Ⅰ. 概要
ZIP ファイル構造について学習します。 Headerシステムはどのように構成されており、それぞれの要素はどのような役割を果たしているのか Header情報がどのように分類されているかを見てみましょう。 DISKメモリは、メインメモリと補助メモリに分けられます。 DISK動作原理と構造 (MBR, VBR)それを簡単に見て、実際のコンピューターでどのように動作するかを理解しましょう。 HDDと SDD読み取り、書き込み、削除、およびコピー操作の違いと、それらが速度にどのように関連しているかについて説明します。 MBR, VBRを HxDを通じて 分析するために（このチュートリアルは次の投稿にあります）。 FTK Imagerを通じて Image dump 私たちはその仕事をするつもりです。
Ⅱ. ZIP 構造
ZIP ファイルの構造について詳しく説明しているブログがあります。ご覧になることをお勧めします。
ZIP ファイル構造はシンプルです。基本的に、 Local File Header, Central Directory File Header圧縮ファイルごとに存在し、最後に End of Central Directory Record Header終了します。これからは、各 Header各コンポーネントを見てみましょう。
ローカルファイルヘッダー
Local File Header以下のように構成されており、各詳細セクションは上記のブログでオレンジ色で説明しています。 Signatureまたは Version, Flags などはバイトが静的に固定されています。しかし、緑の File Name, Extra Field, データの場合、これは避けられない変化です。たとえばメモ帳の場合、タイトルの長さと内容の長さはすべて異なります。
中央ディレクトリファイルヘッダー
Central Directory File Header はこのように構成されており、Local File Header ではより詳細なデータ情報が表示されます。圧縮サイズ、ファイルの説明、バージョン、変更日などの詳細情報が含まれています。
中央ディレクトリヘッダーの終わり
上記 Local File Headerまたは Central Directory File Header圧縮ファイルの数に応じて複数のファイルが存在する可能性がありますが、 End of Central Directory Header名前からもわかるように、圧縮された ZIP ファイルにはすべての情報が含まれています。 最後に一つ Headerただひとつだけです。ですから、最後の 0xB0、0xC0 部分を見ると、全体が Central Directoryその数やサイズ ZIP ファイルの説明などの情報が含まれています。
私たちは、ZIPファイルをPythonからBinaryまで自動的にコーディングし、各HeaderとHeaderのプロパティを抽出しました。これは素晴らしいコードではないため公開しませんでしたが、実際に試してみることが構造を学ぶ良い方法だと思います。抽出した16ビットの値を使用して、修正日を変更したり、タイトルを変更したり、内容を変更したりできます。しかし、これらは単なる楽しい操作です。
この圧縮ファイル構造は、ほぼすべての一般的なファイル形式で使用されています。韓国のファイルのhwpx拡張子やExcelファイルのxlsx拡張子を見たことがあるかもしれません。これらは圧縮されたファイル形式です。
Ⅲ. ディスク
ディスク (Disk)タイプは次のとおりです メインメモリと 補助メモリデバイスあります。以前は、データは 順次その後、中間データを探し出すのは本当に困難でした。また、現代のディスクには、永続性がないという特徴もありました。 'Random Access Method of Accounting Control' これを技術を使って改善しました。メインメモリデバイスは通常、 RAM(Random Access Memory)として知られています 揮発性 データ保存してください。 RAM以前の投稿でこの点について詳しく説明しました。しかし、フラッシュメモリ（USB例えば RAMこれは不安定ではありません。速度は、コンピュータのパフォーマンスを大きく左右する要因のひとつです。二次メモリを利用すると、コンピュータを頻繁にアップグレードしても、インストールしたプログラムや作成したドキュメントを保持することができます。 非永続的ストレージデバイスこれがメインメモリ（RAM）です。RAM)違っています 不揮発性データデータを保存しますが、速度が遅く、二次メモリデバイスは一般にディスクと呼ばれています。
また、ディスクと呼ばれるものがあります。 Disk違うのです。 オーディオ CD, CD-ROM(Read Only Memory), DVD-ROM(Read Only Memory), DVD-RAM など これは光メディアを指します。一部は読み取り専用であり、コンピュータからいつでも取り出すことができ、コンテンツ（音楽、ビデオなど）を保存したり、複数回再記録することができます。 Discあります。 CDそう考えると、理解しやすくなります。 VMwareネットワークを扱う際に LAN カードへのインタフェースが必要とされるように、ディスクにもインタフェースが必要です。 IDE(Integrated Drive Electronics) あるいは ATA(Advanced Technology Attachment)しかし、並行という意味では PATA(Parallel これは、Advanced Technology Attachment (ATA) と呼ばれています。
PATAモード
SATA モード
PATAそれは昔はそうやってやっていたが、今ではそうしている。 IDE スピードが向上 SATA(Serial Advanced Technology Attachment). を使用します。 SATA1たとえば、毎秒 150mb SATA2この場合、速度は毎秒 300mb です。 SATA2 その後、 USBハブと同様に、複数のハードディスクを単一のポートに接続することが可能になりました。 USBを PCスタンバイモードで使用しているように、デバイスを電源を切ることなく接続します ホットプラグ また、機能も追加されました。
※ SCSI(Small Computer System Interface): 銀行業で使用されるディスクインターフェースもあります。これは、通常のハードディスクよりもかなり高速で、毎秒 320 MB です。サーバやワークステーション (ミニコンピュータと同等の性能を持つ高性能コンピューター、Workstation - 一般的な高性能コンピューターよりも高性能 PC) 向けに使用され、別の拡張カードが必要です。その後、SAS(Serial Attached SCSI - サーバなどの大型コンピューター向け) に取って代えられました。
DISK が起動され、プロセスは一般的に次のようになります。
コンピュータを起動すると、「ビープ」という音が聞こえることがあります。これは、POST(Power 上の Self Test) が、電源が正しく供給されているかを確認するためにハードウェアデバイスを読み取るプロセスです。全体的なハードウェアチェックが完了すると、BIOS という画面が表示されます。以前にコンピュータをフォーマットしたことがある場合、ここで設定を変更した可能性があります。BIOS では、ハードウェア設定を管理でき、いくつかの ストレージ領域 (ROM) が用意されています。フォーマット時に、ブートディスクまたはオーバークロックを選択できます。
次へ MBR(Master Boot Record)システムが動作するためには非常に重要です。破損すると、システムが起動しません。 BIOSシステムが起動可能なデバイスを読み取ったとき、 MBRこれは、ブートセクターが読み込まれているためです。ディスクを 512 バイト単位でダンプすると、最初にセクター 0 の内容が表示されます。 メインパーティション、セカンダリパーティション、合計4つのパーティション各パーティションには、最後の 2 バイトを除いた 446 バイトから 510 バイトの範囲で 16 バイトの情報が含まれています。
Partition Table 詳細な分類
※ ここです セクター (Sector)ディスク構造を確認するのが良い方法です。ディスクは複数のセクターに分かれており、データが格納され管理されています。情報の最後の 4 バイトは、ディスク全体ではなく個々のパーティション内のセクターの総数を示しています。 クラスター (Cluster)その理由は、クラスターが大きくなるほど高速になるからです。データを一度にクラスターから読み取るのは、セクターごとに読み取るよりも当然高速です。しかし、クラスターが大きくなるほど、使用されていない無駄なスペースが増えます。
これだけ読んでも分かりにくいかもしれませんが、上の図を見ると分かりやすくなります。 MBR最大 446 バイト Boot Codeそれに加えて、 Partition Table446 バイトから 510 バイトまでの 4 つのものがあります。最後のものは 2 バイトです。 Signatureつまり、 MBRパーティションが記録されましたPartition)これは、プライマリパーティションとして起動可能なパーティションの一覧です。単一のディスクには、複数のパーティションが存在することがあります。ディスクを初めてインストールする際には、パーティション操作が必要になります。また、フォーマット時にこの情報も確認できます。CドライブとDドライブをバックアップ用に分割している可能性があります。これはパーティション作成の役割です。もちろん、両方のドライブが個別のディスクである場合もあります。
※ MBRは、起動コードが破損した場合に起動できず、バックアップもないため、復元することが非常に困難です。
以前 HDD(Hard Disk Drive)以前はよく使っていたのですが、最近は SSD(Solid State Drive)私はそれを使うよ。 HDD前述のように MBR この方法が使用されます SSDは GPT(GUID Partition Table) このメソッドが使用されます。 GPT 方法の場合 MBR最大の違いは、以前は4つのパーティションしか作成できなかったのに対し、今回はパーティション数に制限がなく、容量の上限が2TBになっていることです。 MBR 従来のアプローチと比較して制限はありません。つまり、 GPTパーティション管理においてより高い利便性と優位性を提供します。
※ 論理ディスクと 物理ディスクは概念であり、論理ディスクはパーティションディスクを、物理ディスクは実際の HDDまたは SDDハードウェアディスクを指します。
MBR, GPT はパーティション上で動作し、その後、ファイルシステムが処理されます。上の図のように、VBR(Volume Boot Record) は、Master File Table 経由でファイルを読み書きします。各パーティションにデータが保存される場所を管理し、実際のデータは Data Area に保存され、Master File Table にマッピングされて管理されます。バックアップがあるため、復元は簡単ですが、システムが起動しない場合は困難になる可能性があります。この VBR は、Windows を使用するときにフォーマット方法を選択するように求められるときに見ることができます。また、FAT, NTFS もこのファイルシステムの一部です。FAT の最大ファイルサイズは 4 GB です。 これは克服できず、32ビットでは容量制限があったものの、NTFSは4ギガバイトの制限をなくし、全体的に改善することでFATの欠点を克服し、最も広く使用されているファイルシステムとなりました。
※ もちろん、 FATそして改良版では FAT32あります。さらに FAT32では VBR 予約領域（ブートセクター、ファイルシステムメタデータなど）があります FAT1と FAT2(Mirror どのファイルがどの関係に割り当てられているか（つまり、同じ構造）を記録します。次に MFT(ファイル情報が含まれた表が表示されます。
NTFS(Next Technology File System)と FAT(File Allocation Table)は Master File Tableこれは、ファイルの読み取り、書き込み、保存、および削除を担当します。通常、ファイルを作成するとき、 MBRパーティションにアクセスして情報を取得します VBR(NTFS, FAT)アクセスしてください。 VBRで MFT(Master File Table)計算に基づいて Data Area は、新しいファイルを格納する空きスペースを検索し、Data Area の空きスペースに関する情報を MFT に保存し、その後に実際にファイルを格納します。ファイルのコピーや移動の速度に著しい違いがあります。
コピー | 移動 | |
同じパーティション | 遅い | 高速 |
その他のパーティション | 遅い | 遅い |
※ NTFSファイルのサイズが小さい場合 Data Areaファイルの内容を保存せずに MFTそこに記録されています。
この違いの理由は、
上の画像を見ると、理解しやすくなります。 同じパーティション内レプリケーションの場合 Data Area新しいファイルをコピーします MFT情報（ファイル名、日付、サイズ、保存場所など）を更新する必要があります。ただし、ファイルの移動の場合、 MFT情報を変更するだけなので、より速くできます。 その他のパーティションコピーの場合は、同じパーティション内でのコピーと同様です。 MFTそしてそれを変更します Data Areaファイル情報を書き換えなければならないため、処理が遅くなります。また、移動も避けられません。しかし一般的に、 削除は
だから MTFの Data Area リンク情報のみを削除するとても速いですね。これを上書きするとどうなりますか？
上書きは、既存のファイルを汚染する可能性があるため、リカバリの一般的な方法ではありません。 Data Area領域を変更すると MFTの Header 情報が破損しています。つまり、 MFTファイル内の情報は上書きされたデータの情報で置き換えられます。そのため、古いファイルの情報は利用できなくなります。 HDDと SSDしかし、違いがあります。 HDD書き換え可能ではありましたが、 SSD一般的に許可されていません。 Trim 技術 なぜなら、以前は、それを上書きして復元できないという事実を利用していたからです。 HDD彼らは意図的に隠したいデータを上書きし、復元が困難になりました。しかし、 ランダムとして動作します Trim その技術は 定期的に使用されていないファイルデータの管理実際には、上書きする際は 0 と 1 に変更するだけで十分ですが、その場合、既存のデータは削除されたものとみなされます。 Trim削除された瞬間MFTそしてデータ ページにアクセスするとリンクが切れるため、また速度が非常に高いため、リンクを上書きすることは困難です。
※以前のXPでは、ガベージコレクション (Garbage Collection) がありましたが、Windows 7では、Trim が導入されました。
※ファイルをコピーすると、作成日時が修正日時よりも遅くなることがあります。これは、ファイルがインターネットから取得されたか、またはUSBを通じてから取得されたため、パーティション間ではなく別のディスク間に移動されたことを意味します。インターネットから取得されたファイルの場合、これは「Zone.Identifier」(CMDでdirとして問い合わせると表示されます)。詳細については、USBが、フラグと再生機能への接続が確立された直後に検出され、ドライバがインストールされます。
速度に関連するもう一つの側面は、です 断片化は概念です (Fragmetation) .
上の画像のように HDDファイルデータを分割して保存しました。そのため、ファイルを読み込むには、 リンク(プログラミング言語を学んだことがあるなら Linked List わかりやすかったです。各ファイルからデータを一つずつ読み込んで読み取らなければならなかったのですが、分散させるよりも一度に一つのファイルを読み取る方が当然高速なので、 ディスクのデフрагメント化多くの作業が必要になりましたが、現在は、ファイルを順次保存するほうが断片化して保存するよりも高速なので、必要ありません。もう一つの速度に関連した概念は、 DISKは Nand フォームと NOR フォームがあります。 Nand半導体内の一つの細胞です シリアル順次に記述されているため、データを順次読み取ります。 NOR他の二つよりも遅いですが、個々のセルのアドレスを覚える必要がなく容量を増やすことができ、書き込みも容易です。 速いです。 Nand の形状のディスク USBまたは SSDあります。 NORこれはセルです 並列「ランダムアクセス」とあります。を通じて 読み取りは高速ですが、書き込みは一度に一つのセルを記録するため、遅く、高価です。携帯電話で使用されています。 モバイルデバイスこれはより頻繁に使用されます。モバイルデバイスでは、データを書き込むことよりも読み込むことの方が多くあります。
※ 車のエンジン RPM コンセプトと同じように、ディスクも RPM(回転の物理的な回数スピードが高いほど良いです。一般的なハードディスクは7,200 RPMで回転し、モバイルおよびノートブック用ドライブはわずかに低速です。
Ⅳ. DISK 関連ラボ
最初の練習は ディスクのダンプダンプは、上述のすべてのディスク構造を表すものに過ぎません。 Image その形で Imager このプログラムを使用すると、データを読み取ることが可能になります。法律上、元のデータが改ざんされた場合は証拠として使用できませんが、実際には、フォレンジック調査が行われると元のデータは使用できなくなります。そのため、フォレンジックコミュニティでは FTK Imager プログラムのみが許可されているため、このプログラムを使用してディスクをダンプします。
プログラムに関連する部分は
この Web ページを参照してください。
FTK Imager が実行されるとき、
この画面が表示されます。USBが接続されていると仮定し、USBをダンプします。
Create Disk Image を押して にします
は、使用するドライブを指定するものです。Logical Drive はパーティションを指し、Image File は既存のディスクダンプイメージを指します。これらをスキップして、Physical Drive を選択し、USB を選択します。
実際にダンプ可能なディスクデバイスを選択します Finish押す
ここでは、Addを通じてで画像の種類を指定します。最も一般的に使用される方法は、Encase を使用する E01 です。この部分についてはもう少し調べる必要があります。
をクリックして続行すると、 が表示されます。
保存先の場所とファイル名を入力するように求められます。 Image Fragment Sizeは、複数の部分に保存される場合に、画像ファイルが分割されるサイズを示します。 Compressionは圧縮レベルです。9に近いほど圧縮率が高くなり、ファイルサイズが小さくなりますが、画像作成プロセスが遅くなる可能性があります。
と Start を押すと、画像ファイルの生成が開始されます。
レビュー
DISKを学んでいるとき、本当に壁にぶつかっているような感じがしました。しかし、複数の練習と復習のためにこの記事を書いているうちに、その構造が徐々に頭に入ってきているような気がします。次の記事では、DISKに関する練習についてもう少し詳しく書く予定です！