Forensic/CFReDS

Question 4

dcho 2019. 7. 25. 21:20
SMALL
4. What is the timezone settings?
번역 : 4. 시간대 설정은 무엇입니까? 

윈도우 인스턴스(Instance)는 기본적으로 UTC 표준시간대로 설정된다.
이 시스템의 표준 시간대를 확인하여 윈도우 아티팩트를 분석하는 경우 타임라인분석 등의 기준정보로 사용한다.
이와 관련돤 정보는 아래의 레지스트리 키에 저장되어 있다.

HKLM\SYSTEM\CurrentControlSet00#\Control\TimeZoneInfomation
이름 : StandardName
값 : @tzres.dll, -622


위와 같은 참고자료를 통해 찾아 보았다. ControlSet001,002가 있길래 둘다 찾아본 결과

HKLM\SYSTEM\ControlSet001#\Control\TimeZoneInfomation

HKLM\SYSTEM\ControlSet002#\Control\TimeZoneInfomation


결과는 위와 같았다.

즉 StandardName 을 통해  Central Standard Time 이러한 값을 알게 되었고 검색해본 결과


이러한 정보를 가지고 있었다!

이것은 표준이다.

문제에서 요구하는 시간대 설정은 

DaylightName  Central Daylight Time 


(아직 정리중... 외국은 썸머타임이란게 있다. (1시간정도 늦추는거 썸머타임적용시에는 daylight고 이외에는 standard에요 Activebias보시면 12c라고 있는데 그게 standard랑 차이가 60정도 난다.
그리고 daylightbias는 ffffffc4로 되어있는데 이게 -60인가 그렇다.
: Standardbias + daylightbias = activebias 
그래서 현재 시간은 gmt에서 activebias만큼 바꿔준 시간대이고 현재 이미지파일은 썸머타임 적용되어서 daylighttime이 진짜 타임존이다.
:ㅍBias + Standardbias + daylightbias = activebias )


'Forensic > CFReDS' 카테고리의 다른 글

Question 6  (0) 2019.07.25
Question 5  (0) 2019.07.25
Question 3  (0) 2019.07.25
Question 2  (0) 2019.07.21
Question 1  (0) 2019.07.21