[🥈 Silver 4] 줄 끝 공백에 숨은 플래그 — SNOW 스테가노그래피 (DreamHack Snowing! 풀이)

문제: DreamHack — Snowing!

분류: Forensics / Misc (스테가노그래피)

난이도: 🥈 Silver 4

FLAG: DH{w0w_1t_Sn0w5}

문제 개요

문제명이 곧 힌트다. "Snowing!" → SNOW. SNOW는 Matthew Kwan이 만든 고전 스테가노그래피 도구로, 텍스트 줄 끝에 붙는 공백(space)과 탭(tab)의 배열에 데이터를 숨긴다. 화면에는 그냥 빈 줄처럼 보여서 눈으로는 절대 못 찾는다. 곁들여 온 Snow.jpeg 는 사람을 이미지 스테가노 쪽으로 유인하는 미끼 성격이 강하다 — 그것도 확인해 볼 것이다.

1. 배경 — SNOW 화이트스페이스 스테가노그래피

SNOW(Steganographic Nature Of Whitespace)는 텍스트 각 줄 뒤에 붙는 공백/탭의 조합으로 비트를 인코딩한다. 핵심 특징은 이렇다.

• 보이는 본문은 그대로 두고 줄 끝 여백에만 데이터를 실어 시각적으로 티가 안 난다. 텍스트 뷰어에선 그냥 "빈 줄"로 보인다.
• 탭으로 연속 공백을 압축해 담을 수 있는 용량을 늘린다(그래서 공백과 탭이 뒤섞여 나온다).
• 옵션으로 ICE 암호(-p 패스워드) 와 내장 압축(-C) 을 지원한다.

즉 "빈 공간처럼 보이는 곳"이 사실은 데이터의 저장소다. 이제 이걸 눈으로 확인해 보자.

2. 정찰 — 안 보이는 공백을 드러내다

DH.zip 을 풀면 Snow.jpeg(눈 내리는 테마 이미지)와 flag.txt 가 나온다. flag.txt 를 열면 첫 줄에 DH{fake_snow} 가 보인다. 하지만 이건 미끼(decoy) 다. 진짜는 그 뒤 공백에 숨어 있다. cat -A 로 줄 끝 공백( )과 탭(^I)을 드러내면 정체가 보인다.

정찰용으로 쓴 스크립트는 이렇다.

이 글의 명령은 모두 analysis/ 에서 실행한다.

# analysis/cap_recon.sh
#!/usr/bin/env bash
# 정찰 — 중첩 zip 안 flag.txt 의 줄끝 공백/탭에 데이터가 숨어 있다
cd extracted/inner
echo "== DH.zip 내용물 =="
echo "  Snow.jpeg (JPEG, 테마용) + flag.txt (ASCII)"
echo
echo "== flag.txt 보이는 첫 줄 =="
head -1 flag.txt | cut -c1-13
echo "  → DH{fake_snow} 는 미끼(decoy). 진짜는 안 보인다."
echo
echo "== cat -A 로 줄끝 공백(스페이스)·탭(^I) 드러내기 (앞 6줄) =="
cat -A flag.txt | head -6
echo
echo "== 바이트 통계 — 공백/탭이 잔뜩 =="
python3 -c "d=open('flag.txt','rb').read(); print(f'총 {len(d)}B | 스페이스 {d.count(b\" \")} · 탭 {d.count(bytes([9]))} · 줄바꿈 {d.count(bytes([10]))}')"
echo "  → 줄 끝 whitespace 은닉 = SNOW 스테가노그래피 (문제명 'Snowing!')"

bash cap_recon.sh

3. 바이트 레벨로 확인 — 파일의 96%가 공백/탭

정말 공백/탭이 데이터인지 hexdump 로 못을 박는다. 보이는 DH{fake_snow}(44 48 7b … 7d) 바로 뒤부터 09(탭)과 20(스페이스)이 줄줄이 이어진다.

# analysis/cap_hex.sh
#!/usr/bin/env bash
# flag.txt 실제 바이트 — 0x20(space)·0x09(tab) 이 줄을 가득 채운다
cd extracted/inner
echo "== 첫 3줄 hexdump: 44 48 7b..(DH{) 뒤로 20(space)/09(tab) 이 이어짐 =="
head -c 130 flag.txt | xxd
echo
echo "== 바이트 종류별 개수 (거의 전부 공백/탭) =="
python3 -c "
from collections import Counter
d=open('flag.txt','rb').read(); c=Counter(d)
for b,n in c.most_common(6):
    name={0x20:'space',0x09:'tab',0x0a:'newline'}.get(b, repr(chr(b)) if 32<=b<127 else hex(b))
    print(f'  0x{b:02x} {name:8s}: {n}')
print(f'  → 공백+탭 = {c[0x20]+c[0x09]}/{len(d)} = {100*(c[0x20]+c[0x09])//len(d)}%')
"

bash cap_hex.sh

전체 1849바이트 중 스페이스 1372 + 탭 416 = 1788바이트(96%). 파일 대부분이 화이트스페이스다. 눈에는 안 보여도 정보량이 잔뜩 실려 있다는 뜻이다.

4. 공백 패턴 시각화 — 숨은 "바코드"

숫자만으로는 감이 안 오니, 각 줄의 줄 끝 공백/탭 배열을 색 칸으로 그려 봤다. 파랑=스페이스, 주황=탭이다. 그러면 사람 눈에는 그냥 빈 줄이던 것이 사실은 규칙적인 패턴(=은닉 비트열) 이었음이 드러난다.

각 줄 길이가 들쭉날쭉하고 파랑·주황이 특정 규칙으로 섞여 있다. 이 배열 하나하나가 SNOW가 심어 놓은 비트다. "빈 공간"이 곧 데이터였던 것.

5. Snow.jpeg 는 함정인가 — 포렌식으로 배제

스테가노 문제에서 이미지가 같이 오면 대개 그쪽(EXIF·LSB·append)을 먼저 의심하게 된다. 그래서 정석대로 점검해 레드헤링임을 확인했다.

# analysis/cap_jpeg.sh
#!/usr/bin/env bash
# Snow.jpeg 는 함정인가? — 이미지 스테가노 정석 점검 (레드헤링 확인)
cd extracted/inner
echo "== 1) exiftool 메타데이터 =="
exiftool Snow.jpeg 2>/dev/null | grep -iE "File Size|Image Size|Copyright|Comment|Artist|Software" | head
echo
echo "== 2) binwalk — 뒤에 숨겨 붙인 파일 있나 =="
binwalk Snow.jpeg 2>/dev/null | head -6
echo
echo "== 3) JPEG EOI(ffd9) 뒤 추가 데이터 =="
python3 -c "d=open('Snow.jpeg','rb').read(); e=d.rfind(b'\xff\xd9'); print(f'  파일 {len(d)}B, 마지막 EOI@{e}, EOI 뒤 잔여 {len(d)-e-2}B')"
echo
echo "== 4) 본문에 DH{ 문자열? =="
strings Snow.jpeg | grep -c 'DH{' | xargs echo "  DH{ 등장 횟수:"
echo
echo "→ 메타/추가데이터/문자열 모두 깨끗. Snow.jpeg 는 테마용 레드헤링. 진짜는 flag.txt 공백."

bash cap_jpeg.sh

• exiftool: 크기·저작권 문구뿐, 수상한 코멘트·아티스트·소프트웨어 필드 없음.
• binwalk: 뒤에 붙인 파일 시그니처 없음.
• EOI(ff d9) 뒤 잔여 데이터: 0바이트 — append 스테가노 아님.
• 문자열 검색: 본문에 DH{ 0회.

메타데이터·추가 데이터·문자열이 모두 깨끗하니 Snow.jpeg 는 분위기용 미끼다. 진짜는 flag.txt 의 공백이 맞다.

6. 복호 — stegsnow

리눅스에서는 stegsnow 패키지로 바로 추출할 수 있다(apt install stegsnow). 옵션을 몰라 두 번에 나눠 시도했다.

# analysis/cap_decode.sh
#!/usr/bin/env bash
# stegsnow 로 whitespace 은닉 데이터 추출
cd extracted/inner
echo "== 1) 무압축 옵션 (stegsnow flag.txt) — 깨진 출력 → 압축이 걸려있다는 신호 =="
stegsnow flag.txt 2>&1 | head -c 90 | cat -v; echo " ..."
echo
echo "== 2) 압축 옵션 (stegsnow -C flag.txt) — 정상 복호 =="
stegsnow -C flag.txt 2>/dev/null | fold -w 88 | head -4
echo
echo "== 3) 은닉문 속 플래그만 추출 =="
stegsnow -C flag.txt 2>/dev/null | grep -oE 'DH\{[^}]*\}'
echo
echo "→ 'Snow' 반복 사이에 플래그가 박혀 있다."

bash cap_decode.sh

• 무압축(stegsnow flag.txt): Warning: residual of 5 bits not output 과 함께 깨진 바이트가 쏟아진다. → 데이터가 압축되어 있다는 신호.
• 압축 옵션(stegsnow -C flag.txt): 깔끔한 텍스트로 복호된다.

$ stegsnow -C flag.txt
SnowSnowSnow...SnowDH{w0w_1t_Sn0w5}SnowSnowSnow...

Snow 를 잔뜩 반복해 눈속임을 넣어 뒀지만, 그 사이에 진짜 플래그가 박혀 있다.

stegsnow -C flag.txt | grep -oE 'DH\{[^}]*\}'
# DH{w0w_1t_Sn0w5}

플래그: DH{w0w_1t_Sn0w5}

7. 삽질 기록

8. 마무리 — 화이트스페이스 스테가노그래피

Snowing! 은 "보이지 않는 곳에 데이터를 숨기는" 스테가노그래피의 감을 잡는 문제다. 정리하면 이렇다.

• 줄 끝 공백/탭은 훌륭한 은닉처다. 텍스트 뷰어·코드 리뷰·복사/붙여넣기에서도 잘 살아남고 눈에 안 띈다. 실무에서 문서·소스에 워터마크나 유출 추적용으로도 쓰인다.
• 탐지 요령: cat -A(또는 cat -T, xxd, od -c)로 줄 끝 공백/탭을 드러내거나, 파일 크기 대비 화이트스페이스 비율이 비정상적으로 높은지 본다. 이 파일은 1849바이트의 96%가 공백/탭이었다.
• 시각화가 통한다. 공백/탭을 색 칸으로 그리면 숨은 패턴이 한눈에 드러난다. 포렌식에서 "안 보이는 것"은 종종 표현 방식을 바꾸면 보인다.
• 곁다리 파일도 배제 근거를 남겨라. Snow.jpeg 처럼 유도용 파일이 있으면 exiftool·binwalk·EOI 점검으로 "여긴 없다"를 확인하고 넘어가야 헛수고를 줄인다.
• 미끼에 속지 말 것: 눈에 바로 보이는 DH{fake_snow} 는 함정이었다. 스테가노 문제에서 "너무 쉬운" 값은 대개 decoy다.

방어/포렌식 관점에서, 화이트스페이스 스테가노는 DLP(데이터 유출 방지)에서 놓치기 쉬운 채널이다. 텍스트 유출 검사 시 줄 끝 공백 정규화·엔트로피 검사를 포함하면 이런 은닉을 잡아낼 수 있다.

FLAG: DH{w0w_1t_Sn0w5}