WeChall - Old Years Eve 2020

Posted on Edited on Views: Disqus:

Challenge

题面说 Revolution Elite Agency 参与了 time travelling event。agents 从 visitor 带来的 floppy disk 里复制了一个文件，需要检查其中能找到的数据。

分类是 Special / Crypto。关键词是 floppy disk image、time traveller、old years eve。

Solution

这题入口是磁盘取证，不是直接 crypto。正确流程：

  • 下载题目给出的 floppy disk 文件，先用 file 和 xxd 确认是否是 raw image。
  • 用 mmls / fsstat / fls 或 mdir 检查 FAT12/FAT16 结构。
  • 用 tsk_recover、icat、mcopy 提取正常文件和 deleted files。
  • 检查 slack space、未分配空间、boot sector、FAT table、目录项时间戳。
  • 若得到密文或奇怪文本，再进入 crypto：结合“time travelling / old year”提示检查时间、日期、年份偏移、古典密码或弱 key。

取证命令示例：

1
2
3
4
5
file disk.img
mmls disk.img
fls -r disk.img
tsk_recover disk.img recovered/
strings -a disk.img

由于当前没有下载并解析 live floppy image，不能写最终 spoiler。草稿保留完整分析路线。