[Disk Forensic] 도와주십시오, 누군가...

Disk Forensic #31 (도와주십시오, 누군가 깃발을 나누고 있습니다!)

 

디스크 포렌식 31번 문제

 

문제 파일로 토렌트 파일이 주어진다.

 

토렌트는 하나의 파일을 piece라는 단위 조각으로 공유한다.

 

이런 piece 조각의 정보를 문제에서 주어진 토렌트 파일에서 확인 가능하다.

 

[그림 1] piece 정보 확인

 

HxD로 해당 토렌트 파일을 확인해보면 공유 파일 크기는 28Byte이고, piece 조각 크기는 2Byte라는 것을 확인 가능하다.

 

여기서 28을 2로 나누면 14이며, piece가 총 14조각이라는 것을 알 수 있다.

 

그리고 위 정보에서 pieces280은 파라미터 뒤의 데이터는 암호화가 되어 전송된 piece가 280Byte임을 의미한다.

 

여기서 280을 14로 나누면 20이 계산되는데, 암호화가 된 1개의 piece조각이 20Byte임을 알 수 있다.

 

[그림 2] 280Byte

 

위 [그림 2]에서 표시한 280Byte 영역의 Hex 데이터를 암호화가 된 1개의 piece조각인 20Byte씩 순서대로 정리하면 다음과 같다.

 

[그림 3] 280Byte Hex 데이터

 

54 6B 05 90 97 06 65 28 91 A8 7F 7B FE 38 5A E1 47 F6 1F 91 58 9E 94 2E 00 A7 DD 64 A2 73 DE B5 04 1C 7C E4 69 F2 BA D7  B4 11 D7 82 3A 3C 4E E3 77 3C AF CA 1E 36 B8 CF D2 66 55 BA F4 37 CB 07 8A CC 7C 6D 79 87 34 62 33 4A 35 5E DD EB 94 59 B5 04 C8 43 B2 EF 4C 55 C6 73 BE 0B 1D AF 3B 12 C5 CF 2F E8 06 99 98 9C 21 9E 1D 7B 33 68 51 C6 46 E8 8A 65 18 59 D0 81  D8 27 3E 2F 4A 7C 0A 59 55 45 44 C6 60 5C DD 8B 11 78 48 AA F2 DA F7 BF 8C 01 00 E8 42 1F 6A 72 DD 80 64 CA D6 74 81 3A  D0 CF 1E F2 1F 0C E6 55 84 E2 45 3A 3F B4 27 F6 59 1A DC A8  11 16 EF 12 8B B6 37 E2 D6 9E 96 66 BF E6 D8 A4 EF 9D 2C 13  40 8C 28 A2 DA 80 EF 8B C5 7E 58 0A C9 FF C7 F6 9B 2A 0E 0E F9 FC 27 B9 37 4A D1 E3 BF 34 FD BC EC 3A 4F D6 32 42 7F ED  C3 87 C9 82 A1 32 D0 5C BD 5F 88 84 0A EF 2C 81 57 74 00 49 B3 12 77 25 F6 78 CA 5B 10 38 B1 DF 45 A0 6F 2F F4 E1 F5 44

 

Hex 데이터로 정리해보면 40글자의 문자열이 14줄 생성된다.

 

그리고 SHA-1 Hash 알고리즘은 40글자의 Hash 값을 생성하는데, 여기서 정리한 Hex 데이터가 SHA-1 알고리즘과 연관있다는 것을 추측해볼 수 있으며, 해당 데이터를 SHA-1 복호화를 통해 진행해보자.

 

SHA-1 복호화 사이트 : https://md5decrypt.net/en/Sha1/#answer 

Sha1 Decrypt & Encrypt - More than 15.000.000.000 hashes

[그림 4] 부분 플래그 확인

 

14줄로 나눠 놓은 20Byte의 문자열을 소문자로 변경한 뒤에 한 줄씩 Decrypt를 진행하면 SHA-1 알고리즘으로 복호화 된 단어를 확인할 수 있다.

 

20Byte씩 14줄이므로 14번 진행해보면 문제에 대한 플래그를 얻을 수 있으며, 해당 값을 플래그로 입력해주면 문제 해결이 가능하다.

 

따라서 위 방법대로 본 문제를 해결할 수 있다.

---

# Reference

 

http://www.yes24.com/Product/Goods/59156934