[SWING] Forensic 01

시그니처 및 파일 구조 문서화

1. 시그니처

파일 매직 넘버라고도 한다.

파일 형식에 따라 달라지는 고유한 특징으로,

앞에 오는 숫자는 헤더 시그니처이고, 뒤에 오는 숫자는 푸터 시그니처라고 한다.

푸터 시그니처는 없는 파일 포맷도 존재한다.

파일은 파일 시스템에 저장되는 기본 단위로,

파일은 일반적으로 이름과, 해당 파일의 유형을 나타내는 확장자를 부여받는다.

확장자는 임의로 변경할 수 있기 때문에 확장자만으로 파일의 특성을 파악하는 것은 섣부르다.

파일 내부의 특정 위치의 몇 바이트가 항상 동일한데, 이러한 고정 값을 시그니처(signature)라고 한다.

시그니처도 변경이 불가능한건 아니지만 확장자에 비해 용이하지 않고, 시그니터가 변경된 경우엔 해당 파일을 처리하는 응용 프로그램에서조차 파일을 인식하기 어렵기 때문에 시그니처를 이용해 파일의 특성을 파악해야 한다.

일반 텍스트 파일은 텍스트 편집기를 이용해서 쉽게 편집할 수 있다.

그러나 텍스트가 아닌 데이터가 다수 존재하며 텍스트 편집기로는 열람할 수 없는 파일을 분석할 때는 헥스 에디터를 사용한다.

대표적인 무료 헥스 에디터인 HxD라는 프로그램에서 시그니처를 비롯해 다양한 형식의 데이터를 확인할 수 있다.

File Type	Header Signature (Hex)	Footer Signature (Hex)
JPEG	FF D8 FF E0 FF D8 FF E8	FF D9
GIF	47 49 46 38 37 61 47 49 46 38 39 61	00 3B
PNG	89 50 4E 47 0D 0A 1A 0A	49 45 4E 44 AE 42 60 82
PDF	25 50 44 46 2D 31 2E	25 25 45 4F 46
ZIP	50 4B 03 04	50 4B 05 06
ALX	41 4C 5A 01	43 4C 5A 02
RAR	52 61 72 21 1A 07	3D 7B 00 40 07 00
MP3	49 44 33 03
HWP	4A 41 52 43 53 00

더 많은 파일 시그니처를 알고 싶다면 아래의 링크들을 보면 된다. 여기에 전부 적기에는 너무 길어서 링크로 대체한다.

파일 시그니처 모음 (Common File Signatures) | FORENSIC-PROOF

List of file signatures - Wikipedia

File Signatures (garykessler.net)

2. 파일 구조

PNG

PNG의 파일 구조는 시그니처와 청크(chunk)들의 집합으로 구성되어 있다.

청크는 공통된 데이터를 가지고 있는 데이터들의 집합을 말한다.

중요한 청크는 첫 글자가 대문자, 보조 청크는 첫 글자가 소문자이다.

PNG 파일에 반드시 포함되어야 하는 청크에는 IHDR, IDEA, IEND 청크가 있다.

청크의 구조는 다음과 같다.

{
Length (4 byte),
Chunk Type (4 byte),
Chunk Data (length byte)
CRC (4 byte)
}

각각의 항목이 의미하는 바는 아래와 같다.

length : 청크 데이터의 길이

chunk type : IHDR, IDAT 등 청크의 타입

chunk data : 가변 길이의 실제 데이터

CRC : 순환중복검사의 약자로 데이터에 오류가 있는지 확인

1. IHDR

Image Header의 약자로, 이미지 헤더 정보를 담고 있다.

시그니처의 바로 뒤에 붙으며 길이는 언제나 13 byte이다.

Width와 Height는 이미지의 가로, 세로를 말하며 이미지의 크기를 나타낸다.

Bit Depth는 한 픽셀이 차지하는 비트의 양을 의미한다.

Color Type은 생의 유형을 의미한다.

Compression method는 압축 방식을 의미한다.

Filter method는 필터링 방식을 의미한다.

Interlace method는 웹 페이지 등에 이미지를 표시할 때 이미지 로딩이 완료되기 전 먼저 해상도가 낮은 이미지를 보여줄 때 사용되는 것으로 0과 1 두가지가 png 표준으로 정의되었다.

{
Length : 00 00 00 0D (13 byte),
Chunk Type : IHDR,
Chunk Data ( 13 byte ),
{
Width (4 byte),
Height (4 byte),
Bit depth (1 byte),
Color Type (1 byte),
Compression method (1 byte),
Filter method (1 byte),
Interlace method (1 byte),
}
CRC
}

2. IDAT

Image Data의 약자로, 실제 이미지 데이터 정보가 담겨 있다.

이미지 데이터는 데이터를 스트리밍 방식으로 전송하기 위해 전체 이미지 데이터를 한꺼번에 압축한 뒤 여러 IDAT 청크로 나뉘어 저장하는데,

전체 IDAT 청크가 있어야 디코딩이 가능하다.

{
Length(4 byte),
Chunk Type:IDAT(4 byte),
Chunk Data (Length byte),
{
Filtered, Compressed Data
.
.
.
}
CRC (4 byte)
}

3. IEND

이미지 맨 뒤에 존재하는 청크로,

아무 데이터도 없기 때문에 길이는 항상 0이다.

{
Length: 00 00 00 00 (0 byte),
Chunk Type : IEND,
Chunk Data (0 byte),
CRC
}

JPG

JPG는 정지 화상을 위해서 만들어진 손실 압축, 무손실 압축(JPEG 9.1부터) 방법 표준이며,

.jpg, .jpeg, .jpe, .jfif 등의 확장자를 사용한다.

압축 과정은 [ YIQ모델로 변환 → Macroblock화 → 8×8블록화 → 이산 코사인 변환 → 양자화 → 지그재그 스캐닝 → 엔트로피 코딩 ]의 단계를 거치는데,

양자화 과정이 유일하게 되돌릴 수 없는 과정으로, 이 과정에서 일부 데이터가 소실되는데 이때 디지털 풍화 현상 등이 발생한다.

JPEG 파일 구조란 JFIF(JPEG File Interchange Format)을 의미한다.

JPEG 파일은 다음과 같이 여러 개의 블록으로 나뉘어져 있다.

SOI (Start Of Image)

APP0 JFIF Marker

추가 APP Marker (APP0 ~ APP15) 또는 주석 (COM) marker

DQT (Define Quantization Tables)

SOF (Start Of Frame)

DHT (Define Huffman Tables)

SOS (Start Of Scan)

스캔 데이터

EOI (End Of Image)

초록색 글씨는 위치 순서가 유동적으로 바뀔 수 있는 부분이다.

SOI(Start Of Image)

시그니처 : FF D8

JPEG 이미지가 시작됨을 알린다.

APP Marker

시그니처 : FF E0~EF (APP0~APP15)