레지스트리포렌식 - Regripper 를이용한 NTUSER.DAT 분석 - 학과 사이버경찰학과 학번 이름 허인호 - 1 -

Transcription

1 레지스트리포렌식 - Regripper 를이용한 NTUSER.DAT 분석 - 학과 사이버경찰학과 학번 이름 허인호 - 1 -

2 목차 1. 레지스트리란? 2. NTUSER.DAT 란? 3. Reg Ripper 란? 4. Reg Ripper 실습가. NTUSER.DAT를찾아라나. NTUSER.DAT를복사하자 1) 사용자계정을이용한 NTUSER 복사 2) forecopy를이요한 NTUSER 복사다. NTUSER.DAT를이용해내용출력 5. 참조 - 2 -

3 사진 그림 P.4 REGRIPPER 구글검색그림 P.4 Regripper github에서받는법그림 p.5 regripper 설치완료그림 p.5 regripper 압축해제그림 p.6 c 드라이브에서사용자폴더들어가기그림 p.7 사용자폴더에서현재사용하는계정폴더들어가기그림 p.8 폴더의보기 -> 옵션클릭그림 p.8 폴더의보기옵션변경그림 p.9 NTUSER.DAT 발견그림 p.10 제어판의 ' 사용자계정 ' 들어가기그림 p.10 사용자계정에서 ' 다른계정관리 ' 들어가기그림 p.11 다른계정관리에서 ' 새계정만들기 ' 그림 p.11 새계정생성 - 3 -

4 그림 p.12 다른계정으로원래계정폴더들어가기그림 p.12 NTUSER.DAT 복사그림 p.13 forecopy_handy 파일이있는폴더로이동그림 p.14 옵션들보기그림 p.14 폴더복사하기그림 p 15 폴더복사확인그림 p.16 regripper 가있는폴더로이동그림 p.16 regripper 를써서 ntuser.dat 에있는파일추출 - 4 -

5 1. 레지스트리란? 시스템하드웨어, 설치된프로그램및설정, 컴퓨터에있는각사용자계정의프로필등에대한중요한정보가포함된 windows의데이터베이스를뜻하며, windows에서는이러한레지스트리의정보를지속적으로참조하고있습니다. 2. NTUSER.DAT 란? windows의데이터베이스인레지스트리중에서 HKEY_USERS 하위트리에존재하는각유저들마다의한행동, 결과등을저장하는 1) 하이브파일이다. 각유저들마다의한행동이기록되는파일이기때문에 C드라이브 -> 사용자 (Users) 폴더의각계정폴더마다존재한다. 1) 하이브파일 : 하이브파일은레지스트리의키, 서브키, 논리적값에해당하는파일의데이터를백업해주는논리적그룹이다

6 3. Reggripper 란? Windows Forensic Analysis 의저자인 할렌카비 선생님이 Perl 언어를이용해만든레지스트리분석기로, GUI(rr.exe), CLI(rip.exe) 두가지사용방법이존재합니다. 그리고다양한플러그인이존재하여, 플러그인파일을이용해레지스트리파일에존재하는자신이원하는내용만뽑아낼수도있습니다. - 설치방법 그림 2 REGRIPPER 구글검색 구글에들어가 regripper 를겁색합니다. 그림 3 Regripper github 에서받는법 GitHub 라는사이트를클릭하면위와같은창이뜨는대, 오른쪽 상단의 Download ZIP 라는것을눌려압축파일로다운로드 합니다

7 그림 4 regripper 설치완료 다운로드에성공하면위와같은파일이존재하는걸알수있고, 압축을해제합니다. 그림 5 regripper 압축해제 압축을풀고, 폴더에들어가면위와같은상황을볼수있는대, rip 가 ( 2) CLI) rr( 3) GUI) 중하나를실행시켜사용하시면됩니다. 2) CLI(Command Line interface) : 명령어인터페이스라고도하며, 텍스트터미널을통해사용자와컴퓨터가상호작용하는방식 3) GUI(Graphical User Interface) : 현재우리가사용하고있는 OS 의인터페이스로, 눈에확띄어무엇을하는지볼수있고, 조작방식이간편하다

8 4.Regripper 사용방법 가. NTUSER.DAT 를찾아라 (1). 각 User 폴더들어가기 C 드라이브 -> USER( 사용자 ) -> 자신의계정아이디폴더 사용자폴더에서자신이현재사용하고있는계정폴더에들어가기 C 드라이브에서사용자폴더들어가기 그림 6 c 드라이브에서사용자폴더들어가기 - 8 -

9 그림 7 사용자폴더에서현재사용하는계정폴더들어가기 원래라면계정폴더에들어가면 NTUSER.DAT 가존재해야하지만, 위사진처럼현재는보이지않는다

10 (2) NTUSER.DAT 가보이게폴더옵션변경하기 윈 8.1 : 폴더상단이보기탭클릭 그림 8 폴더의보기 -> 옵션클릭 옵션클릭 그림 9 폴더의보기옵션변경 폴더보기탭 -> 보호된운영체제파일숨기기 ( 권장 ) 체크해제숨김파일및폴더에숨김파일, 폴더및드라이브표시클릭 -> 적용및확인

11 그림 10 NTUSER.DAT 발견 그렇게설정을해주면맨아래새로운파일들이생기고, NTUSER.DAT 가생긴것을확인가능하다

12 나. NTUSER.DAT를복사하자 (1) 관리자계정을생성해서복사 1) 복사를하는이유는원래계정에서복사를하려고하면이미사용중이기때문에복사를할수없고,Regripper 에서도열수없는것같기때문에, 복사본을추출해, 복사본을가지고데이터를추출해야하기때문입니다. 2) 제어판 -> 사용자계정 -> 다른계정관리 -> 새계정만들기 -> 이름및관리자권한설정 그림 11 제어판의 사용자계정 들어가기 그림 12 사용자계정에서 다른계정관리 들어가기

13 그림 13 다른계정관리에서 ' 새계정만들기 ' 그림 14 새계정생성

14 (3) 재부팅 -> 방금만든계정으로로그인 -> C드라이브사용자폴더에원래계정폴더로접속 ->NTUSER.DAT 복사 -> 외장하드 or 이동식드라이브에이동 그림 15 다른계정으로원래계정폴더들어가기 그림 16 NTUSER.DAT 복사

15 (2) forecopy를이용한복사 1) forecopy 란? FORENSIC-PROOF 블로그의관리자인 proneer 이란분이만든프로그램으로, 쉽게복사되지않는, 파일시스템메타데이터, 이벤트로그, 페이지파일등을원본의시간정보가변경되지않게복사를할수있게끔만들프로그램이다. 2) 사용방법아래참조에있는설치주소로가서, 파일명을클릭해다운로드받는다. 압축파일로다운로드되는대, 압축을푼다. 압축을해제하면폴더에 forecopy_handy 라는실행파일이존재할것입니다. 관리자권한을이용하여명령프롬프트를열어주시 고, forecopy_handy 파일이있는폴더로이동합 니다. 그림 17 forecopy_handy 파일이있는폴더로이동

16 그림 18 파일실행뒤옵션 파일을실행시켜보면사용가능한옵 들이나열됩니다. 저는여기서 d 옵션을사용해계정폴더를복사해올것입니다. 션 그림 19 폴더복사하기

17 forecopy_handy d c:\users\hih c: 를입력 forecopy_handy : 파일을실행하기위해파일의이름을적는것 -d :forecopy_handy 의폴더를옮기기위해사용하는옵션 c:\users\hih : 복사할폴더 c: : 저장할폴더 위명령어를입력해주면, 제가지정해준 C 드라 이브폴더가복사된것을확인가능합니다. 그림

18 다. Regripper 를이용한 Recentdocs 출력하기 1) 좀더정확한정보출력을위해 CLI 를이용할것이기때문에 층 cmd 를관리자권한으로켜줍니다. 2) regripper 폴더로경로를이동합니다. 그림 21 regripper 가있는폴더로이동 3) rip r NTUSER.DAT 경로 p recentdocs > docs.txt 그림 22 -r : 레지스트리파일정해주는옵션 -p : 어떤플로그인을사용할것인지옵션 > 파일이름 : 어떤파일에결과값을담아서출력할지결정해준다. (4 regripper 가있는폴더에가보면자기가지정해준파일이름이존재할것이며, 거기에추출된내용이담겨있을것입니다. 이상으로 REGRIPPER 를이용한레지스트리포렌식을마 치겠습니다

19 참조 : 나무위키 GUI : forecopy 사 용법 : forecopy 다운로드장소