☰

디스크(DVD)가 언제 기록/구웠는지 어떻게 알 수 있나요?

tag-icon • tag-icon security dvd compact-disc burning forensics
디스크(DVD)가 언제 기록/구웠는지 어떻게 알 수 있나요?

디스크가 기록/구워진 날짜와 시간을 확실하게 확인할 수 있는 방법/도구가 있습니까? 이는 데이터 포렌식에 관한 것이며 확실한 증거가 되어야 합니다. 이미 IsoBuster를 사용해 보았지만 트랙이 작성된 날짜/시간이 표시되지 않았습니다.

답변1

대부분의 광데이터 디스크는ISO 9660파일 시스템 표준정보교환을 위한 CD-ROM의 볼륨과 파일구조,범용 디스크 형식 사양또는 둘 다(라고 함)UDF 브리지).

어느 것을 알아 보려면 다음을 실행할 수 있습니다.

mount

Linux에서는 광 디스크 드라이브의 장치 파일을 식별하기 위해 디스크를 마운트한 후.

예제 출력:

/dev/sr0 /media/dennis/CDROM iso9660 ro,nosuid,nodev,uid=1000,gid=1000,iocharset=utf8,mode=0400,dmode=0500,uhelper=udisks2 0 0

여기서 장치 파일은 /dev/sr0. 명령

disktype /dev/sr0

사용 가능한 파일 시스템이 표시됩니다. 둘 다 존재한다면 ISO 9660을 분석하는 것이 더 쉬울 것입니다.

ISO 9660

표준은 필드를 지정합니다볼륨 생성 날짜 및 시간볼륨이 생성된 순간을 숫자로 표현한 것으로, 814번째부터 830번째 바이트까지 기록됩니다.기본 볼륨 설명자다음 형식으로:

YYYYMMDDHHMMSSCCO

어디CC100분의 1초이고영형는 15분 간격의 GMT로부터의 오프셋으로, 8비트 정수로 저장됩니다(2의 보수 표현).

디스크의 처음 32KiB(32,768바이트)는 ISO 9660에서 사용되지 않으며 위 설명자는 사용되지 않은 블록 바로 뒤에 있으므로 33,582번째 바이트와 그 뒤의 16바이트에 관심이 있습니다.

이 정보는 광 디스크의 원시 데이터를 덤프/읽을 수 있는 모든 도구로 분석할 수 있습니다. Linux에서는 다음을 사용할 수 있습니다.dd이미지의 관련 부분을 덤프하고 마지막 바이트를 올바르게 보려면 hexdump를 사용하십시오.

dd if=/dev/sr0 bs=1 skip=33581 count=17 | hexdump -C

내 Ubuntu 12.04 x64 LiveCD의 경우 다음을 제공합니다.

00000000  32 30 31 32 30 38 32 33  31 37 31 33 34 37 30 30  |2012082317134700|
00000010  00                                                |.|

그래서 이미지는 다음에 만들어졌습니다.2012년 8월 23일 17:13:47.00 GMT.

UDF

표준은 출원된 항목을 지정합니다.녹음 날짜 및 시간기본 볼륨 생성 순간의 이진 표현으로, 볼륨의 376~387번째 바이트에 기록됩니다.기본 볼륨 설명자다음 형식으로:

TT tT YY YY MM DD HH MM SS CC BB AA

여기서 각 쌍은 옥텟(바이트), 즉 XX두 개의 16진수 숫자로 구성됩니다.

  • TT tT는리틀 엔디안타임스탬프의 유형과 시간대를 나타내는 16비트 정수입니다.

    12개의 최하위 비트( TTT)에는 시간대가 포함되며, 부호 있는 정수(2의 보수 표현).

    4개의 최상위 비트( t)는 유형(항상 1, 현지 시간을 의미함)을 보유합니다.

  • YY YY부호 있는 연도로 인코딩된 연도입니다.리틀 엔디안16비트 정수(2의 보수 표현).

  • MM, DD, HH MM, SS, CC및 BB는 AA생성된 월, 일, 시 분, 초, 센티초, 수백 마이크로초 및 마이크로초를 나타내는 부호 없는 8비트 정수입니다.

다시 말하지만, 디스크의 처음 32KiB는 UDF에서 사용되지 않습니다. 또한 다음 32KiB 바이트는 레거시 ISO 9660 파일 시스템용으로 예약되어 있습니다(있는 경우 더 많은 공간을 차지할 수 있음).

"순수한" UDF 디스크에서는 다음 명령을 실행합니다.

dd if=/dev/sr0 bs=1 skip=65912 count=12 | hexdump -C

인코딩된 타임스탬프가 표시됩니다.

테스트 목적으로 K3b를 사용하여 UDF 이미지를 만들었습니다. 명령 의 출력은 dd다음과 같습니다

00000000  4c 1f dd 07 03 01 0f 0b  11 00 00 00              |L...........|
0000000c

분석:

  • 0xF4C(16진수)는 0x800보다 크므로 음수입니다. 0xF4C에서 0x1000을 쉬면 십진수로 -180이 됩니다. 이는 시간대가 UTC - 3임을 의미합니다.

  • 0x07DD는 십진수로 2013(생성 연도)입니다.

  • 나머지 옥텟은 문자 그대로 16진수 표현으로 해석될 수 있습니다(0x0F, 0x0B 및 0x11은 10진수로 15, 11 및 17입니다).

    이는 이미지가 다음 날짜에 생성되었음을 의미합니다.2013년 3월 1일 15:11:17.000000 UTC - 3.

주의사항

  • 이 날짜를 조작하는 것은 간단합니다. 필요한 것은 이미지를 생성하기 전에 컴퓨터의 날짜를 변경하는 것뿐입니다.

  • 실제로 디스크에 굽기 전에 이미지가 생성되면 이전 시간이 기록됩니다. 따라서 해당 필드는 소유자가 직접 만든 디스크에 대한 잠재적인 증거일 뿐입니다.

답변2

예, 있습니다. date그리고 time속성이 당신이 찾고 있는 것입니다. 폴더 보기를 변경하고 파일 속성을 확인하세요.

몇 분 전에 W7과 Mac OS X 모두에서 하나의 디스크를 확인했습니다. 아래 스크린샷을 참조하세요.

여기에 이미지 설명을 입력하세요 여기에 이미지 설명을 입력하세요

관련 정보