TOD-Forensics

1. smartmontools 설치

~ % brew install smartmontools

2. diskutil 명령어로  Physical disk 번호 확인

~ % diskutil list

3. 아까 설치한 smartmontools로 Serial Number 확인

~ % sudo smartctl -a /dev/disk0

/HealthDomain/Health/healthdb.sqlite
69B2014F1942434DB03248CC360A163C 아이폰
EF1E706D9C564D8DB6DC448EBB44CC6F 애플워치
8DFC9743AABA48B5AAECCAEDFC7686DE 수면

key_value_secure -> 개인 정보

date_type 2 -> height
date_type 237 -> 손씻기
date_type 173 -> 헤드폰 오디오 레벨 (단위 db)
date_type 63 -> 수면시간
date_type 195 -> 계단 올라가기 속도 (단위 m/s or ft/s)
date_type 196 -> 계단 내려가기 속도 (단위 m/s or ft/s) 
date_type 186 -> 일어서기 시간 (분)

when 3 then 'Weight'
when 5 then 'Heart Rate'
when 7 then 'Steps'
when 8 then 'Distance'
when 9 then 'Resting Energy'
when 10 then 'Active Energy'
when 12 then 'Flights Climbed'
when 67 then 'Weekly Calorie Goal'
when 70 then 'Watch On'
when 75 then 'Standing' 
when 76 then 'Activity'
when 79 then 'Workout' 운동
when 83 then 'Some workouts'

rowid data_id start_date end_date data_type
109434 109434 625273077.543597 625273077.543597 5


https://www.gstatic.com/images/icons/material/apps/weather/2x/sunny_light_color_64dp.png
16" 16* 12


https://www.gstatic.com/images/icons/material/system/2x/domain_grey600_24dp.png
https://encrypted-tbn2.gstatic.com/favicon-tbn?q=tbn%3AANd9GcRiluQc8VO1_LzDlZgzzhscF6ufjtnfAAgzYOf3jMMUcVTjH9ILkSsAWhQEHwjPnm4Rw6xP6BtcTCdOAd9HPRH_P0kGydYzjq-LQGO4tIYK2tEPubRKDQ.PNG

제조사가 하드 디스크를 2TB라고 했지만 실제로 컴퓨터에 연결했을 때에는 1.81TB라고 표시되어진다. 그 이유는 왤까?

2TB 하드 디스크를 예를 들어보자. 

- 2TB가 가지고 있는 총 섹터 수는 3,907,029,168

- 하드 디스크의 용량은 3,907,029,168 * 512 = 2,000,398,934,016 바이트 

  (총 하드 디스크 용량 = 총 섹터 수 X 512 바이트)

하드 디스크 제조사는 깔끔하게 숫자가 되어지는 것을 원하기 때문에 하드 디스크 사용 단위로 반올림을 한다. (지금은 TB 단위로 예를 들어서 1TB 기준)

2TB 하드 디스크 기준 제조사는 단순히 소수점을 12 자리로 옮겨 소수점 이하는 반올림 처리해 2TB 하드 디스크라고 부른다.

하지만 컴퓨터는 이를 신경쓰지 않고 1TB가 1,099,511,627,776(2^40)바이트인 2진수 체계를 사용한다. 그래서 하드 디스크 용량 / 1TB를 한다.

2,000,398,934,016 / 1,099,511,627,776 = 약 1.81TB

따라서 컴퓨터는 제조사에서 명시한 2TB 크기를 1.81TB로 인식해 보여준다. 

대부분의 사람들은 제조사에서 적어준 용량과 다른 이유를 컴퓨터에서 HPA(Host Protected Area)나 DCO(Device Configuration Overlay) 영역 때문 혹은 시스템에서 잡는 예약 영역이라고 하는 분도 있다. 하지만 실질적으로 디스크의 모든 섹터를 본다면 완벽한 정답은 아니다. 

아무튼 표기가 다른 이유는 위 처럼 제조사에서 단위를 반올림을 하지만 컴퓨터는 하드 디스크 있는 그대로 표시하기 때문이다.

레지스트리 편집기에서 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System 경로를 찾는다.

DWORD 키를 생성한다. 생성 내용은 다음과 같이 한다.

- 이름 : EnableLinkedConnections

- 값 : 1

마지막으로 재부팅을 한다.

- 레지스트리 파일 생성시 내용

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]

"EnableLinkedConnections"=dword:00000001

메모장으로 위 내용을 입력하고 .reg 확장자로 저장!!

- xcopy

파일의 속성 값까지 복사 하기 위한 방법 중 하나는 cmd 창에서 xcopy 명령어를 실행하면 된다. 

xcopy [원본 경로] [복사 경로] [옵션]

옵션

/e : 비어 있는 하위 디렉토리까지 복사

/h : 히든 파일과 시스템 속성의 파일까지 복사

/k : 파일 속성 복사 (이 옵션이 없으면 속성이 없어져 버림)