포렌식_WEEK3_# NONamed Wargame Forensic_[b] 유출된 자료 거래 사건 [3]

이번엔 동거자의 이름을 알아내라고 하네….

 

(제목에서도 알 수 있듯이 이전 글들에서 풀었던 문제들과 모두 연결되는 문제이댜..!!)

 

 

“계정이 삭제됐다”

라는 게 중요한 단서처럼 보인다.

전 문제처럼 ftk를 이용하자 처음에는!

일단 당연히 ‘계정’이니까 users에 들어갔다.

 

 

 

여기서 cocktail과 nonamed가 두 계정인 것으로 보인당.

근데 nonamed가 주인이니까 cocktail이 동거자겠당.

 

https://kali-km.tistory.com/entry/Windows-Event-Log-1

Windows Event Log (1) – 이벤트 로그의 개념

참고!

여러 가지 '로그'에 대해 설명해준다.

 

이 문제 풀이의 열쇠이므로 로그에 대한 개념이 꼭 갖춰져 있어야 한다!

 

 

 

 

 

요친구를 추출

 

이 파일을 추출해서 열어본 뒤,

앞에서 공부했던 로그 관련 내용을 기반으로 '검색' 기능으로 답을 찾으면 된다!

 

 

NND{cocktail_0220.23:52:57}

 

 

생각보다 간단한 문제였다..

툴을 새롭게 다운받거나 하는 등의 번거로움이 적어서 그런지 오랜 시간이 소요되지는 않았다.