[포렌식] XCZ-PROB13

 

[문제]

Key Format = lowercase(md5("Key"))

XCZ – PROB13: http://xcz.kr/START/prob/prob13.php

http://xcz.kr/START/prob/prob13.php

---

[TIP]

• PNG 파일이라면 끝에 IEND를 가져야 한다.
• Export Objects 기능을 사용하는 이유:
  • 패킷을 raw 형식으로 변환하고 HxD와 같은 헥스 에디터로 복사하여 붙여넣기 할 수는 있지만, 이 방법은 번거롭고, 분석하기 어렵고, 오류가 발생할 수 있습니다.
  • 패킷을 와이어 샤크에서 "Export Objects" 기능을 사용하여 추출하는 것이 더 효율적이고 안전합니다.
• 0A 0D 0D 0A = .pcapng

---

[문제풀이]

1) 먼저 파일이 형식이 없어 HxD를 이용해서 파일 헤더를 알아냈고 파일 시그니처를 확인해 본 결과

0A 0D 0D 0A가 pcapng 타입인 걸 확인하고. pcapng로 파일을 변환해서 저장해 줬습니다.

 

 

2) tcp 패킷에서는 정보를 얻지 못했고 http 패킷을 분석하다가

98번 패킷에서 index.html을 GET 하는 확인했고 스트림을 분석해 보니 treasure1,2,3 링크가 되어있는 것을 확인할 수 있었습니다.

 

 

3) 각 treasure 패킷을 분석해 보니 png 파일인 걸 확인했습니다.

 

4) 파일-객체 내보내기를 이용해 treasure 1~3을 추출해서 저장했습니다.

 

5) HxD로 열어서 1번 파일을 확인해 본 결과 png 파일이라면 끝에 IEND를 가져야 하지만 1번 파일에는 IEND가

없어, 파일이 잘린 것이라는 생각이 들었습니다.

 

6) 2번 파일에는 딱히 내용이 없었고 3번 파일에서 IEND를 발견을 해서

1,2,3번 파일을 다 합쳐서 온전한 png 파일을 만들어 저장을 해야겠다는 생각을 했습니다.

 

 

7) 도구-파일 도구-연결: 파일을 연결해서 온전한 png 파일을 만들었습니다.

*출력 파일 이름을 지정할 때 파일의 위치까지 표시해야 한다.

8) png 파일에서 얻은 키를 문제에서 Key Format = lowercase(md5("Key"))라는 설명을 적용해서 WebMax Tools을 사용해 md5로 복호화를 해서 키값을 얻었습니다!

키(key): 2f4a11572d9ff67baebdb2f3899d7a84

 

https://tools.web-max.ca/encode_decode.php#results

Tools to help encode/encrypt or decode/decrypt MD5, MD4, Sha1, Sha256 URL encoding, Base85 or Base64