【 포렌식 VBR 뜻 】
포렌식에서 VBR은 보통 Volume Boot Record의 약자
# VBR = MBR
( 512G )
# 볼륨 부트 레코드
# 파티션 부트 섹터
# VBR은 각 파티션의 맨 앞부분에 위치하며, 해당 파티션의 파일시스템을 읽고 운영체제를 부팅하는 데 필요한 정보를 담고 있다.
# 예를 들어 VBR에는 이런 정보가 들어갈 수 있음.
┗ 파일시스템 종류
┗ 섹터 크기
┗ 클러스터 크기
┗ FAT 또는 MFT 위치
┗ 파티션 크기
┗ 부트 코드
┗ 볼륨 식별 정보
# 파일시스템별로 보면
→ FAT16 / FAT32 → FAT 구조 및 루트 디렉터리 위치 정보
→ NTFS → $MFT 위치, 클러스터 크기, NTFS 부트 정보
→ exFAT → FAT 및 클러스터 힙 위치 정보
→ MBR과 VBR 차이
→ MBR
→ 디스크 전체의 첫 번째 섹터
→ 파티션 테이블과 부트 코드 보관
VBR
→ 각 파티션의 첫 번째 섹터
→ 해당 파티션의 파일시스템과 부팅 정보 보관
구조로 보면 물리 디스크
├── MBR 또는 GPT
├── 파티션 1
│ └── VBR
├── 파티션 2
│ └── VBR
└── 파티션 3
└── VBR
# 포렌식에서 VBR을 확인하는 이유 VBR을 분석하면 다음을 확인할 수 있음.
→ 파티션이 어떤 파일시스템인지
→ 클러스터 크기가 얼마인지
→ MFT 또는 FAT가 어디에 있는지
→ 부트 영역이 변조되었는지
→ 파티션 정보가 손상되었는지
→ 삭제되거나 숨겨진 파티션인지
# 예를 들어 NTFS VBR에서 중요한 항목은
→ OEM ID
→ Bytes Per Sector
→ Sectors Per Cluster
→ Total Sectors
→ $MFT 시작 클러스터
→ $MFTMirr 시작 클러스터
→ Boot Signature
이 노트는 로그인하지 않아도
열람할 수 있습니다.
작성·수정·삭제는
관리자 로그인
후 가능합니다.