[NONamed] 우리 이제 그만하자

 

처음에 ftk imager로 열었는데 손상이 되었다고 나왔다.

어떻게 해야할 지 몰랐다.

풀이도 안나오고...

 

그러다가 아래와 같은 게시글을 확인했다.

https://weekhack.tistory.com/51

NTFS - 손상된 NTFS VBR(Volume Boot Record) 복구

 

이 글에서의 이미지 파일은 hxd로 열면 MBR 영역부터 나와있는데 이 문제에서 주어진 파일은 VBR부터 나와있는 것 같다.

 

어디가 손상되었는지 바로 파악하지 못했다.

그런데 마지막 섹터에 백업본이 있다는 것을 알게 되었다.

원래는 아래와 같이 구하는 게 맞는 것 같은데 이번엔 hxd에서 첫 세 바이트로 검색해보니까 바로 맨 마지막 섹터를 찾아내어 백업본이라는 것을 바로 확인할 수 있었다. 

 

https://s0ng.tistory.com/entry/%EB%94%94%EC%8A%A4%ED%81%AC-%ED%8F%AC%EB%A0%8C%EC%8B%9D-NTFS-%ED%8C%8C%ED%8B%B0%EC%85%98-%EB%B3%B5%EA%B5%AC

[디스크 포렌식] NTFS 파티션 복구

 

이 백업본을 첫 번째 섹터에 덮어쓴다. 

그리고 001 파일로 저장하고 ftk imager로 열어보면 다음과 같이 발견할 수 있다. 이 파일을 export하면 인코딩된 스트링을 확인할 수 있다. 

 

 

 

SWING{N3w_TeCHnoloGY_F1Le_SysT3M}