[SuNiNaTaS] [FORENSIC] Level 32. Terrorist

손상된 USB 이미지를 복구하여, 내부 파일을 확인해야 하는 문제이다.

Disk Forensic 문제가 되겠다.

Tool: HxD, FTK Imager

Hint Keyword: FAT32

상세 풀이는 아래 클릭~

받은 파일을 HxD의 Extras - Open disk image 메뉴를 통해 열어보면, 아래처럼 되어 있다.

Sector 0에서 FAT32라는 단어가 눈에 들어오는데, FAT32 파일 시스템에 대해 대략적으로 알아야 할 것 같다.

[#M_FAT32|접기|

FAT32의 MBR은 아래와 같이 생겼다. 이 문제에서 주목해야 할 부분은 가장 끝 부분에 있는 55 AA이다.

이것은 FAT32의 Magic code라 불리며, 512 바이트인 각 Sector를 구분해주는 Hex 값이다.

Boot Code (466 bytes)
Partition 1 (16 bytes)
Partition 2 (16 bytes)
Partition 3 (16 bytes)
Partition 4 (16 bytes)	55	AA

문제로 돌아오자. Sector 1을 봤는데, 55 AA가 중간에 위치해 있다.

Sector 2의 경우에도 같은 위치에 있는 것을 볼 수 있다.

Sector 1의 앞부분에 null byte (0x00)를 삽입해 55 AA를 제자리에 두면 될 것 같다.

수정 후 FTK Imager로 잘 열린다.

2차 테러 계획.hwp이 보인다. 이 파일을 추출해보자.

1번 문제인 수정 일시를 알 수 있다. 한국은 UTC+9를 쓰므로, 별다른 연산을 필요로 하지 않지만, 이 블로그를 참고하는 외국인들은 자신의 나라에 맞게 적용하길 바란다.

이제 파일을 열어보면, 2번 문제의 답을 알 수 있다.

1, 2번 답을 문제에서 요구한 대로 이어 붙여 md5 hash 값을 구한 후 인증하면 된다.

_M#]

Clear~