M4ndU의 만두만두한 블로그

files → Forensics → Cert

BigImage.md

인증서... 복호화쪽 문제인줄 알았으나 hex로 까서 아랫부분에 있는 hex값 긁어다가 ascii로 바꿔주면 된다.

yougotit!flag{I_can_import_certification_in_certmgr}

flag{I_can_import_certification_in_certmgr}

아직 중간고사 안끝났는데 이러고 있...

ReadMe.txt

OEP = 제대로 디버깅했을 때 시작위치 (Pack된 파일이 Unpack되어서 원본파일이 되는 순간.)

일단 무엇으로 packing되었는지를 알 수 없다.

올리디버거로 열어서 스크롤을 내려보았다.

jmp문이 있다. 여기에 breakpoint을 걸고 실행한다.

그다음 jmp문을 실행한다.

push ebp 여기가 oep다.

authkey : 401150

Title
File Deleted

Description
Korean
피시방에서 아동 청소년 보호법에 위배되는 파일을 소지한 기록을 발견했다.
아래의 형식에 맞춰 증거를 수집해라.

시간은 GMT+9 입니다. lowercase(md5(원본 경로_만들어진 시간_마지막 실행 된 시간_쓰인 시간_볼륨 시리얼))
ex)lowercase(md5(C:\XCZ\key.txt_20121021160000_20131022000000_20131022000000_AAAA-BBBB))

FTK Imager 로 열어보았다.

파일들을 잘 뒤져보면, s3c3r7t.avi.lnk 파일이 보인다. 해당 파일을 추출했다.

파일 속성을 보면 원본 파일의 경로를 알 수 있다.

이 외의 정보들을 알아보기 위해 010 editor에서 lnk 템플렛을 사용해 분석해보았다.

필요한 시각 3개 모두 찾을 수 있다. 기준이 UTC로 되어있기 때문에 9시간을 더해주어야 한다.

볼륨 시리얼도 확인할 수 있다. 볼륨 시리얼은 리틀엔디안으로 읽어야 해서 D0A8-02A9가 된다.

H:\study\s3c3r7.avi_20131016135210_20131016232450_20131016193747_D0A8-02A9

authkey : 66f67cd42c58763fd8d58eed6b5bfdba

Title
Easy Trick

Description
Korean
PHP 트릭을 이용해서 키를 구하세요.

English
Find The key with PHP trick

php는 큰수를 비교할 때 작은 차이는 무시해버린다. 앞 16자리만 정확히 일치하면 그 뒷자리는 자릿수만 비교한다.

따라서 a의 값으로 1273536633313213246546100000000000000000000000000000 와 같은 값을 넘겨주면

키가 나온다.

이 키값을 md5 디코딩해서 나온 해쉬값이 authkey가 된다.

authkey : 8a3d223721fe4e1db2d8dbad9d0b6dda

Title
Easy DLL

Description
Korean
키를 찾으시오.

English
Find the key.
Thanks To [win32virus]

dll 파일이 주어진다. ida32로 열어보았다.

키값을 생성하는 함수를 실행하여 키값을 출력하는 함수이다. 이부분을 실행해준다면 키값을 얻을 수 있을 것이다.

올리디버거로 가자.

해당 문자열 찾아서 breakpoint 걸어두고,

해당 명령어가 있는 함수의 프롤로그에 new origin here을 걸어 이 함수가 바로 실행되도록 하였다.

그리고 돌렸다.

그러면 EDX에 key값이 있다.

authkey : ekfldntmtkrldi

Title
NemoNemo

Description
Korean
키를 찾으시오.

English
Find the key.

네모네모로직. momogram이 있다.

이를 풀면 된다. http://jsimlo.sk/griddlers/ 이 프로그램을 이용하여 풀었다.

(노가다 ㅂㄷㅂㄷ....my eyes!!!)

풀다가 오류하나가 나는데 수동으로 도트 하나 아무거나 잡아주었더니 완전히 풀렸다.

그러면 QR코드가 하나 나온다. 이를 스캔하면,

http://goo.gl/RtvU0

url이 하나 나온다. 접속하면 bmp 이미지 파일이 나온다.

이 이미지 파일을 다운받아 stegsolve.jar에 돌렸다.

뿜!

authkey : I_hate_N0nOgr4nn