[CTFlearn] Naughty Cat - 포렌식 / HxD / Audacity / Base64

 

CTFlearn의 일흔번째 문제

 

이번엔 Medium 난이도의 포렌식 문제이다.

 

이 문제 이후로는 Easy 문제가 거의 없다..

 

이젠 못푸는 문제가 나올까봐 두렵다.

 

반응형

 

 

문제에서 주어지는 것은 cut3_c4t.png 파일 하나이다.

 

 

파일을 열어보면 이렇게 귀여운 아기고양이 한마리가 보인다.

 

 

cut3_c4t.png 파일을 HxD 도구를 이용해 열어본다.

 

파일이 89 50 4E 47 으로 시작하는것을 알 수 있다.

 

 

89 50 4E 47로 시작하는것은 PNG 파일의 특징이다.

 

이런걸 파일 시그니처 라고 한다.

 

 

이번엔 HxD에서 스크롤을 내려 파일의 중간쯤으로 이동해 봤다.

 

PNG 파일은 끝날때 49 45 4E 44 AE 42 60 82 로 끝난다.

 

IEND®B`‚ 이렇게 생긴 문자열이 나오면 PNG 파일은 끝난것이다.

 

그런데 이상한게 위의 문자열이 나왔음에도 뒤쪽에 데이터가 더 보인다.

 

데이터가 Rar! 라고 시작하는데

 

 

이건 rar 파일의 시그니처 이다.

 

rar 파일은 압축 파일의 한 형태이다.

 

 

rar 파일에 해당하는 부분만 추출해서

 

a.rar 파일로 다른 이름으로 저장을 해주었다.

 

 

압축을 풀어보니

 

purrr_2.mp3 파일과 y0u_4r3_cl0s3.rar 파일 두 개가 보였다.

 

 

우선 y0u_4r3_cl0s3.rar 파일의 압축을 풀려고 시도해보니

 

파일이 깨진듯 경고창이 뜨며 압축이 풀리지 않았다.

 

 

HxD 로 열어봤더니

 

파일이 시작이 Cat! 이었다.

 

아까 봤듯이 rar 파일은 Rar! 로 시작해야 한다.

 

 

해당 부분을 올바르게 수정하고나서 저장하면

 

 

오류메세지는 이제 뜨지 않는다.

 

그런데 압축 비밀번호가 걸려있다.

 

 

purrr_2.mp3 파일이 힌트일거라 생각했다.

 

파일을 재생시켜 보면 사자나 호랑이 같은 동물이 그르릉 하는 소리가 들린다.

 

파일의 속성을 보면 is a password here? 라는 문구가 적혀있다.

 

 

Audacity(https://audacity.en.softonic.com/download) 라는 도구를 이용해 해당 파일을 분석했다.

 

Audacity 로 mp3 파일을 열고

 

스펙토그램을 선택해주면

 

 

숨어있던 압축파일 비밀번호를 찾을 수 있다.

 

 

비밀번호를 입력해 압축을 풀면

 

f1n4lly.txt 파일을 찾을 수 있다.

 

 

txt 파일을 열면

 

고양이 같은 동물이 깃발 위에 앉아있는 그림이 나오는데

 

깃발 위에 Base64 로 인코딩된 문자열이 적혀있다.

 

 

CyberChef(https://gchq.github.io/CyberChef)에서 Base64 디코딩을 하면

 

플래그를 찾을 수 있다.