티스토리

hacking_security
검색하기

블로그 홈

hacking_security

whitesnake1004.tistory.com/m

김규빈(ws1004)의 옛 블로그!! 현재는 blog.forensicresearch.kr 에서 블로그를 작성중입니다.

구독자
27
방명록 방문하기
공지 포렌식 관련 글 및 문제 풀이 글 이⋯ 모두보기

주요 글 목록

  • 블로그 글이 뜸한 이유..! 요즘 whitesnake1004.tistory.com 블로그 에다가 글을 올리는 것이 좀 뜸해 졌습니다. 블로그 글은 계속해서 작성하고 있는데 업로드가 뜸한 이유는 아래와 같습니다. - 주분야인 포렌식을 주로 공부하고 있습니다. - 포렌식을 공부하다 보니까 whitesnake1004.tistory.com 가 아닌 blog.forensicresearch.kr 에다가 업로드를 쭉 하고 있습니다.. 다른 분야도 계속 공부 하고 있지만 양쪽 블로그를 같이 올리다 보니 업로드가 양쪽으로 올라가서 뜸해질 수도 있으니 양해해 주시면 감사하겠습니다.! 매일 300명이상의 많으신 분들이 찾아와 주시는것 같습니다. 매번 찾아와 주셔서 감사합니다..!! 앞으로 더 좋은 글을 쓰도록 열심히 하겠습니다!! 공감수 8 댓글수 2 2020. 4. 12.
  • Disk - 도와주십시오, 누군가… 문제를 해결하기 위해서 flag.torrent 파일을 HxD로 열어 보겠습니다. 이러한 데이터를 가지고 문제를 해결 해야 하는데 Hex 데이터에서 length 문자열을 확인 할 수 있습니다. 공유 파일 크기 : lengthi 28 e4 piece 조각의 크기 : lengthi 2 e6 위의 데이터를 기반으로 해서 "공유파일 크기" / "piece 조각 크기" = "piece 조각의 개수" 를 알 수 있습니다. piece 조각의 개수는 14개 인것을 확인 할 수 있습니다. 그리고 pieces280 를 보아 암호화 해서 전달하는 데이터의 크기는 280byte라는 것을 알 수 있습니다. 280바이트의 데이터를 확인해 보면 아래와 같습니다. 해당 데이터가 총 14조각이 되어야 하기 때문에 1조각당 20바이트 라.. 공감수 1 댓글수 0 2020. 4. 8.
  • Digital Forensic Challenge 2019 IR100 문제를 확인해 보면 다음과 같습니다. 문제를 기반으로 문제 풀이를 진행 하겠습니다. mft.zip 파일을 압축 해제 하면 $MFT 파일을 찾을 수 있습니다. $MFT 파일을 가시적으로 보기 쉽도록 .csv 파일로 변환 해주는 analyzeMFT.exe 툴이있습니다. MFT.csv로 변환했기 때문에 한번 $Recycle.bin 파일을 찾아 보겠습니다. 총 25개의 $Recycle.Bin 문자열이 포함된 Filename을 찾았습니다. 그중 가장 눈에 띄는 것이 $Recycle.Bin/7.exe 입니다. 기본적으로 $Recycle.Bin 폴더는 윈도우 운영체제에서 사용되는 휴지통을 의미 하는데, 사용자가 삭제를 했을 때 휴지통에 데이터가 들어가게 됩니다. 그렇게 되면 다음과 같은경로로 데이터가 들어가게 됩니다.. 공감수 3 댓글수 0 2020. 3. 28.
  • Securinets-2K20 PreQuals CTF write up 해당 이미지 메모리 덤프 파일을 대상으로 imageinfo를 진행해 보겠습니다. Win7SP1x86을 이용해 보겠습니다. filescan 플러그인을 이용해서 파일을 확인해 보면 눈에 띄는 파일이 있습니다. 사용자는 바탕화면을 자주 사용하기 때문에 경로를 살펴 보면 \Device\HarddiskVolume2\Users\studio\Desktop 였습니다. 아래와 같이 검색해 보면 아래와 같이 수상한 파일 2개를 확인 할 수 있습니다. steghide 와 DS0394.jpg 파일이 있기 때문에 해당 이미지 파일을 추출해서 steghide를 이용해서 은닉된 데이터를 추출해야 할 것 같습니다. 사진을 확인해 보면 오른쪽 아래에 2019/08/29 라고 되어 있습니다. 이제 steghide 에 사용할 비밀 번호를.. 공감수 2 댓글수 18 2020. 3. 23.
  • SuSeC CTF 2020 write up Forensic Little 해당 문제의 첨부 파일을 확인해 보면 아래와 같이 little.img_hash값 파일에서 little.img 파일을 추출 할 수 있습니다. little.img 파일을 HxD 로 열어보면 mkfs.fat 파일 시스템의 VBR을 확인 할 수 있습니다. 이제 해당 파일이 디스크 이미지 파일이라는 것을 알 수 있기 때문에 FTK Imager 로 열어 볼 수 있습니다. secondf.png 파일이 있는 것을 알 수 있습니다. 해당 파일을 확인해 보면 중간 Flag를 알 수있습니다. Flag2 : t0_7h3_3nd_0f_ 를 찾았습니다. 이제 나머지 Flag를 찾아야 하는데 FTK Imager 에서 확인 할 수 없습니다. 또한 binwalk를 통해서도 파일 카빙이 되지 않습니다. li.. 공감수 1 댓글수 0 2020. 3. 23.
  • Memory - 귀사는 사이버 보안사건... 먼저 어떤 프로그램의 memory dump파일인지 확인해 봐야 하는데 imageinfo 로 나오지 않습니다. 제가 현재 보유중인 profile list는 아래와 같습니다. 거의다 Windows 관련 profile 입니다. 아마도 리눅스 관련 운영체제 의 메모리 덤프 일것으로 예상이 됩니다. strings 명령어를 이용해서 어떤 운영체제의 문자열이 가장 많이 들어있는지 한번 확인해 보겠습니다. debian 운영체제인 것을 알 수 있습니다. debian 운영체제에는 버전이 존재하는데 버전마다 이름이 다 다릅니다. 위 사진 링크 : https://www.debian.org/releases/index.ko.html hamm, slink, potato, woody, sarge, etch, lenny, squeez.. 공감수 0 댓글수 0 2020. 3. 17.
  • Memory - GrrCON 2015 #28 앞서 dump파일에서 난독화를 해제한 결과값을 확인해 봤었습니다. 위의 경로인 C:\Program Files\Microsoft\Exchange Server\V15\FrontEnd\HttpProxy\owa\auth\ 에 어떤 파일이 있는지 확인해 보겠습니다. mftparser를 이용해서 위의 경로를 찾아보면 th3k3y.txt 파일을 찾을 수 있습니다. filescan을 이용해서 해당 파일의 가상 주소를 출력해 보겠습니다. 이제 출력된 0x000000006cb04d90을 dumpfiles 의 -Q 옵션으로 파일을 추출 해 보겠습니다. 추출된 파일을 확인해 보면 Base64 암호화 인코딩 된 문자열을 확인 할 수 있습니다. Flag : eNpzLypyzs/zyS9LLfYtCspPyi9xzEtxKzZIzkwt.. 공감수 0 댓글수 0 2020. 3. 17.
  • Memory - GrrCON 2015 #27 aspx 파일을 사용하면서 frombase64string 을 이용한 악성코드의 이름을 찾아보면 chopper.exe 라는 이름을 찾아볼 수 있습니다. malware name대신 chopper 를 입력해 보면 아래와 같은 사이트를 확인해 볼 수 있습니다. 악성코드 명은 chinachopper 입니다. Flag : chinachopper 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 3. 17.
  • angstrom CTF 2020 write up REV Revving Up 해당 첨부 파일을 실행 해서 문제를 실행해 보면 아래와 같습니다. argument에 banana가 있어야 한다고 합니다. banana 를 argument에 넣어서 다시 실행해 보겠습니다. Flag 출력하는 부분 까지 출력된 것을 확인 할 수있습니다. Shell 을 이용해서 해당 파일을 실행해서 Flag를 얻어 보겠습니다. Flag : actf{g3tting_4_h4ng_0f_l1nux_4nd_b4sh} Windows of Opportunity 첨부된 파일을 IDA에 넣어 보면 아래와 같은 문자열을 확인 할 수 있습니다. Flag가 평문으로 변수에 저장되어 있는 것을 알 수 있습니다. Flag : actf{ok4y_m4yb3_linux_is_s7ill_b3tt3r} Taking .. 공감수 2 댓글수 0 2020. 3. 15.
  • zer0pts CTF 2020 write up Forensics Locked KitKat 첨부파일은 안드로이드 디바이스의 내부 디스크 이미지 파일이고, 잠금해제 패턴을 찾아서 패턴입력을 하면 Clear가 되는 문제입니다. 해당 문제를 풀기 위해서 잠금해제 패턴과 관련되어 있는 파일을 찾아야 하는데 경로는 아래와 같습니다. 해당 파일 경로 : /system/gesture.key 해당 경로에 가서 해당 파일을 확인해보면 존재합니다. 이번에는 gesture.key 파일에서 패턴을 추출해주는 툴을 찾아보겠습니다. ↑ 경로 : https://github.com/sch3m4/androidpatternlock 아래의 방법을 따라 진행을 해보면 패턴을 발견 할 수 있습니다. http://13.230.161.88:10001/ 사이트에서 패턴을 입력해 보면 아래와 같.. 공감수 1 댓글수 0 2020. 3. 12.
  • UTCTF 2020 write up Forensics Observe Closely 해당 문제를 확인해 보면 Footer Signature 이후에 ZIP 파일이 은닉되어 있는 것을 확인 할 수 있습니다. 해당 ZIP 파일을 카빙해서 데이터를 확인해 보겠습니다. hidden_binary 가 있습니다. 해당 파일은 ELF 파일이므로 리눅스 운영체제 에서 실행하면 될것 같습니다. Flag를 확인해 볼 수 있습니다. Flag : utflag{2fbe9adc2ad89c71da48cabe90a121c0} [basics] forensics 문제 파일을 확인 해보면 방대한 문자열 을 확인 할 수 있습니다. 방대한 문자열 이기 때문에 utflag{ 를 검색해보면 Flag를 확인 할 수 있습니다. Flag : utflag{fil3_ext3nsi0ns_4r3n.. 공감수 0 댓글수 0 2020. 3. 9.
  • Memory - GrrCON 2015 #26 공격자가 교환 서버를 제어하는데 사용한 파일의 이름을 찾는 문제 이기 때문에 프로세스를 확인해 보겠습니다. w3wp.exe프로세스가 엄청 많이 존재 합니다. 그리고 w3wp.exe 하위에 cmd.exe 프로세스가 많이 돌고 있습니다. 그렇기 때문에 하위 프로세스인 cmd.exe 의 PID값인 9248을 dump를 떠보겠습니다. strings 명령어로 dump파일에서 추출해보겠습니다. 키 포맷인 .aspx 을 보면 .aspx 를 검색해 보겠습니다. error1.aspx 라는 코드가 있습니다. 파일의 내용이 난독화 되어있는데 해당 값을 난독화 해제 해보겠습니다 Site : https://www.strictly-software.com/unpacker#unpacker 난독화 해제를 진행해 보니 base64 인코.. 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #25 악성코드를 설치 했다는 것은 대부분 인터넷에서 설치하기 때문에 iehistory 플러그인을 이용해 보겠습니다. allsafe_update.exe 프로그램을 다운로드 한것을 확인 할 수 있습니다. Flag : allsafe_update.exe 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #24 POS에서 화이트 리스트로 정의된 악성코드를 물어보는 문제 입니다. 일단 악성코드 덤프떠둔것을 이용해서 문자열을 탐색해 보겠습니다. 에디터로 열어서 확인을 해보면 아래와 같습니다. 악성코드는 .exe 확장자를 가지고 있을 가능성이 크기 때문에 검색을 해보았는데 맨위의 실행파일을 제외하고 나머지는 프로세스에서 본 실행 파일들입니다. 화이트리스트로 정의된 악성코드는 allsafe_protector.exe 입니다. Flag : allsafe_protector.exe 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #23 먼저 iexplore.exe 프로세스 에 멀웨어가 있기 때문에 해당 악성코드를 분석하면 될것 같습니다. malfind 플러그인을 이용해서 멀웨어를 추출해 보겠습니다 추출한 데이터를 바탕으로 virustotal.com 에서 확인해 보면 공통적인 이름이 눈에 보입니다. Dexter 이 악성코드 명인것 같습니다. Flag : Dexter 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #22 새로운 파일이기 때문에 imageinfo 를 해보겠습니다. Win7SP0x86 을 사용하면 될 것 같습니다. 멀웨어의 C&C 서버를 찾는 문제입니다. malfind 플러그인 을 이용하면 뭘웨어를 찾을 수 있습니다. 해당 프로세스가 멀웨어라면 C&C 서버와 통신을 하고 있을 것입니다. netscan 플러그인을 이용해서 PID 3208 을 찾아 보겠습니다. 54.84.237.92 입니다. Flag : 54.84.237.92 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #21 공격자가 예약된 작업을 만들어서 스케줄링 작업과 연결된 파일의 이름을 찾는 것 같습니다. 아마도 운영체제가 윈도우 메모리 파일이기 때문에 bat 파일로 만들었을 가능성이 크다. filescan을 통해서 .bat을 검색해 보겠습니다. Users 하위의 gideon 폴더 안에 1.bat 파일이 있습니다. 해당 파일을 추출해 보겠습니다. 해당 파일을 분석 해 보겠습니다. cmd를 이용해서 w.tmp 파일을 만든 배치 프로그램이 맞습니다. Flag : 1.bat 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #20 rar 아카이브에 추가한 파일명을 찾아야 합니다. cmdscan 으로 봤을때 conhost.exe 가 작업을 했는데 해당 프로세스의 PID를 확인하고, memdump를 이용해서 덤프를 떠보겠습니다. PID 값은 3048 입니다. 추출한 3048.txt 파일을 확인해서 rar파일에 파일을 추가한 부분을 찾아보겠습니다. SecretSauce1.txt SecretSauce2.txt SecretSauce3.txt 가 추가된 파일 명입니다. Flag : SecretSauce1.txt,SecretSauce2.txt,SecretSauce3.txt 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #19 압축파일인 rar 파일의 이름을 찾는 것입니다. cmdscan 에서 rar로 파일압축 할때 파일명이 존재 합니다. 파일명은 crownjewlez.rar 입니다. Flag : crownjewlez.rar 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #18 파일 압축할때 사용한 암호를 찾는 것이 문제입니다. 아까 확인한 cmdscan 에서 rar 명령을 본적이 있습니다. rar 명령어를 통해서 암호를 알 수 있습니다. rar명령어를 2번쓴 이유는 처음 썼을때 비번을 잘못 넣었기 때문입니다. Flag : 123!@#qwe 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #17 보안 관리자 컴퓨터로 접근해서 비밀번호를 덤프 떳다고 합니다. cmdscan을 이용해서 cmd로 어떤 작업을 했는지 확인해 보겠습니다. wce.exe 를 이용해서 w.tmp라는 파일로 내보내기 한것 같습니다. w.tmp 라는 파일을 스캔해서 추출해 보겠습니다. 0x000000003fcf2798 입니다. dumpfiles 플러그 인을 이용해서 추출까지 완료해 보겠습니다. 해당 파일을 에디터로 확인해 보겠습니다. Flag : t76fRJhS 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #16 일단 원격 접근을 했다는 것을 알수 있고, 연결한 IP주소를 찾는 것이기 때문에 네트워크를 볼 필요가 있습니다. netscan 플러그인을 이용해서 확인해 보면 아래와 같이 IP와 프로그램을 알수 있습니다. mstsc.exe 라는 프로그램에 10.1.1.21 이라는 IP가 연결 되어 있는데 mstsc.exe 는 Microsoft Windows의 소프트웨어 구성 요소로 Microsoft 터미널 서비스 클러이언트 원격 관리 서비스 입니다. 그렇기 때문에 답은 10.1.1.21 입니다. Flag : 10.1.1.21 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #15 프로세스에서 합법적인 원격 관리 소프트웨어를 찾으면 되는 것 같습니다. TeamViewer.exe 를 확인 할 수 있습니다. 하지만 Flag는 아래와 같습니다.. Flag : Teamviewer.exe 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • Memory - GrrCON 2015 #14 IP와 PORT 관련해서 저장되어있는 데이터 파일은 netscan 플러그 인으로 확인할 수 있습니다. Flag : 180.76.254.120:22 출처 : 디지털 포렌식 with CTF 공감수 0 댓글수 0 2020. 2. 24.
  • 2020 NEWSECU CTF write up File Forensic Disk 문제 파일을 압축 풀어보면 아래와 같이 newsecu 라는 파일이 하나 나옵니다. 파일의 hex값을 확인해보면 아래와 같습니다. 알 수 없는 값을 띄고 있지만, 비밀번호를 같이 준것으로 보아 TrueCrypt로 암호화 했을 가능성이 있습니다. TrueCrypt를 이용해서 mount를 해보겠습니다. mount가 완료 되었고 디스크 안에 있는 파일을 확인해 보겠습니다. 50.0MB 짜리 가상 하드디스크 인 vhd 파일이 존재합니다. 하지만 마운트를 하기 위해서 Arsenal Image Mounter를 이용했지만 아래와 같은 창이 출력 됩니다. 데이터가 손상된 것 으로 확인이 됩니다. hex값을 확인해 보면 PASSWORD RECOVERY 라는 문자열을 확인 할 수 있습니다... 공감수 1 댓글수 5 2020. 2. 23.
  • NeverLAN CTF Write up Forensic Listen to this 해당 문제를 다운해보면 mp3 파일이 하나 있는데 해당 파일을 Audacity 에 넣어 보겠습니다. 파일을 넣고 나서 스펙트럼으로 바꿔서 맨 앞부분을 보면 위와 같이 어떠한 값을 확인 할 수 있습니다. 2개의 채널을 보면 위에 채널은 특정값이 없는 부분이고, 아래의 채널은 특정 값이 있는 부분입니다. 그렇기 때문에 아래의 채널 - 위의 채널 을 해보면 모스부호만 추출할 수 있을 것 같습니다. sox 라는 프로그램을 이용해서 2개의 채널을 분리 한다음 차이점을 파일로 추출할 수 있습니다. 아래의 명령어로 sox 를 설치 할 수 있습니다. 2개의 파일을 추출 합니다. 그리고 아래의 명령어로 차이점을 추출해 낼수 있습니다. Audacity 를 확인해 보면 아래와 같이.. 공감수 0 댓글수 0 2020. 2. 14.
  • HackTMCTF Write up Forensic Strange PCAP 파일을 열어보면 Protocol이 USB로 나와있습니다. USB Protocol 이란? 로컬 컴퓨터와 USB 사이의 통신 내용을 패킷으로 잡을때 사용되는 Protocol 입니다. Info에 다양한 통신 기록이 존재 합니다. 그중에서 데이터를 담을 만한 Info 는 usb.transfer_type이 0x01 인 "URB_INTERRUPT in" 입니다. filter 에서 usb.transfer_type == 0x01 을 입력하면 Info 가 URB_INTERRUPT in 인 패킷만 출력이 되게 됩니다. 그리고 URB_INTERRUPT in 에 데이터를 담기 위해서는 Capture Data 에 들어있습니다. 위와 같이 Leftover Capture Data 에 값이 들.. 공감수 2 댓글수 0 2020. 2. 6.
  • [FileSystem] FILE Record - Fixup Array FILE Record에서 Fixup Array 부분에 대한 문제 인것 같습니다. 해당 파일의 hex값을 확인해 보면 아래와 같습니다. key{}의 Flag 형식은 확실하게 눈에 들어 옵니다. MFT Entry Header 의 구조를 확인해 보면 아래와 같습니다. 노란색 부분을 유심히 보면 Fixup Array 관련 데이터를 가지고 있습니다. 각각의 데이터가 어떤 의미를 가지는지 아래의 표를 확인해 보겠습니다. Offset to Fixup Array 는 Fixup Array의 시작위치를 의미합니다. 해당 값을 확인해 보면 0x30 이라는 것을 알 수 있고, 해당 값을 확인해 보겠습니다. Fixup은 MFT Entry의 데이터 무결성을 판단하기 위해 존재합니다. MFT Entry는 각 2개의 섹터(1024 .. 공감수 0 댓글수 0 2020. 1. 29.
  • [FileSystem] FILE Record - Filename, Contents 문제파일을 받아서 hex값을 확인해 보면 46 49 4c 45 의 FILE Header Signature 를 가지고 있습니다. 디스크 조각의 일부라고 하는데, MFT File 이라는 것을 알게 되었습니다. 실제 MFT 파일의 HEX값을 확인해보면 아래와 같습니다. 아래의 파일은 첨부된 File인 filerecord01의 Hex값을 확인해 보면 아래와 같습니다. 그렇기 때문에 첨부된 파일은 MFT File의 조각이라는 것을 알수 있습니다. MFT File 이란? NTFS 상의 모든 파일들의 MFT Entry 정보를 유지하고 있으며, MFT 영역의 크기, 위치, 할당 정보를 저장하고 있는 파일입니다. 또한 기본적으로 MFT 파일에 데이터를 저장하지는 않지만 파일의 용량이 700바이트 이하면 MFT Entry.. 공감수 0 댓글수 0 2020. 1. 29.
  • [FileSystem] Hash this file 문제의 사진의 해시값을 계산 하는 것이므로 python 코드를 작성해서 해시값을 찾아 보겠습니다. key는 해시값의 소문자입니다. python 코드는 아래와 같습니다. 실행 결과는 아래와 같습니다. Flag : 151b6cf04b7342c142ff4c6c9117dcc 공감수 0 댓글수 0 2020. 1. 27.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.