[CTF-D/Disk] X 회사의 재정 정보를 훔치기…

문제 : CFO 컴퓨터에서 훔친 EXCEL 파일 경로와 파일 크기를 구해 md5로 계산해라.

 

 

2012_CodeGate_F100의 파일 유형을 알아보니 7zip 형태이다.

(코드게이트 문제라니!!!)

 

 

FTK Imager는 zip 파일 형식도 지원하므로 FTK로 열어보자.

User 폴더가 나오는데, 누가봐도 CFO의 계정은 "proneer"일 것이다.

 

 

proneer 폴더를 열어보니 윈도우 운영체제임을 유추할 수 있다.

또한, Excel 파일이 남아 있을까 찾아봤는데 파일 자체는 존재하지 않았다.

 

그러고 나서 Excel의 "흔적"을 찾기 위해서 Microsoft를 분석하기로 하였다.

[proneer]-[AppData]-[Roaming]-[Microsoft]-[Office]-[Recent] 경로에 가면 파일의 링크파일이 존재한다.

 

 

그 중에서 탑시크릿-!!인 재무거래 파일 링크를 발견할 수 있다.

[Top-Secret]_2011_Financial_deals.LNK 파일의 구조를 통해서 파일 크기와 파일 경로 정보를 얻을 수 있다.

먼저, LIK 파일 구조에 의해 [0x34~0x37]에 파일 크기가 존재한다. 0x00002450=9296 Byte이다.

이후 후반부에 text ascii를 살펴보면 파일 경로로 추정되는 경로를 찾을 수 있다.

 

 

구한 파일 경로와 크기를 바탕으로 md5를 돌리기 위해 Python을 작성한다.

(이유는 md5 사이트마다 md5가 다르게 나와서 사이트를 못믿겠어..)

import hashlib

text = 'C:\INSIGHT\Accounting\Confidential\[Top-Secret]_2011_Financial_deals.xlsx|9296'
encText = hashlib.md5(text.encode('utf-8')).hexdigest()

print(encText)

 

 

문제를 읽어보면 strlwr(md5)였는데 사이트상 오류로 lwr(md5) 형식으로 적으라 나와있다.

그런데, 막상 그러면 또 안된다... 개빡침,,ㅠ

결국 md5 값만 입력하니 통과했다... 이게 뭥미

 

암튼 끝..

 

 

🚫 flag는 🚫

d3403b2653dbc16bbe1cfce53a417ab1