디지털 포렌식 기초 7주차

 

점프리스트 (Jumplist)

 

 

 

 점프리스트란?

최근 사용한 파일/폴더에 빠르게 접근하기 위한 구조

 

 

 점프리스트를 보기 위한 툴

• FTK Imager
• Jumplist Explorer

 

 

 점프리스트 종류

• Automatic: 운영체제가 자동으로 남기는 항목
• Custom: 응용프로그램이 자체적으로 관리하는 항목

하지만 포렌식에서 두 종류의 구별은 큰 의미가 없음

 

 

 

 경로

• %UserProfile%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations
• %UserProfile%\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations

 

 

점프리스트 실습

 

1. FTK Imager 도구를 통해 점프리스트가 있는 경로의 파일 이미지를 추출한다. 

 

 

2. Jumplist Explorer를 통해 추출한 이미지를 모두 불러온다.

 

 

3. Jumplist를 보고자 하는 App을 선택하여 lnk파일을 확인할 수 있다. 예를 들어, 아래 Windows Explorer를 선택하면 자주 방문하는 파일이 무엇인지 확인할 수 있으며 이에 대한 정보를 볼 수 있다. 

 

 

 

---

 

 

프리패치(Prefetch)

 

 

 

 Prefetch란

• 응용프로그램의 빠른 실행을 위해서 존재하는 파일
• 응용프로그램을 실행할 때에 생성
  • 실행파일 이름, 경로
  • 실행 횟수
  • 마지막 실행 시간
  • 최소 실행 시간

 

 

 프리패치의 경로

• %SystemRoot%\Prefetch

 

 

 프리패치 분석을 위한 도구

• WinPrefetchView

 

 

 프리패치 실습

 

1. WInPrefetchView를 통해 prefetch 파일을 확인할 수 있다. 이를 실행하면 해당 컴퓨터의 prefetch 파일을 자동으로 불러온다. 따라서 무결성을 유지하고 싶다면, 옵션을 주어 실행하여야 한다.

 

 

2. 원하는 프로그램의 prefetch 파일 확인한다. 아래 알집 프로그램과 같이 실행 시간, 경로, 횟수 등을 확인할 수 있다.

삭제 여부와 상관없이 실행되었던 모든 응용프로그램은 prefetch에 남는다. 

 

 

 

 

 

 

 

 

 

 

 

강의

https://www.inflearn.com/course/%EA%B8%B0%EC%B4%88-%EB%94%94%EC%A7%80%ED%84%B8-%ED%8F%AC%EB%A0%8C%EC%8B%9D/dashboard

[무료] 기초부터 따라하는 디지털포렌식 - 인프런 | 강의