윈도우 포렌식 도구 사용법 | FTK Imager

( 참조 : m.blog.naver.com/PostView.nhn?blogId=bitnang&logNo=70175434418&proxyReferer=https:%2F%2Fwww.google.com%2F ,

tutto-forensic.tistory.com/1 )

 

포렌식 작업에서 발생할 수 있는 사고 방지를 위해 미디어 이미지를 복제하는 데 사용함

 

· CTF에서 주어지는 파일 종류

 - Virtual Hard disk(*.vhd)

 - Raw (*.001, *.raw, *.img)

 - VMWare Images(*.vmdk)

 - VirtualBox images(*.vdi)

 - AccessData Logical Image Fiels(*.ad1)

 ☞ FTK Imager을 통해 이미지 파일을 읽어 파일 추출/ 확인하는 데 사용

 

 

▷ 사용방법

 

1) 다운로드·설치

 - FTK Imager 3.1.2(32bit) : https://ad-exe.s3.amazonaws.com/AccessData%20FTK%20Imager.exe

 - FTK Imager 4.3.0(64bit) : https://drive.google.com/open?id=1lCQKrYtmesFRqEDFjSW5qv5s3KfFmTJG

 

 프로그램을 다운로드 후 설치한다.

프로그램 첫 화면

 

 

 

2) 파일 올리기

 File - Add Evidence Item 을 클릭한다.

 연결되어 있는 장치 분석 - Physicla Drive , Logical Drive

 이미지 파일 분석 - Image File

 

 실제 USB장치를 이용할 것이기 때문에

 Physical Drive를 선택한다.

 

 USB로 설정을 완료하고나면 \\.\PHYSICALDRIVE1 가 생기고

 Partition 1 - NONAME - [root] 를 들어가보면

 내가 삭제했던 파일들이 X가 표시된 채로 보인다.

 

3) 삭제된 파일 복구

 복구하고 싶은 파일을 우클릭해 Export Fiels를 누르면

 파일을 원하는 곳에 복구시킬 수 있다.

복구된 이미지 파일