-- file command를 통해 mac FAT file임을 알 수 있습니다.

$ file ./forensics200-5be06945190cf5ff9722d0b5f12e0013
./forensics200-5be06945190cf5ff9722d0b5f12e0013: Mach-O fat file with 3 architectures

-- 우선 strings를 통해 내용을 확인해보면 다음과 같은 사실을 알 수 있습니다.

1) JFIF 이후 adobe관련 signature가 있는것으로 보아 jpeg 파일이 안에 있음
2) underscore가 들어간 function name들이 들어가 있는것으로 보아 compile된 executable 
   binary가 안에 있습니다. 또한 여러가지 strings 결과를 조합해본 결과 ELF format이라고 
   추측할 수 있습니다.

-- 위의 결과를 통해 우선 본래 jpeg 파일을 복구해내는 script restore.py를 작성하였습니다.

============================================
$ cat restore.py
#! /usr/bin/python
import os

Pattern_JFIF = "\xff\xd8\xff\xe0"

OrgFile = "forensics200-5be06945190cf5ff9722d0b5f12e0013"

f = open(OrgFile, "rb")
fstr = f.read()
f.close()

idx = 0

while 1:
    idx = fstr.find(Pattern_JFIF, idx)
    if idx==-1:
        break

    filename = "dump_%08x.jpg" % idx
    f = open(filename, "wb")
    f.write( fstr[0x44:])
    f.close()
    print "restored [%s]" % filename
$ file ./dump_00000044.jpg
./dump_00000044.jpg: JPEG image data, JFIF standard 1.01

============================================

-- 위의 파일을 열어보면 답을 볼 수 있습니다.

FORENSIC200 key: IDYLWOOD GRILL