디지털 포렌식 - FTK Imager 삭제된 파일 복구하기 및 파일 소거하기

 

실습 환경

운영체제: Windows 10(가상머신)

복구 파일 대상: owasp-top-10.pdf

사용 도구: FTK Imager

 

 

아래와 같이 잘 열리게 되는 pdf 파일이 있다. 

우선 이것을 쓰레기통에 버린다. 

그다음 파일이 복구가 안되게 휴지통을 비워준다. 

 

 

이제 FTK Imager를 실행시켜 "Add All Attached Devices"를 눌러 현재 컴퓨터에 연결된 모든 장치들을 불러와준다. 

 

연결된 장치들 중 C:\를 선택하고 "C:\NONAME [NTFS]\root\$Recycle.Bin\" 경로로 이동해서 찾고자 하는 pdf 파일을 탐색한다. 

 

파일을 제거하면 메타 데이터 정보가 삭제되므로 기존의 이름(owasp-top-10.pdf)은 지워졌지만 데이터 부분은 아직 남아 있게 된다. 

 

 

복구를 위해 파일을 우클릭하고 "Export Files..."를 눌러 원하는 경로에 저장한다. 

 

복구된 pdf 파일을 열어보면 일단 정상적으로 열리는 건 성공했다. 

 

 

하지만 사용자의 사용과 시간이 지남에 따라서 복구 대상 파일의 데이터 영역이 다른 데이터로 덮어질 수 있는 상황이 있을 수 있어서 아래와 같은 파일 무결성 검사도 진행해 주었다. 

확인 결과 해시 값도 서로 동일한걸 보면 파일 데이터 복구에 성공이다. 

 

 

 

파일 소거하기(cipher)

 

이번에는 파일이 복구가 안되도록 윈도우에 내장된 cipher 도구를 이용해 본다. 

cipher는 NTFS 파일 시스템의 볼륨 대상의 할당되지 않은 공간에 0(0x00)을 기록하고 1(0xFF)을 기록하고 마지막으로 랜덤 난수를 기록하게 된다. 

 

cipher /w:[원하는 디렉토리 경로 | C:, D:, E:]

 

 

참고: 

https://learn.microsoft.com/ko-kr/windows-server/administration/windows-commands/cipher

cipher

 

 

첫 번째 작업: 공간 모두 지우기(0x00)

 

두 번째 작업: 공간 모두 쓰기(0xFF)

 

세 번째 작업: 랜덤 한 난수 입력하기

 

진행이 끝났으면 다시 FTK Imager를 열어 방금과 동일한 파일 복구 작업을 진행해 준다. 

이번에는 $Recycle Bin에 위치한 pdf 파일의 데이터 부분이 전혀 다르게 나온 것을 볼 수 있다. 

 

 

export를 하고 열어봐도 문서에 여는데 실패한다. 

 

두 파일의 해시 값을 확인해보았지만 당연히 전혀 다른 값이 나오는 것을 볼 수 있다.