보안맨

247CTF 에서 제공하는 MODERATE 난이도의 네트워크 포렌식 문제 문제에서는 web_shell.pcap 파일이 주어진다. 해당 파일을 Wireshark 로 열어보면 특정 웹 서버에 대해서 brute force 하는 듯한 흔적을 찾을 수 있다. uri 를 계속 바꿔가면서 GET 요청을 보내는데, 돌아오는 응답은 모두 404 인것이 보인다. 쭉 내려보다가 /uploader.php 경로에서 200 OK 가 떨어진걸 확인할 수 있었다. 200 OK를 확인한 후 POST 패킷을 이용해 어떤 데이터를 보내고 있다. 해당 패킷을 우클릭 - Follow - HTTP Stream 을 해보니 뭔가 난독화된 PHP 코드를 전송하고 있는데 자세히 보면 그렇게 어렵지 않다. 보기 쉽게 쓰면 위와 같은데 먼저 str_re..

247CTF에서 제공하는 네트워크 패킷 분석과 관련된 문제 기존에 블로그에서 다뤘던 문제 유형과 크게 다르지 않은 쉬운 문제이다. (https://hackingstudypad.tistory.com/495) 문제에서 주어지는 것은 error_reporting.pcap 파일이다. 해당 파일을 Wireshark 로 열어볼 수 있는데 열어보면 맨 위에 하나만 ICMP request 패킷이고 나머지는 ICMP reply 패킷인 것을 볼 수 있다. reply 패킷에 전송될 데이터가 숨겨져 있는 느낌이다. 두번째 패킷을 선택해 data.data 영역을 보면 ff d8 ff e0 로 시작하는것을 볼 수 있다. FF D8 FF E0 로 시작하는것은 JPG 파일의 특징이다. 이런걸 파일 시그니처 라고 한다. JPG 파일을..

네트워크 패킷과 관련한 포렌식 문제 제목이 문제의 힌트였다. 문제에서 주어지는 것은 WhoCanHazFlag.pcapng 파일이다. .pcapng 파일은 Wireshark 라는 도구로 열어볼 수 있다. Wireshark 로 열어보면 이런 화면이 나온다. DNS, UDP 패킷부터 HTTP, OCSP, TLS 등등 다양한 프로토콜의 패킷이 약 900개 정도 캡쳐되어 있다. 문제는 어떤 패킷을 골라서 봐야하냐는 것인데 아까 언급했듯이 문제 제목이 힌트였다. 패킷 중에 Who has 라는 문구를 가진 패킷이 있따. ARP 패킷인데 Address Resolution Protocol 으로 네트워크 상에서 IP 주소를 물리적 네트워크 주소로 대응시키기 위해 사용되는 프로토콜이다. 이 패킷의 맨 뒷부분을 보면 flgD..

네트워크 패킷 분석과 관련된 포렌식 문제이다. 이전에도 블로그에서 비슷한 유형의 문제들을 다룬적이 있었다. 찾아보니 작년 Space Heroes CTF 에서도 비슷한 문제가 나왔었다. (https://hackingstudypad.tistory.com/88) 문제에서 주어지는 것은 chall.jpg.pacp 파일이다. Wireshark로 pcap 파일을 열어볼 수 있다. Wireshark 로 해당 파일을 열어보면 이렇게 수많은 ICMP Echo request 패킷이 보인다. 갯수를 새어보니 239,351개였다. 첫 4 패킷의 데이터만 보고 어떻게 풀어야 하는지 알 수 있었다. 첫번재 패킷의 경우 패킷의 맨 끝 data.data 부분이 ff 인것을 볼 수 있다. 두번째 패킷은 d8 이고, 세번째 패킷은 ff..

MISC 카테고리에 있던 문제 포렌식으로 분류해도 될 것 같다. MISC는 miscellaneous의 약자로 여러가지 잡다한 이라는 의미를 가지고 있다. 문제 설명을 읽어보면 친구에게 UDP 를 이용해 플래그를 한글자씩 보내고 있었는데 누군가가 이상한 데이터를 보내서 망쳐놨다고 한다. RFC 3514 와 관련있을거 같다는 힌트가 같이 주어진다. RFC 3514 가 뭔지 궁금해서 구글에 검색해봤다. 위키피디아 문서가 하나 나오는데 Evil bit 이라는 제목이다. IPv4 패킷 헤더에 추가되는 만우절에 만들어진 뭔가인듯 하다. 일단 여기까지만 대충 보고 문제 파일로 바로 들어갔다. 먼저 주어진 EBE.pcap 파일을 Wireshark 를 이용해 열어보았다. 10.0.1.10 에서 10.0.1.5 로 보내는..

쉬움 난이도였던 패킷 포렌식 문제 하지만 개인적으로 어려웠다. 자기들이 가지고 있는 기계에서 이상한 통신을 발견했다고 한다. strangetrafficchallenge.pcap 파일이 주어지고, 다른 문제랑 다르게 힌트도 있다. 힌트를 열어보면 alt,esc,1,2,3,4,5,6,7,8,9,0,-,=,backspace,tab,q,w, ... 라고 적혀있다. Wireshark로 pacp 파일을 열어볼 수 있다. 이번 대회에서 ICMP 부터 TCP 이번엔 UDP 까지 패킷들이 참 다양하게 나오는거 같다. (ICMP : https://hackingstudypad.tistory.com/75) (TCP : https://hackingstudypad.tistory.com/76) 패킷은 총 56개로 많이 없는편이다...

두번째 네트워크 포렌식 문제이다. 제목에 Netfilx가 들어가는데, 넷플릭스랑 무슨 상관이 있는지는 잘 모르겠다. netflix-and-ctf.pcap 라는 이름의 패킷파일이 주어진다. Wireshark로 pcap 파일을 열어볼 수 있다. 첫번째 문제와 다르게 이번 패킷파일은 패킷 수가 2802개로 조금 많다. 어쩔수 없이 코딩을 해야할 듯 하다. 패킷파일은 10.10.100.139와 10.10.100.124 간에 오고가는 웹 패킷을 보여준다. POST 메소드를 이용해서 /search/browse 페이지와 /keypress/Lit_* 페이지를 요청한다. keypress 요청 부분을 자세히 보면 Lit_T, Lit_r, Lit_e 이런식으로 맨 끝에있는 문자가 계속 바뀌는데, 아마도 이건 키보드에서 T,..

네트워크 패킷 포렌식 문제이다. animalcrossing.pcapng 라는 이름의 패킷파일이 주어진다. 참고로 animalcrossing 은 동물의 숲의 영문판 이름이다. 이 대회당시에 동물의 숲이 엄청나게 유행이었는데, 문제랑은 무슨 관련이 있는진 잘 모르겠다. Wireshark를 이용해서 해당 패킷 파일을 열어보면 26번째 패킷부터 수상한 데이터가 보인다. ad.quickbrownfoxes.org 라는 곳과 dns 패킷을 엄청나게 주고받았는데 앞쪽에 RGlkIHlvd ~~ 로 시작하는 이상한 데이터도 같이 보인다. 생긴것으로 보아 base64로 인코딩 되어있는듯 하다. 이제 이 패킷에서 데이터를 뽑아내보자. 데이터를 뽑아낼때는 Wireshark 보다 Wireshark의 콘솔 버전인 Tshark를 이..