티스토리 뷰

Digital Forensic

HWP Recent File with Python

Digitalis_Kim 2016. 3. 21. 00:01


HWP Recent File with Python


이전에 Microsoft Office 2013의 최근 작업한 문서 목록들이 어디에 저장되고

어떠한 방식으로 확인이 가능한지, Python으로 툴을 제작하여 쉽게

확인이 가능하도록 구현해보았다.

(Microsoft Office 2013 MRU with Python)


그렇다면 Office와 함께 국내에서 자주 사용되는 아래아 한글의 경우는 어떨까?



아래아 한글 역시, 최근 사용한 문서에 대해서 볼 수 있는 항목이 존재한다.

아래아 한글 역시 Office, Acrobat Reader와 같이 특정 파일이나 레지스트리 형태로

최근 사용한 문서에 대한 정보를 확인 할 수 있는 확률이 높다.



탐색 결과 아래와 같은 레지스트리 경로에 최근 문서에 관한 레지스트리를

발견 할 수 있으며 안의 내용은 다음과 같다.

HKEY_CURRENT_USER\Software\HNC\Hwp\9.0\HwpFrame_KOR\RecentFile


예상대로 Office와 비슷하게 레지스트리 형태로 저장되어 있다.

그러나 Office와는 달리16진수로 표기되어 있어 정확히 보기는 힘들다.

이를 확인하기 위해 레지스트리 값을 상세하게 살펴보도록 하자.



가장 최근에 편집하였던 문서인 test.hwp를 확인 할 수 있다.

test.hwp의 경우에는 파일 명이 영어이므로 손쉽게 확인 할 수 있지만

파일 명이 한글인 경우 아래와 같이 알아 볼 수 없게 되어 인코딩이 필요해진다.



그래서 Python으로 다음과 같은 툴을 제작하였다.

RecentFile 레지스트리 값을 읽어 들인 뒤, UTF-16 방식으로디코딩 한 뒤, 

다시 CP949 방식으로 인코딩 하였다.



Office와 더불어 국내에서 많이 사용되는 아래아 한글로의 최근 사용 문서에

대한 정보를 빠르게 습득할 수 있게 된다.

소스코드는 아래와 같다.


HWP RecentFile Viewer



hwp.py




아래아 한글 역시 Office와 동일하게 최근 사용한 문서에 대한 기록을

삭제가 가능하다. 삭제할 경우, 레지스트리 값이 삭제 되며

실제로 아래의 경로로

C:\Documents and Settings\DongHyun\Application Data\HNC\Office\Recent

접근하여 최근 사용한 문서에 대한 값을 획득이 가능하지만

Window7 이상부터 아래의 경로에 접근하기 위해서는 권한 해제 및 여러

절차가 필요하여 레지스트리 경로로 접근하여 정보를 획득하는 것이

훨씬 간편하게 되었다.

'Digital Forensic' 카테고리의 다른 글

Google Chrome History with Python  (0) 2016.03.22
Adobe Reader DC Recent Files with Python  (0) 2016.03.21
Microsoft Office 2013 MRU with Python  (0) 2016.03.20
[문서] Volatility Cookbook  (0) 2016.03.19
Windows MBR Analysis Document  (2) 2016.03.19
공지사항
최근에 올라온 글
최근에 달린 댓글
Total
Today
Yesterday