인프런 영문 브랜드 로고
인프런 영문 브랜드 로고

인프런 커뮤니티 질문&답변

Taker님의 프로필 이미지

작성한 질문수

디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)

[공통]MBR 분석

MBR 분석 강의에서 궁금증이 있어서 질문드립니다^^

해결된 질문

작성

·

116

0

강의 35:00 이후에 MBR 파티션 테이블 구성중에 Starting LBA Addr 설명 해주시면서 데이터가 [ 00 08 00 00 ] 인데 이게 128번 섹터를 가리킨다라고 하셨는데 0x800 은 2048번 섹터인거 같은데 제꺼 USB로 실습할때도 제 데이터는 [ 38 00 00 00 ] 이였어서 0x38 = 56번 섹터 → 56 * 512 = 28,672 = 0x7000 해서 HxD 에서 0x7000 으로 이동하니깐 BR로 보이는 데이터가 나왔거든요! 그래서 2048번 섹터가 맞는거 같은데 제가 잘못이해한건지 아님 다른 이유가 있어서 128번 섹터가 되는건지 궁금합니다

답변 2

1

nstyxn님의 프로필 이미지
nstyxn
지식공유자

안녕하세요 Taker님!

[공통]MBR분석 강의영상의 35:00경에서 설명하는 Starting LBA Addr 부분에서
MBR의 해당 부분은 [00 08 00 00]으로 이를 10진수로 변환하면 말씀하신것처럼 [2048]이 맞습니다!

저도 해당 강의 영상을 다시 한번 확인해봤는데,
MBR 예시화면에서 확인한 Starting LBA Addr는 [00 08 00 00]인데 비해
바로 이어서 starting LBA Addr에 대한 설명 과정에서 '1번 파티션의 시작섹터는 128번이다'
는 내용은 해당 MBR의 파티션 테이블 예시화면에 대한 내용이 아니라 이해를 돕기 위해서 '앞에서 설명하면서 예로 들었던 '1번 파티션의 시작섹터는 128번 섹터이다(영상 23:07)'라는 내용을 의미한것으로 예시화면의 [00 08 00 00]을 변환한 값을 의미한 것은 아닙니다.

그런데 말씀하신것처럼 이제와서 생각해보니 조금 오해의 소지가 있긴 한 것 같습니다 죄송합니다 ㅜ_ㅜ

 

그와 별개로 하나 질문드리고 싶은게 있는데,
가지고 계신 USB로 연습하셨다는 내용중에

제 데이터는 [ 38 00 00 00 ] 이였어서 0x38 = 56번 섹터 → 56 * 512 = 28,672 = 0x7000 해서 HxD 에서 0x7000 으로 이동하니깐 BR로 보이는 데이터

위 말씀이, [38 00 00 00]은 MBR 파티션 테이블에서 확인한 특정 파티션의 시작섹터값으로 보이고,
56번 섹터는 [38 00 00 00]을 10진수로 변환한 값으로 보입니다.
그렇다면 해당 해당 파티션의 시작섹터(BR)는 56번 섹터인것을 확인했는데,
뒤에 말씀해주신 56 *512 = 28672 = 0x7000 라는 말씀은 해당 파티션의 시작섹터이고,
그렇게 찾아간 섹터에서 BR로 보이는 데이터를 확인하셨다는 말씀이실까요?

아닐수도 있지만 제 추측에는 HxD에서 섹터 이동시에 [찾기-이동(ctrl+G] 기능을 이용해서
16진수 오프셋값으로 직접 이동하셨을까요?
만약 그렇게 하신거라면, 물론 그 방법도 있지만 조금 더 편한 방법이 있습니다.

우선 앞에서 본것처럼 Starting LBA Addr가 [00 08 00 00]일 경우
① 16진수를 10진수로 변환 : [00 08 00 00] > 2048 (파티션의 시작섹터 번호)
② HxD에서 우측 상단의 [섹터]에 이동하고자하는 섹터번호 입력

image.png

위와 같은 방법으로 하실수도 있으며, 이렇게 이동하시는것이 훨씬 편하실것 같습니다.

파티션 테이블에서 시작섹터를 확인후에 섹터당 용량을 곱해서(예: 512) 나온 값(용량)을
다시 16진수로 변환하여 offset를 찾는 방법도 있지만, 단순히 섹터 이동 목적이라면
위와 같은 방법으로 하시는것을 추천드립니다!
(아시겠지만 혹시나해서 설명드렸어요 ~ :)

Taker님의 프로필 이미지
Taker
질문자

안녕하세요 강사님>ㅁ<!! 우선 제가 질문드린 내용은 제가 한 강의를 3번에 걸쳐서 나눠듣다보니 잘못이해했던거였습니다!! 강의 뒷부분에 128섹터 얘기가 나오는데 그때 MBR에 Starting LBA Addr 은 [ 80 00 00 00 ] 이였는데 저는 앞에서 나온 예시가 다 같은예시인줄 알고 혼자 혼동이왔었습니다ㅎㅎ 그래도 덕분에 이제 확실하게 이해됐습니다>ㅁ<!!

안그래도 구글에 검색해보니깐 Ctrl + G 를 누르면 섹터를 입력할 수 있다해서 눌러봤는데 저는 섹터입력창이 없길래 오프셋값을 구해서 이동해본건데 강사님이 캡쳐해주신거 보니깐 제꺼에는 섹터가 없길래 마우스우클릭했더니 탐색기탭이 꺼져있더라구요!! 알려주셔서 감사합니다!! 제가 완전 초보여서 다 모르고 있던 내용이였어요!! 답변 감사드립니다>ㅁ<!!

 

아ㅇㅁㅇ? 파일열때 디스크 이미지 열기를 해야 섹터를 볼 수 있는거네요!! 하나 또 배워갑니다>ㅁ<!!

0

인프런 AI 인턴님의 프로필 이미지

안녕하세요, 인프런 AI 인턴입니다. Taker님, 질문 주셔서 감사합니다.

MBR(Master Boot Record)과 관련된 파티션 테이블의 Starting LBA(Logical Block Addressing) Address는 실제로 해당 파티션이 시작되는 물리적인 섹터 주소를 가리킵니다. 강의에서 언급된 예시와 Taker님이 진행한 실습의 값을 비교하여 몇 가지 혼란스러운 부분을 정리해 드리겠습니다.

  1. LBA 기본 이해:

    • LBA는 하드 디스크의 논리적인 섹터 주소를 의미하며, 논리 블록 주소를 통해 데이터의 시작 섹터를 표기합니다.
  2. Starting LBA Address 이해:

    • 예를 들어, Starting LBA가 0x800이라면, 이는 16진수 0x800을 계산하여 십진수로 변환한 2048번 섹터를 의미합니다.
    • 실제 계산 시, 각 바이트를 빅 엔디안에서 리틀 엔디안으로 변환해야 한다는 점을 반드시 기억하셔야 합니다.
  3. 강의 내용 혼동:

    • 강의에서 128번 섹터라고 언급된 부분은 아마도 예시 객체의 특정 섹터 값을 설명하는 과정에서 착오가 있을 수 있으니 이 점은 강의 자료나 추가 설명을 참고하시는 것도 좋습니다.
    • 보통 USB나 디스크에서의 MBR 파티션 테이블은 0번 섹터에서 시작해 BR(Boot Record)을 가리키는 starting address가 설정됩니다.
  4. 실습 확인:

    • Taker님 실습에서 0x38은 리틀 엔디안 형태로 적힌 값으로 0x38이 리틀 엔디안으로 저장되어 있는 것을 다시 읽을 때는 올바르게 해석하게 됩니다. 따라서 실제로 56번 섹터를 가리킨 것이 맞습니다.

이 점들을 바탕으로 문제의 본질에 대해 재확인하시면, 이해에 큰 도움이 되실 것 같습니다.

아울러, 기존 관련 질문에서도 유사한 논의가 이루어진 바 있으므로 관련 정보는 여기에서 참고하시면 좋습니다.

저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다. 현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏 추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.

Taker님의 프로필 이미지

작성한 질문수

질문하기