인프런 커뮤니티 질문&답변

수석반장님의 프로필 이미지

작성한 질문수

디지털포렌식 입문자를 위한 디지털포렌식 전문가 2급 실기 시험대비 강의(Encase/Autopsy)

[공통] 2급 21회 시험 리뷰 1

21회 시험 중 궁금사항입니다.

해결된 질문

24.06.04 06:50 작성

·

359

0

이전에 vmware를 사용해본적이 있었는데, 저번 시험 시험장 제공 파일에는 vmware의 확장자 파일이 여러개(6~8개 이상으로 기억)가 있어서 어떤 파일을 가상화 머신으로 돌려서 분석해야하는지 당황했었습니다.

그래서 여러가지 파일을 가상화 프로그램으로 열어보앗는데 제대로 구동되지 않아 거기서 더 당황을 했었는데....

os가 설치되어 있는 파일이 선택 될 때까지 일일이 열어보았어야하는것인가요?

답변 3

1

수석반장님의 프로필 이미지
수석반장
질문자

2024. 06. 13. 22:39

답변 너무 감사합니다.

1

수석반장님의 프로필 이미지
수석반장
질문자

2024. 06. 06. 23:22

.vmdk 파일이 여러개 있었던것 같구요

용량이 작은 파일 외에도 큰 파일들도 몇개 있었던것 같습니다.

그래서 시험 당시 이것을 vmware로 다열어봐야 하나 고민하고 열어보려고 했는데 이마저도 정상적으로 잘 로딩이 되지 않았던것 같습니다.(제가 잘 못해서 그랬을수도 있구요ㅠㅠ)

nstyxn님의 프로필 이미지
nstyxn
지식공유자

2024. 06. 07. 22:56

말씀해주신 내용으로 짐작해봤을때, 2가지 경우로 보입니다.

우선 그에 앞서 아시겠지만, VMware에서 가상 머신을 생성했을때 생성옵션에 따라서 vmdk 파일이 어떻게 나오는지 간단히 보고 갈게요.

처음 가상머신 생성시에 나오는 설정중 하나가 아래 보시는 것처럼
vmdk 파일을 단일로 만들것인지, 아니면 여러개로 나눠서 만들것인지에 대한 옵션입니다.

 

image

단일로 만들면 .vmdk 파일이 1개로 나오고 대신 용량은 그 한개의 파일에 다 담아야하니
꽤 크겠죠.
여러개로 나눠서 만들면 .vmdk 파일은 여러개가 되겠지만 각각의 파일의 용량은 줄어들고요.

 

위의 옵션 설정에 따라서 최종결과는 아래 이미지와 같게 됩니다.

image두개의 가상머신은 동일한 win10 이미지로 생성하였고
왼쪽 화면은 vmdk파일을 단일로 만들었을경우로 .vmdk 파일은 1개이며, 용량은 18.5GB정도이며
오른쪽 화면은 vmdk 파일을 여러개로 나눠서 만들었을경우 .vmdk 파일은 총 17개이며, 각각의
.vmdk파일 중 용량이 가장 큰 파일은 약 4GB 정도 입니다.

이미지파일 생성을 어떻게 했냐에 따라서 .vmdk 파일의 갯수와 각각의 용량이 다르다는 점을 제외하고는 각각 1개의 가상머신입니다.
특히 우측 화면의 경우처럼 파일을 나눠서 여러개로 생성했다해도 결론적으로는 각각의 .vmdk파일이 서로 다른 가상화머신을 의미하진 않는다는 이야기죠!

우리가 압축을 할 경우에 분할압축을 하면 안의 데이터는 동일하지만

압축.zip 파일 하나의 파일로 만들지, 아니면 압축.zip-압축.z01-압축.z02 ... 처럼 나눠서 만들지와 동일하다고 생각하시면 될것 같습니다.

생성옵션에 따라서 .vmdk 파일이 어떻게 생성되는지를 확인해봤고요.

 

그렇다면 21회 시험에서 많은 분들이 말씀해주신 .vmdk 파일이 여러개였다는 의미는 2가지로
생각해 볼 수 있습니다.

첫번째로, 위의 예처럼 .vmdk 파일 생성 옵션에서 나누어 여러개로 파일을 만든경우,

두번째로, 실제로 가상머신이 여러개여서 서로 다른 .vmdk 파일이 여러개인 경우.

 

아마 말씀해주신것을 생각해봤을때는 후자일 가능성이 높아보이긴 합니다.

VMware에서 가상머신 파일을 열어보려고 했으나 정상적으로 열리지 않았다는 말씀을 봤을때요.

 

VMware에서 가상머신을 열기 위해서는 아래와 같이 'open a virtual Machine' 메뉴 클릭 후

가상머신 파일을 찾아서 열어 주면 되는데,

image

이때 우측 하단의 표시할 파일의 형식을 보면

'VMware configurationfiles(*.vmx, .vmtm)'
'Open virtual Machine Format files(*
.ovf, .ova)
'All supported files'
'All files'
이렇게 4개가 선택이 가능한데, 위의 3개는 당연히 열수 있는 파일만을 보여주고
마지막 all files만 전체파일을 보여주다보니, 기본적으로는
*.vmx 파일을 찾아서 보여주려고 합니다.

굳이 이 부분은 all files로 변경해서 하시진 않았을테니 당연히 .vmx 파일이 보여서 클릭을 하셨을테고 문제가 없다면 가상머신이 실행이 되야 하는데, 안된다면 뭔가 문제가 있었다는 것으로 보입니다.

(물론 all files를 선택하여 나오는 파일 중 .vmdk 파일을 선택하여 실행한다면 아래와 같은 에러메시지가 나오면서 .vmx 파일을 열것을 안내해주거든요)

image

제대로 열리지 않는 이유에 대해서 제 생각에 2가지 정도를 생각하는데,

첫째. 윈도우즈 등 OS가 정상적으로 설치된 가상머신이지만, 고의로 OS 파티션의 BR 등을 훼손시킨 경우가 있을 수 있으나 이렇게 출제를 하진 않았을것 같습니다.(2급에서 나오기에는...)

 

둘째. 아직 OS를 설치하지 않고 가상머신을 만든 경우

생성시에 일반적으로는 OS를 바로 설치를 하지만, 고의로 OS를 설치하지 않을 수도 있습니다.

image

위의 스샷처럼 OS를 나중에 설치하는것으로 선택할수가 있는데, 이 가상머신을 실행해보면


imageimageimage에러메시지는 설정과 상황에 따라 조금씩 다를수 있겠지만, 아마 이와 비슷한 결과를 보신게 아닐까 싶습니다.

이런 경우였다면 출제자가 의미없는 여러개의 가상머신 파일을 함께 제공해서 고의로 혼선을 주기 위한 목적이었을수도 있다는 생각이 듭니다.

 

그렇다면 이런 경우 어떤 파일을 열어봐야하는지가 문제인데,
정답은 없습니다. 그냥 다 열어보는게 제일 확실하거든요. 다만 1분이 아쉬운 시험인걸 생각해봤을때, 우선순위대로 열어보는 방법도 있을것 같긴해요.

우리 시험이 기본적으로는 Windows를 기반으로 하다보니 당연히 Windows 가 설치된 가상머신이 시험을 보면서 필요한 증거를 찾을 가능성이 더 높겠죠.

이런 경우라면 우선은 .vmdk 파일의 용량을 먼저 봐주세요.

windows가 설치된 정상적인 가상머신이라면 단일 파일 기준으로 최소 10GB 대 정도가 나옵니다. 앞에서 보여드린 단일 파일/ 복수파일 설정에 따른 파일의 용량을 다시 한번 보면

image단일 파일인 'Windows 10 x64 (2).vmdk' 의 용량은 약 18.5GB 정도이며

복수 파일로 나눠서 생성한 가상머신의 경우 파일명과 갯수는

'Windowsn 10 x64.vmdk , Windowsn 10 x64-s001.vmdk ~ Windowsn 10 x64-s016.vmdk' 총 17개이며, 각각 파일의 용량은 약 4GB, 1.7GB, 400MB, 42MB, 1MB이하 등으로 다양하며, 이 파일들의 용량을 모두 더하면 약 17.8GB 입니다.

물론 윈도우즈 설치 이미지 파일에 어떤 내용들(업데이트가 포함된 버전인지, 아니면 순수한 윈도우즈만 설치되는 버전인지)이 포함됐는지에 따라서 용량의 차이는 있겠지만, 적어도 10GB 정도는 된다는게 보이시죠?
그렇다면 여러 .vmdk 중에 우선은 용량이 큰 파일을 먼저 봐주세요.
OS설치전인 가상머신은 용량이 아주 아주 아주 작습니다.

물론 다른 OS (MS-DOS나 리눅스나...) 가 있는 경우도 있겠지만 시험의 특성상
Windows를 중심으로 하는 시험인점을 생각해봤을때 Windows 가상머신을 찾는게 우선순위일거라 생각 됩니다.

 

말씀해주신 내용을 바탕으로 저 혼자 추측을 해본 내용인데, 제가 엉뚱한 방향으로 설명을 드린건 아닌지 모르겟네요.

도움이 되셨길 바라며, 더 궁금하신 내용이 있으시다면 언제든지 질문 주세요 :)

 

  • 첨부한 이미지 파일이 잘 안보이시는 경우 ctrl + 마우스 휠 로 브라우저에서 확대해서 봐주세요~

 

 

 

0

nstyxn님의 프로필 이미지
nstyxn
지식공유자

2024. 06. 05. 17:45

안녕하세요 수석반장님!

개인적인 일이 있어서 답변이 너무 늦었네요 죄송합니다.

21회 시험시에 vmware 파일이 여러개 있었다는 얘기는 들었지만, 정확히 어떤 파일들이 있었는지는 확인이 안됐었는데, 혹시 .vmdk 파일이 여러개 있는 상황이었을까요 ?

물론 vmware를 이용해서 windows 만 설치할 수 있는것은 아니기때문에 말씀하신대로 헷갈릴수 있는 상황이었을텐데, 혹시 기억이 나신다면 .vmdk 파일이 여러개인 상황이었는지, 아니면 가상화를 하면서 같이 생성되는 부가적인 파일이었는지 말씀해주시면 도움이 될것 같습니다.

(아마 .vmdk 파일 자체가 여러개인 상황을 말씀하시는것 같긴 하지만 혹시 몰라서 질문드립니다)

 

추가로, 만약 .vmdk 파일이 여러개였다면 각각의 .vmdk 파일의 용량이 대략 어느정도인지 기억 나신다면 그 내용도 말씀 부탁드릴게요~