[CTFlearn] Bobby Toe's iPad - 포렌식 / Stegsolve / HxD

 

CTFlearn에서 제공하는

 

Hard 난이도의 포렌식 문제

 

다 풀고 보면 그렇게 어렵지 않은 것 같은데

 

푸는데 시간이 꽤 걸렸다.

 

반응형

 

 

문제에서 주어지는 것은

 

bobbytoesipad.png 파일이다.

 

 

해당 파일을 HxD 로 열어

 

iend 문자열을 검색해 PNG 파일의 맨 끝으로 이동해보면

 

파일이 정상적으로 끝나지 않고 뒤에 데이터가 더 있는 모습이 보인다.

 

FF D8 FF E0 로 시작하는 데이터가 있는데

 

이건 JPG 파일의 시그니처 이다.

 

PNG 파일 뒤에 JPG 파일이 숨어있는 것이다.

 

 

FF D8 FF E0 부터 파일의 맨 끝까지 복사한 뒤

 

새로만들기로 ipad.jpg 라는 이름으로 저장해줬다.

 

파일의 맨 처음을 보면

 

congrats you found me! you win an iPad! 라는 문장이 보이는데

 

이 문장때문에 파일 헤더가 손상되어서 jpg 파일이 올바르게 읽히지 않는다.

 

 

해당 부분을 다 지우고 이렇게 만들어주면

 

 

이렇게 아이패드 이미지가 나온다.

 

bbbabydonthurtmewhatislove 라고 적혀있는데

 

플래그는 아니고 뭔가 문제풀때 필요한 내용인듯 하다.

 

 

다음 스텝이 뭔지 찾다가

 

 

Stegsolve 라는 도구를 이용해 bobbytoesipad.png 파일을 분석해보았다.

(http://www.caesum.com/handbook/Stegsolve.jar)

 

위 경로에서 Stegsolve.jar 파일을 다운로드 받을 수 있다.

 

Stegsolve를 실행시켜서 Open으로 이미지를 불러오면 된다.

 

아래쪽에 있는 <, > 버튼을 누르면

 

이미지의 alpha, blue, green, red, xor 등등 다양한 값을 조정한 형태를 보여주게 된다.

 

몇번 넘기다 보니 Red plane 0 에서 안보이던 문자열이 보였다.

 

뭔가 암호화된 문자열인것 같고,

 

아까 봤던 bbbaby ~ 가 key 값인것 같았다.

 

문제는 어떤 암호냐는것이었는데

 

iPad 라고 언급한걸 보니 One Time Pad 이지 않을까 생각했다.

 

https://www.geocachingtoolbox.com/index.php?lang=en&page=oneTimePad 

GeocachingToolbox.com. All geocaching tools a geocacher needs in one box.

 

 

온라인 One Time Pad 도구 사이트에서

 

Decrypt 해주면 플래그를 찾을 수 있다.