보안맨

Root Me에서 제공하는 문서형 악성코드 분석 문제 문제 설명을 읽어보면 Word 파일을 열었는데 그 이후로 항상 들어가는 웹사이트가 들어가지지 않는다고 한다. 이 문제의 플래그는 해당 웹사이트의 도메인 이름을 알아내는 것이다. 문제가 문서형 악성코드 분석에 관련된거라 .doc, .docx 같은 문서파일이 제공될 줄 알았는데 의외로 .dmp 파일이 주어졌다. .dmp 파일은 메모리 덤프 파일이다. 아이콘은 와이어샤크 아이콘이지만 와이어샤크로 열려고 하면 안열린다. 메모리포렌식 문제를 풀 때는 Volatility 라는 도구를 사용한다. 이 분야에서 거의 독보적인 툴이다. https://www.volatilityfoundation.org/releases Release Downloads | Volatilit..

이번부터 풀이할 문제는 2020년에 진행되었던 국정원 주최 사이버공격방어대회 본선 문제이다. 본선에서는 예선과 조금 다르게 침해사고 조사 위주로 문제가 나왔었다. 대회 당시에 캡쳐를 제대로 해놓지 않아서 기억에 의존해서 풀이를 작성하는거라 정확하지 않을 수 있다. 이번 문제는 랜섬웨어에 감염당한 시스템의 이미지를 분석하는 것이다. 문제파일로 주어지는것은 cce_final_mission_7_8.img 파일이다. 확장자가 img 인 파일은 디스크 이미지 파일이다. 전용 프로그램을 통해서 열어볼 수 있다. .img 확장자를 가지는 파일은 흔히 생각하는 그림파일의 그 이미지가 아니다. 이건 디스크 이미징 파일로 하드디스크 같은 저장매체를 그대로 덤프뜬 파일을 말한다. 실제로 파일 아이콘을 보면 저렇게 CD 모양..

이번부터 풀이할 문제는 2020년에 진행되었던 국정원 주최 사이버공격방어대회 본선 문제이다. 본선에서는 예선과 조금 다르게 침해사고 조사 위주로 문제가 나왔었다. 대회 당시에 캡쳐를 제대로 해놓지 않아서 기억에 의존해서 풀이를 작성하는거라 정확하지 않을 수 있다. 이번 문제는 간단한 네트워크 포렌식 문제이다. 문제에서 주어지는 파일은 dump.pcap 파일이다. pcap 파일은 패킷캡쳐 파일로 Wireshark 라는 도구를 이용해 열어볼 수 있다. 와이어샤크로 열면 이런 화면이 나온다. 패킷 갯수가 609개 밖에 없는 작은 파일이다. 조금 내리다 보니 13.124.89.133 이라는 호스트에서 뭔가를 다운로드 받고 있는게 보였다. 어떤걸 다운로드 받았는지 추출해 보기로 했다. File - Export O..

이번부터 풀이할 문제는 2020년에 진행되었던 국정원 주최 사이버공격방어대회 본선 문제이다. 본선에서는 예선과 조금 다르게 침해사고 조사 위주로 문제가 나왔었다. 대회 당시에 캡쳐를 제대로 해놓지 않아서 기억에 의존해서 풀이를 작성하는거라 정확하지 않을 수 있다. # 이메일 첨부파일을 분석하여 C2 서버의 주소를 알아내라 이번 문제는 Guide_to_free_testing_of_new_viruses.eml 라는 eml 파일을 이용해 푸는 문제이다. eml 파일은 마이크로소프트에서 개발한 이메일 포멧으로 OutLook 을 이용하면 바로 열어볼 수 있다. eml 파일을 OutLook을 이용해 열어보면 이런 내용이 나온다. 새로운 바이러스를 테스팅 하는 가이드라면서 메일을 보냈는데 form.rtf 파일이 첨부..

이번부터 풀이할 문제는 2020년에 진행되었던 국정원 주최 사이버공격방어대회 본선 문제이다. 본선에서는 예선과 조금 다르게 침해사고 조사 위주로 문제가 나왔었다. 대회 당시에 캡쳐를 제대로 해놓지 않아서 기억에 의존해서 풀이를 작성하는거라 정확하지 않을 수 있다. #1 문서형 악성코드를 분석하여 플래그를 찾아라 첫번째는 문서형 악성코드를 분석해 플래그를 찾는 것이다. Amazing_information_about_a_infectious_diseases.eml 라는 제목의 eml 파일이 주어진다. eml 파일은 마이크로소프트에서 개발한 이메일 포멧으로 OutLook 을 이용하면 바로 열어볼 수 있다. eml 파일을 OutLook을 이용해 열어보면 이런 내용이 나온다. 대회당시 한창 코로나19 초기여서 민감..

오랜만에 풀어본 Root Me의 스테가노그래피 문제 처음 보는 문제유형이라 신기했다. 문제 설명을 읽어보면 대학 동기가 애니메이션 안에 어떤 메세지를 숨겨놓았다고 적혀있다. 문제 제목은 APNG 인데 이게 아주 큰 힌트였다. 문제에서 주어지는것은 ch21.apng 파일이다. 문제 제목과 확장자가 일치하는게 뭔가 있는것 같다. 뭔가 특이한 점이 있나 살펴보기 위해 HxD로 해당 파일을 열어보았다. 맨 앞부분이 89 50 4E 47 0D 0A 1A 0A 로 시작하는것을 볼 수 있는데 모든 PNG 파일은 89 50 4E 47 0D 0A 1A 0A 로 시작한다. 이런걸 파일 시그니처 라고 하는데 아무 PNG 파일이나 골라서 HxD 프로그램으로 열어보면 이렇게 파일의 맨 앞에 똑같이 89 50 4E 47 0D 0..

CTFlearn의 서른네번째 문제 또다시 나온 그림파일 포렌식 문제이다. https://hackingstudypad.tistory.com/266 https://hackingstudypad.tistory.com/288 https://hackingstudypad.tistory.com/305 조금씩 다르긴 하지만 이전에 비슷한 문제를 많이 풀이했었다. 이번 문제는 쪼금 더 꼬아놓은 문제이다. 이게 주어진 Tux.jpg 파일이다. 귀어운 펭귄의 모습이 보이는데 얘는 턱스라고 부르는 리눅스 공식 마스코트 펭귄이다. HxD 프로그램을 이용해 Tux.jpg 파일을 열어보았다. 열자마자 바로 눈에 띄는 부분이 있는데, 두번째 줄부터 시작되는 ICAgICAgUGFzc3dvcmQ6IExpbnV4MTIzNDUK 라는 값이다..

2020년에 진행되었던 국정원 주최 사이버공격방어대회 묵혀놨던 Write Up을 이제야 포스팅 해 본다. 이번에 풀이할 문제는 Webpacket 문제이다. 문제에서 주어지는 파일은 packet.pcapng 파일이다. pcapng 파일은 패킷 캡처 파일로 Wireshark 라는 도구를 이용해 열어볼 수 있다. 파일을 열어보면 이런 화면이 나온다. 패킷이 약 95,000개로 좀 많아서 어디부터 봐야하나 고민하다가 일단 File - Export Objects - HTTP 로 웹 접속흔적을 살펴보기로 했다. 들어가보니 여러 흔적들이 나오는데, 그중 유일하게 Hostname이 IP 주소로 되어있고, 포트도 80이나 443이 아닌 4423 이라는 이상한 포트를 사용하는 호스트를 발견했다. login.js 파일을 가..

2020년에 진행되었던 국정원 주최 사이버공격방어대회 묵혀놨던 Write Up을 이제야 포스팅 해 본다. 이번에 풀이할 문제는 Web Log 이다. 문제 제목처럼 정직하게 Web Access Log를 분석하는 문제이다. 문제파일로 access.log 파일이 주어진다. 파일 크기가 63.1MB로 꽤 크다.. 실제로 Subline Text를 이용해 파일을 열어보면 305,077개의 로그가 있는것을 볼 수 있다. 여기저기 스크롤 옮겨가며 둘러보다가 265,847번째 줄에서 특이한 로그를 발견했다. /image_view.php?idx=1 and if(ascii(substr((select flag from flag),1,1))=32, (select 1 union select 2), 0) URL로 이렇게 요청을 하..

CTFlearn의 서른세번째 문제 이제부턴 풀이수가 3000대로 떨어졌다. 문제 자체는 어렵지 않은데 아마 여기까지 도전하는 사람이 없기 때문일것 같다. 이 문제는 새로운 유형이 아니다. https://hackingstudypad.tistory.com/266 https://hackingstudypad.tistory.com/288 기존에 포스팅했던 이 두 문제와 아주 유사하다. 거의 똑같다고 보면 된다. 문제 설명을 읽어보면, jpeg 파일에 포함된 방정식을 풀어서 플래그를 찾으라고 한다. 그리고선 math.jpg 파일이 제공되는데, math.jpg 파일을 열어보면 이런 사진이 들어있다. 복잡한 방정식이 보이는데 당연하지만 이걸 계산하는 문제는 아니다. HxD 라는 도구를 실행시켜, 문제파일을 드래그 앤 ..