디지털 포렌식 - FAT32 파일시스템 복구

 
 
 

1. MBR 분석

 
 
HxD로 .001 이미지 파일을 열어 MBR을 분석함
1 - 3 - 1 - 3 - 4 - 4 중 4번째는 Starting LBA Address 즉 BR의 시작 섹터 주소이다.
( 파일 시스템은 FAT32, 0C: FAT32, 07: NTFS/exFAT )
 
빅엔디언 0x80000000을 리틀엔디언으로 변환하면 0x00000080이므로 이는 10진수로 128이다.

 
 

2. 섹터 이동

 

HxD 경우 위의 도구메뉴에서 섹터를 입력할 수 있으며 128을 입력해 해당 섹터 위치로 이동한다.
정상적인 이미지 파일인 경우 128 섹터에는 값들이 있어야 하지만 훼손이 되어 00으로 밖에 표시가 되어 있지 않는다.
 
※ FAT32의 BR 다음에는 RRaA(52 52 61 41)이 나오므로 이를 기억하면 찾는데 용이하다.
 

3. 백업본 복구

 

FAT32 파일시스템 구조

 
FAT32의 BR에 +6 섹터를 하면 BR의 백업본이 위치해 있다.
(exFAT은 +12 섹터를 하면 된다.) 

128 섹터 +6 섹터 즉 134 섹터에는 BR 백업본이 있다.
 

 
마찬가지로 백업본 BR의 바로 뒤에는 RRaA가 존재한다.
 
 

해당 백업 BR 섹터를 복사하고 훼손된 섹터(128)에 붙여 넣기 한다.
 

 
 

4. 복구 확인

 
FTK Imager로 해당 이미지 파일을 열어보면 정상적으로 파일 시스템이 열리는 것이 확인