Anti-Forensic
-
Digital Forensic Challenge 2018 AF100 문제 풀이$ 포렌식 $/$ 포렌식 문제 풀이 $ 2020. 1. 3. 20:38
AF100 - Extract a password from the JPEG picture file 간단히 해석을 해보면 아래와 같습니다. 산업 기밀 누설 사건의 조사관이고, 조사하는동안 의심스러운 이메일을 받았는데 유출된 기밀을 포함한 여러 정보가 있었는데, 암호에 대한 정보가 없었으나 첨부파일이 존재 했었고, 해당 첨부 파일에 암호에 대한 정보가 있을 것이라 생각한 조사관은 포렌식 분석을 하려고 한다. 첨부된 파일은 아래와 같이 yuna2.jpg 라는 파일입니다. 해당 사진을 EXIFTOOL로 메타데이터 부분을 찾아 보면 아래와 같습니다. User Comment에 6gx{YVpR`J[#xZAb 라는 값이 있는데 사용자가 적어 둔 문자열 이기 때문에 나중에 필요할 것 같습니다. Thumbnail Image..
-
Digital Forensic Challenge 2019 AF300 문제풀이$ 포렌식 $/$ 포렌식 문제 풀이 $ 2019. 11. 16. 17:40
결국에는 USB와 전자메일을 입수 했고 그걸 분석해서 정보를 입수 하는 것이 문제인것 같습니다. 이메일을 번역해 보면 다음과 같이 나옵니다. PDF 파일 찾고, 이전에 사용한 암호도 찾아야 하는 것 같습니다. E01 파일이므로 FTK Imager 를 이용하겠습니다. Information 폴더에서 1.pdf 를 발견했습니다. 1.pdf 는 삭제된 상태로 비밀번호가 걸려있으며, 2.pdf 도 비밀번호가 걸려있다. Bob presentation.zip 파일은 삭제된 상태이지만 사이즈가 0이여서 복구도 불가능 하다. binwalk 0280 를 해보면 End of Zip archive 문자열을 찾을 수 있습니다. binwalk 1312 를 해보면 맨 아래에 Zip archive data file 이 있습니다. 실..
-
Digital Forensic Challenge 2019 AF200 문제풀이$ 포렌식 $/$ 포렌식 문제 풀이 $ 2019. 11. 13. 12:57
AF200 문제로 저번 AF100 문제를 너무 재미잇게 풀어서 이번 문제도 기대가 됩니다! 문제를 이제 확인해 보겠습니다. what-is-Pooh-doing 이라는 파일의 확장자를 알아 보겠습니다. 7z 파일인 것을 알 수 있고, 압축 해제를 해보겠습니다. 하이브 파일(hve)과 하이브 로그 파일(hve.LOG1)이 있습니다. 하이브 파일은 레지스트리 뷰어로 확인 해 볼수 있기 때문에 Registry Explorer 툴을 이용해서 확인해 보겠습니다. 0xAF200 하위에 3개의 폴더가 존재 합니다. - Let's warm up. - One part was stored here. - Two parts were buried here. 먼저 0xAF200에 데이터가 있는지 보겠습니다. 아무런 데이터가 들어있지..
-
Digital Forensic Challenge 2019 AF100 문제 풀이$ 포렌식 $/$ 포렌식 문제 풀이 $ 2019. 11. 12. 10:51
ZIP 파일에서 숨겨져 있는 데이터를 찾는 문제인것 같습니다. 일단 ZIP 파일이 어떻게 구동되는지 원리를 이해해 보겠습니다. * zip 파일을 실행하면 실행되는 순서는 대략적으로 아래와 같이 나타낼 수 있다. 1. 최초 실행시에 End of Central Directory로 이동. 2. End of Central Directory 에 있는 정보를 바탕으로 Central Directory 의 시작 위치로 이동합니다. 3. Central Directory 에서 정보를 읽고 End of Central Directory에서 Central Directory의 개수만큼 반복하여 End of Central Directory전까지 읽는다. 4. Central Directory에서 읽은 Local Header 위치로 ..