보안맨

EASY 난이도의 포렌식 문제 sysadmin 으로서 누군가가 USB 를 이용해 중요 정보를 가지고 나간걸 찾아내라고 한다. 문제힌트도 함께 주어진다. once you find it, "crack" it 잘 기억해 둔다. 문제 파일로는 두개의 파일이 주어진다. 첫번째 파일은 syslog 파일이다. 일부만 가져왔는데 파일 크기가 무려 90만줄이다.. USB를 연결할 때마다 해당 USB의 Product, Manufacturer, SerialNumber 를 로그로 남기는듯 하다. 두번째로 주어지는 파일은 auth.json 파일이다. 이 파일에는 json 형태로 인가된 USB의 Product, Manufacturer, SerialNumber 값을 저장하고 있다. syslog 에서 식별된 값이 auth.json ..

MEDIUM 난이도의 포렌식 문제 문제 설명을 읽어보면 해커가 내부 네트워크에 접근해서 고객 DB를 털어갔따고 한다. 고객 중 하나가 범인이라는데 누군지 잡아달라고 한다. 문제에서는 패킷파일이 주어진다. 주어진 패킷 파일은 Wireshark 라는 도구로 열어볼 수 있다. 주어진 패킷파일을 와이어샤크로 열어보면 10.0.2.15 에서 10.0.2.3 주소로 계속 패킷을 보내는 것을 볼 수 있다. 10.0.2.15 가 해커의 주소이고 뭔가 열린 포트를 찾기위해 스캔하는것 처럼 보인다. 계속 내리다가 2,550 번째 패킷 쯤 가면 TELNET 프로토콜을 이용해 뭔가 데이터를 주고받은 흔적이 보인다. 해당 패킷에서 우클릭 - Follow - TCP Stream 버튼을 눌러서 확인해본다. 서버에서 admin / ..

안드로이드와 관련된 문제 어렵지 않게 풀 수 있다. 문제에서 주어지는 것은 cat.ab 파일이다. .ab 파일을 이번 문제를 통해 처음 접했는데 Android Backup 파일이라고 한다. .ab 파일의 내용을 확인하려면 abe.jar 라는 도구가 있어야 한다고 한다. https://sourceforge.net/projects/android-backup-processor/ android-backup-processor Download android-backup-processor for free. Android adb backup extractor and packer. None sourceforge.net 해당 도구는 위 링크에서 다운받을 수 있다. 다운받고 보니 왠지모르게 abp.jar 라는 이름으로 나오..

스테가노그래피와 관련된 MEDIUM 난이도 문제 쉬운듯 쉽지않은 문제이다. 문제에서 주어지는 파일은 digitalcube.txt 파일이다. 해당 파일을 열어보면 이렇게 1과 0으로 이루어져있다. 글자수를 세어보니 총 2,500 글자였고, 문제 설명에 적혀있는 TIME ELAPSED: 50:50 이라고 적힌 부분이 힌트이지 않을까 생각해 50글자씩 끊어서 정리해봤다. 그럼 이렇게 생긴 데이터가 나온다. 두 줄씩 같은 내용이 반복적으로 적혀있는게 보이는데 이게 대체 뭐지 하고 한참 쳐다보다가 의자를 조금 뒤로 빼고 멀리서 봤는데.. QR코드였다.. Google Docs 에 해당 데이터를 복붙한 뒤 1로 되어있는 부분만 까만색으로 형광펜 쳐서 색을 입혔다. 휴대폰 카메라로 조금 멀리서 찍어보니 플래그가 나왔다.

이메일, 모스부호와 관련된 포렌식 문제 할머니가 이메일을 보내셨는데, 뭔가 숨겨진 메세지가 있는것 같다고 한다. 주어진 tmp.eml 파일은 Outlook 을 이용해서 열어볼 수 있다. Outlook 을 이용해서 eml 파일을 열어보면 할머니가 보내신 이메일 하나가 덩그러니 있다. ffg.jpg 라는 파일을 첨부해서 특별한 내용 없이 메일을 보내셨는데, 뭔가 이상항 부분이 눈에 띈다. 할머니 메일 주소 밑에 FWD: RE: 가 규칙없이 반복적으로 나타나고 있는 모습이다. FWD: 와 RE: 가 나오는 부분이 띄어쓰기로 구분이 되어있어서 보기 쉽게 엔터를 쳐서 살펴보았다. 중간중간에 { 와 } 기호가 보이는 것으로 보아 이 부분이 플래그인게 확실하다. CyberChef(https://gchq.github...

HackTheBox 에서 제공하는 쉬운 난이도의 포렌식 문제 스티븐 호킹의 컴퓨터에서 수상한 파일이 발견되었는데, 무엇인지 알아내라고 한다. 문제에서 주어지는 것은 Blackhole.zip 파일이다. 파일을 보면 Blackhole.zip 파일안에 archive.zip 이라는 또다른 zip 파일이 있고, 그안에 hawking 이라는 파일이 들어있다. 왜 그런진 잘 모르겠는데 전체 압축파일인 Blackhole.zip 파일은 56.7kb 인데 실제 압축된 파일인 hawking 은 크기가 0 으로 나왔다. 윈도우 환경에서 압축을 풀어볼랬더니 잘 안됐다. 리눅스 환경에서 unzip 명령어를 이용해 풀어보니 정상적으로 압축이 풀렸다. file 명령어로 hawking 파일을 확인해보니 jpg 파일이라고 나왔다. ha..

드디어 H4ck3R_m4n exposed! 의 마지막 문제이다. 이번 문제는 지난번과 이어진다. (https://hackingstudypad.tistory.com/440) 지난 문제에서 주어진 hack3rm4n_exp0sed.pcapng 파일을 이용해 dataz 와 pickle_nick.png 두 파일을 추출했었다. pickle_nick.png 가 두번째 플래그였고, 나머지 dataz 파일을 이용해 세번째 플래그를 찾아야 한다. notepad++ 을 이용해 dataz 파일을 열어보니 뭔가 16진수로 된 데이터들이 들어있었다. CyberChef(https://gchq.github.io/CyberChef)에서 From Hex 레시피로 확인해보니 Base64로 인코딩된 데이터가 보였다. From Base64 ..

쉬운 난이도의 네트워크 패킷 포렌식 문제 파일 하나로 세 개의 문제를 푸는 방식이다. 문제에서 주어지는것은 hack3rm4n_exp0sed.pcapng 파일이다. pcapng 파일은 Wireshark 도구를 이용해 열어볼 수 있다. 열어보면 위와 같은 화면이 나온다. 조금 내리다 보면 98번 패킷에서 Welcome to Pure-FTPd 라는 문구가 보인다. FTP 프로토콜을 이용해 어떤 파일같은걸 전송하려는듯 하다. 조금 내려가다보면 144번째 패킷부터 supersecure.7z 파일을 전송하고 있는것이 보인다. 해당 패킷을 우클릭 - Follow - TCP Stream 을 눌러서 확인해보면 이렇게 전송되는 Raw 데이터를 확인할 수 있다. 아래쪽에서 Show data as 를 Raw 로 설정해준 뒤 ..

CTFlearn의 일흔여덟번째 문제 이번엔 포렌식 카테고리의 Medium 난이도 문제이다. 포렌식 문제지만 암호학이 살짝 섞여있는.. 그런 문제다. 문제 설명을 보면 플래그를 암호화 해놨는데, 누군가가 성공적으로 복호화 해갔다고 한다. 그때 당시의 heap dump 를 확보했는데 이걸로 플래그를 복구할 수 있냐고 물어본다. 문제에서 주어지는 것은 Decryptor.java 파일과 heapdump.hprof 파일 두개이다. import java.security.MessageDigest; import java.util.Arrays; import java.util.Base64; import javax.crypto.Cipher; import javax.crypto.spec.SecretKeySpec; public..

쉬운 난이도의 네트워크 패킷 포렌식 문제 파일 하나로 세 개의 문제를 푸는 방식이다. 문제에서 주어지는것은 hack3rm4n_exp0sed.pcapng 파일이다. pcapng 파일은 Wireshark 도구를 이용해 열어볼 수 있다. 열어보면 위와 같은 화면이 나온다. 조금 내리다 보면 98번 패킷에서 Welcome to Pure-FTPd 라는 문구가 보인다. FTP 프로토콜을 이용해 어떤 파일같은걸 전송하려는듯 하다. 조금 더 내려서 313, 314 번째 패킷을 보면 FTP-DATA 로 butter.jpg 파일을 전송하는 것이 보인다. 해당 패킷을 우클릭 - Follow - TCP Stream 을 눌러서 확인해보면 이렇게 전송되는 Raw 데이터를 확인할 수 있다. 파일 앞쪽에 JFIF 라는 문구가 보이는..