[hacktheon CTF] rdp

다음과 같은 파일이 존재합니다.

 

bmc와 bin 파일이 존재합니다.

 

위의 파일들은 다음과 같다고 합니다.

.bmc 파일과 CacheXXXX.bin 파일은 RDP(원격 데스크톱) 영구 비트맵 캐시이다.
RDP 클라이언트가 화면을 64×64 픽셀 타일 단위로 압축·저장해 두었다가, 같은 그림이 다시 필요할 때 네트워크 대신 캐시를 불러오는 방식이다.
세션이 끝나도 캐시는 지워지지 않기 때문에 포렌식에서 흔적을 복원할 수 있다.

 

위의 파일에서 비트맵을 추출하기 위해서 bmc-tools라는 것을 사용하겠습니다.

GitHub - ANSSI-FR/bmc-tools: RDP Bitmap Cache parser

 

위의 도구를 다운 받아서 bmc-tools. py와 함께 모두 같은 폴더에 두고 다음과 같이 명령어를 실행해줍니다.

 python3 ../bmc-tools/bmc-tools.py -s . -d . -b

 

 

실행을 하면 다음과 같이 많은 파일 조각이 생성된 것을 볼 수 있습니다.

 

그리고 마지막에 살펴보면 조각이 모두 합쳐진 이미지가 존재하는데, 여기서 flag 값을 얻을 수 있습니다.

 

FLAG{s0m3on3_1s_w4tch1ng_my_pc}