[xcz.kr #36] File Deleted - 100 points
xcz.kr의 36번째 문제는 File Deleted다. 포렌식 문제이고, 찾아야 할 내용은 아래와 같다. 해당 파일은 압축 파일이고, 분석하기 위해 FTK Imager 툴을 사용해서 열었다. 하나씩 분석하다가 최근 기록에 관련된 Recent 파일 내부를 살펴봤다. 누가 봐도 수상해 보이는 "s3c3r7.avi.lnk" 파일이 있다. 하지만 최종 수정 시간이 아닌, 우리가 알아야 할 것은 원본 경로와 만들어진 시간, 마지막으로 실행된 시간, 볼륨 시리얼을 모두 알아야 한다. 여기서 lnk 파일은 링크 파일이다. 바탕화면이나 시작 메뉴에 프로그램을 놓으면 원본 위치를 가리킨다. 윈도우에서 작동하는 확장자다. 다른 폴더에서는 이 문제를 풀어나가는 데 필요한 정보를 딱히 얻지 못했다. 따라서 Recent 폴더..
Forensics/xcz.kr
2021. 2. 16. 14:03
