[써니나타스] game32

경찰청으로 부터 연쇄 테러 용의자로 부터 압수한 USB 이미지 분석을 의뢰 받았다.

최초 분석을 신입 직원에게 맡겼으나 Hex Editor로 여기 저기 둘러 보다 실수로 특정 부분이 손상되고 이미지가 인식되지 않는다.

당신은 포렌식 전문가의 자존심을 걸고 이미지를 살려 내고 다음 테러를 예방하는데 기여를 해야 한다.

1. 다음 테러 계획이 들어있는 문서의 수정 일시는? (UTC+9)
2. 다음 테러 장소는?

인증키 형식 : lowercase(MD5(YYYY-MM-DD_HH:MM:SS_장소)

예) lowercase(MD5(2016-03-28_13:00:00_Pink Lake)

 

이미지 분석 문제이다

파일을 다운받으면 ftk 이미저로는 열리지 않기에 먼저 Hxd로 분석해보면

FAT32 부트섹터 파일임을 알 수 있다.

한 섹터는 512 byte이고 HxD에서 도구-이미지 불러오기를 선택하면 섹터별로 분류해서 볼 수 있다.

 

 

 

FAT16 과 FAT32 부트레코드 공통 항목 설명

맨 마지막에 보면 0x1FE~부터 끝(한 섹터의 끝까지)는 0x55 AA 시그니처가 들어가야 한다는데 주어진 파일은 중간에 들어있다.

즉, 중간에 핵스값이 지워져 앞으로 밀렸다는 것을 알 수 있다..

이렇게 중간을 null 값으로 채우고 다시 ftk 이미저로 열어보면 이미지를 읽을 수 있다.

 

헉.. 테러는 안 돼요 .. 

2016-05-30_11:44:02_Rose Park

MD5 d30ed7901cab5e1a63be92a3bb55c724

오랜만에 재밌는 디스크 분석 ~_~