디지털 포렌식 5

[기술 스터디] 03. NTFS 파일 시스템

NTFS 파일 시스템 - New Technology File System - FAT를 대체하기 위함 - 93년 윈도우 NT에서 최초로 도입 특징 1. 데이터 복구 기능: 모든 작업을 기록하고, 문제 발생 시 기록을 토대로 복원하는 기능 2. 암호화 3. 압축 4. ADS(Alternate Data Stream) 5. 대용량 지원: 이론상 264B까지 가능하나, 실제로 244B(16TB)까지 지원 MBR vs. GPT MBR - 처음 부분에 Master Boot Record와 Partition Entry를 가지고 있고, 뒤에 데이터를 가짐 GPT - Protective MBR ( ) 뒤에 최대 128개의 Entry 공간이 있고, 각 파티션이 따라오고, 다시 엔트리 정보와 헤더가 존재함 - 즉, Primar..

etc. 2023.01.04

[ctf-d] Find Key(Image)

head.png를 확인해보자. 규칙적인 사진의 배경이 눈에 띈다. HxD로 확인해보자. 파일 시그니처와 구조 모두 문제가 없다. 한 가지 발견한 건, www.inkscape.org 라는 무료 벡터 그래픽 소프트웨어를 사용한 것으로 보인다. 다시 사진의 배경을 집중해서 보면, 표시한 특정 패턴이 반복되고 있음을 알 수 있다. 각 행마다 흰색을 0, 검은색을 1로 표현하면 01010011 00110100 01001110 01000011 01001000 00110000 이 이진코드를 텍스트로 변환해보자. int() 함수에 진수의 base 값을 추가 인자로 넘겨주면 다시 숫자로 변환할 수 있다. 이때, int() 함수의 2번째 인자는 디폴트가 10이기 때문에 생략했을 경우 10진수의 문자열이 숫자로 변환되는 것..

[HackCTF] 나는 해귀다

주어진 zip 파일을 풀면, 이런 사진이 나온다 。 。 。 우선 HxD로 waytogo.png를 열어보자. PNG의 헤더 시그니처인 89 50 4E 47 0D 0A 1A 0A를 확인할 수 있다. 푸터 시그니처인 49 45 4E 44 AE 42 60 82도 확인하려고 했는데 끝 부분에 존재하지 않았고, 아래와 같이 검색 기능으로 찾을 수 있었다. 그리고, hex 값을 뒤집어 놓았다는 사진 속의 글처럼 푸터 시그니처 이후로 푸터 시그니처가 역으로 되어 있는 것을 볼 수 있었다. 마찬가지로, 끝 부분에서 헤더 시그니처가 역으로 되어 있는 것을 확인할 수 있다. 역으로 되어 있는 hex 값 부분을 다시 헤더 시그니처부터 역으로 저장하면 뭔가 나올 것 같다 ..! 아래와 같이 파이썬으로 코드를 만들어서 hex 값..