[KH Wargame] - Forensic04 풀이

Forensic04

hint: Booting the virtual machine.

 

먼저 HxD로  .vmdk 파일을 분석해봅시다.

0x80 0x0A이므로 2688번 섹터에 MBR이 위치해 있음을 알 수 있습니다.

 

 

FixIt이라는 문자열로 MBR이 수정되어 있습니다. 혹시 모르니 FixIt이라는 문자열을

검색해서 또 따른 수정된 파티션이 있는지 확인 해보겠습니다.

 -> 확인해 본 결과 다른 파티션은 발견되지 않았습니다.

아마도 MBR만 복구하면 해결될 문제로 보입니다.

 

MBR을 정상적인 Windows_XP_Professional MBR로 교체해주면 풀려보이네요.

Forensic02에서 썼던 MBR구조를 그대로 복사해 수정된 MBR 부분에 그대로 붙여넣어줍니다.

 

 

이제 성공적으로 부팅이 되고 다음과 같이 Flag가 나타납니다!

 

 

Flag: md5(flag)