N0cT1s41

해당 문제는 Dreamhack의 Enc-JPG 문제에 대한 풀이입니다.문제에서 주어진 ZIP 파일을 열어보니 Enc와 flag.jpg 파일이 존재했다. 해당 파일들을 각각 010 editor를 통해 열어보았다.처음 받은 enc 파일을 확인해보니, 파일의 시그니처가 4D 5A 90로 시작하는 것을 확인했습니다. 이는 .exe의 파일 시그니처로, 해당 파일이 실행 파일임을 나타냅니다. 따라서 .enc 확장자를 .exe로 변경한 후 실행해 보았습니다.실행을 시켜보니 flag.jpg라는 파일이 생성되었으며, 일부 데이터가 복구된 것을 확인할 수 있었습니다. 그러나 파일이 정상적으로 열리지 않았습니다. 이를 해결하기 위해 바이너리 에디터인 010 Editor를 사용하여 내부 구조를 분석하기로 했습니다.JPEG 파..

이전 글에서 이어지는 내용입니다.2025.02.13 - [Forensic/DISK Forensic] - NTFS 파일 시스템 파일 복구 -1- NTFS 파일 시스템 파일 복구 -1-1. 이미지 파일 준비 및 분석삭제된 파일을 복구하기 위해, 분석해야 할 이미지 파일을 확보했다.이 이미지 파일에는 3개의 삭제된 파일이 포함되어 있다.1.1. FTK Imager를 활용한 기본 구조 분석먼infosec-noh.tistory.com MFT Entry 시작 위치 부터 시작하겠습니다. 이제 다음으로 삭제된 파일인 recovery_file2.jpg을 복구해줄 것이다.1. 삭제된 파일의 MFT Entry 위치 찾기삭제된 파일을 복구하려면, 해당 파일의 MFT Entry를 먼저 찾아야 한다.MFT 엔트리에는 파일의 속성..

1. 이미지 파일 준비 및 분석삭제된 파일을 복구하기 위해, 분석해야 할 이미지 파일을 확보했다.이 이미지 파일에는 3개의 삭제된 파일이 포함되어 있다.1.1. FTK Imager를 활용한 기본 구조 분석먼저, FTK Imager를 사용하여 이미지 파일을 열고 구조를 확인해보았다.분석 결과, 이미지 내부에 NTFS.Recovery.001이라는 RAW 파일이 포함되어 있음을 확인했다.이 RAW 파일을 추출하여, 직접 분석을 진행하기로 했다. 1.2. NTFS 파티션 및 VBR 확인이미지 파일 내부에 있는 NTFS.Recovery.001을 FTK Imager에서 확인한 결과,"Partition 2"가 NTFS로 포맷된 것을 확인할 수 있었다.하지만 HxD를 통해 확인했을 때, MBR과 VBR이 잘 보이지 않..

1. NTFS 파일 삭제 원리NTFS에서 파일이 삭제될 때, 데이터가 즉시 제거되는 것이 아니라 파일이 위치했던 MFT($MFT, Master File Table) 엔트리가 "사용 가능" 상태로 변경되고, 해당 파일이 저장된 클러스터가 새로운 데이터로 덮어쓰기될 수 있도록 예약된다. 즉  파일의 메타정보만 삭제하고 실제 데이터는 남아있게 된다. 그렇기에 파일을 삭제하여 메타정보가 지워 지더라도 실제 데이터가 남아 있으므로 삭제된 이후 파일을 복구할 수 있게 된다.1.1 파일 삭제 과정MFT 엔트리 수정: 파일의 MFT 엔트리가 삭제됨으로 표시되지만 데이터는 여전히 디스크에 존재한다.디렉토리 인덱스 업데이트: 파일이 속해 있던 디렉토리의 인덱스에서 해당 파일 정보가 제거된다.클러스터 할당 해제: 파일이 저..

1. GPT 개요GPT(GUID Partition Table)는 기존 MBR(Master Boot Record) 파티션 테이블의 용량 및 보안 제약을 개선하기 위해 개발된 파일 시스템입니다. GPT는 MBR의 2TB(0xFFFFFFFF) 한계를 넘어 최대 8ZB(0xFFFFFFFFFFFFFFFF)까지 지원할 수 있습니다.1.1 GPT의 특징최대 128개의 주 파티션을 생성 가능 (MBR은 4개 제한)CRC(Cyclical Redundancy Check)를 이용하여 파티션 테이블 보호 가능중요 데이터 구조를 볼륨 끝에 복제하여 장애 발생 시 복구 가능최신 EFI(Extensible Firmware Interface)와 함께 사용됨2. EFI(Extensible Firmware Interface)EFI는 인..

1. MBR 개요MBR(Master Boot Record)은 저장매체의 첫 번째 섹터(0번 섹터)에 위치하며, 512바이트 크기의 영역을 차지하는 부트 레코드입니다. 최근 SSD(Solid State Drive) 등장과 대용량 디스크의 확산으로 인해, MBR의 용량 한계를 극복하기 위해 GPT(GUID Partition Table)가 등장했지만, 여전히 많은 시스템에서 MBR을 사용하고 있습니다. 저장장치의 구조는 아래와 같다.MBR Slack 영억은 MBR과 VBR의 사이에 있는 영역으로 낭비 되는 공간 입니다.해당 영역에 부트킷, 랜섬 웨어와 같은 악성코드가 악용되는 공간 이기도 하면서, 보안 솔루션으로 사용되는 공간이기도 합니다. VBR영역은 볼륨의 시작에 위치하는 구조로 VBR에는 해당 볼륨의 파..