[🥉 Bronze 2] FAT32 부트섹터를 읽어 플래그를 계산하다 — DreamHack VBR 풀이

문제: DreamHack — VBR 분류: Forensics 난이도: 🥉 Bronze 2 FLAG: DH{2343104139}

512바이트짜리 VBR(Volume Boot Record) 파일 하나가 주어진다. 플래그가 문자열로 박혀 있진 않다. 대신 문제는 부트섹터의 특정 필드들을 읽어 직접 계산하라고 한다.

문제 개요

문제가 정의하는 세 값은 다음과 같다.

• A: 파일시스템이 FAT32면 1, NTFS면 2
• B: 해당 볼륨의 크기
• C: 볼륨 시리얼 번호

🧱 배경 — VBR 과 FAT32 부트섹터

VBR(Volume Boot Record)은 파티션(볼륨)의 첫 번째 섹터로, 부팅 코드와 함께 BPB(BIOS Parameter Block) 를 담는다. BPB에는 섹터 크기, 클러스터당 섹터 수, 총 섹터 수, 파일시스템 종류, 볼륨 시리얼 같은 볼륨의 기하학적 메타데이터가 고정 오프셋에 들어 있다. 포렌식에서 디스크 이미지를 해석할 때 가장 먼저 읽는 구조다.

출처: Wikimedia Commons (File:Fat32_structure.svg), CC BY-SA 3.0, 저작자 MrDrBob. 위 그림은 디렉터리 엔트리와 FAT 체인이고, VBR은 볼륨 맨 앞에 놓이는 부트섹터다.

우리가 읽을 필드의 오프셋은 FAT32 규격에 고정돼 있다.

🔬 정찰 — 헥스덤프로 필드 확인

vbr.bin을 헥스로 열면 표준 Windows FAT32 부트섹터임이 바로 보인다. MSDOS5.0 OEM 이름, NO NAME, FAT32, BOOTMGR 문자열이 그대로 있다.

xxd -l 80 vbr.bin

각 필드를 리틀 엔디언으로 읽는다.

• 0x0B: 00 02 → 0x0200 = 512 (섹터당 바이트)
• 0x20: 00 80 3E 00 → 0x003E8000 = 4096000 (총 섹터 수)
• 0x43: 8A EE A8 0E → 0x0EA8EE8A = 245952138 (볼륨 시리얼)
• 0x52: FAT32 → 파일시스템은 FAT32

⚠️ 참고로 0x120 부근에 보이는 66 58 66 58 …("fXfXfXfX")은 플래그처럼 생겼지만 함정이다. 66 58은 x86 명령 pop eax(operand-size prefix + 58)로, 스택을 정리하는 정상 부트 코드일 뿐이다.

💣 핵심 — "볼륨의 크기" 는 바이트 단위

가장 헷갈리는 값은 B(볼륨 크기) 다. 총 섹터 수 자체를 쓰는지, 바이트로 환산하는지 애매하다. "크기(size)"라는 표현은 바이트를 뜻하므로,

B = 총 섹터 수 × 섹터당 바이트
  = 4096000 × 512
  = 2097152000  (= 0x7D000000)

로 계산한다. 나머지는 정의 그대로다. A = 1(FAT32), C = 0x0EA8EE8A = 245952138. 세 값을 십진수로 더한다.

A + B + C = 1 + 2097152000 + 245952138 = 2343104139

🎯 풀이 — 필드를 파싱해 합산

# solve.py
import struct
d = open("vbr.bin", "rb").read()
bps     = struct.unpack_from("<H", d, 0x0b)[0]   # bytes per sector
sectors = struct.unpack_from("<I", d, 0x20)[0]   # total sectors (32bit)
serial  = struct.unpack_from("<I", d, 0x43)[0]   # volume serial number
A = 1                                            # FAT32 -> 1
B = sectors * bps                                # 볼륨 크기 (바이트)
C = serial
print(f"A(FAT32)=1  B(size)={B} (0x{B:x})  C(serial)=0x{serial:x}={serial}")
print(f"FLAG: DH{{{A + B + C}}}")

세 값을 더하면 2343104139, 이것이 플래그의 내용이다.

FLAG: DH{2343104139}

📝 결론

포렌식의 답은 파일 안이 아니라 구조 안에 있다.

이 문제의 플래그는 어디에도 문자열로 적혀 있지 않다. 부트섹터의 고정 오프셋에서 값을 읽어 계산해야 나온다. 파일시스템 구조를 알고, 필드가 어디에 어떤 엔디언으로 들어 있는지 아는 것이 곧 실력이다.

"그럴듯한 함정"에 속지 말 것.

fXfXfXfX처럼 플래그를 흉내 낸 바이트 패턴은 사실 정상 부트 코드였다. 헥스에서 눈에 띄는 무언가를 발견했을 때, 그게 데이터인지 코드인지 구분하려면 문맥(여기서는 x86 디스어셈블)을 확인해야 한다. 구조를 이해하면 함정과 정답이 명확히 갈린다.