FORENSIC INSIGHT SEMINAR
A Dig into the $LogFile
blueangel
http://blueangel-forensic-note.tistory.com
forensicinsight.org Page 2 / 51
๋ชฉ์ฐจ
1. ์๋ก
2. $LogFile ๊ตฌ์กฐ
3. $LogFile ์ด๋ฒคํธ ๋ถ์
4. $LogFile Parser ๊ตฌํ
5. ๊ฒฐ๋ก
forensicinsight.org Page 3 / 51
์๋ก
- $LogFile ์ด๋?
- $LogFile ํฌ๊ธฐ ์กฐ์
forensicinsight.org Page 4 / 51
์๋ก
NTFS ํธ๋์ ์ ๋ก๊ทธ ํ์ผ
โข ์์คํ ์ค๋ฅ๋ ๊ฐ์์ค๋ฐ ์ ์ ์ฐจ๋จ ๋ฐ์์, ์์ ์ค์ด๋ ํ์ผ ๋ณต๊ตฌ๋ฅผ ์ํด ์ฌ์ฉ
โข ๋ชจ๋ ํธ๋์ ์ ์์ ์ ๋ ์ฝ๋ ๋จ์๋ก ๊ธฐ๋ก
์๋ก์ด ํ์ผ/๋๋ ํ ๋ฆฌ ์์ฑ
ํ์ผ/๋๋ ํ ๋ฆฌ ์ญ์
ํ์ผ/๋๋ ํ ๋ฆฌ ๋ด์ฉ ๋ณ๊ฒฝ
MFT ์ํธ๋ฆฌ ๋ด์ฉ ๋ณ๊ฒฝ
โข ๊ฐ ์์ ๋ ์ฝ๋๋ ๊ณ ์ ์ LSN($LogFile Sequence Number)์ ๊ฐ์ง
์์ฐจ์ ์ผ๋ก ์ฆ๊ฐ
โข ๋ณต๊ตฌ๋ฅผ ์ํด ๊ฐ ๋ ์ฝ๋๋ ์์ ๋ฐ์ดํฐ์ ์์ ์ ๋ฐ์ดํฐ๋ฅผ ๊ฐ์ง
Redo : ์์ ํ ๋ฐ์ดํฐ
Undo : ์์ ์ ๋ฐ์ดํฐ
โข ๊ฐ ๋ณผ๋ฅจ๋ง๋ค ํ๋์ฉ ์กด์ฌ
โข MFT ์ํธ๋ฆฌ ๋ฒํธ 2์ ์์น
$LogFile ์ด๋?
forensicinsight.org Page 5 / 51
์๋ก - $LogFile ์ด๋?
- $LogFile ํฌ๊ธฐ ์กฐ์
forensicinsight.org Page 6 / 51
์๋ก
$LogFile ํฌ๊ธฐ
โข ์ผ๋ฐ์ ์ธ ํ๋๋์คํฌ ๋ณผ๋ฅจ์์๋ 64M ํฌ๊ธฐ
โข ๋ณผ๋ฅจ ์ฉ๋์ ๋ฐ๋ผ ํฌ๊ธฐ๊ฐ ๋ฌ๋ผ์ง ์ ์์ง๋ง ๊ธฐ๋ณธ์ ์ผ๋ก๋ ์ต๋ 64M ์ดํ์
ํฌ๊ธฐ ์กฐ์
โข chkdsk ๋ช ๋ น์ /L ์ต์ ์ ๋ฐ๋ผ ํฌ๊ธฐ ์กฐ์ ๊ฐ๋ฅ
โข โ/L : ํ์ผํฌ๊ธฐ(KB ๋จ์)โ ํ์์ผ๋ก ์ง์
โข ํฌ๊ธฐ๊ฐ ์ง์ ๋์ง ์์ผ๋ฉด ํ์ฌ ํฌ๊ธฐ ํ์
$LogFile ํฌ๊ธฐ ์กฐ์
forensicinsight.org Page 7 / 51
$LogFile ๊ตฌ์กฐ
- ์ ์ฒด ๊ตฌ์กฐ
- ์ฌ์์ ์์ญ ๊ตฌ์กฐ
- ๋ก๊น ์์ญ ๊ตฌ์กฐ
- ํ์ด์ง ๊ตฌ์กฐ
- ๋ ์ฝ๋ ๊ตฌ์กฐ
forensicinsight.org Page 8 / 51
$LogFile ๊ตฌ์กฐ
์ฌ์์ ์์ญ(Restart Area)์ ๋ก๊น ์์ญ(Logging Area)๋ก ๋๋์ด์ง
โข ๊ฐ ์์ญ์ ๊ตฌ์ฑ๋จ์๋ ํ์ด์ง(ํฌ๊ธฐ : 0x1000)
โข ์ฌ์์ ์์ญ
๊ฐ์ฅ ๋ง์ง๋ง(ํ์ฌ ์์ ์ค์ธ) ์์ ๋ ์ฝ๋๋ฅผ ๊ฐ๋ฆฌํด
ํ์ผ์ ์ฒซ ๋ ํ์ด์ง ์์ญ(0x0000~0x2000)
โข ๋ก๊น ์์ญ
์ค์ ์์ ๋ ์ฝ๋๋ค์ด ๊ธฐ๋ก๋จ
์ฌ์์ ์์ญ ๋ฐ๋ก ๋ค์๋ถํฐ ์์(0x2000~)
๋ฒํผ ํ์ด์ง ์์ญ๊ณผ ์ผ๋ฐ ํ์ด์ง ์์ญ์ผ๋ก ๋๋์ด์ง
์ ์ฒด ๊ตฌ์กฐ
forensicinsight.org Page 9 / 51
$LogFile ๊ตฌ์กฐ - ์ ์ฒด ๊ตฌ์กฐ
- ์ฌ์์ ์์ญ ๊ตฌ์กฐ
- ๋ก๊น ์์ญ ๊ตฌ์กฐ
- ํ์ด์ง ๊ตฌ์กฐ
- ๋ ์ฝ๋ ๊ตฌ์กฐ
forensicinsight.org Page 10 / 51
$LogFile ๊ตฌ์กฐ
๊ฐ์ฅ ๋ง์ง๋ง(ํ์ฌ ์์ ์ค์ธ) ์์ ๋ ์ฝ๋๋ฅผ ๊ฐ๋ฆฌํด
โข Current LSN ์ ๋ณด๋ฅผ ํตํด ๊ฐ์ฅ ๋ง์ง๋ง ์์ ๋ ์ฝ๋์ LSN ๋ฒํธ๋ฅผ ์ ์ ์์
์ฐ์๋ ๋ ํ์ด์ง๋ก ๊ตฌ์ฑ, ๋ ๋ฒ์งธ ํ์ด์ง๋ ๋ฐฑ์ ์ฉ
โข ๊ฐ ํ์ด์ง๋ ๋งค์ง๋๋ฒ(RSTR)๋ก ์์๋จ
์ฌ์์ ์์ญ ํค๋ ํฌ๋ฉง
์ฌ์์ ์์ญ ๊ตฌ์กฐ
โRSTRโ (Magic Number)
Update Sequence Offset
Update Sequence Count
Check Disk LSN
System Page Size Log Page Size Restart Offset
Minor Version
Major Version
Update Sequence Array
Current LSN Log Client Client List Flags
0 1 2 3 4 5 6 7 8 9 A B C D E F
forensicinsight.org Page 11 / 51
$LogFile ๊ตฌ์กฐ - ์ ์ฒด ๊ตฌ์กฐ
- ์ฌ์์ ์์ญ ๊ตฌ์กฐ
- ๋ก๊น ์์ญ ๊ตฌ์กฐ
- ํ์ด์ง ๊ตฌ์กฐ
- ๋ ์ฝ๋ ๊ตฌ์กฐ
forensicinsight.org Page 12 / 51
$LogFile ๊ตฌ์กฐ
์ค์ ์์ ๋ ์ฝ๋๋ค์ด ๊ธฐ๋ก๋จ
๋ฒํผ ํ์ด์ง ์์ญ๊ณผ ์ผ๋ฐ ํ์ด์ง ์์ญ์ผ๋ก ๋๋์ด์ง
โข ๋ฒํผ ํ์ด์ง ์์ญ ์ฒซ ๋ ํ์ด์ง(0x2000~0x4000)
์์ฐจ์ ์ผ๋ก ๋ ์ฝ๋๊ฐ ๊ธฐ๋ก๋จ
ํ์ด์ง๊ฐ ๋ ์ฝ๋๋ก ๊ฝ ์ฐจ๋ฉด ํ์ด์ง ๋ด์ฉ์ ์ผ๋ฐ ํ์ด์ง ์์ญ์ ๊ธฐ๋ก
์ต๊ทผ ์์ ๋ ์ฝ๋๋ค์ ๋ฒํผ ํ์ด์ง ์์ญ์ ์กด์ฌ
โข ์ผ๋ฐ ํ์ด์ง ์์ญ ๋ฒํผ ํ์ด์ง ์์ญ์ ์ ์ธํ ๋๋จธ์ง ์์ญ(0x4000~)
์์ฐจ์ ์ผ๋ก ๋ ์ฝ๋๊ฐ ๊ธฐ๋ก๋จ
ํ์ผ ๋๊น์ง ๊ธฐ๋ก๋๋ฉด ๋ค์ ์์ญ ์์์๋ถํฐ ๋ฎ์ด์
๋ก๊น ์์ญ ๊ตฌ์กฐ
forensicinsight.org Page 13 / 51
$LogFile ๊ตฌ์กฐ - ์ ์ฒด ๊ตฌ์กฐ
- ์ฌ์์ ์์ญ ๊ตฌ์กฐ
- ๋ก๊น ์์ญ ๊ตฌ์กฐ
- ํ์ด์ง ๊ตฌ์กฐ
- ์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
forensicinsight.org Page 14 / 51
$LogFile ๊ตฌ์กฐ
ํ์ด์ง ๊ตฌ์ฑ
โข ํ๋์ ํค๋์ ๋ค์์ ์์ ๋ ์ฝ๋๋ค๋ก ๊ตฌ์ฑ๋จ
โข ๋ง์ง๋ง ๋ ์ฝ๋๊ฐ ํ์ด์ง๋ฅผ ๋์ด๊ฐ๋ฉด ๋ค์ ํ์ด์ง์ ์ด์ด์ ๊ธฐ๋ก๋จ
ํ์ด์ง ํค๋ : ํ์ด์ง์ ๋ฉํ ๋ฐ์ดํฐ๊ฐ ์ ์ฅ๋จ
โข Magic Number : โRCRDโ
โข Last LSN : ํ์ด์ง๋ฅผ ๋์ด๊ฐ๋ ๋ ์ฝ๋๋ฅผ ํฌํจํด์ ๊ฐ์ฅ ํฐ LSN
โข Next Record Offset : Last LSN์ ํด๋นํ๋ ๋ ์ฝ๋์ ํ์ด์ง ๋ด Offset
โข Last End LSN : ํ์ด์ง๋ฅผ ๋์ด๊ฐ์ง ์๋ ๋ ์ฝ๋๋ค ์ค์ ๊ฐ์ฅ ํฐ LSN
ํ์ด์ง ๊ตฌ์กฐ
โRCRDโ (Magic Number)
Update Sequence Offset
Update Sequence Count
Last LSN or File Offset
Flags Page Count
Page Position
Next Record Offset
Word Align
DWord Align
Last End LSN
Update Sequence Array
0 1 2 3 4 5 6 7 8 9 A B C D E F
forensicinsight.org Page 15 / 51
$LogFile ๊ตฌ์กฐ - ์ ์ฒด ๊ตฌ์กฐ
- ์ฌ์์ ์์ญ ๊ตฌ์กฐ
- ๋ก๊น ์์ญ ๊ตฌ์กฐ
- ํ์ด์ง ๊ตฌ์กฐ
- ์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
forensicinsight.org Page 16 / 51
$LogFile ๊ตฌ์กฐ
์์ ๋ ์ฝ๋
โข ์ค์ ํธ๋์ ์ ์์ ์ ๋ด์ฉ์ด ๊ธฐ๋ก๋จ
โข ์ฌ๋ฌ ์์ ๋ ์ฝ๋๊ฐ ์์ฐจ์ ์ผ๋ก ๋ชจ์ฌ์ ํ๋์ ํธ๋์ ์ ์์ ์ ์ด๋ฃธ
Check Point Record : ํธ๋์ ์ ์์ ๋ ์ฝ๋
Update Record : ์ค๊ฐ ์์ ๋ ์ฝ๋
Commit Record : ํธ๋์ ์ ๋ง์ง๋ง ๋ ์ฝ๋
โข Check Point Record ์ธ ๋ ์ฝ๋๋ค์ ์์ ์ ์ด์ ์์ ๋ ์ฝ๋์ LSN์ ๊ฐ์ง๊ณ ์์
์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
forensicinsight.org Page 17 / 51
$LogFile ๊ตฌ์กฐ
์์ ๋ ์ฝ๋(๊ณ์)
โข ์์ ๋ ์ฝ๋ ๊ตฌ์ฑ : ๋ ์ฝ๋ ํค๋์ ๋ฐ์ดํฐ๋ก ๊ตฌ์ฑ ๋จ
๋ ์ฝ๋ ํค๋ : ๋ ์ฝ๋ ๋ฉํ ๋ฐ์ดํฐ ์ ์ฅ, ๊ณ ์ ํฌ๊ธฐ(0x58)
๋ ์ฝ๋ ๋ฐ์ดํฐ
โข Redo : ์์ ํ ๋ด์ฉ(์ : ์ฐ๊ธฐ ์์ ์ด๋ฉด ์ฐ์ฌ์ง ๋ฐ์ดํฐ)
โข Undo : ์์ ์ ๋ด์ฉ(์ : ์ฐ๊ธฐ ์์ ์ด๋ฉด ์ฐ์ฌ์ง๊ธฐ ์ ๋ฐ์ดํฐ)
โข ์๋ฌ ๋ณต๊ตฌ์์ ์์ ๋ด์ฉ
Commit Record ๋ถํฐ ์ด์ LSN ์ ๋ณด๋ฅผ ์ด์ฉ, ์ญ์ผ๋ก ์ถ์ ํ๋ฉด์ Undo ๋ฐ์ดํฐ ์ ์ฉ
์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
forensicinsight.org Page 18 / 51
$LogFile ๊ตฌ์กฐ
์์ ๋ ์ฝ๋ ํค๋ ํฌ๋ฉง
โข This LSN : ํ์ฌ ์์ ๋ ์ฝ๋์ LSN
โข Previous LSN : ์ด์ ์์ ๋ ์ฝ๋์ LSN
โข Client Undo LSN : ๋ณต๊ตฌ ์, ๋ค์ Undo ์์ ์ ๊ฐ์ง๊ณ ์๋ ๋ ์ฝ๋์ LSN, ๋ณดํต Previous LSN๊ณผ ๋์ผ
โข Client Data Length : ๋ ์ฝ๋์ ํฌ๊ธฐ, Redo Op ์์ ์์น๋ถํฐ ์ด ๊ฐ์ ๋ํ๋ฉด ๋ ์ฝ๋ ๋์ ๊ตฌํ ์ ์์
โข Record Type : 0x02 (Check Point Record), 0x01(๊ทธ ์ธ Record)
โข Flags : 0x01(ํ์ฌ ๋ ์ฝ๋๊ฐ ํ์ด์ง๋ฅผ ๋์ด๊ฐ), 0x00(ํ์ฌ ๋ ์ฝ๋๊ฐ ํ์ด์ง๋ฅผ ๋์ด๊ฐ์ง ์์)
์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
This LSN Previous LSN
Client Undo LSN Client Data Length Client ID
Record Type Transaction ID Flags Alignment or Reserved
Redo OP Undo OP Redo Offset Redo Length
Undo Offset Undo Length
Target Attribute
LCNs to follows
Record Offset
Attr Offset MFT Cluster Index
Alignment or Reserved
Target VCN Alignment or Reserved
Target LCN Alignment or Reserved
0 1 2 3 4 5 6 7 8 9 A B C D E F
forensicinsight.org Page 19 / 51
$LogFile ๊ตฌ์กฐ
์์ ๋ ์ฝ๋ ํค๋ ํฌ๋ฉง(๊ณ์)
โข Redo Op : Redo ์ฐ์ฐ ์ฝ๋
โข Undo Op : Undo ์ฐ์ฐ ์ฝ๋
โข Redo Offset : Redo ๋ฐ์ดํฐ ์์ Offset(Redo Op ์์น๋ถํฐ)
โข Redo Length : Redo ๋ฐ์ดํฐ ๊ธธ์ด
โข Undo Offset : Undo ๋ฐ์ดํฐ ์์ Offset(Redo Op ์์น๋ถํฐ)
โข Undo Length : Undo ๋ฐ์ดํฐ ๊ธธ์ด
์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
This LSN Previous LSN
Client Undo LSN Client Data Length Client ID
Record Type Transaction ID Flags Alignment or Reserved
Redo OP Undo OP Redo Offset Redo Length
Undo Offset Undo Length
Target Attribute
LCNs to follows
Record Offset
Attr Offset MFT Cluster Index
Alignment or Reserved
Target VCN Alignment or Reserved
Target LCN Alignment or Reserved
0 1 2 3 4 5 6 7 8 9 A B C D E F
forensicinsight.org Page 20 / 51
$LogFile ๊ตฌ์กฐ
์์ ๋ ์ฝ๋ ํค๋ ํฌ๋ฉง(๊ณ์)
โข LCNs to Follows : 0x01(์ด์ด์ง๋ ๋ ์ฝ๋๊ฐ ์์), 0x00(์ด์ด์ง๋ ๋ ์ฝ๋๊ฐ ์์)
โข Record Offset
MFT ๋ ์ฝ๋์ ๋ํ ์์ ์ผ ๊ฒฝ์ฐ, Redo/Undo ๋ฐ์ดํฐ๊ฐ ์ ์ฉ๋๋ ์์ฑ์ MFT ๋ ์ฝ๋ ๋ด Offset
MFT ๋ ์ฝ๋์ ๋ํ ์์ ์ด ์๋ ๊ฒฝ์ฐ, ๊ฐ์ 0x00
โข Attr Offset
MFT ๋ ์ฝ๋์ ๋ํ ์์ ์ผ ๊ฒฝ์ฐ, Redo/Undo ๋ฐ์ดํฐ๊ฐ ์ ์ฉ๋๋ ์์ฑ ๋ด Offset
MFT ๋ ์ฝ๋์ ๋ํ ์์ ์ด ์๋ ๊ฒฝ์ฐ, Redo/Undo ๋ฐ์ดํฐ๊ฐ ์ ์ฉ๋๋ ํด๋ฌ์คํฐ ๋ด Offset
โข Taret LCN : Redo/Undo ๋ฐ์ดํฐ๊ฐ ์ ์ฉ๋๋ ๋์คํฌ ์์ LCN(Logical Cluster Number)
โข MFT Cluster Index : MFT ์ํธ๋ฆฌ๊ฐ ์๋ ํ๋์ ํด๋ฌ์คํฐ ๋ด์์ ๋ช ๋ฒ์งธ ์ํธ๋ฆฌ์ ํด๋นํ๋์ง์ ๋ํ ๊ฐ
1๋ฒ์งธ(0x0000), 2๋ฒ์งธ(0x0002), 3๋ฒ์งธ(0x0003), 4๋ฒ์งธ(0x0006)
์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
This LSN Previous LSN
Client Undo LSN Client Data Length Client ID
Record Type Transaction ID Flags Alignment or Reserved
Redo OP Undo OP Redo Offset Redo Length
Undo Offset Undo Length
Target Attribute
LCNs to follows
Record Offset
Attr Offset MFT Cluster Index
Alignment or Reserved
Target VCN Alignment or Reserved
Target LCN Alignment or Reserved
0 1 2 3 4 5 6 7 8 9 A B C D E F
forensicinsight.org Page 21 / 51
$LogFile ๊ตฌ์กฐ
Redo/Undo ์ฐ์ฐ ์ฝ๋
์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
NTFS ๋ก๊ทธ ๋์ Hex Value
Noop 0x00
CompensationlogRecord 0x01
InitializeFileRecordSegment 0x02
DeallocateFileRecordSegment 0x03
WriteEndofFileRecordSegement 0x04
CreateAttribute 0x05
DeleteAttribute 0x06
UpdateResidentValue 0x07
UpdataeNonResidentValue 0x08
UpdateMappingPairs 0x09
DeleteDirtyClusters 0x0A
SetNewAttributeSizes 0x0B
forensicinsight.org Page 22 / 51
$LogFile ๊ตฌ์กฐ
Redo/Undo ์ฐ์ฐ ์ฝ๋(๊ณ์)
์์ ๋ ์ฝ๋ ๊ตฌ์กฐ
AddindexEntryRoot 0x0C
DeleteindexEntryRoot 0x0D
AddIndexEntryAllocation 0x0F
SetIndexEntryVenAllocation 0x12
UpdateFileNameRoot 0x13
UpdateFileNameAllocation 0x14
SetBitsInNonresidentBitMap 0x15
ClearBitsInNonresidentBitMap 0x16
PrepareTransaction 0x19
CommitTransaction 0x1A
ForgetTransaction 0x1B
OpenNonresidentAttribute 0x1C
DirtyPageTableDump 0x1F
TransactionTableDump 0x20
UpdateRecordDataRoot 0x21
forensicinsight.org Page 23 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
- ํ์ผ ์์ฑ ์ด๋ฒคํธ
- ํ์ผ ์ญ์ ์ด๋ฒคํธ
- ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
- ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ
forensicinsight.org Page 24 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Resident File ์์ฑ ๊ด๋ จ ์ด๋ฒคํธ
Resident File ์์ฑ ์ด๋ฒคํธ ์์(Redo/Undo) : ์ค๊ฐ์ ๋ค์ด๊ฐ ์ ์๋ OpenNonResidentAttribute Redo ์์ ์ ๋ฌด์
1. 0x15/0x16(Set Bits In Nonresident Bit Map/Clear Bits In Nonresident Bit Map)
2. 0x00/0x03(Noop/Deallocate File Record Segment)
3. 0x0E/0x0F(Add Index Entry Allocation/Delete Index Entry Allocation)
4. 0x02/0x00(Initialize File Record Segment/Noop)
5. 0x1B/0x01(Forget Transaction/Compensation Log Record)
ํ์ผ ์์ฑ ์ด๋ฒคํธ
forensicinsight.org Page 25 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Resident File ์์ฑ ๊ด๋ จ ์ด๋ฒคํธ์์ ์ป์ด ์ฌ ์ ์๋ ์ ๋ณด 1
โข MFT ๋ ์ฝ๋ ๋ฒํธ, ์์ฑ ํ์ผ ์ ์ฒด ๊ฒฝ๋ก
0x15/0x16(Set Bits In Nonresident Bit Map/Clear Bits In Nonresident Bit Map) ์์ ์ Redo ๋ฐ์ดํฐ์์ ์ป์ด์ด
Redo ๋ฐ์ดํฐ์ ์ฒซ 4๋ฐ์ดํธ๋ ์์ ๋์ MFT ๋ ์ฝ๋ ๋ฒํธ์
MFT ๋ ์ฝ๋ ๋ฒํธ๋ฅผ ํตํด ํด๋น ํ์ผ์ ์ ๋ณด๋ฅผ ๊ฐ์ ธ์ฌ ์ ์์
โข ํด๋น MFT ๋ ์ฝ๋์ $FILE_NAME ์์ฑ์์ ์์ฑ ํ์ผ๋ช ํ๋
โข MFT ๋ฒํธ๋ฅผ ์๋ฉด MFT ํด์์ ํตํด ์์ฑ๋ ํ์ผ์ ์ ์ฒด ๊ฒฝ๋ก๋ฅผ ๊ฐ์ ธ ์ฌ ์ ์์
ํ์ผ ์์ฑ ์ด๋ฒคํธ
Current LSN
Previous LSN
Redo Op
Undo Op
forensicinsight.org Page 26 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Resident File ์์ฑ ๊ด๋ จ ์ด๋ฒคํธ์์ ์ป์ด ์ฌ ์ ์๋ ์ ๋ณด 2
โข ํ์ผ ์์ฑ ์๊ฐ๊ณผ ์์ฑ ํ์ผ๋ช , ์ ์ฒด ๊ฒฝ๋ก
0x02/0x00(Initialize File Record Segment/Noop) ์์ ์ Redo ๋ฐ์ดํฐ์์ ์ป์ด์ด
Redo ๋ฐ์ดํฐ ๋ด์ฉ์ MFT ๋ ์ฝ๋์ ๋ด์ฉ
โข $STANDARD_INFORMATION ์์ฑ์์ ํ์ผ ์์ฑ ์๊ฐ์ ๊ฐ์ ธ์ด
โข $FILE_NAME ์์ฑ์์ ์์ฑ ํ์ผ์ ์ด๋ฆ์ ๊ฐ์ ธ์ด, Parent File Reference Address ๊ฐ์ ํตํด ๋ถ๋ชจ ๋๋ ํ ๋ฆฌ์ ์ ์ฒด ๊ฒฝ๋ก๋ฅผ ์ ์ ์์
โข $INDEX_ROOT ์์ฑ์ด ์๋ค๋ฉด ๋๋ ํ ๋ฆฌ ์์ฑ์
ํ์ผ ์์ฑ ์ด๋ฒคํธ
Current LSN
Previous LSN
Redo Op
Undo Op
Redo Data
forensicinsight.org Page 27 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Non Resident ํ์ผ ์์ฑ ์ด๋ฒคํธ
โข Resident ํ์ผ๊ณผ ๋์ผ
MFT ๋ ์ฝ๋ ํ ๋นํ๋ ๊ฒ์์๋ Resident ํ์ผ ์์ฑ ์์ ๊ณผ ์ฐจ์ด ์์
Resident ํ์ผ ์์ฑ ๊ฒฝ์ฐ์ ๋์ผํ๊ฒ ์ ๋ณด ํ๋ ๊ฐ๋ฅ
ํ์ผ ์์ฑ ์ด๋ฒคํธ
forensicinsight.org Page 28 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
๊ธด ํ์ผ๋ช ์ ํ์ผ ์์ฑ์ผ ๊ฒฝ์ฐ
โข 0x0E/0x0F(Add Index Entry Allocation/Delete Index Entry Allocation) ์์ ์ ํ ๋ฒ ๋ ๋ฐ๋ณตํจ
๊ธด ํ์ผ๋ช ์ด๊ธฐ ๋๋ฌธ์ Index Entry๋ฅผ ํ๋ ๋ ํ ๋น
โข ํ์ผ๋ช ์ ๊ฐ์ ธ์ฌ ๊ฒฝ์ฐ, ๋ ๋ฒ์งธ $FILE_NAME ์์ฑ์์ ๊ฐ์ ธ์ด
ํ์ผ ์์ฑ ์ด๋ฒคํธ
forensicinsight.org Page 29 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์ - ํ์ผ ์์ฑ ์ด๋ฒคํธ
- ํ์ผ ์ญ์ ์ด๋ฒคํธ
- ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
- ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ
forensicinsight.org Page 30 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Resident File ์ญ์ ๊ด๋ จ ์ด๋ฒคํธ
Resident File ์ญ์ ์ด๋ฒคํธ ์์(Redo/Undo) : ์ค๊ฐ์ ๋ค์ด๊ฐ ์ ์๋ OpenNonResidentAttribute Redo ์์ ์ ๋ฌด์
1. 0x0F/0x0E(Delete Index Entry Allocation/Add Index Entry Allocation)
2. 0x03/0x02(Deallocation File Record Segment/Initialize File Record Segment)
3. 0x16/0x15(Clear Bits In Nonresident Bit Map/Set Bits In Nonresident Bit Map)
4. 0x1B/0x01(Forget Transaction/Compensation Log Record)
ํ์ผ ์ญ์ ์ด๋ฒคํธ
forensicinsight.org Page 31 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Resident File ์ญ์ ๊ด๋ จ ์ด๋ฒคํธ์์ ์ป์ด ์ฌ ์ ์๋ ์ ๋ณด
โข ์ญ์ ๋ ํ์ผ๋ช , ์ ์ฒด ๊ฒฝ๋ก
0x0F/0x0E(Delete Index Entry Allocation/Add Index Entry Allocation) ์์ ์ Undo ๋ฐ์ดํฐ์์ ์ป์ด์ด
Undo ๋ฐ์ดํฐ์ ๋ด์ฉ์ Index Entry ์์ Content ๋ด์ฉ($FileName ์์ฑ)
Parent File Reference Address ๊ฐ์ ํตํด ๋ถ๋ชจ ๋๋ ํ ๋ฆฌ์ ์ ์ฒด ๊ฒฝ๋ก๋ฅผ ๊ฐ์ ธ์ด
Name ๊ฐ์ ํตํด ์ญ์ ๋ ํ์ผ๋ช ํ๋
ํ์ผ ์ญ์ ์ด๋ฒคํธ
Current LSN
Previous LSN
Redo Op
Undo Op
Undo Data
forensicinsight.org Page 32 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
๊ธด ํ์ผ๋ช ์ ํ์ผ์ ์ญ์ ํ ๊ฒฝ์ฐ โข 0x0F/0x0E(Delete Index Entry Allocation/Add Index Entry Allocation) ์์ ์ด ๋ ๋ฒ ์ผ์ด๋จ
๊ธด ํ์ผ๋ช ์ด๊ธฐ ๋๋ฌธ์ Index Entry๊ฐ ๋ ๊ฐ์ด๊ธฐ ๋๋ฌธ
โข ์ญ์ ๋ ํ์ผ๋ช ์ ๊ฐ์ ธ์ค๊ธฐ ์ํด์๋ ๋ ๋ฒ์งธ 0x0F/0x0E(Delete Index Entry Allocation/Add Index Entry Allocation) ์์ ์ Undo ๋ฐ์ดํฐ์์ ๊ฐ์ ธ์ด
ํ์ผ ์ญ์ ์ด๋ฒคํธ
forensicinsight.org Page 33 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Non Resident ํ์ผ ์ญ์ ์ด๋ฒคํธ
โข Resident ์ญ์ ์์ ๊ณผ ๋์ผํ๊ฒ ํ๋จ
Resident ์ญ์ ์์ ๊ณผ ๋ง์ฐฌ๊ฐ์ง๋ก ํ์ผ๋ช ์ด ๊ธด ๊ฒฝ์ฐ, Delete Index Entry Allocation ์์ ์ด ๋ ๋ฒ ์ผ์ด๋จ
์ญ์ ํ์ผ๋ช , ์ ์ฒด ๊ฒฝ๋ก๋ Resident ํ์ผ ์ญ์ ์ ๊ฒฝ์ฐ์ ๋์ผํ๊ฒ ํ๋
โข Non Resident File ์ญ์ ์ด๋ฒคํธ ์์(Redo/Undo) : โDelete Index Entry Rootโ Redo ์์ ์ด ๋ค์ด๊ฐ ์ ์์
1. 0x0F/0x0E(Delete Index Entry Allocation(or Root)/Add Index Entry Allocation(or Root))
2. 0x03/0x02(Deallocation File Record Segment/Initialize File Record Segment)
3. 0x16/0x15(Clear Bits In Nonresident Bit Map/Set Bits In Nonresident Bit Map)
4. 0x1B/0x01(Forget Transaction/Compensation Log Record)
ํ์ผ ์ญ์ ์ด๋ฒคํธ
forensicinsight.org Page 34 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์ - ํ์ผ ์์ฑ ์ด๋ฒคํธ
- ํ์ผ ์ญ์ ์ด๋ฒคํธ
- ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
- ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ
forensicinsight.org Page 35 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Resident File ํ์ผ ๋ฐ์ดํฐ ์์ฑ
โข Redo ์์ ์ด Update Resident Value ์ด๊ณ Record Offset ์ด 0xF8 ์ด์, ๊ทธ๋ฆฌ๊ณ Attr Offset ์ด 0x18 ์ด์์ด๋ฉด $Data ์์ฑ์ ๋ํ ์ ๋ฐ์ดํธ ์์ ์ด๋ผ๊ณ ๋ณผ ์ ์์
ํ์ผ๋ช ๊ธธ์ด๊ฐ 1์ธ ๊ฒฝ์ฐ(์งง์ ํ์ผ๋ช ), $Data์์ฑ์ ์์์์น๋ 0xF8
$Data ์์ฑ์์ 0x18 ์์น๋ถํฐ ์ค์ ๋ฐ์ดํฐ๊ฐ ๋ค์ด๊ฐ
โข Undo์ ๋ฐ์ดํฐ๊ฐ ๋ชจ๋ 0์ด๋ฉด ์๋ก์ด ํ์ผ ๋ด์ฉ ์์ฑ, ๊ทธ๋ ์ง ์์ผ๋ฉด ํ์ผ ๋ด์ฉ ์์
ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
Current LSN
Previous LSN
Redo Op
Undo Op
Redo Data
Undo Data
Record Offset
Attr Offset
forensicinsight.org Page 36 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Resident File ํ์ผ ๋ฐ์ดํฐ ์์
โข Undo ์ ๋ฐ์ดํฐ๊ฐ ์์
Undo์ ๋ฐ์ดํฐ๊ฐ ์์ ์ ์ ๋ด์ฉ
Redo์ ๋ฐ์ดํฐ๊ฐ ์์ ํ์ ๋ด์ฉ
ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
Current LSN
Previous LSN
Redo Op
Undo Op
Redo Data
Undo Data
Record Offset
Attr Offset
forensicinsight.org Page 37 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
๋์ ํ์ผ ์ฐพ๊ธฐ
โข Update Resident Value ์์ ์ Target LCN, MFT Cluster Index ๊ฐ๊ณผ Initialize File Record Segment ์์ ์
Target LCN, MFT Cluster Index ๊ฐ์ ๋น๊ต
โข ๊ฐ์ Target LCN, MFT Cluster Index ๊ฐ์ ๊ฐ์ง๊ณ ์์ผ๋ฉด Initialize File Record Segment ์์ ์ ํตํด ์์ฑ๋
ํ์ผ์ ๋ด์ฉ์ ์์ฑ/์์ ํ ๊ฒ์ด๋ผ ๋ณผ ์ ์์
ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
forensicinsight.org Page 38 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Non Resident ๋ด์ฉ/์์ฑ ์์ ์ด๋ฒคํธ
โข Non Resident ํ์ผ์ ๊ฒฝ์ฐ, ์ค์ ํ์ผ์ ๋ด์ฉ์ด ์ธ๋ถ ํด๋ฌ์คํฐ์ ์ ์ฅ๋จ
0x09/0x09(Update Mapping Pairs/Update Mapping Pairs) ์์ ์ ํตํด ๋ฐ์ดํฐ ์์ฑ ์์น๋ฅผ ํ์ธ ํ ์ ์์
Attr Offset์ด 0x40 ์ผ ๊ฒฝ์ฐ, Cluster Run ์์ฑ ๋ด์ฉ์ Redo/Undo ๋ฐ์ดํฐ์์ ํ๋ํ ์ ์์(0x41์ผ ๊ฒฝ์ฐ, ํ์ธ ๋ถ๊ฐ)
Redo/Undo ์์ ์ ๋ฐ์ดํฐ๋ Cluster Run ์์ฑ ๋ด์ฉ์
์๋์ ๊ฒฝ์ฐ, 0x26๋ฒ์งธ ํด๋ฌ์คํฐ๋ถํฐ 2ํด๋ฌ์คํฐ๊ฐ ์ฌ์ฉ๋์์
ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
Current LSN
Previous LSN
Redo Op
Undo Op
Redo Data
Undo Data
Record Offset
Attr Offset
forensicinsight.org Page 39 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Non Resident ํ์ผ ์์ฑ์, ํด๋น ํ์ผ์ ๋ฐ์ดํฐ ์์น ํ์ ํ๊ธฐ
โข Resident ํ์ผ ๋ด์ฉ ์์ฑ์ ๊ฒฝ์ฐ์ ๋ง์ฐฌ๊ฐ์ง๋ก Target LCN, MFT Cluster Index ๋น๊ต๋ฅผ ํตํด ๋ฐ์ดํฐ๊ฐ ์์ฑ๋๋ ํ์ผ์ ์ฐพ์ ์ ์์
โข ์ผ๋ฐ์ ์ผ๋ก ํ์ผ ์์ฑ ์ด๋ฒคํธ ๋ค์์ ๋ฐ๋ก ์ค๋ Update Mapping Pairs ์์ ์ด ์์ฑํ ํ์ผ์ ๋ฐ์ดํฐ ์ฐ๊ธฐ ์์ ์
โข Non Resident ํ์ผ ์์ฑ์, ๋ฐ์ดํฐ ์์ฑ ์ด๋ฒคํธ
1. 0x06/0x05(Delete Attribute/Create Attribute)
2. 0x05/0x06(Create Attribute/Delete Attribute)
3. 0x15/0x16(Set Bits In Nonresident Bit Map/Clear Bits In Nonresident Bit Map)
4. 0x0B/0X0B(Set New Attribute Sizes/ Set New Attribute Sizes)
5. 0X09/0X09(Update Mapping Pairs/ Update Mapping Pairs)
6. 0x0B/0X0B(Set New Attribute Sizes/ Set New Attribute Sizes)
7. 0X1B/0X01(Forget Transaction/Compensation Log Record)
ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
forensicinsight.org Page 40 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์ - ํ์ผ ์์ฑ ์ด๋ฒคํธ
- ํ์ผ ์ญ์ ์ด๋ฒคํธ
- ํ์ผ ๋ฐ์ดํฐ ์์ฑ/์์ ์ด๋ฒคํธ
- ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ
forensicinsight.org Page 41 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
ํ์ผ๋ช ๋ณ๊ฒฝ ์, ์ผ์ด๋๋ ์์
โข ์ธ๋ฑ์ค ์ญ์ , ์ถ๊ฐ ์์
โข $FILE_NAME ์์ฑ ์ญ์ , ์ถ๊ฐ ์์
Record Offset ์ด 0x98, Attr Offset ์ด 0x00 ์ธ Delete Attribute์ Create Attribute ์์ ์ด ์ฐ์์ ์ผ๋ก ์ค๋ฉด ํ์ผ๋ช ๋ณ๊ฒฝ ์ผ๋ฐ์ ์ผ๋ก $FILE_NAME ์์ฑ์ MFT ๋ ์ฝ๋์์ 0x98 ์์น์ ์์
๋ ์์ ์ Target LCN์ด ๋์ผํด์ผ ํจ
โข ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ ์์
1. 0x0F/0X0E(Delete Index Entry Allocation/Add Index Entry Allocation)
2. 0x06/0x05(Delete Attribute/Create Attribute)
3. 0x05/0x06(Create Attribute/Delete Attribute)
4. 0x0E/0x0F(Add Index Entry Allocation/Delete Index Entry Allocation)
5. 0x1B/0x01(Forget Transaction/Compensation Log Record)
ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ
forensicinsight.org Page 42 / 51
$LogFile ์ด๋ฒคํธ ๋ถ์
Delete Attribute(0x06) Create Attribute(0x05)
โข ๊ฐ ์์ ์ Redo Data ์์ ๋ณ๊ฒฝ ์ ํ์ผ๋ช ๊ณผ ๋ณ๊ฒฝ ํ ํ์ผ๋ช ์ ์ ์ ์์
ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ
Current LSN
Previous LSN
Redo Op
Undo Op
Target LCN
Redo Data
Record Offset
Attr Offset
forensicinsight.org Page 43 / 51
$LogFile Parser ๊ตฌํ
- ๋๊ตฌ ์ค๊ณ
- ๊ธฐ๋ฅ ์ค๋ช
forensicinsight.org Page 44 / 51
$LogFile Parser ๊ตฌํ
1. $MFT, $LogFile ์ ์ ๋ ฅ์ผ๋ก ๋ฐ์
2. $LogFile ์์ ๋ ์ฝ๋์ LSN๊ณผ $MFT์ ๋ ์ฝ๋์ LSN ๋น๊ตํ์ฌ ํ์ผ๋ช /์ ์ฒด ๊ฒฝ๋ก/์๊ฐ์ ๋ณด ํ๋
3. $LogFile ์์ ๋ ์ฝ๋ ํ์ฑ ์ค์ ์ป๋ Parent File Reference Address ๊ฐ์ $MFT ๋ชจ๋์ ๋๊ฒจ ์ ์ฒด ๊ฒฝ๋ก ํ๋
4. $LogFile ์์ ๋ ์ฝ๋๋ฅผ ํ์ฑํ์ฌ ํ์ผ ์์ฑ, ์ญ์ , ๋ฐ์ดํฐ ์์ฑ, ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ ํ๋
๋๊ตฌ ์ค๊ณ
forensicinsight.org Page 45 / 51
$LogFile Parser ๊ตฌํ - ๋๊ตฌ ์ค๊ณ
- ๊ธฐ๋ฅ ์ค๋ช
forensicinsight.org Page 46 / 51
$LogFile Parser ๊ตฌํ
ํ์ผ ์์ฑ ์ด๋ฒคํธ ์ถ๋ ฅ
โข Redo ์์ ๋ฐ์ดํฐ์์ ํ์ผ๋ช , ์์ฑ ์๊ฐ ํ๋
โข Redo ์์ ๋ฐ์ดํฐ์ Parent File Reference Address ๊ฐ์ $MFT ๋ชจ๋์ ๋๊ฒจ ์ ์ฒด ๊ฒฝ๋ก ํ๋
ํ์ผ ์ญ์ ์ด๋ฒคํธ ์ถ๋ ฅ
โข Undo ์์ ๋ฐ์ดํฐ์์ ํ์ผ๋ช ํ๋
โข Undo ์์ ๋ฐ์ดํฐ์ Parent File Reference Address ๊ฐ์ $MFT ๋ชจ๋์ ๋๊ฒจ ์ ์ฒด ๊ฒฝ๋ก ํ๋
โข ์ญ์ ์๊ฐ์ ์ ์ ์์ ( ์ ๋ค ์ด๋ฒคํธ ๋ฐ์ ์๊ฐ์ ํตํด ๋๋ต์ ์ธ ์ญ์ ์๊ฐ ์ ์ถ)
๊ธฐ๋ฅ ์ค๋ช
forensicinsight.org Page 47 / 51
$LogFile Parser ๊ตฌํ
ํ์ผ ๋ฐ์ดํฐ ์์ฑ ์ด๋ฒคํธ ์ถ๋ ฅ
โข Resident ํ์ผ ๋ฐ์ดํฐ ์์ฑ ์ด๋ฒคํธ
์์ฑ๋ ํ์ผ ๋ฐ์ดํฐ์ $LogFile ํ์ผ ๋ด Offset ๊ฐ์ ์ถ๋ ฅ(์ถํ์ ํฅ์ฌ๊ฐ ์ถ๋ ฅ์ผ๋ก ์ ๋ฐ์ดํธ)
์ผ๋ฐ์ ์ผ๋ก ์์ฑ ์ด๋ฒคํธ ๋ฐ๋ก ๋ค์ ๋ฐ์ดํฐ ์์ฑ ์ด๋ฒคํธ๊ฐ ๋ฐ๋ผ์ ๋์ด
โข Non-Resident ํ์ผ ๋ฐ์ดํฐ ์์ฑ ์ด๋ฒคํธ
ํ์ผ ๋ฐ์ดํฐ ์์ฑ๋ LCN ๊ฐ ์ถ๋ ฅ
์ผ๋ฐ์ ์ผ๋ก๋ ์์ฑ ์ด๋ฒคํธ ๋ฐ๋ก ๋ค์ ๋ฐ์ดํฐ ์์ฑ ์ด๋ฒคํธ๊ฐ ๋ฐ๋ผ์ ๋์ด
๊ธฐ๋ฅ ์ค๋ช
forensicinsight.org Page 48 / 51
$LogFile Parser ๊ตฌํ
ํ์ผ๋ช ๋ณ๊ฒฝ ์ด๋ฒคํธ ์ถ๋ ฅ
โข ๋ณ๊ฒฝ ์ ํ์ผ๋ช ๊ณผ ๋ณ๊ฒฝ ํ ํ์ผ๋ช ์ถ๋ ฅ
โข MFT Modified Time์ ํตํด ํ์ผ๋ช ๋ณ๊ฒฝ ์๊ฐ ํ๋
ํค์๋ ๊ฒ์
โข ์ํ๋ ํค์๋๊ฐ ํฌํจ๋ ์ด๋ฒคํธ๋ง ํํฐ๋ง
โข ํํฐ๋ง ์
โ.exeโ or โ.dllโ or โ.sysโ PE ํ์ผ ํ์ ๋ถ์์ ํ์ฉ
โ.lnkโ ๋ฌธ์ ์ด๋ ํ์ ์ถ์ ์ ํ์ฉ
โ.pfโ PE ํ์ผ ์คํ ํ์ ์ถ์ ์ ํ์ฉ
๊ธฐ๋ฅ ์ค๋ช
forensicinsight.org Page 49 / 51
๊ฒฐ๋ก
forensicinsight.org Page 50 / 51
๊ฒฐ๋ก
NTFS ์์ ํ์คํ ๋ฆฌ ์ถ์
โข ํ์ผ/๋๋ ํ ๋ฆฌ ์์ฑ, ์ญ์ , ์ด๋ฆ ๋ณ๊ฒฝ, MFT ์์ ์์ ์ ํ์๋ผ์ธ ์์ฑ
MFT ์์ ๋ฐ๊ฒฌํ์ง ๋ชปํ ์ญ์ ๋ ํ์ผ ํ์ ์ถ์
โข ์ญ์ ๋ ํ์ผ์ MFT๊ฐ ๋ฎ์ฌ์ก์ ๊ฒฝ์ฐ๋ผ๋ $LogFile ์๋ ์ญ์ ๊ธฐ๋ก์ด ๋จ์ ์์
โข Resident ํ์ผ์ ๊ฒฝ์ฐ, ํ์ผ ๋ฐ์ดํฐ ํ์ธ ๊ฐ๋ฅ
โข Non-Resident ํ์ผ์ ๊ฒฝ์ฐ, ํ์ผ ๋ฐ์ดํฐ๊ฐ ์์ฑ๋ ํด๋ฌ์คํฐ ์์น ํ์ธ ๊ฐ๋ฅ
๋ฌธ์ ํ์ผ ์ด๋ ํ์ , PE ํ์ผ ์คํ ๋ฐ ์์ฑ/์ญ์ ํ์ ์ถ์ ์ ํ์ฉ
$LogFile์ ํฌ๋ ์์ ์๋ฏธ
forensicinsight.org Page 51 / 51
์ง๋ฌธ ๋ฐ ๋ต๋ณ
Recommended