본문 바로가기

[+] Forensic

File System - HFS+ (5)

이번 글에서는 Attributes File 영역과 Startup File 영역에 대해서 알아 볼 것이다.

[Attributes File]
해당 영역은 카탈로그 파일의 속성 정보를 담고 있는 영역으로 b-tree 구조에서 노드의 크기 등을 정의하고 있는 영역이다.
해당 영역은 세 가지의 레코드 타입을 가지는데 이 레코드 타입들에 따라 길이가 달라지는 가변길이특징을 지니고 있다. 또 특이한 점은 해당 영역이 없어도 된다는 점이다. 아래는 해당 영역의 레코드 타입들이다.

[그림 1 - 레코드 타입 목록]

 - 노드 속성 : b-tree 노드들에 해당하는 속성 레코드 타입이다.

[그림 2 - 노드 속성 구조]

 - extents 기반의 속성 : fork 구조체로 정의되며 extents overflow file 영역의 노드 정보가 정의되어 있다.

[그림 3 - Extents 기반의 속성 구조]

 - 확장 속성 : 해당 타입은 별다른 것은 없고 속성의 크기만 더 늘려주는 타입이다.

[그림 4 - 확장 속성 구조]

[Startup File]
해당 영역은 부팅을 위해 사용되는 영역으로 HFS+ 부팅에 필요한 정보가 저장 되어 있다. 이러한 정보들로 부트 로더는 HFS+ 에 대한 레이아웃등 아무런 정보가 제공되지 않아도 해당 영역만을 참조하여 부팅을 수행한다.


 * 참고 : Mac OS X는 해당 영역을 참조하지 않고 HFS Wrapper 영역을 참조하여 부팅한다.



'[+] Forensic' 카테고리의 다른 글

디지털 포렌식과 하둡에 관한 고찰  (0) 2012.04.09
이메일 헤더 분석  (0) 2012.04.02
File System - HFS+ (5)  (0) 2012.03.24
File System - HFS+ (4)  (0) 2012.03.23
File System - HFS+ (3)  (0) 2012.03.23