【picoCTF】Disko 1 - ディスクイメージ解析で隠しフラグを復元

問題概要

picoCTFの「Disko 1」という問題の解説記事です。

• カテゴリ: Forensics
• 難易度: Easy

問題文

解説

ステップ1: ファイル形式の確認

$ file disko-1.dd.gz
disko-1.dd.gz: gzip compressed data, was "disko-1.dd", last modified: Thu May 15 18:48:13 2025, from Unix, original size modulo 2^32 52428800

ステップ2: ファイルの解凍

$ gunzip disko-1.dd.gz

ステップ3: ファイル形式の再確認

$ file disko-1.dd
disko-1.dd: DOS/MBR boot sector, code offset 0x58+2, OEM-ID "mkfs.fat", Media descriptor 0xf8, sectors/track 32, heads 8, sectors 102400 (volumes > 32 MB), FAT (32 bit), sectors/FAT 788, serial number 0x241a4420, unlabeled

ステップ4: ファイルシステムの中身を確認

$ mdir -i disko-1.dd
 Volume in drive : has no label
 Volume Serial Number is 241A-4420
Directory for ::/

BIN          <DIR>     2025-03-28   0:52  bin
        1 file                    0 bytes
                                  0 bytes free

ステップ5: BINディレクトリの中身を確認

 mdir -i disko-1.dd ::/BIN
 Volume in drive : has no label
 Volume Serial Number is 241A-4420
Directory for ::/BIN

.            <DIR>     2025-03-28   0:52
..           <DIR>     2025-03-28   0:52
SQLITE~1       6781664 2025-03-28   0:52  sqlitebrowser
X86_64~1 11-      3156 2025-03-28   0:52  x86_64-linux-gnu-python3.11-config
DBUS-D~1        244288 2025-03-28   0:52  dbus-daemon
DBUS-R~1         14568 2025-03-28   0:52  dbus-run-session
DBUS-C~1         14560 2025-03-28   0:52  dbus-cleanup-sockets
DBUS-M~1         30952 2025-03-28   0:52  dbus-monitor
DBUS-S~1         30944 2025-03-28   0:52  dbus-send
DBUS-U~1         14560 2025-03-28   0:52  dbus-update-activation-environment
DBUS-U~2         14560 2025-03-28   0:52  dbus-uuidgen

・・・
（中略）
・・・
PYDOC2   7          79 2025-03-28   0:52  pydoc2.7
PYGETT~1 7           0 2025-03-28   0:52  pygettext2.7
CVTSUD~1             0 2025-03-28   0:52  cvtsudoers
      293 files          51 520 570 bytes
                                  0 bytes free

※出力が非常に長いため、一部を省略しています。

上記の結果から以下のことが分かります。

• BINディレクトリには293個のファイルが存在する
• 合計サイズは約51MB
• bash, python3, grep, curl などLinux環境でよく使われるコマンドが多数含まれている
• X86_64~1のようなファイル名が使われている

特にフラグが隠されていそうなファイルは見当たりません。

ステップ6: ファイル単位ではなく別のアプローチを検討

Forensics問題では

• ファイルとしては存在しない
• ディスクイメージ内のどこかに文字列として隠されている というパターンがよくあります。

そのため、ファイル単位での調査は一旦断念し、ディスクイメージ全体を対象に文字列検索を行うことにします。

ステップ7: ディスク全体からの文字列検索

$ strings disko-1.dd | grep picoCTF
picoCTF{xxxxxx}

※フラグはマスクしています。

フラグを取得できました。

使用したコマンドの簡単な説明

file

file <ファイル名>

fileコマンドは指定したファイルの種類を判別します。拡張子ではなく、ファイルの中身（マジックナンバー）を基に判別します。 ctfでは拡張子が偽装されていることが多いため、ファイル形式の確認に役立ちます。

gunzip

gunzip <ファイル名>.gz

gunzipコマンドはgzip形式で圧縮されたファイルを解凍します。解凍後は元のファイル名で保存されます。

mdir

mdir -i <ディスクイメージファイル> ::/<パス>

strings

strings <ファイル名>

stringsコマンドはバイナリファイルやディスクイメージに含まれる可読文字列を抽出します。ASCII文字列やUnicode文字列を検出します。

grep

grep <検索文字列>

まとめ

• gzip形式のファイルを解凍してディスクイメージを取得する
• mtoolsを使ってFAT32ファイルシステムの中身を確認
• stringsコマンドを使ってディスク全体から可読文字列を抽出し、grepでフラグを検索する

閲覧ありがとうございました！