[ksnctf] USB flash drive

8th Oct 2016

ksnctfにチャレンジ第18問目です。

※ksnctfは常駐型のCTFサイトです。 ※問題のページはコチラです。

USBメモリをddした風のイメージファイルが課題の問題です。素直に　mount -o loop すると 3枚の画像が入っているだけでなにも起こりません。

削除されたり破損したりしたデータを探す必要がありそうです。

とりあえず Photorec を使って抽出を試みると１枚の画像が復元できました。曰く

The flag is in this file, but not in this image

とのこと、　not in this image とのことなのでこのデータを探してもなにもないようです。

強力なフォレンジックツールでもあればいいのかもしれませんがとりあえず NTFSなので　他にファイルに関する情報ということで MFTを覗いてみることにしました。

バイナリエディタで

L     i     b     e     r     t     y
4C 00 69 00 62 00 65 00 72 00 74 00 79 00

などで検索をかけて無事に発見すると 8+3 name LIBERT~.JPGや full name LIberty Leading the People.jpg などのよくある属性の後ろに 00 : FLA 01 : G_q と追加の拡張属性が追加されています。

表示幅を調整すると読めるのでこれで終了しました。本当は MFTを探して属性ごとに切り分けるスクリプトでもかけばかっこいいのかもしれません。

その後Windows環境を立ち上げたときに入っている Autopsy を起動してみました。

…優秀ですねぇ

@Canter