포렌식

NTFS VBR 파티션 복구

분석 도구FTK ImagerHxD 파티션 상태 확인FTK Imager로 이미지 파일을 열어 마운드가 불가능한 상태임을 확인한다파티션 복구를 위해, HxD 앱에서 도구 > 디스크 이미지 열기로 해당 이미지를 연다 1. 백업 섹터 있는 경우1. 섹터 정보 확인첫번째 섹터에서 VBR 주소와 전체 섹터 개수를 확인한다.VBR 주소는 0x0000800으로 10진수로는 2048 섹터이다.총 섹터 개수는 0x07297FD7이다2. VBR 섹터 확인2048 섹터로 이동한뒤, 정상적으로 부팅이 불가능한 상황인지 확인한다.3. 백업 섹터 복사백업 섹터의 위치는 전체 섹터 개수 + VBR 주소 - 1이다.수식으로 계산하면 아래와 같다.0x07297FD7 + 0x00000800 – 1 = 0x072987D6 (120,162,..