[ 2주차 ] N0Named Wargame - 우리의 추억들

문제 분석

 

문제 이미지

 

---

 

문제 풀이

---

우선 문제에서 주어진 파일을 다운로드 받아 열면 아래와 같이 표시된다:

 

friend.zip 압축해제 스크린샷

익숙한 ad1 파일이 보여 지체없이 바로 FTK Imager로 열었다.

FTK Imager 스크린샷

우선 사진을 지웠다고 했으니, 휴지통을 뒤졌다.

 

의미있어보이는 사진 1

의미있어보이는 사진 2

여러 데이터들 중 레지스트리와 유튜브 썸네일 이미지를 찾았다.

이를 참고하여 Youtube 접속 기록을 레지스트리에서 찾는 것으로 확인, 크롬 접속기록을 들어갔다 (큰 실수)

 

우선 크롬 접속기록을 찾아 추출하고, DB Browser로 열었다.

총 5개의 youtube 접속 기록을 찾았다. 이제 얘네들의 썸네일 (?)이나 캐시파일을 찾으면 된다 (고 생각했다)

근데 캐시파일은 우리가 눈으로 확인 가능한 이미지 형태가 아니라는걸 구글링을 통해 알게 되었다 ( => 실패 )

 

다시 원점으로 돌아가 레지스트리에 집중하기로 했다.

레지스트리를 뜯어내보기로 하고 뜯어냈다.

파일이 비어있다 (...)

=> 실패

 

 

 

다시 원점으로 돌아가 썸네일에 집중하기로 했다.

 

윈도우 탐색기에서 만들어내는 썸네일 파일의 db 파일을 경로를 타고 들어가 찾았다.

우선 그중 가장 큰 크기를 자랑하는 thumbcache_256.db를 추출했다.

 

추출한 db 파일을 ThumbCacheViewer로 열었다.

쭉 내리다가..

찾았다 (!!)

 

풀이 결과

---

 

Flag를 얻었다.