공장장과 함께하는 디지털 포렌식 이야기

HashCheck Shell Extension은 상대적으로 최근에 개발된 프로그램입니다.

제작 : Kai Liu (刘锴).  http://www.kailiu.com/contact.xhtml (e-mail을 공개안하는걸 보니 보안에 신경쓰는 듯)

홈페이지 : http://code.kliu.org/hashcheck/

버전 : 2.1.11.1 ( July 1, 2009 )

크기 : 86,528 Bytes (MD5 : B99FF61DEF8125E2178CE6F1F7D6D8C0)

지원환경 : both x86 and native x64

다운로드 : http://code.kliu.org/hashcheck/downloads/HashCheckInstall-latest.exe


라이센스 : BSD Style Free and Open License

소스코드 : http://code.kliu.org/hashcheck/downloads/HashCheckSource-latest.7z


HashTab 과 마찬가지로 문맥메뉴에 체크섬이라는 탭이 생기며 해당 탭에서 Hash 계산 결과를 확인할 수 있습니다.

파일명, CRC-32, MD4, MD5, SHA-1 에 대한 계산값을 확인할 수 있으며

HashTab 과는 달리 현재 다른 알고리즘은 지원하지 않고 있습니다.


HashTab은 두 파일의 Hash 값 계산 비교를 위해서는 각각의 파일에 대한 문맥메뉴를 이용하거나 하나의 파일에 대한 Hash 값을 계산 한 후 다른 파일을 Drag & Drop 해야 합니다.

반면 HashCheck 는 복수개의 파일에 대한 문맥메뉴를 지원합니다.


5개의 파일에 대한 Hash 계산 결과입니다.

하단의 검색메뉴를 통해서 특정 키워드를 찾을 수 있습니다.


또한 문맥메뉴에서 바로 .SFV와 같은 체크섬 파일을 생성할 수도 있습니다.

하나의 파일에 대해 RIPEMD나 SHA-256 등으로 Hash 값을 계산하거나 두개의 파일이 동일한지 여부를 비교하려면 HashTab이, 여러개의 파일에 대해 Hash값을 계산하고 체크섬 파일을 생성하려면 HashCheck 가 유용해 보입니다.

파일 분석시 가장 기초적인 단계가 파일의 특성을 구분하는 것입니다.

간단하게는 확장자와 헤더값을 비교하는 Signature Analysis가 있겠고

그 뒤에 실행 파일 이라면 Packing 여부 및 PE 헤더의 확인, Prefetch 파일의 존재 여부 등이 있을 수 있습니다.

그 중 특정 파일의 중복 및 변조 여부를 확인하기 위해서 CRC 등의 체크섬이나 MD5, SHA1등의 Hash 값을 계산하는 방법이 있습니다.

얼마전 유출된 MS Windows 7의 경우도 각종 해적판이 난무하는 가운데 정식 유출본을 찾는데 이 Hash 값을 이용하라는 글들이 많이 올라왔습니다.

Hash 값을 계산하는 여러가지 프로그램이 있으나 (심지어는 EnCase -_-;; ) 추천하는 프로그램은

이번에 소개할 HashTab과 HashCheck 입니다.

HashTab

제작 : Cody Batt beta@beeblebrox.org

홈페이지 : http://beeblebrox.org/

버전 : 3.0.0

크기 : 799,610 Byte (MD5 : 5845F52D425C75E232B1AD5EE3B189A8)

지원환경 : Windows XP 이상, OSX 10.4 이상

다운로드 : http://beeblebrox.org/HashTab%20Setup.exe (Windows)


               http://beeblebrox.org/hashtab_10.4_universal_1.0.0.dmg.gz (MAC 이라지만 관심이 없다)

라이센스 : Free ( 설치 시 다음의 말에 동의해야 함 : Hash Tab is the coolest thing ever! )


굴러다니는(-_-) ISO 파일에 대한 HashTab 결과입니다.

탐색기 내에서 특정 파일의 문맥메뉴를 이용하면 "파일해시"라는 탭이 생기며 해당 탭에서 Hash 계산 결과를 보여줍니다.


마우스 오른쪽 버튼을 누르면 Copy All 과 설정 메뉴를 선택할 수 있습니다.

이름 그대로 Copy All을 선택하면 Hash 계산 결과가 클립보드에 저장됩니다. 물론 특정 Hash 계산값만 선택하여 따로 복사할 수 도 있습니다.



설정을 선택하면 HashTab에서 계산할 알고리즘을 선택할 수 있습니다. 초기 설정값은 CRC32, MD5, SHA-1 입니다.

지원되는 알고리즘은 다음과 같습니다.

Adler32, CRC32, HAVAL, MD2, MD4, MD5, RIPEMD-128, RIPEMD-256, RIPEMD-320, SHA-1, SHA-256, SHA-384, SHA-512, Tiger, Whirlpool


또한 현재 파일과 다른 파일의 Hash 값을 비교할 수 있습니다.

원하는 Hash 알고리즘을 선택한 다음 비교하고자 하는 파일을 Drag & Drop 하면 됩니다.


MD5 에 맞춰놓고 하면 MD5 값 결과를 보여줍니다. 다른 파일을 비교하였더니 빨간 X 로 값이 다르다는 것을 시각적으로 보여줍니다.


CRC32에 맞춰 놓고 하면 CRC32 값에 대해서 비교를 해줍니다. 계산값이 동일하면 초록색 V 마크가 표시됩니다.

간편하게 다양한 Hash 계산을 할 수 있는 HashTab 입니다.