inflearn logo
강의

Khóa học

Chia sẻ kiến thức

Khóa học ôn luyện kỳ thi thực hành Chuyên gia Pháp chứng kỹ thuật số cấp độ 2 dành cho người mới bắt đầu (Encase/Autopsy)

Kịch bản thực hành 5-1

실습 시나리오 5-1 강의 질문

5

831sunny3833

5 câu hỏi đã được viết

0

안녕하십니까 강사님!
이전 GPT Header 복구 관련 강의를 통해, Starting LBA of Partition Table의 16진수 값도 0x 02 00 00 00 00 00 00 00로 변경해야 한다고 기억하고 있습니다.
그런데 실습 시나리오 5-1 강의 43:30경부터 훼손된 GPT Header 복구를 진행해 주실 때는 이에 대한 언급이 따로 없어서, 실제로 문제를 풀 때는 Starting LBA of Partition Table 값을 수정하지 않아도 지장이 없는 것인지 궁금합니다.

Forensic 디지털포렌식전문가-2급

Câu trả lời 2

0

nstyxn

안녕하세요 재영님!

실습시나리오 풀이 영상에서 GPT Header 복구 부분에 대해서는 제가 편집전의 원본영상을 확인을 해보진않았지만, 말씀하신 [Starting LBA of Partition Table] 부분을 수정했으나 편집 과정에서 빠졌을 가능성이 있고, 아니면 저 역시 그 부분을 수정을 안하고 넘어갔을 가능성도 있습니다.

단순히 편집되어서 해당 부분의 수정이 빠진거라면 이해가 되는데, 만약 저도 수정을 안하고 넘어갔을경우라면, 말씀하신것처럼 굳이 안해도 되나... 하는 생각이 드실거에요.


결론적으로는 수정을 해주셔야합니다 !

실제로 여러 상황을 가정하고 테스트를 해보면 [Starting LBA of Partition Table]의 값을
10진수 2(0x 02 00 00 00 00 00 00)로 수정하지 않고
GPT Header 의 백업인 상태에서 저장된 값으로 그대로 유지한 상태로 저장후 FTK Imager에서
불러와보면 정상적으로 접근이 가능합니다.
그 이유는 수정을 안해도 괜찮기때문이 아니라 FTK Imager에서 어느정도 보정(?)을 해서
조금 잘못된 부분이 있어도 알아서 잘 연결해줬기때문이라고 생각하시면 될 것 같습니다.

이와 비슷하게 여러상황으로 테스트를 해보면 안될것 같은데 그래도 잘 찾아서 보여주는경우가 많이 있거든요. 물론 단순한 실수를 넘어서서 있어야할 내용이 아예 없는 경우(예를 들어서 파티션 테이블 엔트리가 원본/백업 모두 삭제를 한 경우 처럼)에는 당연히 나오지 않겠죠.

아무튼 수정을 반드시 해주셔야 하는 점은 꼭 기억해주세요!
(알아서 보여주겠지하고 믿고 신경안쓰기에는 어떤 상황이 올지 모르니까요).

0

communityai8509

안녕하세요, 인프런 AI 인턴입니다. 재영님 질문과 관련해 GPT Header 및 파티션 테이블 복구 방법을 설명한 기존 답변을 안내드립니다.

GPT Header를 백업 영역에서 복사해 복구하는 경우, 백업 Header에 포함된 Starting LBA of Partition Table 값도 함께 복구되므로 해당 필드만 별도로 수정하지 않아도 됩니다. 다만 Header의 일부 값만 수동으로 수정하는 상황이라면 Primary Header와 Backup Header의 값이 일치하는지 확인해야 합니다.

즉, 실습 시나리오 5-1에서 백업 GPT Header 전체를 복사하여 복구했다면 Starting LBA of Partition Table 값을 별도로 수정하지 않아도 정상적으로 복구됩니다. 반대로 Header의 특정 필드만 직접 수정하는 방식이라면 해당 값도 함께 확인해야 합니다.

저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다.
현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏
추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.

포렌식 프로그램 준비 등

0

16

2

총 용량과 가용 용량

0

56

2

NTFS LogTracker 사용법 강의

0

62

2

실습 시나리오 5 파일 및 시험 개요 질문

0

70

2

vhd 파일 탑재

0

58

1

mitec mail viewer

0

66

1

22회 시험 e01 파일 관련 질문

0

114

2

26회 리뷰 중 signal forensic decoder

0

74

1

시나리오1 관련 질문

0

75

2

강의 기간 연장 방법

0

78

1

켜져있는 장치에 대한 이미징 관련 질문사항입니다.

0

72

1

encase 검색 질문.

0

81

1

encase 사용 안해도 합격 가능한가요?

0

184

2

증거 USB 이미징 순서 질문

0

165

2

MSG 형식의 이메일 파일 확인 방법

0

155

2

디지털 증거 분석 보고서 작성

0

147

3

Autopsy로 분석 돌리면 언제쯤 ingest를 중단하면 좋을까요?

0

126

2

제25회 실습 자료 관련

0

150

1

이미징 관련 기초적인 질문입니다..

0

185

1

파일 EOI 관련 질문

0

256

2

특강 관련 문의

0

117

1

59강 실습 파일 문의

0

190

4

현장 강의나 스터디 운영 요청드립니다.

0

167

1

백업 파일 관련

0

151

2