디지털 포렌식 - NTFS 파일시스템 VBR 복구하기 실습

실습 이미지(NTFS.001) 출처 및 참고: 

https://blog.naver.com/bitnang/220188735136

[실기]디지털 포렌식 전문가 2급 NTFS 파티션 복구하기(HxD활용)

 

실습 이미지 파일(NTFS.001) 다운로드

 

https://drive.google.com/file/d/1ACMQQRLkmnuv2xh99Jr88qejKg6Gv09R/view

NTFS.001

 

실습 이미지.z01

19.53MB

실습 이미지.zip

4.12MB

 

1. 파티션에 대한 이해

파티션이란 연속된 저장 공간을 하나 이상의 연속되고 독립된 영역으로 나누어 사용할 수 있도록 정의한 규약이다. 

 

B와 C의 큰 차이점은 MBR의 유무이다. MBR은 Master Boot Record의 약어로 각 파티션의 VBR(BR)의 부트 코드를 호출하여 운영체제가 기동 하게 도와준다. B의 경우는 파티션이 하나이기 때문에 맨 앞이 BR이 오게 된다. 

 

실습) 문제 원인 찾기

우선 FTK Imager를 실행하고 NTFS.001 이미지 파일을 열어준다. 

트리를 확인하였을 때 파티션을 하나가 있는 것으로 보이고 MBR은 55 AA로 끝나는 것으로 보아 MBR은 아마 손상되지 않은 것으로 보인다. 

 

다만 파티션 1을 읽어오니 VBR 영역에는 딸랑 "Disk melong"만 기록된 것으로 보아 파티션 1이 손상된 것임을 알 수 있다. 

 

 

실습) NTFS 파일시스템 VBR(Volume Boot Record) 복구하기

 

우선 HxD를 실행하고 도구(T) - 디스크 이미지 열기(I)를 눌러 실습용 이미지 파일(NTFS.001)를 열어준다. 

그리고 섹터 크기 지정창이 나오면 "512 (하드 디스크/플로피 디스크)"를 선택하고 수락 클릭

 

 

MBR's Boot Code

부트 코드란 파티션 테이블에서 부팅 가능한 파티션을 찾아 해당 파티션 VBR의 부트 코드를 호출하는 기계어 코드를 말한다. 

HxD가 이미지 파일을 정상적으로 로드 했다면, 맨 처음에 MBR의 부트 코드가 보이는데 길이는 446 바이트(0x1BE)이고 끝은 00 00으로 끝이 난다. 

 

 

MBR's Partition Table

파티션 테이블은 64 바이트 길이이며 부트 코드 다음에 위치한다. 

다음과 같이 최대 4개의 파티션 정보를 표현할 수가 있다. 

출처: https://knowitlikepro.com/understanding-master-boot-record-mbr/

 

각 엔트리에는 부트 가능 정보(Boot Flag), 파티션 타입(Partition Type), 파티션의 시작 섹터 위치(Starting LBA Address), 파티션의 크기(Total Sector) 등으로 구성되어 있다. 

마지막에는 55 AA라는 MBR의 영역을 알리는 시그니처가 포함된다. 

 

이미지 파일(NTFS.001)의 파티션 테이블에 한 라인 외에는 다 00 00 00 00..으로 채워진 것으로 보아 파티션이 하나만 있는 것으로 판단할 수 있다. 

 

파티션의 섹터 오프셋(Relative Sectors)는 0x80(128)이고 섹터의 전체 사이즈(Total Sectors)는 0x19000(102400)이라고 적혀있다. 이 정보를 기반으로 훼손된 VBR에 접근을 하고 복원을 할 수 있다. 

 

VBR 복구

 

우선 128번째 섹터(Relative Sectors)로 이동하여 파티션의 VBR에 접근한다. 

접근을 하면 "Disk melong"이라는 값만 있는 것을 확인할 수 있다. 반면에 정상적인 VBR이였다면 부팅을 위한 기계어 코드가 위치해 있다. 

 

NTFS 파일 시스템에는 복구를 위한 VBR 백업본이 파티션의 가장 마지막 섹터에 위치한다.  VBR 백업본을 찾아 훼손된 VBR의 복구해보도록 한다. 

 

파티션의 마지막 섹터를 찾기 위해서는 파티션 테이블에서 찾은 섹터 오프셋(Relative Sectors)과 섹터의 전체 사이즈(Total Sectors)를 합하고 거기다 오프셋 1을 빼주면 된다. 

 

NTFS 부트 레코드 복사본 위치: 128 + 102400 - 1 = 102527

 

 

섹터 102527에는 VBR의 백업본이 있는 것을 확인하였다.

 

이제 EB 52...부터 55 AA까지 클립보드에 복사를 한다. 

 

그리고 다시 섹터 128(섹터 오프셋)로 가서 "붙여넣기 쓰기(W)"를 실행 후 저장해 준다. 

 

 

마지막으로 FTK Imager로 이미지 파일을 열게 되면 파티션 복구가 성공이 되어 제대로 파일 리스트가 보이는 것을 확인할 수 있다. 

 

 

 

 

 

참고: 

2023 알기사 정보보안기사 실기 02. 이론편 - NTFS 파일시스템 이해하기(p598)

 

https://blog.naver.com/bitnang/70183582975

파일시스템 2_파티션

 

https://knowitlikepro.com/understanding-master-boot-record-mbr/

Understanding Master Boot Record (MBR) | Know IT Like Pro