포렌식_WEEK1_# NONamed Wargame Forensic_magic IMAGE

파일을 일단 다운받아서 열어보았다.

이렇게 아무것두 안뜬다…;0;

혹시 몰라서 파일 속성을 확인해 보았다.

혹시나 했는데 역시 첫번째 문제와는 다른 방법을 풀어야 하는 것 같다…

이 파일은 용량에는 문제가 없어 보인다.

아까 사용했던 WinHex를 이용해서 파일을 분석해보자.

일단은 감이 안와서 다른 일반적인 png파일을 hex 분석하면 어떤식으로 결과가 나오는지 검색해 보았다.

 

분석을 통해 알게 되었다.

이 문제는 "시그니처" 관련 문제이다!

 

*정~~리~~*

 

<파일 확장자, 시그니처>

파일 확장자 : .jpg, .png같은거...

 

*** 주의해야 하는 거 : HxD같은 거로 파일 형식 바꿔서 다시 저장할 때, 파일 이름에 확장자가 적혀져 있으면 그거 때문에 다른 형식으로 제대로 안 바뀌어서 저장될 수 있음...

 

ex : 바보.jpg 파일을 HxD에서 헤더, 푸터 시그니처 바꿔서 png 형식으로 다시 저장할 때, 

바보.jpg 이 이름 그대로 저장하면 png로 제대로 안바뀜..

그냥 바보 이렇게 둔 상태로 저장하면 알아서 png 형식으로 바뀌어서 저장됨!! ***

 

시그니처 : 헤더랑 푸터가 있다.

파일 시그니처는 파일 포맷 분석, 악성코드 분석, 파일 복구 등에서 중요하게 사용된다.

파일 카빙 도구에서 파일 시그니처를 파일 복구를 위해 없어서는 안되는 필수 요소이다.

 

이건 뭐 절대 못 외우고....그냥 필요할 때마다 검색해서 쓰면 될 듯!

 

* 시그니처 종류별 정리 : 

http://forensic-proof.com/archives/300" target="_blank" rel="noopener" data-mce-href="http:// http://forensic-proof.com/archives/300">http:// http://forensic-proof.com/archives/300 

파일 시그니처 모음 (Common File Signatures) | FORENSIC-PROOF

-> WinHex나 HxD 같은 거로 파일 열어서 바꿔주면 오케이.

근데 HxD가 훨씬 편하다!! (편집에)

WindHex는 hex 수정보다는 파일에서 가려진 것들이 무엇인지 찾아내는 목적으로 사용하는 게 더 맞을 듯.

 

다시 문제로 돌아가쟈.

HxD로 분석을 해보니 이 파일은 png파일의 시그니처 형태를 거스르고 있는 것을 볼 수 있다.

그래서 요렇게 바꿔주었다.

 

플래그값을 얻었따!

 

성공!