Notice
Recent Posts
관리 메뉴

Hacking Arts

MBR(Master Boot Record) Analysis 본문

Forensic/File System Analysis

MBR(Master Boot Record) Analysis

Rakehell 2014. 8. 23. 03:07

<MBR>

-파티션된 기억장치의 첫 섹터인 512Byte 시동 섹터

-Boot Strap Code , Partition Table Entry , Signature의 정보가 있음


1)Boot Strap Code

-운영체제를 부팅시키기 위해서 부팅 파티션을 찾아서 해당 파티션의 BR의 BootStrapCode를 실행시킨다.


2)Partition Table Entry

-파티션의 시작위치와크기 부팅 여부, 파티션 타입

-4개의 엔트리

-하나의 엔트리 하나의 파티션의 대한 정보

-Boot Flag(1Byte)

            0X80 -> 부팅 가능

            0x00 -> 부팅 불가

-Starting CHS Address (3Byte) : 파티션 시작 주소

-Partition Type(1Byte)

            0x07 -> NTFS

            0x0B, 0x0C -> FAT32

            0x05, 0x06 -> Extended partition(확장 파티션)

            0x83 -> Partition for Linux

            0x82 -> Swap Partition for Linux

-Ending CHS Address (3Byte) : 파티션 끝 주소

-Starting LBA Address (4Byte) : 파티션 시작 섹터 번호

-Size in Sector (4Byte) : 섹터의 크기(파티션의 총 섹터 수)


3)Signature(2Byte)

-MBR의 손상여부를 확인하기 위한 값

-기본값은 0xAA55


-------------------------------------

CHS와 LBA 주소의 차이점


CHS(Cylinder/Head/Sector)

1)초기의 하드디스크 주소 지정 방법, 효율적이지 않음

2)데이터의 기록면(헤드 번호), 기록되어 있는 트랙(실린더 번호), 기록된 섹터(섹터 번호)의 세가지 정보의 조합으로 주소를 지정하는 방식


LBA(Logical Block Address)

1)현재의 하드디스크 주소 지정 방법, 효율적임

2)하드디스크 전체를 하나의 영역으로 보고 섹터의 크기를 동일하게 나누어 섹터마다 번호를 부여하여 주소룰 지정하는 방식

---------------------------

-Partition Type

0x07 : NTFS

0x05 : Extended Partition

0x0B : FAT 32

0x0E : FAT 16

0x0F : Extended Partition, exp INT 13h

0x1B : Hidden FAT32

0x42 : Secure File System

0x82 : Linux Swap partition, Prime or Solaris (Unix)

0x83 : Linux native file Systems ( EXT2/3, JFS, Reiser, xiafs, others)

'Forensic > File System Analysis' 카테고리의 다른 글

FAT32 Analysis - 2  (0) 2014.08.23
FAT32 Analysis - 1  (0) 2014.08.23