반응형

전체 글 712

[Root Me] Hash - DCC - 암호학 / John the Ripper

Root Me에서 제공하는 쉬운 난이도의 암호학 문제 문제 설명을 보면 administrator 유저의 비밀번호를 secretsdump 도구 사용 결과로부터 알아내라고 한다. Start the Challenge 버튼을 누르면 이런 데이터를 볼 수 있다. 이게 아까 말한 secretsdump 실행 결과인데 여기서 이 부분 해시값 형태로 적혀있는 administrator 의 비밀번호를 알아내는것이 목표이다. 알아내는건 크게 어렵지 않다. John the ripper 라는 도구를 사용하면 된다. 해당 값을 파일로 저장해준 후, format 을 mscash 로, wordlist 를 rockyou.txt 파일로 지정하여 툴을 실행시키면 1초도 안돼서 원래의 비밀번호를 알아낼 수 있다.

워게임/Root Me 2023.12.05

[2022 화이트햇 콘테스트] H-1 - 포렌식 / Powershell / XOR

2022 화이트햇 콘테스트 예선에 출제되었던 문제 이전 G-2 문제와 이어지는 문제이다. (https://hackingstudypad.tistory.com/679) H-1 문제는 공격자가 스크린 캡쳐를 위해 사용한 스크립트에서 플래그를 획득하는 것이 목표이다. 지난 문제에서 위와 같이 스크린 캡쳐하는 파워쉘 스크립트를 찾았었다. pscp.exe를 이용해 C2 서버로 데이터를 전송하는데 스크립트 중간에 보면 뭔가 수상한게 껴있다. 바로 이 부분인데 어떤 숫자들이 있고 $xorkey 에는 77이 정의되어 있다. 뭔가 XOR을 해야할것 같은 느낌이다. CyberChef(https://gchq.github.io/CyberChef) 에서 해당 값을 디코딩 해준 뒤, 77로 XOR하고, 역순으로 배열해주게 되면 숨..

CTF/포렌식 2023.12.02

[Root Me] Dot and next line - MISC

스테가노그래피 카테고리에 분류된 Root Me에서 제공하는 Easy 난이도의 문제 어떻게 보면 어려울 수 있는데 방법을 알고나면 아주 쉬운 문제이다. 풀이수가 문제의 난이도를 증명해 주고 있다. 문제에서 주어지는 것은 journal.jpg 파일이다. 뭔가 프랑스어 처럼 보이는 말로 길게 써있는데 일단 내용은 무슨뜻인지 모르겠다.. 문제의 제목인 "Dot and Next line" 이 가장 큰 힌트이다. 그림 속 문장에 있는 점(dot) 들을 이용해 문제를 풀어주면 된다. Next line 이라 되어있어서 점이 나온 후 그 다음 줄을 어떻게 하는것이라 생각할 수 있는데 그렇게 되면 마지막 점에서 할게 없어져버린다. 여기서는 위 그림과 같이 점이 있는 위치 바로 위에 있는 알파벳을 읽어주면 된다. 각 점 위..

워게임/Root Me 2023.11.29

[2022 화이트햇 콘테스트] G-2 - 포렌식 / Powershell / Sysmon View

2022 화이트햇 콘테스트 예선에 출제되었던 문제 이전 G-1 문제와 이어지는 문제이다. (https://hackingstudypad.tistory.com/677) G-2 문제는 공격자가 스크린 캡쳐와 클립보드 데이터 캡쳐를 위해 공격자 서버로부터 스크립트를 다운받는데, 이때의 시각과 URL을 찾는것이 목표이다. G-1 문제에서 이 두 파워쉘 스크립트를 확인했었다. 내용을 보면 각각 스크린 캡쳐와 클립보드 데이터를 훔쳐가는것을 알 수 있는데 해당 파워쉘 코드가 어디서부터 시작되었는지를 확인해야 한다. E-3 문제을 풀때 복원한 바이너리에서 문제의 원인이 되는 스크립트를 http://192.168.35.85/logout.php 에서 다운받았다는걸 확인했었다. Sysmon 로그를 통해 해당 powershel..

CTF/포렌식 2023.11.27

[Root Me] WAV - Noise analysis - 포렌식 / Audacity

Root Me 에서 제공하는 쉬운 난이도의 스테가노그래피 문제 문제에서 제공되는 것은 ch3.wav 파일이다. 해당 파일을 재생해보면 삐리삐리빅 하면서 이상한 알 수 없는 소음이 들린다. 사실 이 문제는 스펙토그램 같이 wav 파일 스테가노그래피 같은 형태가 아니라 단순히 wav 파일 속도와 재생방향만 조작하면 해결할 수 있다. https://twistedwave.com/online TwistedWave Online Audio Editor TwistedWave is a browser-based audio editor. You only need a web browser to access it, and you can use it to record or edit any audio file. twistedwav..

워게임/Root Me 2023.11.25

[2022 화이트햇 콘테스트] G-1 - 포렌식 / Powershell / Sysmon View

2022 화이트햇 콘테스트 예선에 출제되었던 문제 이전 F-4 문제와 이어지는 문제이다. (https://hackingstudypad.tistory.com/675) G-1 문제는 클립보드 데이터가 최초로 유출된 시각과 유출에 사용된 도구의 당시 PID를 찾는것이 목표이다. 이전에 풀이했던 E-3 문제를 보면 (https://hackingstudypad.tistory.com/665) 복원한 바이너리 파일에서 http://192.168.35.85/logout.php 로 접속하는것을 볼 수 있다. 해당 위치로의 접속 흔적은 바탕화면\Log 폴더 안에 있는 4.pcapng 파일에서 찾을 수 있다. 이렇게 logout string을 검색하면 금방 찾는다. 해당 패킷을 우클릭 - Follow - HTTP Strea..

CTF/포렌식 2023.11.23

[247CTF] THE SECRET LOCK - 리버싱 / Python

247CTF 에서 제공하는 MODERATE 난이도의 리버싱 문제 문제에서 주어지는 것은 The Secret Lock.html 파일이다. 문제에서 주어진 HTML 파일을 실행시켜 보면 이런 화면이 나온다.. 번호 40개짜리 자물쇠인데 각 번호는 0부터 500까지 구성되어 있다. 자전거 자물쇠처럼 돌려서 맞춰야 하는건데 일단 확률부터 말도 안되고, 실제로 돌려볼려해도 너무 느려서 이번생 안에는 도저히 못한다. F12를 눌러 개발자도구를 열어 Javascript 코드를 보니 플래그를 검증하는 듯한 부분이 보였다. 해당 부분을 깔끔하게 보이게 정리해보니 이런 형태였다... 무려 120줄이다. 이 어마어마한 연립방정식을 풀어야 플래그를 찾을 수 있는데 마치 수능을 다시보는 기분이었다. from z3 import ..

워게임/247CTF 2023.11.21

[2022 화이트햇 콘테스트] F-4 - 포렌식 / Winhex

2022 화이트햇 콘테스트 예선에 출제되었던 문제 이전 F-3 문제와 이어지는 문제이다. (https://hackingstudypad.tistory.com/673) F-4 문제는 공격자가 피해 호스트에서 유출한 정보에서 플래그를 획득하는 것이 목표이다. 처음엔 피해 호스트에 주기적으로 뜨는 CMD 창에서 힌트가 있다고 생각해 여기 있는 파일들을 위주로 살펴봤는데 아니었다. 한참 헤매다가 C:\Users\Kang\AppData\Roaming\Microsoft\Windows\Recent 경로를 살펴보니 flag.txt 파일이 있는게 보였다. 눌렀더니 .lnk 파일인듯 바로가기가 올바르지 않다고 한다. 그래서 우클릭 - 속성에 들어가 봣는데 C:\Users\Kang\Downloads\flag.txt 경로에 원..

CTF/포렌식 2023.11.19

[Root Me] AES - ECB - 암호학 / Mysql

Root Me 에서 제공하는 AES 알고리즘과 관련된 암호학 문제 웃긴게 AES를 몰라도 풀 수 있는 문제이다. 문제에서 주어지는 것은 mylogin.cnf 파일이다. HxD 같은걸로 열어보면 안에는 알 수 없는 데이터들이 저장되어 있는데 아마 이 데이터들이 AES - ECB 로 암호화 되어있기 때문일 것이다. 이걸 어떻게 해독하냐는 것인데 구글에 Decrypt mylogin.cnf 라고 검색해보면 아주 쉽게 방법을 찾을 수 있다. mylong.cnf 파일이 Mysql DBMS에서 자격증명을 저장할때 사용하는 설정파일인듯 하다. 그래서 이미 Decrypt 할 수 있는 코드가 공개되어 있었다. https://github.com/isotopp/mysql-config-coder GitHub - isotopp/..

워게임/Root Me 2023.11.17

[2022 화이트햇 콘테스트] F-3 - 포렌식 / Powershell / Process Explorer

2022 화이트햇 콘테스트 예선에 출제되었던 문제 이전 F-2 문제와 이어지는 문제이다. (https://hackingstudypad.tistory.com/671) F-3 문제는 공격자가 HTTP 프로토콜을 이용하여 데이터를 유출할 때 공격자 측 URL과, 이때 피해 호스트 측 압축파일의 파일명을 찾는것이 목표이다. 사실 이건... 별도로 풀이하지 않아도 지난 F-2 문제 풀이에서 확인할 수 있다. 바로 이 sysmon 로그에서 인코딩된 powershell 스크립트를 디코딩하면 이런 결과물을 얻을 수 있었는데 공격자가 유출하는 url은 http://192.168.35.85:8000/upload 이고 피해 호스트 측의 압축파일명은 winlog.tar 가 된다.. 이렇게 끝나면 허무하기 때문에 다른 풀이도 ..

CTF/포렌식 2023.11.15
반응형