본문 바로가기

WarGame/Forensic

[Crescendo] LNK Problem 01


파일을 다운받아 압축을 풀면 10개의 LNK파일들이보인다.

문제를 풀기위해 사용할 Tool은 010 Editor이다. 10개의 파일을 010 Editor로 열고 Template은 LNKTemplate.bt 사용한다.

LNK파일을 정말 손쉽게 볼수있다.


문제에서는 "이동식 디스크"라는 말이 있는데 Drive Type을 보면되겠다.

LinkInfo - VolumeID - Drive Type 을 보면 된다.




Drive Type


 Flag name

Value 

Description 

 DRIVE_UNKNOWN 

 0x00000000 

 알 수없는 드라이브 유형  

 DRIVE_NO_ROOT_DIR

 0x00000001

 루트 경로가 유효하지 않음

 DRIVE_REMOVABLE

 0x00000002

 드라이브 유형은 제거 가능 (이동형 저장장치)

 DRIVE_FIXED

 0x00000003

 드라이브는 하드 드라이브와 같은 고정형 저장장치

 DRIVE_REMOTE

 0x00000004

 드라이브는 원격(네트워크) 드라이브

 DRIVE_CDROM

 0x00000005

 드라이브는 CD-ROM

 DRIVE_RAMDISK

 0x00000006

 드라이브는 RAM 디스크


Drive_Removable 찾으면 되겠다.  8.lnk 파일이 이동식 디스크에 있는 파일이 되겠고 

파일명을 알아 볼 수 있게 바꿔야 하는데



010 Editor에서 character set을 한글로 선택하니 이프로 부족하게 바뀌었다.



그래서 Winhex로 열고 파일명 부분을 메모장에다 복붙 하게되면 알아볼수있게 된다.


Answer : 섹터 연락망.hwp


'WarGame > Forensic' 카테고리의 다른 글

[Crescendo] LNK Problem 03  (0) 2017.06.11
[Crescendo] LNK Problem 02  (0) 2017.06.11
[Crescendo] Event Log Problem 03  (0) 2017.06.08
[Crescendo] Event Log Problem 02  (0) 2017.06.07
[Crescendo] Event Log Problem 01  (0) 2017.06.07