[xcz.kr] PROB22 문제풀이

(수정) 잠시 군대에서 외출나가 있을 동안 PC방에서 풀었던 문젠데, 사진이 업로드가 잘 안되어서 몇 장 날아갔습니다 ㅠㅠ

22번 문제의 Title은 「Who's Notebook?」이고, 제목으로 보나 문제로 보나 포렌식 문제입니다. 

Download Here을 하게되면 "notebook"이라는 확장자가 명시되지 않은 파일이 받아지게 되는데, HxD로 열어보면 다음과 같습니다.

Header가 ADSEGMENTEDFILE 입니다. 찾아보니 FTK Imager가 덤프 떴을때 생기는 헤더인 모양입니다. 이걸 열려면 당연히 FTK Imager가 필요하겠거니 싶어 다운받아 놓고 보니, 파일이 열리지 않았습니다. 검색을 좀 더 해보니 FTK Imager는 AD1확장자로 바꿔줘야만 파일을 분석해준다고 합니다. notebook.AD1로 확장자를 바꿔주고 해당 파일을 열어보았습니다. File > Add Evidence item > Image File 에서 추가하면 됩니다.

처음 열면 위 이미지와 같은 모습이 보입니다. 

Desktop에 가자마자 이상한 사진 파일(처음엔 흰색 애벌레인줄 알았습니다ㅠ)이 있길래, 추출해서 분석해보니 아무것도(위치 같은 건 전혀) 나오지 않았습니다. (GPS기능이 있는 사진기-스마트폰 포함-로 찍은 사진 파일에는 위도와 경도가 찍히기도 합니다)

다른 파일들을 좀 더 분석해보니 GPS라는 문자열이 들어간 파일이 보입니다. <desc>태그에 있는 정보로 보아 "GPS Route Editor" 라는 걸 사용해서 만들고/수정된 파일인 듯 합니다. 링크도 나와있는데, www.gpsnote.net 입니다. 밑에는 lat과 lon(각각 위도와 경도)하고 숫자 정보가 있는 걸 보니 문제에서 원하는 파일을 찾아낸것 같습니다. 일단 저 파일에 나와있는 "GPS Route Editor"부터 다운을 받았습니다.

하지만 그 전에 앞서 일단 분석을 해야 하니 해당 파일을 추출했습니다.

이 추출한 파일을 GPS route Editor에 넣으려면 확장자가 GPX여야 합니다. 추출한 파일 확장자를 .GPX로 바꿔주고 "GPS Route Editor"로 오픈했더니 경로를 적나라하게 보여줍니다.

위 사진은 출발지인 공덕역입니다. 이미지에 나오는 저 빨간 선은 경유지인 김포국제공항을 거쳐 도착지인 제주국제공항으로 갑니다.

그런데 문제에서는 도착지를 제주 국제 공항이 아닌 7-ELEVEN으로 치는 모양입니다. 도착지를 제주국제공항으로만 여기고 한참 답을 입력하는데 인증이 안되서 애를 먹었었습니다. 

답 : GONGDEOK_GIMPOINTERNATIONALAIRPORT_7-ELEVEN