인프런 커뮤니티 질문&답변

안녕하세요 Kekemon님!

네. 정상적으로 복구 하신것 같습니다 ! 복구하실때 Br 백업본의 위치가 251,903번 섹터를 복사하신게 맞죠?(올려주신 스크린샷에서 클러스터 수 등을 봤을때는 맞는것 같습니다)

그렇게 해주시면 되는데, 한가지 추가로 설명을 드리면,

'NTFS '으로 검색을 했을때 그나마 백업으로 보이는 섹터가 3개가 있습니다.

1) 251,903 섹터
2) 381,275 섹터
3) 409,471 섹터

우선 1) 251,903 섹터가 BR의 백업본이여서 마지막에 설명하도록 하고요.

3) 409,471번 섹터를 복사해서 0번섹터에 붙여넣고 저장한 후에 FTK Imager에서 확인해보면

위와 같이 인식이 안되니 백업본이 아니라는 것을 바로 확인할 수 있습니다.

2) 그래서 381,275번 섹터를 복사해서 다시 0번섹터에 붙여넣고 저장한 후에 FTK Imager에서 확인해보면

정상적으로 접근이 가능하죠? 그런데 이 381,275번 섹터는 BR의 백업본이 아닙니다.
접근도 가능하고 안에 저장되어있는 파일들도 잘 보이고, 추출도 가능하지만요.

HxD로 381,275번 섹터를 다시 보면

섹터수를 알려주는 Total sector를 확인해보면
0x FF AB F1 34 00 00 00 00 이고 이걸 빅엔디언으로 순서를 바꾸면
00 00 00 00 34 F1 AB FF 이며, 10진수로 변환하면 888,253,439가 나옵니다.
섹터수가 888,253,439개 인데 섹터당 512bytes를 곱해서 용량을 확인해보면
무려 888253439 * 512 = 454,785,760,768 bytes = 약 423GB 가 나옵니다.
볼륨의 총 용량(가용용량이 아닌 예약영역등 우리가 사용할수 없는 곳까지 모두 합한 용량)이
423GB이고, FTK Imager에서 확인한 클러스터의 크기와 수를 계산해보면 가용용량을 확인할수 있는데 이 역시 4096 * 111031679 = 454,785,757,184 bytes = 약 423GB이고요.
뭔가 잘못됐죠?
이건 제가 total sector 값을 임의로 변경해놓아서 그러는건데, kekemon님이 올려주신 정상적으로 복구가 된 스크린샷에서 클러스터의 수와 클러스터의 크기를 가지고 가용용량을 구해보면

4096 * 31487 = 128,970,752 bytes = 약 122MB가 나오는데 이게 정상입니다.

BR 백업본을 검색할때 확인해야할것들이 몇가지 있었죠?
다 당연히 확인 하셨겠지만 한번 더 말씀드리면,

1) er NTFS 문자열이 섹터의 첫 줄에 와야하고
2) 문자열 중간이 00으로 채워져있지 않고 내용이 이어지면서 끝 부분 정도에 에러메세지가 있어야 하며
3) 해당 섹터의 마지막은 55 AA 로 끝나는 시그니처를 가지고 있어야합니다.
4) 마지막으로 위의 조건을 갖추어서 백업본으로 생각된다면, BR의 3번째줄 마지막 8자리(8 bytes)에 기록된 Total sector 값을 확인해서 섹터수가 몇개인지 확인 후, 섹터당 용량(대부분 512bytes이지만 혹시 모르니 ftk image에서 확인하세요~)을 곱해줬을때 나오는 총 용량이
납득 가능할만한 용량인지 꼭 확인해주세요.
위에 예로 말씀드린것 처럼 ftk imager에서 접근도 가능하고 정상적으로 나오는것 처럼 보여도 섹터수 자체가 잘못기재되어있다면 정상적으로 복구한게 아니니 이미지 파일의 용량과 비교해서 섹터수에 따른 용량도 비교해주시면 조금 더 정확하게 찾으실수 있을실거예요~

마지막으로, 질문 주시는것에 대해서 절대 부담갖지 않으셔도 됩니다!!

궁금한점이 있으면 물어보기 위해서 큰 비용을 들여서 수강하시는거니까요.

절대 부담갖지 마시고 언제든지 말씀해주시면 최대한 빠르게 답변 드릴게요 ~ :)

자세한 첨삭까지 감사합니다!!!

감사합니다 강사님!!!