디지털포렌식 - autopsy

13th.E01

총 용량 : 512 * 417792 = 204MB
204MB = 151MB + ??

MBR 확인
00 000000 00 000000 00000000 00000000 (파티션1)
00 040132 07 0320c9 80900100 00b80400 (파티션2)

파티션2가 손상되는 것보다 파티션1이 손상돼서 복구하는 것이 더 어렵다.

-> 가설 파티션1의 시작위치(4)와 크기(4) 더한 값은 80900100인데 시작위치는 80000000 이고 크기는 00900100 이다.

= 00 000000 00 000000 80000000 00900100 (파티션1)

원본 파일 -> export로 사본 만들기 (20240321006)

active disk editor로 사본 파일 수정

다시 사본을 FTK imager로 확인해보면 파티션1과 파티션2로 제대로 나뉜 것을 확인할 수 있다.

-------------------

무료로 사용할 수 있는 " autopsy " 라는 분석 프로그램 사용해볼거다.