[ XCZ ] Prob22 - Write Up

문제 이미지

 

이미지 파일을 통해 사용자의 위치이동기록(?)을 찾는 문제인 것 같다

우선 이미지를 다운받아 FTK Imager로 열었다.

 

????????

안열린다 (...)

혹시나 이미지 파일인가 싶어 위에있는 Image Mounting도 시켜보았으나 실패했다.

 

내가 문제인가 싶어 구글링을 시도했다

알고보니 확장자가 안붙어있어서 확장자를 확인한 후 확장자 붙이고 다시 열어야 한다고 한다.

 

바로 파일의 signature를 확인했다.

 

notebook: file open (hex)

 

파일 시그니처는 41 44 53 45 였고, 사이트를 통해 확인한 결과

검색 결과

검색이 안된다 (...)

마지막으로 구글에 검색했다.

다행히 검색이 되어 ad1 확장자 임을 알 수 있었다.

파일에 확장자를 추가하니 파일이 열린다.

FTK Imager로 데이터를 확인했다.

 

우선 바탕화면에 winhex와 XCZ 폴더, 내용을 알 수 없는 확장자없는 파일들이 있었다.

우선 폴더부터 확인하던 중 XCZ 폴더에서 스테가노그래피 프로그램이 확인되었다 (사진에서 2번째 파일)

 

이미지에 정보가 숨겨져있을 것으로 예측, 이미지 파일을 찾아보았다.

 

다른 폴더들에는 파일이 존재하지 않았고 (다운로드폴더 a_a 제외) 바탕화면에만 파일들이 있었는데,

2개의 zip 파일과 알 수 없는 파일들, 그리고 1개의 이미지 파일이 있었다 (file signature로 확인)

 

메세지가 숨겨져 있는 것 같은데 보이지 않았다.

파일에 해당 데이터를 넣어 이미지 등의 파일로 변환을 시도했지만 실패했다.

 

우선 이 파일을 잠시 내버려두고, 다른 파일을 확인해보았다.

여러 파일들 중 xml 파일로 인식된 내용이 하나 있었는데, 그것에 주목해보기로 했다.

 

파일을 열어보니 GPS라는 문구와 함께 사이트와 아래 위/경도 좌표들이 있다.

이 파일을 분석하기 위해 우선 위 사이트로 이동했다.

 

사이트에서 확인한 프로그램을 받아 파일 확장자를 xml 파일에 적혀있던 gpx로 설정 뒤 열었다.

 

뭔가 문제에서 원하는 듯한 정보가 나타났다.



우선 출발지는 공덕역이다.

다음은 김포공항 근처인..데 점이 많아 우선 경유지를 김포공항으로 보았다.

 

마지막 위치이다. 점의 끝이 가리키는 곳에 아무것도 없어서 렌트카업체 중 한곳인 것 같다는 추측만 했다.

 

확인할만큼 한 것 같아 여기부터는 구글링으로 답을 찾았는데, 시간이 지나며 지도 위치가 바뀌어 답이 지도상에서 찾을 수 없다고 한다.

최종 flag는 다음과 같다:

 

 

GONGDEOK_GIMPOINTERNATIONALAIRPORT_7-ELEVEN