半年ぶりの TryHackMe で Advent of Cyber 2023 に挑む 5日目【Advent of Cyber: Day 5】

5日目。

[Day 5] A Christmas DOScovery: Tapes of Yule-tide Past

システム内にあるプログラムを使ってバックアップファイルを云々するという話。

How large (in bytes) is the AC2023.BAK file?

AC2023.BAK ファイルは C:\ にあるのでそこで DIR コマンドを打つとファイルのサイズを見ることができる。

What is the name of the backup program?

Hint を見てみると "Check README.TXT" とある。本文の解説を読むとこの README.TXT は C:\TOOLS\BACKUP\ にあるようなので TYPE コマンドで開いてみる。

……なんだかよくわからないが、Acknowledgements のところに "Now, the BackupMaster3000 is ready to serve and ..." とあるので回答してみる（合ってた）。

What should the correct bytes be in the backup's file signature to restore the backup properly?

先の README.TXT の Troubleshooting を読んでみると、Magic Bytes は 41 43 であると書いてあるのでそれを回答する。

What is the flag after restoring the backup successfully?

EDIT C:\AC2023.BAK コマンドで中身を開いてみると初めが XX になっているのがわかる。先ほど回答した 41 43 （ASCII で AC）とは異なるものとなっているので、XX を AC に直した後保存し、エディタを閉じる。これでファイルが正常な状態になったので、CD コマンドを使って C:\TOOLS\BACKUP\ ディレクトリへ移動し、BUMASTER.EXE C:\AC2023.BAK コマンドを打つと無事復元完了！ということでフラグが得られる。

解説

今回は復元用プログラム BUMASTER.EXE を使ってバックアップファイル AC2023.BAK からシステムの復元を行うという内容だった（個人の推測です）。ただ、使用するバックアップファイルが壊れていたため、エディタで修復してから復元を行った、というわけである。

感想

Magic Bytes はセキュリティコンテストの一つである CTF（Capture The Flag）でよく見るような気がする（にわかだけど）。それにしても今回はリモートデスクトップから接続しても Split View で開いてもクソデカ文字で表示されたのでやりづらかった感は否めない。目には優しいからいいけど。