[Forensics] So easy?

qwer.zip 을 압축 풀면 사진이 나오는데 hex 로 열었더니 클리어 

 

 

HackCTF{He_s0ggazzi_long} 은 아니다.. 

가짜 flag였다.

 

.jpg 파일이기 때문에 헤더 시그니처는 FF D8 FF E0 00 10 4A 46 입니다. 헤더 시그니처가 있다는 것은 푸터 시그니처도 있다는 것인데, jpg의 푸터 시그니처는 FF D9 입니다.

 

 

푸터인 FF D9 이후에도 이상한 값들이 들어 있었고, 사진에 가짜 FLAG도 보입니다.

 

hidden.txt가 눈에 보여서 리눅스를 이용해서 binwalk 명령어를 통해 숨겨져 있는 파일이 있는지 확인해 보겠습니다.

있네요!!

 

foremost 명령어를 통해서 위의 파일을 분리 했습니다.

 

이 과정을 끝내면 output/이라는 파일이 생성되는데 들어가 보겠습니다.

 

 

audit.txt 파일에는 어떤 파일이 나왔는지 설명해 주는 txt 파일이고, jpg는 사진, zip는 우리가 필요한 hidden.txt 를 압축 시켜둔 파일 입니다.

 

 

압축을 풀어보니 hidden.txt 파일이 있고, 내용에는 flag값이 들어있엇습니다.

 

flag : HackCTF{M4try0shka_do11}