Question 28-29

28. How many executable files are in the recycle bin?

( 휴지통에는 몇 개의 실행 파일이 있습니까? )

문제만 보면 꽤 쉬운 문제인것 같다. 

(  http://forensic-proof.com/archives/1834 )

분석하는 디스크는 XP 이므로 요기에 들어가서 확인해보면 된다.

실행파일은 4개!

29. Are these files really deleted?

( 이 파일들이 실제로 삭제 되었습니까? )

삭제되지 않았다!

※ 윈도우에서 파일을 삭제할 때에는 실제로 해당 파일을 지우는 것이 아니라 해당 파일의 Meta 정보만($MFT 등) 변경하는 것이다. 그러므로, 삭제를 하여 휴지통으로 이동(폴더 경로 변경)되었다 하더라도 손쉽게 우클릭을 통해 복구를 할 수 있는 것이다. 

추가적으로, 휴지통으로 이동이 아닌 Shift + delete 기능의 경우에는 Meta 정보만($MFT 등) 삭제를 하였다 표기하고, 실제 파일 데이터 영역까지의 링크를 끊는 것이므로 해당 영역에는 파일 데이터가 계속 존재하고 있고, 파일 카빙등을 통해 복구할 수 있다.

(  https://holywaterkim.tistory.com )