[디지털포렌식] NONamed 길에서 주워온 만두

zip 헤더 시그니처

zip에 암호가 걸려있을까봐 풀지도 않고 HxD에서 확인해 보았다. 별 특이점이 없는것을 확인하고 압축을 풀어주었다.

압축 풀기 후 파일 안에 있던 이미지

헤더 부분은 png 시그니처 그대로 였다. 하지만 푸터 부분이 알 수 없게 섞여있었다.

그리고 맨 마지막 PASS: 1234가 힌트임을 알 수 있었다.

다른 툴을 사용하기 이전에 어떤 방식으로 문제를 접근할지 고민하였다.

이미지라서 스테가노그래피 기법인가 싶었다.

 

스테가노그래피: 데이터 은폐 기술 중 하나, 파일 속 불필요한 데이터 속 노이즈를 숨기고자 하는 메시지로 변형하여 암호화하는 것

웹에서 LSB스테가노그래피 확인

스테가노그래피 기법 중 LSB스테가노그래피를 의심했으나 아니었다. 

LSB스테가노그래피: 주로 24비트 이미지 파일에서 많이 적용된다.

파일 구조에 대한 지식이 부족하다고 느껴서 png파일 구조를 다시 공부하였다.

특히 헤더 부분은 더 자잘하게 나뉘어 있었는데, 이미지의 크기를 결정하는 공간을 알게 되었고, 늘려보지 않을 수 없었다.

ctf 문제 중 이런 유형이 있다고 하여 바로 시도했으나 실패하였다. 가로로도 시도해 봤으나 잘못늘렸는지 화질이 깨졌다.

 

HxD에서 바꿀게 없다는 것을 깨달았다.

이번엔 PASS: 1234를 사용하기 위해 OpenStego 툴을 이용하기로 했다.

숨겨진 데이터를 찾는 과정에서 Password를 요구하였고, 처음 푸터에 있던 pass:1234가 여기에 이용되는 것이었다.

이미지 추출에 성공했다는 메세지

big에서 medium이 나오다니

마트료시카처럼 같은 방식이길 바라지만 혹시 아닐까봐 일단 HxD를 돌렸다.

몇장인지 궁금하여 IDAT검색해보았다.

별다른 문제점을 못느끼고 다시 OpenStego에서 pass:1234 를 이용해서 추출했다.

big에서 사용했던 방법 그대로 medium

small에 진행해주었다.

flag.txt에서 flag값이 나왔다.