<FAT 32 파티션 인식을 위한 최소 조건>
Bytes per Sector : 1섹터 당 byte 크기
Sector Per Cluster : 1클러스터 당 Sector 개수
Reserved Sector Count : 예약섹터 개수
Number of FAT : FAT 개수
Media type : 저장매체 타입
FAT Size 32 : FAT 1개 영역 섹터 개수
Root Directory Cluster : 루트 디렉토리의 클러스터 개수
7개 영역을 채워넣으면 된다.
[구하는 방법]
Bytes per Sector은 일반적으로 512byte (0x0200)
Sector Per Cluster은 파티션의 크기를 통해 유추 가능하다.(계산 필요)
Reserved Sector Count은 FAT영역 섹터를 검색을 통해 찾은 다음 BR 위치 섹터를 빼서 계산(계산필요)
Number of FAT은 일반적으로 2개이다.(0x02)
Media type은 플로피디스크를 제외하면 일반적으로 0xF8(고정된 저장매체를 의미한다)(0xF8)
FAT Size 32는 FAT2 섹터에서 FAT1 섹터 값을 빼서 계산한다(계산필요)
Root Directory Cluster는 일반적으로 2개이다.(0x00000002)
Sector Per Cluster구하는 방법 예시
ex) 파티션 테이블의 파티션 총 섹터 개수(0x3FE800)
0x3FE800(4,188,160) * 512(Sector) = 2,144,337,920 bytes
2,144,337,920 bytes / 1024 /1024 /1024 = 2GB
Reserved Sector Count 구하는 법 예시
F8 FF FF 0F FF FF FF FF(FAT 영역의 앞부분 데이터를 검색) => FAT 영역을 찾은 뒤(ex. 8362섹터),
FAT1 -BR계산 => 8362 -128 = 8234 섹터 (0x202A)
FAT Size 32구하는 법
FAT 1영역의 앞 부분을 검색하여 찾은 뒤, FAT2영역을 찾고 FAT2 - FAT1 계산
=> ex. 12,437 - 8,362 = 4,075(0x0FEB)
이후 BR에 영역을 맞춰서 각 데이터를 넣으면 파티션이 인식될 수 있다. 그러나 부팅은 불가능하다.
NTFS도 백업이 존재하지 않을 때 이처럼 하면 된다.
그건 나중에....
'STUDY > Forensic' 카테고리의 다른 글
윈도우 아티펙트 2 (0) | 2021.11.17 |
---|---|
윈도우 아티펙트 (2) | 2021.11.10 |
NTFS File Recovery (0) | 2020.08.04 |
NTFS File System - VBR (0) | 2020.07.20 |
File System - MBR (0) | 2020.07.20 |