2021 INCOGNITO CTF(Forensic-HS 325)

Forensic - HS 문제

 

이동식 저장장치의 Serial Number를 구하는 문제입니다.

 

 

chall.zip 파일 내부

 

chall.zip 파일이 주어지며 안에는 확장자를 알 수 없는 파일이 존재합니다.

 

 

$% hex value

 

파일의 시그니처 부분이 INCO 문자열로 덮여져있음을 확인할 수 있습니다.

 

 

하이브 파일의 시그니처로 변경

 

레지스트리 하이브 파일의 시그니처 값인 72 65 67 66 으로 값을 변경시킨 후 저장합니다.

 

 

SYSTEM\ControlSet001\Enum\USBSTOR

 

레지스트리 익스플로러 프로그램을 사용하여 해당 파일을 연 뒤,

외부저장장치 연결 기록이 저장되는 경로에서 연결된 장치의 시리얼 넘버를 확인할 수 있습니다.

 

INCO{0374120030028536}

 

이번 문제는 사실 대회 기간 내에 풀지 못했던 문제입니다. 하이브 파일을 빨리 떠올리지 못해서;;;

간단한 개념 문제였는데 왜 그 순간에 생각이 나지 않았나 싶습니다ㅠㅠ