[Dreamhack] lolololologfile

mameul 2024. 5. 23. 23:29

2024. 5. 23. 23:29

728x90

풀이

문제파일에는 Image.E01 파일이 첨부되어있다.

E01 확장자 : EnCase 이미지 파일 포맷을 사용하여 생성된 디스크 이미지. EnCase는 Guidance Software에서 개발한 디지털 포렌식 도구로, 법적 증거로 사용될 수 있는 디지털 증거를 수집, 분석 및 보고하는 데 널리 사용.

E01 파일 열기

EnCase 사용
- EnCase 소프트웨어를 실행하고 "File" 메뉴에서 "Add Evidence"를 선택하여 E01 파일을 엽니다.
- 디스크 이미지가 로드되면, 파일 시스템을 탐색하고 분석할 수 있습니다.
FTK Imager 사용
- FTK Imager를 실행하고 "File" 메뉴에서 "Add Evidence Item"을 선택합니다.
- "Image File"을 선택하고 E01 파일을 지정합니다.
- 로드된 이미지를 탐색하고 필요한 데이터를 추출할 수 있습니다.

라고 GPT가 알려주었으니 무료 소프트웨어인 FTK Imager로 열어보자.

알려준대로 이미지 파일을 열었다.

업로드하니 Evidence Tree 패널에 무언가 뜬다. 또 gpt에 물어보자.

Evidence Tree 패널 : 디스크 이미지 파일의 디렉터리 구조와 파일 시스템을 나타냄.

Image.E01
- 이는 EnCase에서 로드된 디스크 이미지 파일입니다. 파일 확장자가 .E01로 되어 있는 것은 EnCase 이미지 파일 포맷을 사용하고 있음을 나타냅니다.
HUNJISON [NTFS]
- 이는 E01 이미지 파일 안에 있는 NTFS 파일 시스템을 의미합니다. NTFS는 Windows 운영 체제에서 주로 사용되는 파일 시스템입니다.
- NTFS 파일 시스템 안에 여러 폴더가 있습니다.
[orphan]
- 이 폴더는 NTFS 파일 시스템에서 부모 디렉터리를 잃어버린 고아 파일들을 나타냅니다. 일반적으로 삭제되었거나 디렉터리 구조가 손상된 파일들을 포함할 수 있습니다.
- 삭제된 파일 복구 작업 시 중요한 폴더입니다.
- 포렌식 분석에서의 활용 : 삭제되거나 부모 디렉터리가 손상된 파일들을 찾고 복구할 수 있습니다.
[root]
- 이는 NTFS 파일 시스템의 루트 디렉터리입니다. 디스크의 최상위 디렉터리를 나타내며, 여기서부터 모든 디렉터리와 파일이 시작됩니다.
- 포렌식 분석에서의 활용 : 현재 파일 시스템에서 사용 중인 파일과 디렉터리를 탐색할 수 있습니다.
[unallocated space]
- 할당되지 않은 공간을 나타냅니다. 이 영역은 현재 파일 시스템에서 사용되지 않는 디스크 공간입니다.
- 이 공간에는 이전에 삭제된 파일의 데이터가 남아있을 수 있으며, 포렌식 분석을 통해 복구할 수 있습니다.
- 포렌식 분석에서의 활용 : 할당되지 않은 공간을 스캔하여 삭제된 파일을 복구하거나 숨겨진 데이터를 찾을 수 있습니다.