디지털포렌식 2급 실기 (2020 모의 문제 풀이 - 2번 문제) [FTK Imager]

풀이과정이 너무 한쪽이 길게 늘어지면 가독성이 떨어지므로 나누어서 작성해야겠다.

2번 문제 (디스크 서명)

 

이전에 구한 것들과 비슷하게 나온다.
근데 USB의 디스크 서명은 처음 듣는다...
모르는건 깔끔하게 인정하고 풀이를 봐야겠다...
디스크 서명은 MBR에 위치한다고 한다.
그 중에서 파티션 4개를 나누는 64바이트 값 이전에 2바이트를 띄우고 4개의 바이트이다.

0x3C 64 6E 75 (빅엔디안) 인데
뭔가 보면서 이상하다.
분명 MBR 부분에 부트 레코드가 있어야하는데
부트 레코드가 없다. 그냥 0x0으로 채워져 있다.
이건 또 어떻게 복구하나 싶었는데 비트낭님께서 mbr은 없더라도 잘 인식하는 경우도 많고, 크게 신경 안써도 된다고 하셨다. ㄱㅊ을듯.

그리고 두번째 파티션인 FAT32 파일시스템도 복구를 해줘야한다.
일단 mbr은 넘어가고 FAT32만 복구하고 문제에서 찾으라는 정보를 캐내어보자.

FAT32의 6번째 섹터에서 vbr 복사본을 복사하고 HxD로 복구해주면된다.
이전에 해봤던 것이니까 그냥 빠르게 넘어가보겠다.

시작섹터는 20973568번째이다.

복구해주고 FTK Imager로 열어주면

인식을 아주 잘한다.

2번 문제 (USB의 전체 섹터 수 / 전체 용량)

1개의 섹터는 512바이트이며, 
해당 USB는 30032352개의 섹터 가진다.
그러므로 전체 용량은 512 * 30032352 = 15,376,564,224 바이트의 크기를 가진다.

2번 문제 (USB의 시리얼 넘버)

USB 시리얼 넘버는 이미지 생성 시에 나오는 로그txt 파일에서 찾는게 빠르고 편하다.

근데 USB 자체가 없어서...
비트낭님께서 제공해주신 것도 vhd로 가상드라이브여서 USB 시리얼 넘버는 시험장에서
쓰기방지 설정 - USB 연결 - FTK Imager로 피지컬 드라이브 연결 - 이미지 사본 생성 - 이미지 사본 로그 txt 확인

이런순으로 풀어야한다...

요런식으로 나온다.
나는 직접 내 USB로 해본적이 있다.
독자분들도 집에 있는 USB로 시리얼 넘버를 확인해보면 될듯하다.

방법은 이전 2018 문제 풀이에 있을 것이다. (아마도)

2번 문제 (파일시스템 별 전체 섹터 수 / 전체 용량 / 가용 용량)

어차피 이 문제도 FTK Imager에서 모두 구해진다.
일단 디스크 자체에서 1개의 섹터는 512바이트라고 설정되어있다.

일단 첫번째 파티션의 전체 섹터 수 = 20971520개
첫번째 파티션의 전체 용량 = 섹터단위 * 섹터수 = 512 * 20971520 = 10,737,418,240 바이트

첫번째 파티션의 가용 용량 = 클러스터 크기 * 클러스터 개수 = 4096 * 2621439 = 10,737,414,144 바이트

---

이제부터는 두번째 파티션이다.

두번째 파티션의 전체 섹터 수 = 9056256개
두번째 파티션의 전체 용량 = 섹터단위 * 섹터수 = 512 * 9056256 = 4,636,803,072 바이트

두번째 파티션의 가용 용량 = 클러스터 크기 * 클러스터 개수 = 4096 * 1128960 = 4,624,220,160 바이트
정리하자면 

---

첫번째 파티션의 전체 섹터 수 = 20971520 개
첫번째 파티션의 전체 용량 = 10,737,418,240 바이트
첫번째 파티션의 가용 용량 = 10,737,414,144 바이트

두번째 파티션의 전체 섹터 수 = 9056256 개
두번째 파티션의 전체 용량 = 4,636,803,072 바이트
두번째 파티션의 가용 용량 = 4,624,220,160 바이트

2번 문제 (파일시스템의 종류 / 파일시스템 볼륨 시리얼 넘버)

첫번째 파티션에 위치한 NTFS의 볼륨 시리얼 넘버는 AC77-7D51 (빅엔디안) 이다.

두번째 파티션에 위치한 FAT32의 볼륨 시리얼 넘버는 7200-2827 (빅엔디안) 이다.

2번 문제 (파일시스템의 클러스터 크기)

NTFS의 클러스터 크기는 4096 바이트

FAT32의 클러스터 크기 또한 4096이다.