2021 INCOGNITO CTF(Forensic-SWUCTFINCO 50)

Forensic - SWUCTFINCO 문제

 

패킷 파일을 열고 TCP 통신에서 전송된 그림 파일의 데이터를 카빙하는 기초적인 네트워크 문제였습니다.

SWUCTFINCO.pcapng 파일이 주어집니다. pcapng 포맷인 것으로 봐서 네트워크 포렌식 문제인 것을 알 수 있습니다.

 

wireshark로 패킷 확인

 

pcapng 형식이므로 wireshark로 파일을 열고 Statistics -> Conversations 를 통해 분석을 시도했습니다.

 

 

Conversations -> TCP

 

Conversations 탭에서 TCP 통신을 확인했습니다. 패킷 Bytes가 큰 순서대로 정렬을 해주고 Follow Stream을 통해 값을 확인했습니다.

 

 

Follow Stream

 

Follow Stream 값을 보면 PNG 형식의 데이터가 캡처된 것을 확인할 수 있습니다.

 

 

Raw 포맷으로 변경

 

새 파일로 저장

 

데이터를 Raw 포맷으로 변경한 뒤 모두 복사하여 새로 저장하면 됩니다.

 

Flag

 

이미지 파일을 열어보면 플래그를 확인할 수 있습니다.

 

INCO{therearenobaddogsintheworld}