[Forensic]논리디스크와 PBR

하드디스크에 파티션을 만들었다. 

3개의 파티션 1개의 확장파티션 안에 2개의 논리드라이브로 구성되어 있다.

HxD프로그램으로 하드 내용을 봐보자

아래 드래그한 곳이 파티션테이블이다.

첫번째 바이트는 부팅파티션인지 아닌지를 판별한다

01이면 부팅파티션이다.

그다음 5번째 바이트는 파일시스템을 나타낸다.

OB=FAT32

07=NTFS

0F=는 확장파티션을 나타낸다

그 다음 색칠된 부분이 파티션의 시작 섹터를 알려준다. 

cpu방식으로 읽혀진것이라 거꾸로 읽어줘야한다 

00 00 00 3F

00 3F FA C5

00 7F F5 8A

00 BF F0 4F

가 각 파티션 시작주소이다.

그다음 색칠된 곳은 섹터의 갯수이다.

섹터 하나는 512바이트이므로 계산을 할 수 있다.

첫번째 86 FA 3F 00 은 00 3F FA 86이므로 계산을 해보면

4192902이다. 섹터의 갯수는 4192902이고 이것을 기가로 나타내면

4192902*512/1024/1024를 하면 약 2047M 정도 나온다.

2G라는걸 알 수 있다.

두번째 파티션을 봐보면 07이니 NTFS인걸 알 수 있고

시작 섹터는 00 3F FA C5인걸 알 수있다. 

00 3F FA C5는 10진수 4192965로 계산되었다.

이런식으로 3번째 파티션도 0B 이므로 FAT32인걸 알 수 있고

00 7F F5 8A로 계산을하면 8385930이 나온다. 

직접 저 섹터로 한번 이동해본다.

직접 섹터에 있는곳으로 가보면 

MSDOS5.0 이라는 버전과 FAT32

부팅할때 필요한 NTLDR도 보인다.

다시 처음 MBR로 돌아가서 마지막 파티션을 알아보자

0F인것을 보아 파일시스템이 NTFS와 FAT32는 아니라는 것을 알 수 있다.

파티션의 시작주소가 00 BF F0 4F이므로 12578895이다.

직접 가본다.

그럼 00 00 00 3F가 나오는데 이것은 63으로 처음 MBR에서도 똑같은 주소가 있었다.

왜냐하면

확장 파티션은 그 확장파티션에 있는 정보로부터 논리 드라이브가 시작되기 때문이다.

지금 섹터로부터 63번째 뒤 섹터로 가보자.

그러면 FAT32가 보인다.

다시 -63을 하여 돌아가자.

두번째 파티션을 보면 파일확장자가 05이다.

일단 시작위치 00 3F FA C5로 가보자.

10진수로 4192965이므로 더해준다.

그러면 07이 보인다. 이것은 NTFS라는 의미이고 시작위치가 또 3F이다.

두번째 파티션테이블에 있는 시작주소로 이동하면 2번째 논리드라이브가 나올줄 알았지만 PBR이 다시 나온다. 

2번째 PBR에서 다시 63번째섹터로 이동해야 논리드라이브가 나온다

만약 논리드라이브가 하나 더있다면 파티션테이블에 있는 정보는 PBR의 주소이지 3번째 논리드라이브에 주소가 아니다

3번째 논리드라이브로 가려면 PBR에서 다시 이동해야 한다.

정리하면 확장파티션을 할 때 정보를 기록하는 방법은 PBR로 이동을 한 후에 논리드라이브로 이동을 하는

방식이라는 것을 알 수 있다.

만약 3번째 논리드라이브로 가려면

MBR의 확장파티션테이블-PBR-1번 논리드라이브(안에있는 PBR)-2번 논리드라이브(안에있는 PBR)-3번째 논리드라이브

식으로 이동해야 한다.

FAT12 FAT16 UFAT FAT32 exFAT의 특징

FAT12

1980년 ,16MB ,플로피디스크,계층적인 구조X

리눅스처럼 root /bin 이런게 없고 바로 밑에 폴더들이 나열,용량이 적고 이름수에 제한(8글자)

FAT16

1980년 후반

2GB HDD

이름수제한,확장자 제한

NTFS(93년도)

UFAT

94년도

2GB HDD,계층적인구조,이름수제한,확장자제한 없음 (255글자)

FAT32

95년도

32GB 

USB,SD카드에 쓰려고 만듬

이 이후로엔 FAT가 없다고 했지만 exFAT가나옴 윈도우 XP, 비스타,2000

exFAT

06년에 나옴

플래시 메모리로 쓰려고 나옴

FAT를 개선해서 32GB이상일때 사용

USB샀을때 32기가 위는 exFAT고 아래는 FAT일 것이다 최고가 아마 2ZB라고함

권고하는 용량은 5TB이다.