728x90
반응형
파일의 MAC 시간은 MFT 파일을 분석하면 확인할 수 있다고 합니다.
volatility의 mftparser 플러그인을 사용하고, findstr 명령어를 포함해 nbtscan.exe를 확인해 보겠습니다.
nbtscan.exe의 타임스탬프를 확인해 보니 생성/수정/접근 시간이 모두 동일함을 알 수 있습니다.
728x90
반응형
'디지털포렌식 with CTF > 메모리 포렌식 (Memory)' 카테고리의 다른 글
| [메모리 포렌식] GrrCON 2015 #14 (0) | 2020.11.03 |
|---|---|
| [메모리 포렌식] GrrCON 2015 #13 (0) | 2020.11.03 |
| [메모리 포렌식] GrrCON 2015 #11 (0) | 2020.11.02 |
| [메모리 포렌식] GrrCON 2015 #10 (0) | 2020.11.02 |
| [메모리 포렌식] GrrCON 2015 #9 (0) | 2020.11.02 |
