Jsecurity

NTFS (New Technology File System) - NTFS은 1993년 Microsoft사 개발자 톰 밀러, 게리 키무라, 브라이언 앤드루, 데이빗 고벨 의해 구현 - Windows NT에서 사용하기 위한 파일시스템으로 서버로 가기 위해서는 FAT는 적절치 못해서 새롭게 개발된 파일 시스템 # NTFS 버전 # NTFS 특징 데이터 복구 기능 : 모든 작업을 트랜잭션 단위로 기록하고 시스템 장애로 인한 문제 발생시 복구 암호화 : EFS(Encryption File System), NTFS 5.0 이후 지원 압축 : ZIP 형식의 LZ77 변형 압축 기술 사용 디스크 쿼터 : 디스크 사용량 제한, NTFS 5.0 이후 지원 ADS (Alternate Data Stream) : 다중 스트림으..

※ directory entry, clusters, FAT structure EX) FAT structure 실습 부트코드 점프명령어 = EB 3C 90 OEM Name = 6D 6B 64 6F 73 66 73 00 = mkdosfs Byte Per Sector = 00 02 -> 02 00 -> 512byte Sector Per Cluster = 01 01 00 -> 예약된 섹터수 00 01 -> 1개 02 -> FAT 영역의 수 2개 Root Directory Entry 개수 = 00 02 -> 02 00 -> 512개 볼륨 총 섹터수 = 00 78 -> 78 00 -> 30720개 F8 -> HDD (하드디스크 볼륨) 77 00 -> 00 77 -> FAT 섹터수 119개 Root Directory..

cmp (compare) - 두 피연산자를 비교하는 명령어 - 레지스터나 메모리의 값을 변경하지 않는다 - 플래그 레지스터에만 영향을 준다 (flag reguster - 상태 레지스터) -> SF (부호), CF (올림수), ZF (0, 두개의 비교값이 같을 때) 결과가 0인 경우 -> SF:0, CF:0, ZF: 1 결과가 음수인 경우 -> eax SF:1, CF:0, ZF:0 결과가 양수인 경우-> eax > ebx => SF:0, ZF:0, CF:0 jmp 명령어 - 조건없이 분기하는 명령어 - 제어를 전달하는데 일반적으로 사용되는 명령어 - JMP 계열 명령어들은 플래그 레지스터의 플래그를 보고 명령어 수행 조건 분기 명령어 (부호없는 데이터) 명령어 조건(CMP) 비교 Fulln..

디지털 포렌식 중에서 안티 포렌식에 관한 Tool을 기술 하려고 합니다. 안티포렌식 (Anti Forensic) 이란? 포렌식 기술에 대응하여 자신에게 불리하게 작용할 가능성이 있는 증거물을 차단하려는 일련의 활동을 말한다. Crypture Tool의 특징 # Crypture는 1024 비트 키를 암호화하고 Windows 비트 맵 파일에 파일을 저장 # 설치가 필요없는 6KB 만 제공 (실행파일) # 모든 비트를 노이즈로 채우고 표준 스테거 분석 방법으로 건너 뜀 # 데이터 헤더는 암호화되고 분산되어 있음 Cryture.exe 속성 파일 용량이 6KB 남짓되는 크기인 스테가노그래피 Tool 악용가능성이 충분히 높아보인다. Cryture 실행 Cryture Tool 설명 비트맵(확장자: .bmp) 사진파일..

Default VLAN - 초기의 스위치의 모든 포트들에 할당되는 VLAN: ID -> VLAN1 - 모든 포트와 통신, 같은 브로드캐스트 도메인 -> VLAN 1은 제거, 변경이 불가능 -> CDP나 STP 트래픽 같은 2계층 제어 트래픽은 VLAN 1이용 데이터(Data) VLAN - 사용자가 발생한 트래픽 만을 전송하도록 설정된 VLAN -> User VLAN -> 스위치를 관리하는 트래픽을 분리하여 사용자 데이터만 전송 -> 임의로 지정하지 않으면 Default VLAN 사용 관리(Management) VLAN - 스위치 관리 기능에 접근하는 수단으로 정의 - Cisco 스위치는 기본으로 VLAN 1이 매니지먼트 VLAN으로 동작 -> VLAN 1은 매니지먼트 VLAN으로 좋지 않은 선택 -> 스..

VLAN 개요 VLAN은 독립된 하나의 LAN 네트워크 # 학생 및 직원 PC가 물리적으로 동일한 스위치에 있어도 논리적으로 분리 1. 물리적인 망 구조는 바꾸지 않음 2. 다른 LAN과 함께 공용 물리적 인프라를 공유할지라도 마치 그것이 독립적인 네트워크로 동작 3. 기능, 부서에 따라 스위치 네트워크를 논리적으로 분할 # VLAN은 식별이 쉽도록 이름(ID)을 부여 Detail VLAN VLAN은 논리적으로 분리된 IP서브네트워크 # 다수의 IP네트워크 (서브넷)을 동일한 스위치 네트워크에 존재하게 함 스위치의 VLAN설정 요소 # 스위치의 VLAN 기본 설정, 포트별 VLAN 설정 - Access 포트 -> VLAN 할당 # PC의 IP주소, 서브넷 마스크, 설정 분리된 서브넷 장치들 사이에서는 라..

예약된영역 [FAT32] - 섹터 #0: 부트 레코드 - 섹터 #1: FSinfo [FileSystem Information] - 섹터 #6: 부트 레코드 백업 FSINFO(File System INFOrmation) - FSINFO는 일반적으로 1번째 섹터(부트 섹터 다음)에 저장되는 구조로 7번째 섹터에 내용을 백업 - FSINFO 구조의 용도는 운영체제에게 첫 비할당 클러스터의 위치와 전체 비할당 클러스터의 수를 알려쥼 FSINFO의 장점 - 비할당 클러스터의 위치를 알려줌으로써 해당 볼륨에 저장하고자 하는 파일을 빠르게 할당 - 전체 비할당 클러스터의 수를 통해 해당 파일이 볼륨에 할당 가능한지 여부도 알 수 있다. - FSINFO 구조때문에 볼륨의 여유 공간을 빠르게 파악할 수 있다. #FSIN..

#Shift 연산 -사칙연산 만큼 자주 논리연산을 사용한다. -4비트씩 이동이 필요하다. 4, 8, 16, 32 비트 단위로 사용 ※ 종류 shr (shift right) - 오른쪽으로 1비트씩 이동 ex) shr ax, 4 shl (shift lenft) - 왼쪽으로 1비트씩 이동 ex) shl ax, 4 #shift 연산 예제 #AND, OR, XOR, NOT 연산 #and, or, xor operand1, operand2 operand1, operand2 - 연산대상을 레지스터, 메모리, 상수 모두가능 - 모두 메모리인 경우는 연산 불가능 연산 결과는 operand1에 저장 #not operand1 Operand1 -연산대상으로 레지스터, 메모리, 상수 모두 가능 - 연산결과 저장 이진수 형태로 숫..

#Boot Record 첫번째 섹터로서 해당 볼륨의 여러 가지 설정 값, 부팅을 위한 실행 코드 포함, 예약된 영역에 포함되어 있다 #Boot Record [공통사항] #Boot Record 예제 #예제의 FAT 구조 부트 코드로 점프하는 명령: EB 3C 90 OEM Name: mkdosfs Bytes per Sector: 512 Sector per Cluster: 1 예약된 섹터 수: 1 FAT 영역의 수: 2 FAT Size: 119 File System type: FAT16 1+ 119 * 2 => Root Directory 시작 = 239 Root Directory: 239섹터 #FAT16 Boot Record #FAT32 Boot Record

파일 할당 테이블(File Allocation Table, FAT) #개념 1. FAT 파일 시스템은 빌 게이츠 와 마크 맥도널드가 1976년부터 1977년에 이르는 기간 동안 개발 2. 디지털 카메라 등에 장착되는 대부분의 메모리 카드와 수많은 컴퓨터 시스템에 널리 쓰이는 컴퓨터 파일 시스템 구조 3. FAT 파일 시스템은 상대적으로 간단하기 때문에 플로피 디스크, 플래시 메모리 카드, 디지털 카메라 및 다른 수많은 휴대용 기기에서 흔하게 볼 수 있다. 4. FAT의 성능은 다른 대부분의 파일 시스템에 좋지 않다. 그 까닭은 운영 시간을 낭비하게 만드는 너무나도 단순한 자료 구조를 이용하고 조그마한 파일이 많이 있으면 디스크 공간을 잘 활용하지 못하기 때문 #FAT 파일시스템의 변화 과정 #데이터 클러..