[HMCTF] Q 22번

Question

15번 연계 문제라고한다. 15번 문제에서는 RecycleBin.zip 파일이 주어졌고, 휴지통 분석으로 추측 할 수 있다.

Folder - Empty

막상 압축을 해제하고 보면 파일이 존재하지 않는다.

RecycleBin의 특성상 숨겨져 있기 때문이다.

Bash

폴더가 총 3개 존재하며 FTK Imager을 통해서 파일들을 추출한다.

Ftk Imager

Export Files

파일들을 추출하고, 의심되는 파일을 확인한다.

$RI15TCS.xlsx

파일에서 잔액으로 추정되는 파일을 찾을 수 있었고, 5월달의 금액을 확인한다.

Account

잔액은 185000으로 확인이 되고, 파일 명을 확인해야 한다. 

삭제된 파일의 경우 데이터는 $RI를 통해서 저장되고, 파일명의 경우 $II 로 저장이 된다.

HxD

파일 명을 확인 할 수 있었다.

FLAG : 2020file.xlsx_185000