[DFE] MBR+VBR 복구(MBR+VBR Recovery)

개요

파티션 복구 문제는 기본적으로 출시된다. 복구 하기 위해서는 구조 파악과 복구 방법을 숙지해야한다.

보통 무결성 유지 및 사본 생성을 과정을 서술하라고 문제에 출제된다.

 

1. 파일 시스템 종류
2. 총 용량(Bytes)
3. 총 섹터 수(개)
4. 불륨 시리얼 번호
5. 클러스터 크기(Bytes)

본 내용

파티션 복구 전에 FTK Imager로 파일을 마운트 후 손상 여부 확인 후 dd 파일로 변경 해야한다.

E01은 EWF(Expert Witness Format)로 HxD로 열게되면 VBR이 보이지 않는다.

 

 

https://drive.google.com/drive/folders/1mQ4GFW0hEpM9wYTs_Q25_djOURpve9bl

File: MBR 파티션 복구.zip/ PW: todaysave

 

파일시스템 백업 위치

FAT32	시작 섹터 + 6
NTFS	마지막 섹터(시작 섹터 + 크기 -1)
exFAT	시작 섹터 + 12

MBR+VBR

MBR에 각 파티션에 대한 정보들이 기록되어있다. 이를 보고 파티션 복구를 진행해야한다. 

 

일단 FTK Imager로 Disk Image를 열어 섹터와 파티션을 확인한다. 

Sector 확인

 

복구 파티션을 확인하여 파일 시스템(HPFS - exFAT), 시작 섹터를 확인하고 

HxD > 도구 > 이미지 열기 > 512 

 

파티션 1은 exFAT or NTFS이므로, 128(Starting Sector) + 6(exFAT) or 204,799(Sector Count - 1, NTFS) 위치로 이동하여 복구 섹터를 찾는다. 

 

이러한 방법으로  FTK Imager를 이용하여 섹터를 찾은 후 복구 가능하지만 보고서 작성 시 추가로 적을 수 있는 정보들도 존재한다. 

 

MBR Partition

MBR 구조 분석을 하면 해당 부분이 Partition 1 시작 부분이다.

1(부팅 플레그)/ 3(CHS시작)/ 1(파티션 타입)/ 3(CHS 끝)/ 4(LBA 시작, 리틀엔디언)/ 4(파티션 크기)이며, 파티션 1은

 

00 = 부팅 플래그 (비활성)

02 03 00 = CHS 시작

07 = 파티션 타입 (NTFS, exFAT, HPFS 중 하나)

C0 34 0C = CHS 끝

80 00 00 00 = LBA 시작 (리틀 엔디언 → 섹터 128)

00 20 03 00 = 파티션 크기 (리틀 엔디언 → 204800섹터)

 

시험 시 파티션 복구에 이러한 방법으로 추가적인 정보를 기입해줄 수 있다. 

---

참고문헌

• EWF

🔦 Debunking the Expert Witness Compression Format (EWF) | Forensicxlab