CTF/Forensic

칼리에서 file 명령어로 보니 data라고만 뜬다. HxD로 열어보니 시그니처가 BMP 파일이라고 한다. 그래서 확장자 .bmp로 바꾸고 온라인 파일 변환툴로 jpg로 바꿔 열어보니 flag가 아니란다. 포렌식 관련 bmp 파일 찾아보다가 파일 헤더 정보를 찾았다. tod-forensics.tistory.com/entry/%ED%9B%BC%EC%86%90%EB%90%9C-bmp-%ED%8C%8C%EC%9D%BC-%EB%B3%B5%EA%B5%AC-%EC%8B%A4%EC%8A%B5 훼손된 .bmp 파일 복구 실습 학교 수업 후 미리 실습을 해보라고 교수님이 준 damaged_image.bmp 파일이다. 역시나 열리지 않는다. 그래서 습관적으로 HxD에서 파일을 확인해보니 파일 헤더 부분이 뭔가 엉성하다는 ..

주어진 파일 wireshark로 열어보니 TCP 통신이 많은 걸 볼 수 있다. Follow -> TCP Stream 메뉴로 들어가 Stream을 조정해봤다. 플래그 형식과 비슷해보이는 걸 찾았다. 각 단어가 뭘 뜻하는지 유추해본 결과 x랑 q는 다른 글자에서 힌트를 찾을 수 없어서 pikaboo랑 deadbeef라는 단어로 맞춰봤다. 맞드라 ~ FLAG : picoCTF{p33kab00_1_s33_u_deadbeef}

힌트1을 보니 파일 안에 다른 파일을 숨겨뒀다고 한다. HxD로 열어 png 푸터를 찾아보니 뒤에 zip 시그니처가 있는걸 보니 zip파일이 숨겨져 있는 것을 알 수 있다. zip 파일 부분만 추출해 저장해줬다. zip 파일을 풀어보니 나온 이미지 파일 또 있다. 러시아 인형마냥 zip 파일이 계속 숨어있나보다. 4를 깔 때 돼서야 flag.txt 파일이 보인다. FLAG : picoCTF{96fac089316e094d41ea046900197662}

주어진 파일을 volatility로 분석했다. 이 중 의심스러운 파일로 FTK Imager랑 notepad를 꼽아 덤프했다. notepad 덤프파일에서 strings로 문자열 뽑았는데 너무 많아서 UMASS만 골라 뽑았다. FLAG: UMASS{$3CUR3_$70Rag3}

Description There's something in the building. Can you retrieve the flag? Hint There is data encoded somewhere... there might be an online decoder. 힌트에서 온라인 디코더 언급이 있어 이미지 디코더를 찾아 넣어 실행해보니 flag 찾을 수 있었다. https://stylesuxx.github.io/steganography/ FLAG : picoCTF{h1d1ng_1n_th3_b1t5}

We found this packet capture. Recover the flag. wireshark로 열어 주고받은 패킷을 보니 UDP로 통신된 패킷의 수가 많았다. UDP Stream을 볼 수 있는데 처음에 맞춰진 stream 10 값으로 보니 아무 의미 없는 쓰레기값만 있어서 stream 값을 조정해보니 stream 6에서 flag를 찾을 수 있었다. FLAG : picoCTF{StaT31355_636f6e6e}

Description 'Suspicious' is written all over this disk image. Download suspicious.dd.sda1 주어진 디스크 파일을 분석하기위해 autopsy로 열어 확인했다. text 쪽에 flag가 있을까싶었는데 suspicious-file.txt 이라는 아주 수상한 파일 발견 내용보니 봐야할 옆 칸이 비어있었다. HxD로 파일 열어서 찾을 수 있었음 FLAG : picoCTF{b3_5t111_mL|_

AUTHOR: SANJAY C/DANNYDescription This is a really weird text file TXT? Can you find the flag? 주어진 txt 파일을 열어보니 글자가 다 깨져있었다. 위 파일을 HxD로 까보니까 파일 시그니처가 PNG다. 파일명 flag.png로 바꾸고 다시 열어보니 flag를 찾을 수 있었다. FLAG : picoCTF{now_you_know_about_extensions}