ksnctf 18 USB flash drive
ksnctfの18問目を解いていきます。ジャンルはディジタルフォレンジックスです。
zipファイルを解凍してimgファイルに探りを入れます。
unzip drive.zip fls drive.img
イメージファイルは.jpgの集まりみたいですが「Liberty Leading the People.jpg」が消去されています。
icat drive.img 36-128-4 > 0.jpg
試しにLiberty Leading the People.jpg:00を復元するとこれは画像ファイルでなく「FLA」と書かれた3バイトのファイルでした。00~06のファイルを復元してcatコマンドでつなげて出力するとフラグが出てきました。
おまけ:FTK Imagerで開く
FTK Imagerでファイルを開くと自動で画像ファイルを復元してくれるのでツールを使うだけの問題になります。