[HackTheBox] Easy Phish - OSINT / nslookup / dig

 

쉬운 난이도의 OSINT 문제

 

OSINT는 Open Source Intelligence 의 약자로 공개출처정보라는 뜻이다.

 

말 그대로 공개된 출처에서 얻은 정보들을 의미한다.

 

해킹대회에서는 구글이나 네이버 검색처럼 누구나 쉽게 접근해서 얻을수 있는 정보들을 이용해서

 

의미있는 새로은 정보를 만들어내거나 알아내는 방식으로 진행된다.

 

반응형

 

문제 설명을 읽어보면

 

secure-startup.com 의 소비자들이 피싱 메일을 받고 있다고 한다.

 

그 이유를 알아내 달라고 한다.

 

문제를 풀기위해 주어지는 파일은 따로 없고, 해당 문구가 주어지는 전부이다.

 

일단은 문제에 피싱 메일이라는 힌트가 있었기에

 

메일 보안과 관련된 SPF, DMARC, DKIM 과 관련이 있을거라 생각하고 접근했다.

 

먼저 SPF는 Sender Policy Framework 의 약자로

 

이메일을 보낼때, 위조된 발신자 주소를 감지하도록 설계된 이메일 인증 방법이다.

 

이메일을 발신한 메일서버의 정보를 DNS에 등록하고

 

수신자가 메일을 수신할 때 DNS에 질의하여 발신자 정보가 맞는지 확인하는 것이다.

 

SPF를 설정하면 DNS의 TXT 레코드에 해당 정보가 남게 된다.

 

 

확인하는 방법은 nslookup 명령어를 사용하는 것이다.

 

nslookup -q=TXT <도메인 주소> 형태로

 

-q 옵션을 줘서 TXT 레코드를 지정해주고, 도메인 주소를 써주면

 

TXT 레코드에 SPF 가 설정되어 있고 

 

거기에 플래그가 적혀있는것을 볼 수 있다.

 

그런데 플래그가 온전하지 않고 앞부분만 짤려서 나오는 느낌이다.

 

나머지 부분은 DMARC 와 관련해서 찾을 수 있었다.

 

DMARC 는 Domain-based Message Authentication, Reporting and Conformance 의 약자로

 

이메일 도메인 소유자가 이메일 스푸핑으로 알려진 무단 사용에서

 

도메인을 보호할 수 있도록 설계된 이메일 인증 프로토콜이다.

 

DMARC 역시 DNS의 TXT 레코드로 해당 정보를 확인할 수 있는데

 

아까 첬던 명령어에서 조금만 바꿔주면 된다.

 

 

nslookup -q=TXT _dmarc.secure-startup.com

 

형태로 도메인 앞에 _dmarc. 를 붙여서 명령어를 입력하면 된다.

 

그럼 플래그의 뒷부분을 찾을 수 있다.

 

 

nslookup 과 유사한 기능을 하는 dig 명령어를 사용해서 풀어도 된다.

 

dig <도메인 주소> txt  같은 형태로 입력하면

 

nslookup 에서 본 결과와 같은 결과를 확인할 수 있다.