관리 메뉴

IT창고

디스크 주소 표현 방식, MBR 본문

보안/Digital forensic

디스크 주소 표현 방식, MBR

방구석여포 2018. 7. 5. 22:09

디스크의 주소 표현 방식에 대해 알아보겠습니다.


CHS(Cylinder Head Sectir)는 디스크의 물리적인 주소로 과거에 사용했던 방식으며 현재는 사용하지 않습니다. 리눅스에서 fdisk -l 명령어를 입력해보면 CHS값이 나오는데 fdisk명령어는 오래전부터 사용했던 명령어리기 때문에 CHS값을 표기해줍니다. 

현재 리눅스에서 CHS방식은 정확성이 떨어집니다. 


LBA(Logical Block Address)는 디스크의 논리적인 주소로서 섹터에 번호를 부여하는 방법입니다. fdisk -lu명령어로 LBS방식으로 확인해볼수있습니다.

CHS방식보다 LBS방식이 더 자세하게 나옵니다.


MBR에 대해 알아보겠습니다.

MBR (Master Boot Record)은 마스터 부트 레코더로 디스크 첫번째 파티션에 위치합니다.

BootCode는 446Byte를 차지하며 부팅과 관련된 코드를 저장하고 있는 영역입니다.

Partition Table은 64Byte를 차지하며 실제 파티션 정보를 저장하고 있는 영역으로 하나의 파티션 정보를 16Byte로 표현합니다.

Signature는 0x55 0xAA로 표현됩니다.


가상머신의 리눅스 MBR정보입니다. 


80                   Boot Flag부분으로 부팅가능한 파티션은 0x80 부팅이 불가능한 파티션은 0x00으로 나타냅니다.

20 21 00           CHS 시작주소입니다. 현재는 거의 사용하지 않습니다.

83                    파티션의 타입입니다 파일시스템의 종류라고 할수있습니다. 83은 EXT4로 리눅스의 파일시스템입니다. 

윈도우에서는 요즘 주로 NFTS 파일시스템을 사용하며 예전에는 FAT32를 사용했으며 USB같은 장치는 아직 FAT32를 사용합니다.

DD 1E 3F           CHS의 마지막 주소입니다. 마찬가지로 더 이상 사용하지 않습니다.

00 08 00 00       LBA의 시작주소입니다. 파티션의 시작위치로 Little-endian으로 생각해야하며 800으로 10진수로 바꾸면                                  2048이 파티션의 시작위치입니다. 단 현재 사진의 파티션은 가상머신의 파티션입니다. 가상머신의 5248섹터까지                        는 모두 가상머신의 파일로 실제 MBR은 5248섹터부터 시작하며 5248+2048 = 7296섹터부터가 파티션의 시작                          위치입니다. 

00 A0 0F 00       총 섹터의 수 입니다. Little-endian으로 1024000 * 512Byte = 524288000섹터입니다.


위의 사진은 파일시스템의 번호입니다. HxD에디터에서 확인하는 파일시스템의 타입을 확인해볼수있습니다.


BR/VBR (Boot Record)은 각 파티션 첫번째 섹터에 위치합니다.



TIP

VMware 가상머신 파일들에 대해 알아보겠습니다.

1. .vmdk 가상디스크파일이며 Thin Provisioning과 Thick Provisioning(Allocate)타입이 있습니다.


2. .nvram 가상머신BIOS정보가 있는 파일로 실제 가상머신OS를 부팅할때 F2버튼을 빨리 누르면 바이오스화면으로 들어가게됩니다. 간혹 메모장으로 열리는경우도있고 메모장을 열었는데 깨져보일경우도 있습니다.


3. .vmx는 OS종류, 메모리용량, 네트워크 카드MAC주소 등 가상머신의 핵심정보가 들어있는 파일로 메모장으로 열어보면 값을 직접 바꿀수도 있습니다.


4. .vmem 가상머신 메모리 파일로 가상머신을 끄면 렘이 휘발성으로 날아가는것 처럼 사라지게 됩니다.


5. .lck 파일은 동일한 가상 머신의 운영체제가 동시에 여러 개 실행되면, 하나의 디스크(.vmdk)에 대해 동시 다발적인 읽기/쓰기가 수행되므로 가상 머신의 데이터가 손상되는 문제가 생길 수 있기 때문에 lock파일을 만들어서 더 이상 사용하지 못하게 합니다.

보통 비정상적으로 프로그램을 종료시켜 lock이 걸릴 경우에 이 파일을 지워주면 정상적으로 작동합니다.


'보안 > Digital forensic' 카테고리의 다른 글

FAT32 파일시스템  (0) 2018.07.06
FAT32 파티션 복구  (0) 2018.07.06
리눅스 디스크포렌식  (0) 2018.07.04
포렌식 개념  (0) 2018.07.04
하드디스크의 구조  (0) 2018.07.03
Comments