파일을 다운받아 압축을 풀면 10개의 LNK파일들이보인다.
문제를 풀기위해 사용할 Tool은 010 Editor이다. 10개의 파일을 010 Editor로 열고 Template은 LNKTemplate.bt 사용한다.
LNK파일을 정말 손쉽게 볼수있다.
문제에서는 "이동식 디스크"라는 말이 있는데 Drive Type을 보면되겠다.
LinkInfo - VolumeID - Drive Type 을 보면 된다.
Drive Type
Flag name |
Value |
Description |
DRIVE_UNKNOWN |
0x00000000 |
알 수없는 드라이브 유형 |
DRIVE_NO_ROOT_DIR |
0x00000001 |
루트 경로가 유효하지 않음 |
DRIVE_REMOVABLE |
0x00000002 |
드라이브 유형은 제거 가능 (이동형 저장장치) |
DRIVE_FIXED |
0x00000003 |
드라이브는 하드 드라이브와 같은 고정형 저장장치 |
DRIVE_REMOTE |
0x00000004 |
드라이브는 원격(네트워크) 드라이브 |
DRIVE_CDROM |
0x00000005 |
드라이브는 CD-ROM |
DRIVE_RAMDISK |
0x00000006 |
드라이브는 RAM 디스크 |
Drive_Removable 찾으면 되겠다. 8.lnk 파일이 이동식 디스크에 있는 파일이 되겠고
파일명을 알아 볼 수 있게 바꿔야 하는데
010 Editor에서 character set을 한글로 선택하니 이프로 부족하게 바뀌었다.
그래서 Winhex로 열고 파일명 부분을 메모장에다 복붙 하게되면 알아볼수있게 된다.
Answer : 섹터 연락망.hwp
'WarGame > Forensic' 카테고리의 다른 글
[Crescendo] LNK Problem 03 (0) | 2017.06.11 |
---|---|
[Crescendo] LNK Problem 02 (0) | 2017.06.11 |
[Crescendo] Event Log Problem 03 (0) | 2017.06.08 |
[Crescendo] Event Log Problem 02 (0) | 2017.06.07 |
[Crescendo] Event Log Problem 01 (0) | 2017.06.07 |