[ctf-d] Find Key(slack)

문제

풀이

[Tool] FTK Imager
[linux] file, blkls

문제에서 준 gz파일을 열어보면 확장자가 없는 파일 하나가 보인다. 헤더 시그니처가 '1F 8B 08'인 것으로 보아 gzip 파일이다. 추출해서 .gz 확장자를 붙였다.

 

추출했던 파일을 FTK Imager에 넣어주었다. 역시나 좀 전처럼 같은 이름의 파일이 하나 들어있었는데, 이번에는 점 더 크기가 컸고, 첫 시작이 00000~ 이었기 때문에 바로 어떤 파일인지 파악할 수 없었다.

 

file은 지정된 파일의 종류(타입)을 확인하는 리눅스 명령어이다.

file 명령어로 해당 파일이 ext3 파일 시스템 데이터인 것을 확인했다.

 

다시 FTK Imager로 열어보았다.

 

문제에서 slack이라는 힌트를 줬기 때문에 이게 뭔지부터 알아봤다.

 

[ slack space ]

논리적인 크기와 물리적인 크기의 차이로 낭비되는 공간을 뜻한다. 따라서 데이터를 은닉하는 용도로 사용되기도 한다.

↓깔끔하게 잘 정리해두셨다.

슬랙 공간(Slack Space)

 

#blkls

파일 시스템 포센식을 위한 도구로 TSK(The Sleuth Kit)가 있는데 여기서 지원하는 명령어 중 하나가 blkls이다.

blkls에서 -s 옵션 사용 시 slack space에 숨겨진 데이터를 읽어온다.

* -A옵션 사용 시 파일 시스템에 있는 모든 비할당 영역을 추출한다.

linux blkls 명령어

 

 

정답