감기걸림ㅋ굳ㅋ
'잡 > asdasd' 카테고리의 다른 글
64비트 윈도우를 프로그래밍 하기 위해서 알아야 할 모든 것들 (1) | 2012.04.18 |
---|---|
블로그 (0) | 2012.02.08 |
abex홈페이지가어디지 ㅡㅡ (0) | 2012.01.06 |
치트엔진 야호 (0) | 2012.01.03 |
티스토리 (1) | 2011.12.15 |
64비트 윈도우를 프로그래밍 하기 위해서 알아야 할 모든 것들 (1) | 2012.04.18 |
---|---|
블로그 (0) | 2012.02.08 |
abex홈페이지가어디지 ㅡㅡ (0) | 2012.01.06 |
치트엔진 야호 (0) | 2012.01.03 |
티스토리 (1) | 2011.12.15 |
휴지통(RECYCLE BIN)은 본래 파일을 삭제하기 위해 임시적으로 보관하는 목적을 지니고 있지만,
보관을 함으로써 우연찮게 실수로 삭제된 파일을 복구할 수 있게 해준다.
휴지통
하지만 이런 경우엔 데이터 복구 프로그램으로 쉽게 복구가 가능하다고 하니 가급적 안전하게 삭제하는 것이 좋다.
OS | INFO2 Record Length | System Folder | File System |
Windows 95/98/ME | 800 Bytes | C:\Recycled | FAT32 |
Windows NT/2K/XP | 800 Bytes | C:\Recycler\[UserSID] | NTFS |
Windows Vista/7 | Not used. | C:\$Recycle.bin\[UserSID] | NTFS |
[Windows Recycler]
위 표는 윈도우의 버젼별로 휴지통을 비교한 것이다.
가장 큰 특징으론 윈도우 비스타 이후로는 INFO2를 사용하지 않는 대신 $I~파일을 사용한다는 것이고,
휴지통 폴더 이름 앞에 메타 데이터 파일처럼 $가 붙는다는 것이 존재한다.
[그림 2] FTK에서의 RECYCLER 내부 모습
RECYCLER의 하위 디렉토리로는 하나 또는 그 이상의 User SID가 적혀있는 숨김 파일 폴더가 존재하는데,
이 폴더는 한 번 이상 휴지통을 이용하여 삭제한 적이 없다면 생성되지 않는다.
User SID 하위에는 휴지통을 사용해 삭제된 파일 또는 폴더가 존재하게 된다.
삭제된 파일 또는 폴더의 형식은 다음과 같다.
D(Deleted)[원본 파일이 존재 했던 드라이브 문자][인덱스 번호].[원본 파일 확장자(폴더라면 없음)]
예를 들어서 C드라이브에 존재하는 zip파일을 3번째로 삭제를 했다면 Dc3.zip이 되는거고,
E드라이브에 존재하는 폴더를 5번째로 삭제했다고 가정하면 De5가 되는 것이다.
(참고 - 인덱스 번호는 Windows 2000 이전까지는 0부터 시작했지만, XP 이후로는 1부터 시작한다.)
이렇게 Deleted 파일을 만드는 이유는 첫째, 다른 폴더에 동일한 파일명을 지닌 파일이 삭제되었을 때 구별하기 위함이고,
둘 째로 파일이 삭제된 시간과 삭제된 원본 위치는 MFT entry에 존재하지 않는 정보이기 때문에 그것을 보관하기 위해
별도의 파일을 만들어야 하기 때문이다.
Deleted 파일을 다시 복원하려고 할 때 파일 컨텐츠는 그대로 가지고 있으므로 문제가 되지 않지만,
파일 명이나 원본 경로가 완전히 바뀌어 버렸기 때문에 복구 대상 파일 만으로는 완벽하게 복구할 수는 없다.
하지만 INFO2의 정보를 이용하여 쉽게 복구가 가능한데..
복구하는 방법을 살펴보기 전에 INFO2의 구조부터 파악해보자.
Data Structure | Data Size | Data Offset Range |
Unknown | 12Bytes | 0 - 11 (0x001 - 0x00B) |
Record Size (0x320) | 4Bytes | 12 - 15 (0x00C - 0x00F) |
Data Structure | Data Size | Data Offset Range |
Unknown | 4Bytes | 0 - 3 (0x000 - 0x003) |
File Record (ASCII) | 260Bytes | 4 - 263 (0x004 - 0x107) |
Record Number | 4Bytes | 264 - 267 (0x108 - 0x10B) |
Drive Letter | 4Bytes | 268 - 271 (0x10C - 0x10F) |
Deleted Time/Date (64bit Windows Time) | 8Bytes | 272 - 279 (0x110 - 0x117) |
Deleted File Original Size | 4Bytes | 280 - 283 (0x118 - 0x11B) |
File Record (UNICODE) | 516Bytes | 284 - 799 (0x11C - 0x31F) |
데이터 복구와 파일 카빙의 차이점 (0) | 2012.07.05 |
---|---|
[PaulTew]Timelord (0) | 2012.07.05 |
DLL(Dynamic Link Library) (1) | 2012.05.07 |
Sysinternals (0) | 2012.05.07 |
Windows Vista/7 Recycle.bin 분석 (1) | 2012.01.10 |
64비트 윈도우를 프로그래밍 하기 위해서 알아야 할 모든 것들 (1) | 2012.04.18 |
---|---|
블로그 (0) | 2012.02.08 |
abex홈페이지가어디지 ㅡㅡ (0) | 2012.01.06 |
치트엔진 야호 (0) | 2012.01.03 |
춥당 (6) | 2011.12.20 |