฃจ๋ ๊ฒ์ด๋ค. ์๋ณ์ ๋ณผ๋ฅจ์์ ์ด๋ ํ์ฑ ํ์ผ๊ณผ ์ญ์ ๋ ํ์ผ์ ์์งํ ์ ์๋์ง ๊ฒฐ์ ํ๋ ๊ฒ์ด๊ณ , ์ถ์ถ์ ๊ด๋ จ ํ์ผ์ ๋ฐ์ดํฐ์ ํ์ผ์ ๋ฉํ๋ฐ์ดํฐ๋ฅผ ์์งํ๋ ๊ฒ์ด๋ฉฐ, ๋ถ์์ ์ฐ๋ฆฌ๊ฐ ์๊ณ ์๋ ์ ๋ณด๋ฅผ ๋ฐ์ดํฐ ์ ์ ์ ์ฉํ๊ณ ๊ถ๊ทน์ ์ผ๋ก๋ ์๋ฏธ ์๋ ๊ฒฐ๊ณผ๋ฅผ ๋์ถํ๋ ๊ณผ์ ์ด๋ค. ํ์ผ ์์คํ ์ถ์ํ ๋ชจ๋ธ - ๋์คํฌ : ๋ฌผ๋ฆฌ์ ์ ์ฅ์ฅ์น๋ก ๊ฐ์ฃผ .. For3nsic/Forensic 2015. 11. 10. FTK Imager ์ด์ฉํ ์ญ์ ๋ ํ์ผ ์ด๋ฆฌ๊ธฐ ๊ฐ๋ ์ปดํจํฐ๋ฅผ ํ๋ค๋ณด๋ฉด ํ์ผ์ ๋ชจ๋ฅด๊ณ ์ญ์ ํ ์ ์๋ค.์ด๋ฅผ ์ด๋ฆฌ๊ธฐ ์ํดFTK Imager๋ฅผ ์ฌ์ฉํ์ฌ ์ด๋ ค๋ณด์. FTK Imager ์คํ ํ๋ฉด ๋ฐ์์ ์ฐฝ์ด ๋ฌ๋ค. ์ฌ๊ธฐ์ FILE -> Add Evidence Item...์ ๋๋ฅด๋ฉด ์ด๋ฌํ ์ฐฝ์ด๋จ๋ฉด ๋ค์ ์ด ์ฐฝ์ ํ๋๋์คํฌ๋ฅผ ์ ํํ๋ ์ฐฝ์ด๋ค. ์ ์๋ ๊ฐ์์ผ๋ก ํ๋ ๊ฑฐ๋ผ 68GB๋ก ์กํ์๋ค. ์ฌ๋ฌ๊ฐ์ง๊ฐ ์กํ์๋ ์๋ค. Finish๋ฅผ ํ๋ฉด ์ด๋ฌํ ์ฐฝ์ด ๋จ๋๋ฐ ์์ ํ๋ฌ์ค๋ฅผ ๋๋ฅด๋ฉด ์ด๋ ๊ฒ ํํฐ์ 1, 2 ๊ฐ ๋์ค๋ ๊ฒ์ ํ์ธํ๊ณ ์ฒ์์๋ 350MB๋ฅผ ๋ดค์ ๋ ๋ถํ ์ ๋์์ฃผ๋ ์์คํ ์ผ๋ก ๋ณด์ธ๋ค. ํํฐ์ 2๋ฅผ ๋๋ฅด๋ฉด Root๊ฐ ๋์ค๋ ๋ฐ Root ๋งค์ฐ ์ค์ํ๋ค!!! Root -> Recycle.Bin์ ๋ค์ด๊ฐ๋ฉด ์ญ์ ํ ํ์ผ๋ค์ด ๋์จ๋ค. ์ด๋ ๊ฒ ๊ฐ๋จํ๊ฒ ์ฐพ์ ๋ผ์ ์๋ค.. For3nsic/Forensic 2015. 11. 9. ํํฐ์ ํ ์ด๋ธ ํ์ธํ๋ ๋ฐฉ๋ฒ ์ด๊ฑด ์ ์ ์ค์ ์ฐ๋ ํ๋๋ฅผ ๋ฌ๊ฑด๋ฐ์ ๋ณด๋ฉด 0000001b0์ ๋ณด๋ฉด ๋ง์ง๋ง์ 80 20 ์ด ๋ณด์ด๋ ๊ฒ์ ํ์ธ ํ ์ ์๋ค. ๊ทธ์ ์ 00 00 ์ ๋๊ฐ์ธ๊ฒ์ ์์ ์๊ณ ๊ทธ์ ์ 4๋ฐ์ดํธ๋ ๋์คํฌ ์๋ช ๊ตฌ์ญ์ธ๊ฒ์ ์์ ์๋ค. 80 20 ๋ถํฐ ํํฐ์ ๋ถ๋ถ์ด ์์ ๋๋ ๊ฒ์ด๋ค. 80 ๋ํ๋ด๋ ๊ฒ์ Boot Flog ์ฆ, ๋ถํ ์ ์ฌ์ฉํ๋ ๊ฒ์ด๋ค. ์ฝ๊ฒ ๋งํด์ os๊ฐ ๊น๋ ค์๋ ๊ฒ์ด๋ค. ๋ง์ฝ 00์ด๋ผ๋ฉด ๋ถํ ์ ์ฌ์ฉํ์ง ์๋ ๊ฒ์ด๋ค. ๋ ธ๋์ ๋ถ๋ถ์ด ํ๋์ ์ํธ๋ฆฌ๋ก 16byte ํ ํํฐ์ ์ ๋ํ๋ด๋ ๊ฒ์ด๋ค. ์ด๋ ๊ฒ ์์๋ฅผ ๋ณด๋ฉด ์ฒซ๋ฒ์งธ, ๋๋ฒ์งธ, ์ธ๋ฒ์งธ ํํฐ์ ๋ค์ ์ฃผํํฐ์ ์ธ ๊ฒ์ ํ์ธํ ์ ์์ ๊ฒ์ด๋ค. ๊ทธ๋ผ ๋ง์ง๋ง์ 4๋ฒ์งธ๋ ๋ฌด์์ผ๊น? ์๋ฌธ์ด ๋ ๋ค. ์ด๋ ํ์ฅํํฐ์ ์ด๋ค.(๋ ผ๋ฆฌ ๋๋ผ์ด๋ธ๋ ๋ง์ง๋ง ํ์ฅ ํํฐ์ ์์ ์ฐ๊ฒฐ๋๋ EBR์.. For3nsic/Forensic 2015. 11. 3. MBR ๊ตฌ์กฐ MBR ๊ตฌ์กฐ๋ฅผ ๋ณด๋ฉด ์ด๋ฌํ ๊ตฌ์กฐ๋ฅผ ๊ฐ์ง๊ฒ ๋์ด ์๋ค. ์ฐ๋ฆฌ๊ฐ ๊ธฐ๋ณธ์ ์ผ๋ก MBR์ ๋ณด๋ฉด 512byte๋ฅผ ํ๋นํ์ฌ ๊ฐ์ง๊ณ ์์ผ๋ฉฐ 440์ ์ฝ๋ ์์ญ์์ ๊ฐ์ง๊ณ ์์ผ๋ฉฐ 4๋ฐ์ดํธ๋ฅผ ๋์คํฌ ์๋ช ์ ์ฐจ์งํ๋ค. ๊ทธํ 2๋ฐ์ดํธ๋ ์ฐ๋ ๊ธฐ ๊ฐ์ด๊ณ ๋๋จธ์ง ๊ฐ์ ํํฐ์ ๊ฐ์ ๋ํ๋ธ๋ค. ๋ง์ง๋ง 2๋ฐ์ดํธ๋ 55 AA๋ฅผ ๋ํ๋์ผ๋ก์ ํ๋์ ๋ฌธ์ ๊ฐ ์๋ค๋ ๊ฒ์ ๋ํ๋ด์ค๋ค. For3nsic/Forensic 2015. 11. 3. ํ์ผ์์คํ ๋ถ์ ์ต๊ทผ ์ญ์ ๋ ํ์ผ์ด๋ ์ฌ๊ฑด์ด ์ผ์ด๋ ์์ ์์ ์ญ์ ๋ ํ์ผ์ ์ฐ์ ๋ถ์ ๋์์ด ๋๋ค.ํ์ผ ์์คํ ์ ํ์ผ ์ญ์ ์ ์ค์ ๋ฐ์ดํฐ ์ญ์ ์์ด ๋ฉํ์ ๋ณด๋ง์ด ์์ ๊ฐ๋ฅ ํ๋ค.์ฆ, ์ญ์ ๋ ํ์ผ์ ๋ฉํ ์ ๋ณด ๊ตฌ์กฐ๊ฐ ๋ฎ์ด์จ์ง์ง ์์๋ค๋ฉด ํ์ผ์ ๊ฑฐ์ ์๋ฒฝํ๊ฒ ๋ณต๊ตฌ๋๋ค๋ ๋ง์ด๋ค. ๋์คํฌ ํฌ๋งท์ ๋ณด NTFS : ๋น์ฐ์์ /์ฐ์์ ์ผ๋ก ํ ๋น๋ ํ์ผ ๋ชจ๋ ์๋ฒฝํ๊ฒ ๋ณต๊ตฌ๊ฐ ๊ฐ๋ฅํ๋ค.FAT : ๋น์ฐ์์ ์ผ๋ก ํ ๋น๋ ํ์ผ์ ๋ถ๋ถ์ ์ธ ๋ณต๊ตฌ๋ง ๊ฐ๋ฅํ๋ค. (FAT Table์ ์ด๊ธฐํ๋ก ์ฐ๊ฒฐ์ ๋ณด๊ฐ ์ฌ๋ผ์ง๋ค.)์ญ์ ๋ ํ์ผ ํ์ FAT12/16/32 : ๋ฃจํธ ๋๋ ํฐ๋ฆฌ๋ก ๋ถํฐ ํ์ํ๋ฉด์ ๋๋ ํฐ๋ฆฌ ์ํธ๋ฆฌ ์ฒซ ๋ฐ์ดํธ๊ฐ 0xe5์ธ ์ํธ๋ฆฌ ์์ง ์์ง exFAT : ํ์ผ ๋๋ ํฐ๋ฆฌ ์ํธ๋ฆฌ ๊ฐ์ด 0x05์ธ ์ํธ๋ฆฌ ์์งNTFS : $MFT ์ $BITMAP ์์ฑ์์ .. For3nsic/Forensic 2015. 11. 2. ์ปดํจํฐ ๊ธฐ๋ณธ ์ปดํจํฐ์ ํ๋์จ์ด ๊ตฌ์ฑ ๋ถํ ์ผ์ด์ค – ์ปดํจํฐ ์์คํ ๊ตฌ์ฑ ๋ถํ์ ๊ฐ์ ๋ฟ๋ง ์๋๋ผ ๋ด๊ณ , ์งํฑํด์ค๋ค. ์ ๊ธฐ์ ๊ฐ์ ๋๋ ๊ฒ์ ๋ง์์ฃผ๋ฉฐ ๋ด๋ถ๊ตฌ์ฑ ๋ถํ์ ๋จผ์ง์ ์ต๊ธฐ, ์ธ๋ถ์์์ ์ง์ ์ ์ธ ์ถฉ๊ฒฉ์ผ๋ก๋ถํฐ ๋ณดํธ ํด์ค๋ค. ROM(Read Only Memory) – ๋ฐ์ดํฐ๋ฅผ ์๊ตฌ์ ์ผ๋ก ํน์ ๋ฐ์๊ตฌ์ ์ผ๋ก ์ ์ฅํ ์ ์๋ ๋ฉ๋ชจ๋ฆฌ์ ํ ์ข ๋ฅ๋ก, ๊ทธ์์ ๋ด์ฉ์ ์ถ๊ฐํ๊ฑฐ๋ ์์ ํ๋ ๊ฒ์ด ๊ฑฐ์ ์ด๋ ต๊ฑฐ๋ ๋ถ๊ฐ๋ฅํ ์ฑ์ง์ ๊ฐ๊ณ ์๋ค. ๋ํ ๋นํ๋ฐ์ฑ์ ์ฑ์ง์ ๊ฐ์ง๊ณ ์๋ค.์ฝ๊ธฐ ์ ์ฉ๊ณผ ๋นํ๋ฐ์ฑ? ์ด๋ ์ปดํจํฐ๊ฐ ๋ถํ ์ ํ์ํ ์ปดํจํฐ ์๋ ๊ตฌ์ฑ ์ค์ ๊ณผ ์ฝ๋๋ฅผ ๊ฐ๊ณ ์๋ ํ์ผ์ ROM์ ์ ์ฅํ๋ ๋ฐ ์ ์ ํ๋ค -> ROM BIOS RAM(Random Access Memory) - ์ปดํจํฐ์ ์ฃผ ๋ฉ๋ชจ๋ฆฌ๋ก์ ๋ฐ์ดํฐ์ ์ฝ๋, ์ค์ ๋ฑ์ ์ ์ฅํ๊ธฐ ์.. For3nsic/Forensic 2015. 11. 1. Encase ํํฐ์ ๋ณต๊ตฌํ๊ธฐ Encase ๋ฅผ ์ด์ฉํ์ฌ ํํฐ์ ์ ๋ณต๊ตฌํ์!!! ๋จผ์ keyword๋ฅผ ์ถ๊ฐํ์ ์ถ๊ฐํ ํค์๋๋ \xEB..(MSDOS)|(NTFS) For3nsic/Forensic 2015. 10. 30. Encase Partition Table (Entry size : 16byte) - Partition Table Layout`[๊ทธ๋ฆผ 1] [๊ทธ๋ฆผ 2]๊ธฐ๋ณธ์ ์ผ๋ก MBR์ 512 byte๋ฅผ ๊ฐ์ง๋ค. ์ฝ๋์์ญ์ด 440 byte๋ฅผ ๊ฐ์ง๊ณ ๋์คํฌ ์๋ช ์ด 4byte๋ฅผ ๊ฐ์ง๋ค. ํํฐ์ ํ ์ด๋ธ์ ๊ฐ๊ธฐ ์ ์ 2 byte๊ฐ ๋น์ด์์ผ๋ฉฐ 16 byte์ฉ ์ด๋ฃจ์ด ์ ธ์๋ค. ํ๋์ ๋์คํฌ์ ์ต๋ ๋ค ๊ฐ์ ํํฐ์ ๋ง์ ๊ธฐ๋กํ ์ ์๋ค. ๊ทธ๊ฒ ๋ฐ๋ก ์ฃผ ํํฐ์ ์ด๋ค. ์ด์ ์ฒซ๋ฒ์งธ ํํฐ์ ์ ์ฐพ์ ๋ณด์. - NTFS๊ฐ ์์ํ๋ ๊ณณ์ MBR๋ก๋ถํฐ 63sector๋งํผ ๋จ์ด ์ ธ์๋ค.(File System์ MBR๋ก ๋ถํฐ 63 sector ๋จ์ด์ง ๊ณณ์ ์์นํ๋ค.) For3nsic/Forensic 2015. 10. 30. Encase - ์ค์ต 2 ๋ถ๋งํฌ - Highlighted Data Bookmark : ๋ฐ์ดํฐ ๋ณต์ฌํด์ ๋ถ๋งํฌ - Notable File Bookmark : ๊ฐ๊ฐ์ ํ์ผ์ ๋ถ๋งํฌํ์ผ์ ํ -> ๋ถ๋งํฌ - Folder Information Bookmark : ํด๋์ ํธ๋ฆฌ ๊ตฌ์กฐBookmark Folder structure ์ ํ - Notes Bookmark : ์ฃผ์ ๊ฐ๋ฅ For3nsic/Forensic 2015. 10. 30. ์ด์ 1 2 3 4 5 ๋ค์ 728x90 ๋ฐ์ํ