|
- Sysinternals 툴 소개 -
레알 말이 필요없는 프로그램이다.
|
| 데이터 복구와 파일 카빙의 차이점 (0) | 2012.07.05 |
|---|---|
| [PaulTew]Timelord (0) | 2012.07.05 |
| DLL(Dynamic Link Library) (1) | 2012.05.07 |
| Windows Vista/7 Recycle.bin 분석 (1) | 2012.01.10 |
| NT/2K/XP 휴지통 파일 분석 (4) | 2011.12.19 |
| OS | INFO2 Record Length | System Folder | File System |
| Windows 95/98/ME | 800 Bytes | C:\Recycled | FAT32 |
| Windows NT/2K/XP | 800 Bytes | C:\Recycler\[UserSID] | NTFS |
| Windows Vista/7 | Not used. | C:\$Recycle.bin\[UserSID] | NTFS |
[그림 1] Recycle.bin 내부의 $R~ 파일들
이런 식으로 삭제된 실제 파일은 $R[랜덤 문자열].[원본 확장자(없을 시, 폴더)] 파일 형식을 지니며 존재하게 되는데요.
이 파일들의 정보가 기록되어있는 파일(이전의 INFO2와 같은) 또한 따로 존재한답니다.
[그림 2] Recycle.bin 내부의 $I~ 파일들
파일이 삭제되면 파일의 메타 데이터만 삭제가 되고 실제 데이터는 삭제가 되지 않습니다.
그러므로, 다시 복원을 해야하는 경우 이 메타 데이터를 다시 복구를 하기 위해 vista 이후 버젼에는 $I~파일,
vista 이전 버젼에는 INFO2 파일로 관리를 해왔습니다.
INFO2와 비슷하게, $I~ 파일 내부에는 파일이 삭제된 시간, 삭제된 위치, 삭제된 파일의 크기등이 기록되어 있습니다.
| Data Structure | Data Size | Data Offset Range |
| File Header | 8Bytes | 0 - 7 (0x000 - 0x007) |
| File Size | 8Bytes | 8 - 15 (0x008 - 0x00F) |
| File Deleted Date and Time | 8Bytes | 16 - 23 (0x010 - 0x017 |
| File Name and Path (Before being Deleted) | 520Bytes | 24 - 543 (0x018 - 0x21F) |
| 데이터 복구와 파일 카빙의 차이점 (0) | 2012.07.05 |
|---|---|
| [PaulTew]Timelord (0) | 2012.07.05 |
| DLL(Dynamic Link Library) (1) | 2012.05.07 |
| Sysinternals (0) | 2012.05.07 |
| NT/2K/XP 휴지통 파일 분석 (4) | 2011.12.19 |
휴지통(RECYCLE BIN)은 본래 파일을 삭제하기 위해 임시적으로 보관하는 목적을 지니고 있지만,
보관을 함으로써 우연찮게 실수로 삭제된 파일을 복구할 수 있게 해준다.
휴지통
하지만 이런 경우엔 데이터 복구 프로그램으로 쉽게 복구가 가능하다고 하니 가급적 안전하게 삭제하는 것이 좋다.
| OS | INFO2 Record Length | System Folder | File System |
| Windows 95/98/ME | 800 Bytes | C:\Recycled | FAT32 |
| Windows NT/2K/XP | 800 Bytes | C:\Recycler\[UserSID] | NTFS |
| Windows Vista/7 | Not used. | C:\$Recycle.bin\[UserSID] | NTFS |
[Windows Recycler]
위 표는 윈도우의 버젼별로 휴지통을 비교한 것이다.
가장 큰 특징으론 윈도우 비스타 이후로는 INFO2를 사용하지 않는 대신 $I~파일을 사용한다는 것이고,
휴지통 폴더 이름 앞에 메타 데이터 파일처럼 $가 붙는다는 것이 존재한다.
[그림 2] FTK에서의 RECYCLER 내부 모습
RECYCLER의 하위 디렉토리로는 하나 또는 그 이상의 User SID가 적혀있는 숨김 파일 폴더가 존재하는데,
이 폴더는 한 번 이상 휴지통을 이용하여 삭제한 적이 없다면 생성되지 않는다.
User SID 하위에는 휴지통을 사용해 삭제된 파일 또는 폴더가 존재하게 된다.
삭제된 파일 또는 폴더의 형식은 다음과 같다.
D(Deleted)[원본 파일이 존재 했던 드라이브 문자][인덱스 번호].[원본 파일 확장자(폴더라면 없음)]
예를 들어서 C드라이브에 존재하는 zip파일을 3번째로 삭제를 했다면 Dc3.zip이 되는거고,
E드라이브에 존재하는 폴더를 5번째로 삭제했다고 가정하면 De5가 되는 것이다.
(참고 - 인덱스 번호는 Windows 2000 이전까지는 0부터 시작했지만, XP 이후로는 1부터 시작한다.)
이렇게 Deleted 파일을 만드는 이유는 첫째, 다른 폴더에 동일한 파일명을 지닌 파일이 삭제되었을 때 구별하기 위함이고,
둘 째로 파일이 삭제된 시간과 삭제된 원본 위치는 MFT entry에 존재하지 않는 정보이기 때문에 그것을 보관하기 위해
별도의 파일을 만들어야 하기 때문이다.
Deleted 파일을 다시 복원하려고 할 때 파일 컨텐츠는 그대로 가지고 있으므로 문제가 되지 않지만,
파일 명이나 원본 경로가 완전히 바뀌어 버렸기 때문에 복구 대상 파일 만으로는 완벽하게 복구할 수는 없다.
하지만 INFO2의 정보를 이용하여 쉽게 복구가 가능한데..
복구하는 방법을 살펴보기 전에 INFO2의 구조부터 파악해보자.
| Data Structure | Data Size | Data Offset Range |
| Unknown | 12Bytes | 0 - 11 (0x001 - 0x00B) |
| Record Size (0x320) | 4Bytes | 12 - 15 (0x00C - 0x00F) |
| Data Structure | Data Size | Data Offset Range |
| Unknown | 4Bytes | 0 - 3 (0x000 - 0x003) |
| File Record (ASCII) | 260Bytes | 4 - 263 (0x004 - 0x107) |
| Record Number | 4Bytes | 264 - 267 (0x108 - 0x10B) |
| Drive Letter | 4Bytes | 268 - 271 (0x10C - 0x10F) |
| Deleted Time/Date (64bit Windows Time) | 8Bytes | 272 - 279 (0x110 - 0x117) |
| Deleted File Original Size | 4Bytes | 280 - 283 (0x118 - 0x11B) |
| File Record (UNICODE) | 516Bytes | 284 - 799 (0x11C - 0x31F) |
| 데이터 복구와 파일 카빙의 차이점 (0) | 2012.07.05 |
|---|---|
| [PaulTew]Timelord (0) | 2012.07.05 |
| DLL(Dynamic Link Library) (1) | 2012.05.07 |
| Sysinternals (0) | 2012.05.07 |
| Windows Vista/7 Recycle.bin 분석 (1) | 2012.01.10 |
