[xcz.kr] Prob22 22번 문제 풀이

Prob22

이번 문제는 포렌식 문제다.

노트북을 찾는 문제인데 우선 파일을 다운로드 받아보도록 하겠다.

 

노트북이라는 확장자가 없는 파일을 다운로드 받을 수 있었다.

우선 어떤파일인가 보기위해 HxD로 열어보도록 하겠다.

 

처음보는 시그니처였다.

구글에 검색해보도록 하겠다.

 

이런 답변을 볼 수 있었고, FTK Imager로 열어야하는 파일이므로 FTK Imager를 다운로드 받고,

notebook파일의 확장자를 AD1로 변경하도록 하겠다.

 

FTK Imager는 아래 링크에서 받을 수 있다.

https://accessdata.com/product-download/ftk-imager-version-4-2-0

FTK Imager version 4.2.0

설치과정은 생략하고, 이렇게 FTK Imager를 실행 후 notebook.AD1파일을 열어보도록 하겠다.

 

File - Add Evidence Item... - Image File - notebook.AD1 선택 - Finish

 

이렇게 잘 불러온 것을 볼 수 있었다.

 

우선 바탕화면부터 보도록 하겠다.

 

사진파일 2개가 보여서 열어보도록 하겠다.

 

reset.png

spongebobeyes.gif

두 파일 모두 키와는 상관없어 보인다.

우리가 구해야 할 것은 문제에서 제공한 것 처럼

인증키 형식 : 출발지_거쳐가는곳(1곳)_최종도착지
인증키는 모두 대문자로, 띄어쓰기무시
예) PLACE1_PLACE2_PLACE3

이므로, 사진과는 연관이 없었고,

바탕화면의 다른 파일들을 보도록 하겠다.

 

 

이렇게 파일을 하나하나 보다가 6095485345라는 파일에서

lat과 lon이 담긴 파일을 찾을 수 있었다.

파일을 자세히 보도록 하겠다.

 

주소인 것이 틀림없어 보인다.

우선 주소에 큰 변동이 없을 때는 같은 장소에 머문 것으로 보인다.

 

구글맵스에 위도와 경도를 입력하면 이렇게 주소를 알려준다.

하지만, 이렇게 검색을 하나하나 하기엔 어려움이 있어 프로그램의 힘을 빌리도록 하겠다.

우선 우리가 첫 검색한 세븐일레븐과 공덕역을 출발지로 두고,

프로그램을 사용해보도록 하겠다.

 

XML파일에 보면

 

이런 링크를 찾을 수 있는데 해당 링크에 접속하면

 

해당 파일을 편집할 수 있는 프로그램을 볼 수 있었다.

http://www.gpsnote.net/

GpsNote.NET

다운로드를 받고 실행해보도록 하겠다.

 

위와 같은 화면을 볼  수 있었고, 해당 파일을 열어보도록 하겠다.

 

해당 확장자들만 열 수 있도록 되어있어 해당 파일을 GPX확장자로 변경하도록 하겠다.

 

이렇게 선으로 경로가 나오는 것을 볼 수 있었고, 줌 아웃을 해서 보도록 하겠다.

 

최종 목적지는 제주도로 보인다.

그렇다면 거쳐가는 곳을 확인해보도록 하겠다.

 

 

김포국제공항에 거쳐서 제주도를 가는 것으로 보인다.

목적지를 자세히보도록 하겠다.

 

 

목적지는 제주국제공항이나 동부렌트카 둘 중 하나로 보인다.

 

정리해보자면 

출발지는 공덕역 or 세븐일레븐 

경유지는 김포국제공항

도착지는 제주국제공항 or 동부렌트카

 

키 형식에 맡게 바꿔보도록 하겠다.

GONGDEOKSTATION_GIMPOINTERNATIONALAIRPORT_JEJUINTERNATIONALAIRPORT

or

GONGDEOKSTATION_GIMPOINTERNATIONALAIRPORT_DONGBURENTALCAR

or

SEVENELEVEN_GIMPOINTERNATIONALAIRPORT_JEJUINTERNATIONALAIRPORT

or

SEVENELEVEN_GIMPOINTERNATIONALAIRPORT_DONGBURENTALCAR

 

하지만 모두 인증에 실패했다.

분명 키값이라고 생각했지만, 인증되지 않아서

구글에 검색해본 결과,

공덕역이 아닌 공덕으로 출발지를 적어야하고,

제주국제공항이나 동부렌트카가 아닌 세븐일레븐으로 도착지를 적어야 한다고 한다. ( 세븐 일레븐도 7-ELEVEN...)

아마 동부렌트카 자리가 문제가 출제됐을 때 세븐일레븐이라고 생각된다.

 

따라서 정리하면,

GONGDEOK_GIMPOINTERNATIONALAIRPORT_7-ELEVEN이 키 값이 된다.

클리어를 했다.