CTF 작성: 1337UP CTF 2022

이번 주말 3/12(토) 00:00 ～ 3/13(일) 00:00 GMT+9 사이에 Intigriti 1337UP CTF 2022에 참가했는데 정말 멋졌어요! 여기서는 OSINT 카테고리에서 Blink's Secret에 대한 글을 작성하겠습니다.

도전 과제는 다음과 같습니다.


이 챌린지에는 note.txt 및 meme.jpeg 이라는 두 개의 파일이 제공됩니다.

note.txt은 다음 텍스트를 보여줍니다.

After
a big fire accident in mr.Blinking man’s house, we managed to collect a note with a meme with his own image on it. The note says as follows:

I
missed a secret which was posted on his social media. I want to find that secret but I don't know where it is. I have some hints regarding where the secret is..


The user name is 15 letters long

The
user name comprises of my name and zip code of my current residence

Format
Name_zipcode

If
the name is thomas mueller then write the name as ThomasMueller

그리고 meme.jpeg은 다음 이미지를 보여줍니다.



note.txt에서 meme.jpeg의 남자가 a meme with his own image on it를 언급한 것처럼 실종자임을 알 수 있습니다.

meme.jpeg의 Google Reverse Image 검색을 수행하면 "First Guy To meme"라는 밈의 이름이 나타납니다. Know Your Meme의 결과는 밈에 있는 남자의 이름인 Drew Scanlon을 보여줍니다. 따라서 실종자의 이름은 Drew Scanlon 입니다.



또한 note.txt 에서 사용자 이름의 길이가 15자이고 형식이 Name_zipcode 임을 알고 있으므로 사용자 이름이 DrewScanlon_XXX 와 같이 표시된다는 것을 알고 있습니다.

이제 그의 이름이 있으므로 Google에서 그의 거주 지역을 찾을 수 있습니다. 나는 drew scanlon area of residence와 this website came up을 검색했다.



이를 통해 Drew Scanlon이 샌프란시스코에 살고 있음을 알 수 있습니다.

나는 미국의 우편번호 시스템에 그다지 익숙하지 않았고, 빠른 Google 검색을 수행하면 5자리 규칙이 있음을 알 수 있었습니다. 그러나 사용자 이름은 15자까지만 가능하고 DrewScanlon는 이미 12자를 차지하므로 우편번호는 3자리까지만 가능합니다.

샌프란시스코의 우편번호를 조회하면 모두 5자리 길이임을 알 수 있습니다.



그런데 이 우편번호들은 모두 941라는 공통점이 있어서 이 우편번호 앞 3자리를 사용자 이름으로 사용한다고 가정했습니다. 따라서 사용자 이름은 DrewScanlon_941 일 것이라고 추측했습니다. 트위터에서 이 이름을 검색하면 ,



Drew Scanlon은 삭제된 트윗을 암시하는 "내 이전 트윗에 무슨 일이 일어났나??"라는 글을 올렸습니다.

삭제된 트윗을 보려면 Internet Archive Wayback Machine을 사용할 수 있습니다. 그래서 2022년 2월 5일에 캡처가 있었다고 입력하고 다음 트윗을 보여주었다.



삭제된 트윗은

Woｗ！! What a ｗｏｎdeｒｆul ｄaｙ ！！! І ｗｉsｈ I cｏulｄ eхtenｄ thｉｓ dａｙ as
ｍｕｃh ａs pｏｓｓｉbｌe．..

전각 문자와 반각 문자의 혼합은 상당히 수상해 보였고 이것이 일종의 스테가노그래피라고 가정했습니다. 그러나 어떤 스테가노그래피를 사용하고 있는지 확신할 수 없었기 때문에 먼저 Babel Stone을 사용하여 유니코드 유형을 조사하기로 결정했습니다.


half width and full width characters steganography를 찾아 보았지만 유용한 정보가 없었습니다. 그래서 twitter steganography를 검색했더니 this website이 나왔다.



트위터 비밀 메시지 디코더에 삭제된 트윗을 입력했고 플래그를 얻었습니다. flcgy0u_f0und_7p3_q:u

내 원래 글과 해당 파일은 내Github에서 찾을 수 있습니다.