디지털 포렌식 - 이미지와 압축 파일(zip)을 결합하는 간단한 스테가노그래피

사전 준비

상대방을 속일 이미지와 숨기고 싶은 파일을 압축한 zip을 준비한다. 

 

 

cmd 창을 열어 "copy /B 이미지+압축파일 출력이름"을 입력한다. (/B는 이진 파일 옵션이다.)

 

 

출력된 결과(output.zip)는 일반 이미지와 똑같아 보인다. 더블 클릭을 하면 이미지 뷰도 정상적으로 불러온다. 

 

하지만 원본과 비교하면 용량이 훨씬 증가한 것을 알 수 있다. 

 

여기서 잠깐 확장자를 .zip으로 변경하면 파일 아이콘이 깨져 보이지만

 

 더블 클릭을 하면 압축 프로그램이 마찬가지로 정상적으로 열린다. 풀기도 가능하고 파일 콘텐츠도 그대로 압축 해제가 가능하다. 

 

다음은 image.jpg와 output.zip의 시작과 중간 쪽의 바이너리가 일치하는 것을 확인할 수 있다.

image.jpg의 시작 영역

output.zip의 시작 영역

 

image.jpg의 끝 영역

output.zip의 image.jpg의 마지막 오프셋 영역

이미지 뷰어 프로그램은 이렇게 파일의 시그니처를 읽어서 이미지를 불러올 수 있는 것이었다. 

jpg의 시그니처는 "FF D8 FF E0 xx xx 4A 46 - JFIF"이라고 한다. 

 

 

output.zip의 중간 부분

 

movie.zip

그다음이 중요한 부분인데 output.zip의 이미지가 끝나는 부분 다음에 바로 zip의 시그니처가 온다. (50 4B 03 04 - PK)

압축 프로그램 즉 반디집은 이 시그니처를 먼저 찾아 파일을 불러오게 된다. 

 

만약에 이 부분을 훼손하게 된다면? 

50 4B 03 04 이 부분을 00 4B 03 04로 수정하고 저장해 주었다. 

 

 

그러고 다시 반디집으로 열어보니 데이터가 훼손되어 CRC 검증이 실패했는지 파일을 열 수 없다는 알림 창이 나오게 된다. 

 

 

참고: 

http://forensic-proof.com/archives/300

파일 시그니처 모음 (Common File Signatures) | FORENSIC-PROOF