보안맨

오랜만에 쓰는 MISC 문제 write up MISC는 miscellaneous의 약자로 여러가지 잡다한 이라는 의미를 가지고 있다. 사실 이 문제는 어떻게 보면 포렌식쪽이랑 관련이 있지 않을까 싶기도 하다. 문제 설명을 읽어보면 Jubie 라는 사람이 여행을하다가 책을 잃어버렸다고 한다. 책에는 중요한 작업들이 많이 들어있어서 꼭 찾아야 한다고 한다. 이 문제에서는 힌트도 제공되는데, 힌트를 읽어보면 문제를 풀기 위해서는 마인크래프트가 필요 없다. 라고 적혀있다. 아무래도 마인크래프트와 관련된 문제인듯 하다. 문제파일로는 I only see in cubes rezip.7z 파일이 주어진다. .7z 확장자는 zip 파일같은 압축 파일의 확장자이다. zip 파일 압축풀듯이 그냥 압축을 풀 수 있다. 문제파..

이제는 고인이 되어버린 Flash 관련된 문제 Flash가 아직 서비스 중일때는 쉽게 풀 수 있는 문제였을거 같은데 Flash가 안되는 상황에서 풀려니 조금 난이도가 있었다. 문제의 목표는 validation code를 찾는것이다. 문제페이지에 접속하면 이런 화면이 나온다. 원래는 웹페이지 안에 플래시가 삽입되어서 보여지는듯 했으나 플래시 지원이 종료되면서 흔적만 남은 모습이다.. Flash는 보안 취약점으로 인한 악성코드 유포 도구로 사용되어서 2020년 12월 31일 부로 지원이 종료되었다. 해당 페이지에서 f12를 눌러 개발자도구를 실행시켜 본다. 요소 탭을 확인해보면 중간에 태그가 있다. 태그 안의 내용을 보면, value 값이 dbbcd6ee441aa6d2889e6e3cae6adebe 와 다르면..

음악파일 스테가노그래피 문제 기존에 포스팅했던 음악 파일 스테가노그래피 문제들은 Audacity 라는 도구를 이용해서 풀었는데 (https://hackingstudypad.tistory.com/6, https://hackingstudypad.tistory.com/178) 이 문제는 조금 다르다. 문제파일로는 more music.wav 파일이 주어진다. wav 파일이 주어졌길래 가장 먼저 Audacity 도구에 넣어봤는데 파형이나 스펙토그램을 확인해봐도 별다른 특이사항이 없었다. 한참동안 해메다가 답을 찾았는데, 문제 제목에 힌트가 있었다. Deep 이라는 단어를 주목해서 검색을 하다보니 DeepSound 라는 도구를 발견했다. 역시 스테가노그래피 문제는 툴 싸움인거 같다.. DeepSound 도구는 wa..

이 문제는 대회 당시 pwn(포너블)로 분류가 되어 있었는데. 아무리 생각해도 포너블 보다는 웹 분야의 문제가 맞는거 같아서 웹해킹으로 분류하였다. 따로 소스코드가 제공되지는 않고, 문제 페이지 주소만 제공이 된다. 문제페이지에 접속하면 이런 화면이 나온다. Feel free to guess my next number :3 라는 문구와 함께 숫자를 입력할 수 있는 칸이 나온다. 시험삼아서 12를 입력해봤는데 자기들 숫자는 90 이었다면서 틀렸다고 안내한다. 이렇게 매번 실행할때마다 맞춰야 하는 숫자가 달라진다. f12를 눌러서 개발자 도구를 확인해보면 스크립트를 확인할 수 있다. document.getElementById("ts").value=(Date.now() / 1000000); 이렇게 적혀있는데 ..

20점짜리 웹해킹 문제 이 문제는 깃(git)과 관련된 문제이다. git은 소스코드의 변경사항을 추적하고 여러 사용자들간 작업을 조율하기 위한 버전관리 시스템이다. 문제의 목표는 admin 계정의 비밀번호를 알아내는 것이다. 문제페이지에 접속하면 이렇게 로그인 창만 덩그러니 있다. 당연히 그냥 로그인이 안되고, 비밀번호를 알아야만 로그인 할 수 있다. 개발자가 Git을 사용해서 웹을 개발할 경우, 각종 설정파일들이 .git 폴더 내에 저장이 된다. 만약 이 .git 디렉토리에 대한 접근 권한을 제대로 설정하지 않으면 위에서 보이는것처럼 URL 맨 뒤에 .git/ 이라고 입력했을때 Directory Listing 취약점이 발생한다. 디렉토리 리스팅 취약점은 서버 내의 모든 디렉토리와 파일 목록을 공격자가 ..

2022년 6월 결과가 나온 TOPCIT 시험 TOPCIT은 Test Of Practical Competency in IT 의 약자로 과학기술정보통신부에서 주관하고, 정보통신기획평가원에서 시행하는 시험이다. 다른말로 소프트웨어 역량 검정 이라고도 하며 ICT 분야에 진입을 희망하는 사람들을 대상으로 대학이나 산업계에서 공통적으로 요구하는 역량을 객관적으로 측정하기 위해 개발된 시험이라고 한다. IT계의 토익이라고 생각하면 될것같다. (토익만큼 많이 치지는 않는것 같지만..) 하지만 만만하게 볼 시험이 아닌게 TOPCIT의 시험범위가 어마무시하게 넓기 때문이다. 기술영역에서 소프트웨어 개발능력, 데이터 이해와 활용, 시스템 아키텍처, 정보보안 이해와 활용, 비즈니스 영역에서 IT 비즈니스와 윤리 이해, 프..

Sizzle Due to the COVID-19 outbreak, we ran all out of bacon, so we had to use up the old stuff instead. Sorry for any inconvenience caused… 암호학 문제 이 문제는 대회가 끝나고 풀어서 캡쳐를 잘 못했다. 나중에 다시 언급하겠지만 문제 설명에 아주 큰 힌트가 있었다. 문제파일로 주어지는것은 encoded.txt 파일이다. ....- ..... ...-. .--.- .--.. ....- -..-- -..-. ..--. -.... .-... .-.-. .-.-. ..-.. ...-- ..... .--.. ...-- .-.-- .--.- -.... -...- .-... ..-.- .-... ..-....

Root Me 에서 제공하는 세번째 리버싱 문제 이번 문제는 greHack CTF 2012 해킹대회에서 실제 출제되었던 문제라고 한다. 앞에서 풀었던 두 문제는 ELF 파일이었는데, 이번에는 PE 파일이 주어진다. PE 파일은 Portable Executable의 약자로 그냥 우리가 흔히 보는 윈도우에서 실행 가능한 EXE 파일이다. 문제의 목적은 주어지는 프로그램의 password를 알아내는 것이다. 이것이 문제에서 주어지는 ch15.exe 파일이다. 해당 프로그램은 윈도우의 cmd 창을 이용해서 실행시킬 수 있다. 프로그램이 저장된 경로에서 ch15.exe 라고 입력해봤더니 Usage : ch15.exe pass 라면서 사용법을 알려준다. pass 자리에 비밀번호를 넣으면 되는것이다. 알려준 사용법대..

간단한 음악파일 스테가노그래피 문제 사실 대회에서는 MISC(기타등등)으로 분류되어있긴 했는데 스테가노그래피 문제여서 포렌식 카테고리로 넣었다. 문제파일로 주어지는것은 masterpiece.mid 파일이다. 사실 이번 문제를 풀면서 .mid 라는 확장자를 처음 봤는데 mid파일은 Music Instrument Digital Interface의 약자로 전자 악기끼리의 디지털 신호 교환을 목적으로 개발된 파일이라고 한다. 실제로 해당 파일을 재생하면 띵똥뚱땅 하는 실로폰 소리같은게 들린다. CTF에서 음악파일이 주어지면 보통 Audacity 라는 프로그램을 많이 쓴다. https://audacity.en.softonic.com/download Audacity Plenty of features to edit ..

쉬운 스테가노그래피 문제 그동안 블로그에서 스테가노그래피 문제를 참 많이 다뤘는데 steghide, zsteg, stegcracker, stego-lsb 등등 참 다양한 종류의 툴들을 사용했었다. 그런데 이 문제는 위에 있는 툴을 이용하면 못푼다. 또 새로운 도구가 등장한다. 이정도면 스테가노그래피 문제는 누가누가 더 많은 툴을 알고있느냐의 싸움인것 같다.. 문제 설명이 웃긴데, catgirl들을 COVID-19로 부터 보호하기 위해서 지원을 해줘야 한다고 한다.. 문제파일로는 advertisement.png 파일이 주어진다. 이게 문제에서 주어지는 advertisement.png 파일이다. 광고 치고는 내용이 참 난잡하다.. catgirl들을 구하기 위해서 열심히 노력하는 모습을 볼 수 있다. 문제를 ..