Prefetch Hash Cracker

동기

Windows 시스템의 포렌식 분석 중에 삭제된 프리페치 파일의 이름을 발견할 수 있습니다. 파일 내용은 복구되지 않을 수 있지만, 파일 이름 자체만으로도 프리페치 파일이 생성된 실행 파일의 전체 경로를 찾을 수 있는 경우가 많습니다.

도구 사용법

다음 필드를 제공해야 합니다:

• 실행 파일 이름
  확장자를 포함합니다. 이 경우가 아니라면 프리페치 파일 이름에 포함됩니다.

• 프리페치 해시
  프리페치 파일 이름 끝, .pf 확장자 바로 앞에 있는 8자리 16진수입니다.

• 해시 함수

• 바디파일

• 마운트 지점

해시 함수

알려진 프리페치 해시 함수는 3가지입니다:

• SCCA XP
  Windows XP에서 사용

• SCCA Vista
  Windows Vista 및 Windows 10에서 사용

• SCCA 2008
  Windows 7, Windows 8 및 Windows 8.1에서 사용

바디파일

실행 파일이 실행된 볼륨의 바디파일입니다.

바디파일 형식은 매우 제한적이지 않아 많은 변형이 있습니다. 그중 일부는 지원되지 않습니다. fls 및 MFTECmd로 생성된 바디 파일은 정상적으로 작동해야 합니다.

마운트 지점

아래 밑줄 친 부분과 같은 바디파일의 마운트 지점입니다:

0|C:/Users/Peter/Desktop ($FILE_NAME)|62694-48-2|d/d-wx-wx-wx|...

작동 방식

제공된 바디파일을 사용하여 볼륨에 있는 모든 폴더의 경로를 가져옵니다. 도구는 각 경로에 제공된 실행 파일 이름을 추가하여 실행 파일의 가능한 전체 경로 목록을 만듭니다. 그런 다음 각 가능한 전체 경로를 제공된 해시 함수를 사용하여 해시합니다. 결과가 제공된 해시와 일치하는 가능한 전체 경로가 있으면 해당 경로가 출력됩니다.

제한 사항

다음 경우는 지원되지 않습니다:

• svchost.exe 및 mmc.exe와 같은 호스팅 애플리케이션
• /prefetch:# 플래그로 실행된 애플리케이션
• UNC(네트워크) 경로에서 실행된 애플리케이션

29자 제한

실행 파일 이름이 29자(확장자 포함)보다 길면 프리페치 파일 이름에서 잘립니다. 예를 들어, 이 파일을 실행하면:

This is a very long file nameSo this part will be truncated.exe

Windows 10 시스템의 C:\Temp 디렉터리에서 실행하면 다음과 같은 프리페치 파일이 생성됩니다:

THIS IS A VERY LONG FILE NAME-D0B882CC.pf

이 경우 실행 파일 이름을 프리페치 파일 이름에서 추출할 수 없으므로 도구에 제공할 수 없습니다.

라이선스

MIT