[Root-Me / Steganography] Yellow dots

[문제]

You attend an interview for a forensic investigator job and they give you a challenge to solve as quickly as possible (having the Internet).They ask you to find the date of printing as well as the serial number of the printer in this document.You remain dubitative and accept the challenge.

 

The answer is in the form:

hh:mm dd/mm/yyyy SSSSSSSSwith

hh: the hour of the event
mm: the minutes of the event
dd: the day of the event
MM: the month of the event
yyyy: the year of the event
SSSSSSSS: the serial number

---

[풀이]

문제 파일을 확인했을 때 풀이를 위해 얻을 수 있는 hint는 없다.

 

yellow dot이라고 구글에 검색해보면 컬러 프린터 출력물 속에 노란 점들을 삽입해서 데이터를 숨겨 놓는 기법인 것을 알 수 있다. yellow dot을 찾기 위해서 방법들을 검색해보니 yellow dot을 확인하려면 배경을 파란색 계열로 바꿔주거나 복사 스캐너를 통해서 확인할 수 있다고 한다.

이에 우분투에서 convert 명령으로 배경을 파란색으로 변경하니 아무것도 확인할 수 없다. 포토샵 프로그램으로도 확인할 수 있다고 그랬는데 gimp로 변경해봐도 yellow dot을 찾아볼 수 없었다.

포렌식에 주로 사용되는 online 사이트들을 찾아서 이용하니 yellow dot을 확인할 수 있었다.

http://fotoforensics.com/analysis.php?id=4fc1d07d5248bf5fcaa5697fafd22280c1d560e1.2149907

https://stegonline.georgeom.net/image

https://incoherency.co.uk/image-steganography/#unhide

https://aperisolve.fr/58bfea09dc12465442702f0ee180f54c

위의 사이트들이 포렌식 tool로 주로 사용된다고 한다.

 

처음에는 LSB를 half 로 변경하여 확인하였는데, 오른쪽 상단에 하얀 네모 박스가 있었다. 여기서 yellow dot이 있을 것이라는 추측을 할 수 있었고,

파일에 사용된 색을 뒤바꿔서 확인해보면

여기 사진에는 잘 안보이지만 오른쪽 상단 부분에 파란색 점들이 보인다.

그 부분만 확대해보면 이렇게 나타나있다.

이제 해석하는 것이 관건인데, 해석하는 방법과 관련해서는 아래 게시글을 참고하였다.

https://en.wikipedia.org/wiki/Machine_Identification_Code

https://www.cybrary.it/blog/0p3n/printer-steganography/

해독 법에 대해 한 장의 사진으로 정리해보면 다음과 같다.

 

가로 세로 검은선 안에 있는 yellow dot으로 날짜, 시간, 시리얼 값을 표현할 수 있고, 가로 줄은 사진과 같이 시간(2~5), 날짜(6~8), 구분자(10), 시리얼(11~14)로 구분한다. 각각의 값은 세로줄에 의해 결정 되고 세로줄의 각 칸은 2^n 형태로 나타난다.

사진의 2번을 예로 설명하자면, yellow dot이 32, 16, 2에 찍혀있는데 이 값들을 모두 더하면 50이다. 즉, 시간에서의 50분을 2번의 yellow dot으로 표현한 것이다. 이런식으로 yellow dot이 위치한 곳의 값들을 더해보면 날짜, 시간, 시리얼 값을 구할 수 있다.

다시 문제로 돌아와서 위의 예시 사진처럼 바꿔보면!

 

이렇게 나타낼 수 있고

각각의 값들을 더해보면 5 11 27 7 14 30 29 92 6 이다.

이 값들을 영역에 맞게 나눠서 최종적으로 정리해보면 11:05, 2014-07-27, 06922930임을 알 수 있다.

이것을 문제에서 제시한 형태로 작성하여 인증해주면 문제를 해결할 수 있다.

 

Issue

💡https://web.archive.org/web/20180305181029/https://w2.eff.org/Privacy/printers/docucolor/에서 yellow dot 해독을 할 수 있다고 하는데 나만 그런지는 모르겠지만 해독을 안해준다👿

정답 인증 후에 풀이를 보니 코드를 작성해서 구할 수 있다고 하는데 코드는 이해 못하겠다☹️

---

flag

🍒 11:05 27/07/2014 06922930