find-the-spy 문제

 

볼라틸리티3 도구를 이용하여 filescan 옵션을 통해 로그를 확인

 

 

filescan.log를 열어서 .zip 확장자를 찾음

 

첫 번째 주소 0xe70bd0a9f1c0 덤프파일을 추출했다.

 

파일을 확인해보면 gmail에서 첨부파일을 다운로드된 것을 알 수 있다.

 

두 번째 주소 0xe70bd3530b30 덤프파일을 추출했다.

 

파일이 손상되었다고 압축풀기가 되지 않는 것을 알 수 있다.

 

HxD 프로그램을 이용하여 report3.pdf 부분을 보면 89 50 4E 47 이미지 파일 헤더 값을 확인할 수 있다.

 

89 50 4E 47 ~ AE 42 60 82  PNG 값을 복사하여 새로 생성하였다.

 

 

이미지 파일을 열어보면 시간,날짜, 장소까지 알 수 있다.