보안맨

쉬운 난이도의 네트워크 패킷 포렌식 문제 파일 하나로 세 개의 문제를 푸는 방식이다. 문제에서 주어지는것은 hack3rm4n_exp0sed.pcapng 파일이다. pcapng 파일은 Wireshark 도구를 이용해 열어볼 수 있다. 열어보면 위와 같은 화면이 나온다. 조금 내리다 보면 98번 패킷에서 Welcome to Pure-FTPd 라는 문구가 보인다. FTP 프로토콜을 이용해 어떤 파일같은걸 전송하려는듯 하다. 조금 내려가다보면 144번째 패킷부터 supersecure.7z 파일을 전송하고 있는것이 보인다. 해당 패킷을 우클릭 - Follow - TCP Stream 을 눌러서 확인해보면 이렇게 전송되는 Raw 데이터를 확인할 수 있다. 아래쪽에서 Show data as 를 Raw 로 설정해준 뒤 ..

CTFlearn의 일흔여덟번째 문제 이번엔 포렌식 카테고리의 Medium 난이도 문제이다. 포렌식 문제지만 암호학이 살짝 섞여있는.. 그런 문제다. 문제 설명을 보면 플래그를 암호화 해놨는데, 누군가가 성공적으로 복호화 해갔다고 한다. 그때 당시의 heap dump 를 확보했는데 이걸로 플래그를 복구할 수 있냐고 물어본다. 문제에서 주어지는 것은 Decryptor.java 파일과 heapdump.hprof 파일 두개이다. import java.security.MessageDigest; import java.util.Arrays; import java.util.Base64; import javax.crypto.Cipher; import javax.crypto.spec.SecretKeySpec; public..

쉬운 난이도의 네트워크 패킷 포렌식 문제 파일 하나로 세 개의 문제를 푸는 방식이다. 문제에서 주어지는것은 hack3rm4n_exp0sed.pcapng 파일이다. pcapng 파일은 Wireshark 도구를 이용해 열어볼 수 있다. 열어보면 위와 같은 화면이 나온다. 조금 내리다 보면 98번 패킷에서 Welcome to Pure-FTPd 라는 문구가 보인다. FTP 프로토콜을 이용해 어떤 파일같은걸 전송하려는듯 하다. 조금 더 내려서 313, 314 번째 패킷을 보면 FTP-DATA 로 butter.jpg 파일을 전송하는 것이 보인다. 해당 패킷을 우클릭 - Follow - TCP Stream 을 눌러서 확인해보면 이렇게 전송되는 Raw 데이터를 확인할 수 있다. 파일 앞쪽에 JFIF 라는 문구가 보이는..

CTFlearn의 일흔 다섯번째 문제 이번엔 Medium 난이도의 포렌식 문제이다. 문제에서 주어지는 파일은 smiling.png 파일이다. 뭔가 묘하게 기분나쁘게 생겼다. 해당 파일을 HxD 도구를 이용해 열어본다. 파일이 89 50 4E 47 으로 시작하는것을 알 수 있다. 89 50 4E 47로 시작하는것은 PNG 파일의 특징이다. 이런걸 파일 시그니처 라고 한다. 이번엔 HxD에서 스크롤을 내려 파일의 끝으로 이동해 봤다. PNG 파일은 끝날때 49 45 4E 44 AE 42 60 82 로 끝난다. IEND®B`‚ 이렇게 생긴 문자열이 나오면 PNG 파일은 끝난것이다. 그런데 이상한게 위의 문자열이 나왔음에도 뒤에 Base64 인코딩된듯한 데이터가 더 있는것이 보였다. CyberChef(https..

CTFlearn 의 일흔 네번째 문제 이번엔 Medium 난이도의 포렌식 문제이다. 문제 설명이 없었다면 어려울뻔 했는데 문제 설명때문에 아주 쉽게 풀 수 있다. 문제 설명을 보면 0xffd9 마커가 두개 있는것에 속지 말고, XOR 이 친구가 되줄거라고 알려준다. 이건 거의 뭐 풀이법을 다 알려준거나 마찬가지다. 우선 문제에서 주어지는 MountainMan.jpg 파일은 이렇게 생겼다. 해당 파일을 먼저 HxD 로 열어보았다. 맨앞이 FF D8 FF E0 로 시작하는걸 볼 수 있는데 FF D8 FF E0 로 시작하는것은 JPG 파일의 특징이다. 마찬가지로 JPG 파일은 FF D9 로 끝이 난다. 저 뒤에 더이상 데이터가 있으면 안되지만 문제 설명에서 언급했던 대로 FF D9 뒤에 약간의 데이터가 더 있..

CTFlearn의 일흔 한번째 문제 이번엔 Hard 난이도의 포렌식 문제이다. 솔직히 이 문제는 문제 자체가 어렵다기 보단.. 푸는 과정이 너무 귀찮다.. 문제 설명을 보면 우주 비행사가 보낸 파일을 분석해 도와줘야 한다고 한다. 문제에서 주어지는 것은 help.me 파일이다. 어떤 파일인지 보기 위해 가장 먼저 HxD를 이용해 열어보았다. 4F 67 67 53 (OggS) 로 파일이 시작하는걸 볼 수 있는데 이렇게 시작하는 것은 ogg 파일이다. 해당 값은 ogg 파일의 시그니처 이다. 확장자를 ogg 로 바꿔서 실행해보면 뭔가 지지직 하는 소리가 5초 정도 나다가 끊긴다. Audacity(https://audacity.en.softonic.com/download) 라는 도구를 이용해 해당 파일을 분석..

CTFlearn의 일흔번째 문제 이번엔 Medium 난이도의 포렌식 문제이다. 이 문제 이후로는 Easy 문제가 거의 없다.. 이젠 못푸는 문제가 나올까봐 두렵다. 문제에서 주어지는 것은 cut3_c4t.png 파일 하나이다. 파일을 열어보면 이렇게 귀여운 아기고양이 한마리가 보인다. cut3_c4t.png 파일을 HxD 도구를 이용해 열어본다. 파일이 89 50 4E 47 으로 시작하는것을 알 수 있다. 89 50 4E 47로 시작하는것은 PNG 파일의 특징이다. 이런걸 파일 시그니처 라고 한다. 이번엔 HxD에서 스크롤을 내려 파일의 중간쯤으로 이동해 봤다. PNG 파일은 끝날때 49 45 4E 44 AE 42 60 82 로 끝난다. IEND®B`‚ 이렇게 생긴 문자열이 나오면 PNG 파일은 끝난것이..

CTFlearn의 예순 세번째 문제 PNG 파일을 이용한 포렌식 문제인데 난이도가 올라갈수록 PIL 라이브러리를 사용하는 문제 유형이 많이 나오는것 같다. 문제에서 주어지는 것은 Exclusive_Santa.rar 압축파일이다. 압축을 풀면 이렇게 1.png, 3.png 파일 두개가 들어있다. 2.png 가 없는것을 보니 어딘가에 숨겨져 있는것 같다. 1.png 파일은 이렇게 생겼다. WINTER IS COMING 이라는 글자가 보이고 사진이 뭔가 깨진것 처럼 엄청 복잡한 느낌이다. 3.png 는 이렇게 생겼는데 이건 구글에 XOR 이라고 검색하면 바로 나오는 사진이다. XOR 을 두 개의 집합을 사용해 가시적으로 표현한 다이어그램이다. 1.png 가 정상적인 사진과 달리 복잡하게 생긴이유가 어떤 사진이..

CTFlearn의 예순두번째 문제 이번엔 jpg 파일을 이용한 포렌식 문제인데 기존에 jpg 가 주어졌던 다른 포렌식 문제와는 조금 다른 유형이다. 문제 설명을 읽어보면 힌트가 주어져 있다. hint: dimensions, dimensions, everything is in dimensions. dimensions 차원이라는 뜻도 있지만 치수라는 뜻도 있다. 여기서 말하는 dimensions 는 주어지는 jpg 파일의 크기를 의미하는듯 하다. 문제에서 주어지는 abondoned_street_challenge2.jpg 파일이다. 버려진 거리의 사진인데 사진의 내용은 크게 중요하지 않다. 이번 문제를 풀려면 jpg 파일 헤더의 구조를 알아야 한다. 위키피디아에 관련된 내용이 나와있다. FF D8 은 이미지의..

조금 어려웠던 포렌식 문제 네트워크 트래픽을 캡쳐했는데 악성 행위가 있는거 같다고 찾아내보라고 한다. 문제에서 주어지는 것은 colorfull.pcapng 파일이다. pcapng 파일은 Wireshark 도구를 이용해 열어볼 수 있다. 열어보면 위와 같은 화면이 나온다. 조금만 스크롤을 내려보면 FTP 프로토콜을 이용해 files.zip 파일을 내려받은 흔적을 확인할 수 있다. 해당 패킷에서 우클릭 - Follow - TCP Stream 버튼을 눌러 자세한 내용을 확인해 본다. Show and save data as를 Raw로 선택해주고 Save as... 버튼을 눌러 데이터를 저장해준다. 데이터 맨 앞에 50 4b 03 04 로 시작하는걸 보니 ZIP 파일이 맞다. 저장한 files.zip 파일의 압축..