Carving은 ‘조각하다’ 라는 의미로 정말 많고 많은 데이터 중에서 내가 필요한 부분만을 깎아내는 것을 말해요. 조금 더 기술적으로 말해보자면, 디스크의 비할당 영역에서 파일을 복구하는 기법을 의미합니다. 📂

컴퓨터의 디스크를 살펴보면, 실제로는 삭제되지 않았는데 삭제 표시만 되어 있는 경우가 종종 있어요. 또한 데이터들이 디스크에 조각난 상태로 존재하는 경우도 있고, 데이터의 일부가 손상되어 전부를 확인하지 못하는 경우도 존재하죠. 그러나 파일시스템은 이러한 데이터를 없는 데이터라고 생각해요. 할당되지 않은 영역으로 생각한다고 하여 ‘비할당 영역’이라고도 부릅니다. 비할당 영역으로부터 파일을 복구할 수 있는 기법을 바로 파일 카빙이라고 부릅니다!! 🧐

파일 카빙을 이용하면 삭제된 파일이나, 디스크 포맷 이전에 존재하던 파일들을 복구할 수 있어요. 그렇기 때문에 특히 범죄에 대한 증거를 수집하기에 아주 유용하겠죠!!! 실제로도 파일 카빙은 포렌식에서 아주 중요한 기술이랍니다 🥺

파일 카빙은 어떻게 할 수 있나요?

많은 유형의 파일이 있기 때문에 File Carving의 방법도 다양해요. 오늘은 가장 쉬운 카빙 방법인 파일 시그니처를 이용한 카빙을 알아보겠습니다! 🤓

[해키피디아] File Signature

파일 시그니처는 파일의 포맷(형식)을 식별할 수 있는 고유한 바이트로, 파일의 처음에 존재하는 시그니처를 헤더(Header), 마지막에 존재하는 시그니처를 푸터(Footer)라고 합니다.

예를 들어, JPEG 형식의 이미지 파일은 FFD8FFE0으로 시작하고 FFD9로 끝나기 때문에 단순한 검색만으로도 JPEG 파일을 식별하여 카빙할 수 있습니다. 즉, 디스크에서 삭제된 JPEG 파일을 구해낼 수 있는거죠.

간단한 파일 카빙, 한번 해볼까요! 😎

오늘은 헤더와 푸터 시그니처를 이용하여 이미지를 복구해보는 간단한 파일 카빙 기법에 대해 알아봤습니다. 저희가 사용한 방법은 간단하기는 하지만, 데이터의 크기가 클 경우에 정확도는 다소 떨어지는 방법이에요. 많은 포렌식 도구들에서는 파일 카빙의 정확도를 높이기 위해서 여러 방법들을 연구하고 있답니다. 🤩

오늘 같이 알아본 디지털 포렌식 기법, 재미있으셨나요? 다음 주에는 더 재미있는 해킹 알려줄게로 돌아올게요. 안녕~ 😈