Pwnbit.kr = )

Codegate 2014 예선전 포렌식 150점 문제 WeirdShark의 Writeup입니다. 다음과 같이 확장자가 제거된 파일을 다운 받았습니다. 우선 내용을 보기위해 EditPlus로 파일을 열어봅니다. 위 내용 중 Dumpcap 1.10.5와 패킷정보가 보이는 것으로 보아 패킷 파일임을 유추할 수 있으며, 사실 위 내용이 아니더라도 문제 이름이나 파일명을 봐도 유추가 가능합니다. 하지만 파일을 열려고 하니 다음과 같은 에러가 발생합니다. Total block의 길이가 패킷 데이터의 길이(4270407998 byte)보다 작다고 합니다. 오류 내용 중 pcapng라고 보이는 것으로 보아 pcap이 아닌 pcapng 파일이며 NetworkMiner로 열리지 않는 것을 확인했습니다. PCAP-NG 구조..