본문 바로가기

[+] Forensic

Memory Analysis (6) 메모리 분석에서 가장 중요한 기초지식인 메모리 구조에 대해서 알아볼 것이다. 원래는 처음부터 다뤘어야 하는 부분이지만, 내가 보는 책의 순서가 이러한 점도 있고 또 앞의 내용들과는 깊이 관련되지 않은 내용이기 때문에 지금 다루게 되었다. 특히 이번에 알아 볼 것은 가상 메모리의 구조이다. 가상메모리가 무엇인지 일단 알아야 하기 때문에 아래에 정의를 적어두었다. [가상메모리 정의] 가상메모리란 물리적인 실체를 가지고 있지 않은 메모리를 말하며, OS가 만들어낸 논리적인 형태의 메모리를 뜻한다. 가상 메모리에 저장된 데이터라고 해서 가상으로 저장할 수는 없으며, 가상 메모리의 데이터는 물리메모리나 하드 드라이브에 저장된다. 가상 메모리는 VAS라는 것을 OS로부터 할당받는다. * VAS(Virtual Add.. 더보기
Memory Analysis (5) 이번에는 마지막 방법인 하이버네이션에 대해 알아보겠다. [Hibernation 정의] 시스템에 일정시간이 지나도 아무런 입력이 없을 때 OS가 모든 메모리 데이터를 하드 드라이브에 기록하고 시스템 구동에 필요한 최소전원공급만을 남겨둔 채 필요 없는 전원을 차단하는 기능이다. 이 기능의 목적은 효율적인 전원 관리이다. 정의를 읽어보면 우리가 알고 있는 컴퓨터의 Sleep mode과 많이 유사하다는 것을 알 수 있다. 하지만, 이 두 기능은 분명한 차이가 있는데 그 차이는 다음과 같이 설명 할 수 있다. [슬립기능과 하이버네이션의 차이] 1. Sleep mode - 해당 기능은 메모리의 데이터가 손실되지 않도록 계속 전원을 공급하는 방식이다. 2. 하이버네이션 - 해당 기능은 메모리의 데이터를 하드 드라이브.. 더보기
Memory Analysis (4) 이번에는 크래시 덤프에 대해서 알아보도록 하겠다. [Crash dump 정의] OS가 시스템을 유지하기 힘들정도로 심각한 문제가 발생하였을 때 문제의 원인을 찾기 위해 생성하는 메모리 덤프를 말한다. 예를 들면 흔히들 WIn 98에서 본 블루스크린이 있다. 정의를 알아봤으니 이젠 크래시 덤프의 장단점을 짚어보고 다음것을 알아보도록 하자. [크래시 덤프의 장단점] 1. 장점 - 모든 메모리 덤프 중에서 가장 순수한 메모리 덤프를 얻을 수 있음. - 키보드 시퀀스에 의한 강제 메모리 덤프는 Ctrl + Alt + Delete 키 시퀀스가 동작하지 않는 상황에서조차 사용할 수 있음. 2. 단점 - 메모리 덤프를 만들기 위한 조건이 까다롭고 언제나 풀 크래스 덤프를 만들 수 있는 것도 아님. - 사전에 이미 레.. 더보기
Memory Analysis (3) 이번에는 메모리 덤프 방법 중 소프트웨어를 이용한 덤프 방법을 알아볼 것이다. 종류를 알아보기 전 소프트웨어를 이용한 메모리 덤프의 장단점을 알아보자. [소프트웨어를 이용한 메모리 덤프의 장단점] 1. 장점 - 메모리 덤프를 하기 위해 추가적인 장비가 필요하지 않음. - 상용 도구와 크게 다르지 않은 성능을 가지고 있는 공개 도구들이 있음. - 상용 제품들은 원격에 있는 컴퓨터에서도 메모리 덤프를 수집할 수 있음. 2. 단점 - 커널 레벨 루트킷과 악성 프로그램에 매우 취약함. - OS의 종류와 버전에 따라 사용할 수 있느 도구에 제약을 받음. - 수집하는 메모리에 자신의 흔적을 남김. 위의 내용에서 보았듯이 소프트웨어를 이용한 메모리 덤프에도 장단점이 존재한다. 하드웨어를 이용한 메모리 덤프는 얻어지는.. 더보기
HardDisk 구조 * 메모리 분석을 공부하다 갑자기 하드디스크 구조에 대해서 포스팅 하는 이유는 포렌식 중 Disk 포렌식이 있는데 이것을 공부하려면 하드디스크 구조를 공부해야 한다. 이 이유가 갑자기 떠올라 마음잡혔을 때 공부하고자 이렇게 포스팅 하게 되었다. 하드디스크란 일반적인 용어의미로는 비휘발성의 보조기억장치라고 설명 할 수 있다. 구조는 아래 이미지와 같다. [그림 1 - 하드디스크 구조] 각 부위에 대한 설명은 다음과 같다. [하드디스크 구조] - Platter(플래터) : 위 그림에 원판으로 된 부분이며, 데이터가 기록되는 부분이다. 플래터는 금속재질로, 데이터를 기록하기 위하여 산화철등의 자성체로 양면 코딩되어 있다. 하드디스크에는 한개 또는 그 이상의 플래터들이 부착 될 수 있지만 많이 부착되면 될수록 .. 더보기

티스토리툴바