Encase Series - 6 파티션 복구 (3) 실습 - Case 1

-      복원 과정

a.       MBR 정보 확인하여 두 번째 파티션 시작위치(Starting LBA 값 08 F6 01 00 : 128454 sector)로 이동

 

b.        마지막 2 Bytes에 “55 AA” Signature 뿐으로, OEM String이 없음

b-1.  2번째 파티션이 Primary partition인 경우, 이 섹터는 VBR로서 OEM String이 삭제되고 File System의 Meta Data 등이 삭제된 것임

b-2.  2번째 파티션이 Extended partition인 경우, 이 섹터는 BR로서 이 파티션의 시작위치(다음 Container가 존재하는 경우, 다음 Container의 시작위치도 존재)를 가리키는 Partition Table이 삭제된 것임 

 

 

c.f) Partition Layout (Primary Partition 2개, Extended Partition 2개인 경우)

 

  

 

c.       Extended Partition 인지 여부를 알기 위해 63 sector 이후 (125883 sector) 확인

           // OEM String 이 MSDOS5.0이므로 파일 시스템의 유형은 FAT32로 확인

 

 

d.        2번째 파티션의 시작지점(VBR)인 128583sector에서 새로운 파티션 추가(Add Partition)

 

//  확장 파티션이므로 ‘Unused Sectors before VBR = 63’

 

 

-      파티션 복원 완료 : 기존의 C 드라이브 외에 추가로 D 드라이브 생성