주어진 파일을 압축을 풀어보면 ./forensics300-e130c3621118e4b891fbceb67e2c94cc.dd
파일이 나옵니다.

$ file ./forensics300-e130c3621118e4b891fbceb67e2c94cc.dd
./forensics300-e130c3621118e4b891fbceb67e2c94cc.dd: data

raw format data 이긴 하지만 일단 확장자가 dd라는 것을 통해 linux dd command 를
이용했다는 것을 유추할 수 있고 strings를 통해 안의 내용을 추정해 보면 특정 
hdd device를 dd를 이용해 dump 했을 거라고 추정할 수 있습니다.

strings의 결과를 보다보면 'kenshoto'라는 흥미로운 문자열을 발견할 수 있습니다.


$ strings ./forensics300-e130c3621118e4b891fbceb67e2c94cc.dd |grep kenshoto
/Title (kenshoto) >>
kenshoto.pdf
kenshoto.pdf
kenshoto.ps
%%Title: (kenshoto)
/Title(kenshoto)def
kenshoto.pdf
kenshoto.pdf
kenshoto.ps
%%Title: (kenshoto)
/Title(kenshoto)def
/Title (kenshoto) >>

이를 통해 실제 hdd device에 kenshoto.pdf, kenshoto.ps 가 들어있었음을 추정할 수 있습니다.
따라서 pdf, ps의 format signature를 통해 kenshoto.pdf, kenshoto.ps를 복구하는
스크립트 restore.py 를 작성하였습니다.

===========================================================
$ cat restore.py
#! /usr/bin/python
import os

Pattern_PDF = "\x25\x50\x44\x46"
Pattern_PS = "\x25\x21\x50\x53"

OrgFile = "forensics300-e130c3621118e4b891fbceb67e2c94cc.dd"

f = open(OrgFile, "rb")
fstr = f.read()
f.close()

idx = 0
while 1:
    idx = fstr.find(Pattern_PDF, idx)
    if idx==-1:
        break

    filename = "pdf_%08x.pdf" % idx
    f = open(filename, "wb")
    f.write( fstr[idx:])
    f.close()

    print "restored [%s]" % filename

    idx = idx+1

idx = 0
while 1:
    idx = fstr.find(Pattern_PS, idx)
    if idx==-1:
        break

    filename = "ps_%08x.ps" % idx
    f = open(filename, "wb")
    f.write( fstr[idx:])
    f.close()
    print "restored [%s]" % filename

    idx = idx+1

=========================================================================
$ ./restore.py
restored [pdf_00410000.pdf]
restored [pdf_016e4000.pdf]
restored [ps_00420000.ps]
restored [ps_016a0000.ps]

$ file pdf_00410000.pdf
pdf_00410000.pdf: PDF document, version 1.3

$ file pdf_016e4000.pdf
pdf_016e4000.pdf: PDF document, version 1.3

$ file ps_00420000.ps
ps_00420000.ps: PostScript document text conforming at level 3.0

$ file ps_016a0000.ps
ps_016a0000.ps: PostScript document text conforming at level 3.0

===========================================================


여기서 복구한 파일을 통해 두가지 솔루션이 가능합니다.
하나는 ps를 분석하는 것이고 하나는 pdf를 분석하는 것입니다.

************************************************
1. ps 분석
아래와 같이 간단히 ps2ascii를 통해 정답을 확인 할 수 있습니다.
$ ps2ascii ./ps_00420000.ps |grep key
DefCon  CTF  2007 * The key for CTF 2007 Quals is: "in the other file" DefCon  CTF  2006
....
************************************************

************************************************
2. pdf 분석
여기서 각 파일의 EOF를 알려면 각 포멧의 EOF signature를 확인하여 할 수 있지만
간단히 ps의 시작 offset이 0x420000 이므로 pdf_00410000.pdf의 EOF offset이
0x00420000쯤 된다는 것을 유추 할 수 있습니다.

========================================================================
$ cut --bytes=-65536 ./pdf_00410000.pdf > dump.pdf
$ file dump.pdf
dump.pdf: PDF document, version 1.3
========================================================================

위의 dump.pdf파일을 pdf viewer로 열어서 확인해 보면 kenshoto 홈페이지를 캡쳐해놓은듯한 
문서가 나오며 정답을 확인 할 수 있습니다.
* The key for CTF 2007 Quals is: "in the other file"
************************************************