보안맨

2021 화이트햇 콘테스트 예선전에 나왔던 문제 시간이 꽤 지났지만 하나씩 문제풀이를 올려본다. CTFD 플랫폼을 이용해 진행이 되었는데, 문제는 캡쳐를 못해서 써놨던 내용을 복기해서 작성하는 Write up이다. 거의 대부분의 문제는 S1_Docs_Malware.vmx 파일로 진행된다. 해당 파일은 침해사고가 발생한 Windows10 시스템을 이미징한 것이다. C-2 문제는 역시나 이전 C-1에서 계속 이어지는 문제이다. (https://hackingstudypad.tistory.com/576) C-2 드랍퍼가 자동 실행 악성코드를 파일 시스템에 최초로 생성한 시각은 언제인가? C-2 문제는 자동실행 악성코드가 최초로 생성된 시각을 물어본다. 지난번 C-1 문제에서 PostScript 를 분석해 자동 ..

2021 화이트햇 콘테스트 예선전에 나왔던 문제 시간이 꽤 지났지만 하나씩 문제풀이를 올려본다. CTFD 플랫폼을 이용해 진행이 되었는데, 문제는 캡쳐를 못해서 써놨던 내용을 복기해서 작성하는 Write up이다. 거의 대부분의 문제는 S1_Docs_Malware.vmx 파일로 진행된다. 해당 파일은 침해사고가 발생한 Windows10 시스템을 이미징한 것이다. C-1 문제는 역시나 이전 B-1에서 계속 이어지는 문제이다. (https://hackingstudypad.tistory.com/569) B-1 문제에서는 A-3에서 발견한 3분기-취약점-조치권고.hwp 파일을 분석했었다. C-1 드랍퍼가 생성한 자동실행 악성코드의 파일명은 무엇인가? C-1은 드랍퍼가 생성한 자동실행 악성코드의 파일명을 찾는것이..

2021 화이트햇 콘테스트 예선전에 나왔던 문제 시간이 꽤 지났지만 하나씩 문제풀이를 올려본다. CTFD 플랫폼을 이용해 진행이 되었는데, 문제는 캡쳐를 못해서 써놨던 내용을 복기해서 작성하는 Write up이다. 거의 대부분의 문제는 S1_Docs_Malware.vmx 파일로 진행된다. 해당 파일은 침해사고가 발생한 Windows10 시스템을 이미징한 것이다. B-2 문제는 이전 B-1에서 계속 이어지는 문제이다. (https://hackingstudypad.tistory.com/569) B-1 문제에서는 A-3에서 발견한 3분기-취약점-조치권고.hwp 파일을 분석했었다. B-2 드랍퍼가 취약점을 최초 발현한 시각과 취약점의 원인이 되는 바이너리의 파일명은 무엇인가? B-1 문제에서 hwp 내에 있는 ..

2021 화이트햇 콘테스트 예선전에 나왔던 문제 시간이 꽤 지났지만 하나씩 문제풀이를 올려본다. CTFD 플랫폼을 이용해 진행이 되었는데, 문제는 캡쳐를 못해서 써놨던 내용을 복기해서 작성하는 Write up이다. 거의 대부분의 문제는 S1_Docs_Malware.vmx 파일로 진행된다. 해당 파일은 침해사고가 발생한 Windows10 시스템을 이미징한 것이다. B-1 문제는 이전 A-3에서 계속 이어지는 문제이다. (https://hackingstudypad.tistory.com/567) download.html 으로 접근하면 3분기-취약점-조치권고.hwp 파일이 자동으로 다운로드 되는것을 확인했었다. 이렇게 실제 파일이 떨어지게 된다. 이게 문제에서 의미하는 드랍퍼 인듯 하다. B-1 드랍퍼에서 획득..

2021 화이트햇 콘테스트 예선전에 나왔던 문제 시간이 꽤 지났지만 하나씩 문제풀이를 올려본다. CTFD 플랫폼을 이용해 진행이 되었는데, 문제는 캡쳐를 못해서 써놨던 내용을 복기해서 작성하는 Write up이다. 거의 대부분의 문제는 S1_Docs_Malware.vmx 파일로 진행된다. 해당 파일은 침해사고가 발생한 Windows10 시스템을 이미징한 것이다. A-3 문제는 이전 A-2에서 계속 이어지는 문제이다. (https://hackingstudypad.tistory.com/565) A-2 에서 드랍퍼가 위치한 서버의 IP를 Outlook을 통해 확인했었다. A-3 이메일을 분석하여 플래그를 획득하여라 A-3 문제는 해당 이메일을 분석해서 플래그를 획득하는 것이었다. 일단 이메일에 링크된 주소로 ..

2021 화이트햇 콘테스트 예선전에 나왔던 문제 시간이 꽤 지났지만 하나씩 문제풀이를 올려본다. CTFD 플랫폼을 이용해 진행이 되었는데, 문제는 캡쳐를 못해서 써놨던 내용을 복기해서 작성하는 Write up이다. 거의 대부분의 문제는 S1_Docs_Malware.vmx 파일로 진행된다. 해당 파일은 침해사고가 발생한 Windows10 시스템을 이미징한 것이다. A-2 드랍퍼가 위치한 서버의 아이피는 무엇인가? 첫번째 문제의 풀이를 보고 오면 이해가 빠르다. (https://hackingstudypad.tistory.com/563) 두번째 문제는 드랍퍼가 위치한 서버의 아이피를 묻는다. 첫번째 문제에서 공격자에게 이메일을 받은 시간을 물었고, 그에 따라 Outlook을 실행시켜 분석을 하였다. 그 결과 ..

2021 화이트햇 콘테스트 예선전에 나왔던 문제 시간이 꽤 지났지만 하나씩 문제풀이를 올려본다. CTFD 플랫폼을 이용해 진행이 되었는데, 문제는 캡쳐를 못해서 써놨던 내용을 복기해서 작성하는 Write up이다. 거의 대부분의 문제는 S1_Docs_Malware.vmx 파일로 진행된다. 해당 파일은 침해사고가 발생한 Windows10 시스템을 이미징한 것이다. A-1 공격자에게 이메일을 받은 시각은 언제인가? 가장 첫번째 문제는 공격자에게 이메일을 받은 시각을 묻는 문제였다. VMWare 를 이용해 이미지 파일을 실행시키면 이런 화면이 나온다. 바탕화면에 뭔가 알수없는 파일들이 들어있는데 확장자가 .rabbit 인걸로 보아 랜섬웨어에 감염당한 Windows10 시스템인듯 하다. 첫번째 문제가 이메일에 ..

네트워크 패킷과 관련된 포렌식 문제 누군가 서버를 해킹했는데 패킷을 보고 문제에서 요구하는 사항들을 발견해야한다. 문제에서 주어지는 것은 dump.pacp 파일이다. .pcap 파일은 Wireshark 라는 도구로 열어볼 수 있다. 이렇게 네트워크 패킷이 보이는데 가장 먼저 눈에 띄는 것은 FTP 프로토콜이다. FTP는 File Transfer Protocol의 약자로 파일을 송수신하는 프로토콜이다. FTP 패킷을 선택하고 우클릭 - Follow - TCP Stream 을 눌러준다. 내용을 보면 anonymous 가 활성화되어 있어서 비인가자가 로그인 한 것 같다. vulnerableService 와 serviceVersion 은 맨 위에서 확인할 수 있다. vsFTPd 와 2.3.4 가 해당하는 값이다..

wav 파일과 관련된 스테가노그래피 그동안 스테가노그래피 문제를 풀때 다양한 도구들을 사용했었는데 이번엔 또다른 도구가 등장한다. 문제에서 주어지는 것은 chall.wav 파일이다. 틀어보면 그냥 삑삑 거리는 소리가 나고 끝난다. 문제 제목이 이번 문제풀이의 힌트가 된다. 쉘에 pip install stego-lsb 를 입력하면 문제푸는데 사용할 도구를 다운받을 수 있다. 이렇게 잘 실행이 되는것이 보인다. 사용하는것은 간단하다. stegolsb wavsteg -r -i -o -b 이렇게 입력해주면 된다. 바이트 수는 더 크게 조정해도 상관없다. 이번 문제의 경우 플래그가 앞쪽에 위치하고 있어서 100 정도만 해도 충분히 문제를 풀 수 있다. 실행하면 이렇게 flag.txt 파일이 생성되고 해당 파일 안..

파일 비밀번호 crack 과 관련한 포렌식 문제 이미 유사한 문제들을 블로그에서 많이 다뤘었다. (https://hackingstudypad.tistory.com/437) 주어지는 파일은 flag.zip 파일이다. 압축을 풀려고 보면 비밀번호가 걸려있다. 이런 문제는 John the Ripper 도구를 사용하면 된다. John the Ripper 여러가지 비밀번호를 crack 해주는 기능을 가지고 있다. zip2john > hash 명령어로 hash 파일을 생성해준 다음 john --wordlist= hash 명령어로 비밀번호를 crack 해주면 된다. 잠시 기다리면 금방 결과가 나온다. 압축을 풀어보니 flag.pdf 파일이 나온다. pdf 파일을 열러고 보니 또 암호가 걸려있었다. 이래서 문제제목이 ..