전체 글
-
2020 NEWSECU CTF write up$ Capture The Flag $ 2020. 2. 23. 12:51
File Forensic Disk 문제 파일을 압축 풀어보면 아래와 같이 newsecu 라는 파일이 하나 나옵니다. 파일의 hex값을 확인해보면 아래와 같습니다. 알 수 없는 값을 띄고 있지만, 비밀번호를 같이 준것으로 보아 TrueCrypt로 암호화 했을 가능성이 있습니다. TrueCrypt를 이용해서 mount를 해보겠습니다. mount가 완료 되었고 디스크 안에 있는 파일을 확인해 보겠습니다. 50.0MB 짜리 가상 하드디스크 인 vhd 파일이 존재합니다. 하지만 마운트를 하기 위해서 Arsenal Image Mounter를 이용했지만 아래와 같은 창이 출력 됩니다. 데이터가 손상된 것 으로 확인이 됩니다. hex값을 확인해 보면 PASSWORD RECOVERY 라는 문자열을 확인 할 수 있습니다...
-
NeverLAN CTF Write up$ Capture The Flag $ 2020. 2. 14. 16:18
Forensic Listen to this 해당 문제를 다운해보면 mp3 파일이 하나 있는데 해당 파일을 Audacity 에 넣어 보겠습니다. 파일을 넣고 나서 스펙트럼으로 바꿔서 맨 앞부분을 보면 위와 같이 어떠한 값을 확인 할 수 있습니다. 2개의 채널을 보면 위에 채널은 특정값이 없는 부분이고, 아래의 채널은 특정 값이 있는 부분입니다. 그렇기 때문에 아래의 채널 - 위의 채널 을 해보면 모스부호만 추출할 수 있을 것 같습니다. sox 라는 프로그램을 이용해서 2개의 채널을 분리 한다음 차이점을 파일로 추출할 수 있습니다. 아래의 명령어로 sox 를 설치 할 수 있습니다. 2개의 파일을 추출 합니다. 그리고 아래의 명령어로 차이점을 추출해 낼수 있습니다. Audacity 를 확인해 보면 아래와 같이..
-
HackTMCTF Write up$ Capture The Flag $ 2020. 2. 6. 00:04
Forensic Strange PCAP 파일을 열어보면 Protocol이 USB로 나와있습니다. USB Protocol 이란? 로컬 컴퓨터와 USB 사이의 통신 내용을 패킷으로 잡을때 사용되는 Protocol 입니다. Info에 다양한 통신 기록이 존재 합니다. 그중에서 데이터를 담을 만한 Info 는 usb.transfer_type이 0x01 인 "URB_INTERRUPT in" 입니다. filter 에서 usb.transfer_type == 0x01 을 입력하면 Info 가 URB_INTERRUPT in 인 패킷만 출력이 되게 됩니다. 그리고 URB_INTERRUPT in 에 데이터를 담기 위해서는 Capture Data 에 들어있습니다. 위와 같이 Leftover Capture Data 에 값이 들..
-
[FileSystem] FILE Record - Fixup Array$ Wargame $/$ digital forensic $ 2020. 1. 29. 17:20
FILE Record에서 Fixup Array 부분에 대한 문제 인것 같습니다. 해당 파일의 hex값을 확인해 보면 아래와 같습니다. key{}의 Flag 형식은 확실하게 눈에 들어 옵니다. MFT Entry Header 의 구조를 확인해 보면 아래와 같습니다. 노란색 부분을 유심히 보면 Fixup Array 관련 데이터를 가지고 있습니다. 각각의 데이터가 어떤 의미를 가지는지 아래의 표를 확인해 보겠습니다. Offset to Fixup Array 는 Fixup Array의 시작위치를 의미합니다. 해당 값을 확인해 보면 0x30 이라는 것을 알 수 있고, 해당 값을 확인해 보겠습니다. Fixup은 MFT Entry의 데이터 무결성을 판단하기 위해 존재합니다. MFT Entry는 각 2개의 섹터(1024 ..
-
[FileSystem] FILE Record - Filename, Contents$ Wargame $/$ digital forensic $ 2020. 1. 29. 12:48
문제파일을 받아서 hex값을 확인해 보면 46 49 4c 45 의 FILE Header Signature 를 가지고 있습니다. 디스크 조각의 일부라고 하는데, MFT File 이라는 것을 알게 되었습니다. 실제 MFT 파일의 HEX값을 확인해보면 아래와 같습니다. 아래의 파일은 첨부된 File인 filerecord01의 Hex값을 확인해 보면 아래와 같습니다. 그렇기 때문에 첨부된 파일은 MFT File의 조각이라는 것을 알수 있습니다. MFT File 이란? NTFS 상의 모든 파일들의 MFT Entry 정보를 유지하고 있으며, MFT 영역의 크기, 위치, 할당 정보를 저장하고 있는 파일입니다. 또한 기본적으로 MFT 파일에 데이터를 저장하지는 않지만 파일의 용량이 700바이트 이하면 MFT Entry..
-
[Network] FTP - file upload$ Wargame $/$ digital forensic $ 2020. 1. 27. 14:11
Download 파일인 pcapng 파일을 확인해 보면 많은 프로토콜 중에서 FTP 가 있는 것을 확인 할 수 있습니다. (물론 문제 제목에서 FTP 라고 되어 있기 때문에 예상 할 수 있는 내용입니다.) ftp 라고 필터링을 해보면 ftp로 통신한 데이터를 확인 할 수 있습니다. 우클릭 - Follow - TCP Stream 를 클릭해 보면 아래와 같이 확인 할 수 있습니다. 위의 FTP 내역을 확인해 보면 PORT 설정이 완료된후 "STOR ..........(190404).docx" 라는 문자열을 확인 할 수 있습니다. 또한 바로 아래에 "150 Data connetion established, beginning transfer" 라는 문자열과 "226 Transfer complete"이라는 문자열..
-
[FileSystem] FAT - Directory Entry$ Wargame $/$ digital forensic $ 2020. 1. 27. 13:53
LFN Format 으로 저장되어 있는 파일을 제시해 주고 거기에 저장 되어 있는 파일의 이름을 맞추는 것이 문제입니다. 먼저 우리가 공부할 LFN File 이 어떤 파일인지를 알아봐야 합니다. 이전에 포스팅했었던 디렉터리 엔트리 분석 [Directory Entry Analysis] 글에 나와있는 LFN Format 문제입니다. 하지만 그당시에는 유니코드 관련 내용을 넣지 않았는데, 문제에서는 유니코드를 다루고 있습니다. 해당 파일을 HxD로 열어보겠습니다. LFN File 구별 가능한 0x42라는값이 적혀있는것같습니다. 위에는 SYSTEM~1 이라고 되어있고, 그리고 아래는 어떤 이상한 값에 ~1HWP 라고 되어 있습니다. 일단 ~1 이라고 적힌 이유는 파일명이 8바이트를넘어가면 ~1 이라고 적고 다른..