[Forensic] [SuNiNaTaS] Forensic - 31

 

 

 

 

• 문제 페이지에서 중요한 부분은 아래의 내용이다.

인증키 형식 : lowercase(MD5(Flag))

 

 

• 다운로드 링크를 눌러서 파일을 다운받았다.

 

 

• HxD로 열어서 확인하다가 JavaScript 코드가 들어가있는 것을 확인했다.

 

 

• JavaScript 코드 부분을 복사해서 확인했다.

 

 

• 아래 코드를 사용하여 Base64로 계속 디코딩했다.

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

 

 

• 그러나 이 텍스트는 키가 아니라고 한다.

 

 

• 알아보다가 PDFStreamDumper 프로그램을 알게되어 사용해보았더니 오브젝트가 분류되어 앞에서 발견한 JavaScript 코드도 쉽게 발견할 수 있었다.

 

 

• 오브젝트들을 더 확인하다가 39번 오브젝트에서 PDF가 존재하는 것을 확인해서 해당 오브젝트를 추출했다.

 

 

• 오브젝트 선택 후 우클릭 - Save Decompressed Stream 을 클릭한다.

 

 

• 저장 시 파일명은 pdf로 바꾸어 저장했다.

 

 

• 저장한 PDF 파일에서는 아무것도 보이지 않아서 PDFStreamDumper를 사용해 열어보았다.

 

 

• 그러나 해당 pdf 파일에는 암호화가 되어있었다.

 

 

• 그래서 암호화를 푸는 사이트를 이용해서 풀어주었다.
  • https://pdf.io/ko/unlock/

 

 

• 그리고 다시 PDFStreamDumper를 사용해 열어주었다.
  • 4번 오브젝트에 플래그가 적혀있다.
  • HERE IS FLAGS SunINatAsGOodWeLL!@#$

 

 

• SunINatAsGOodWeLL!@#$

 

 

• 여기서 끝이 아니다.
  • 인증키 형식(lowercase(MD5(Flag)))을 맞춰주기 위해 MD5 해싱 후 소문자로 바꾼다.

 

 

• 13D45A1E25471E72D2ACC46F8EC46E95
  • 13d45a1e25471e72d2acc46f8ec46e95

 

 

• 인증 페이지에 입력했다.