보안맨

쉬움 난이도였던 패킷 포렌식 문제 하지만 개인적으로 어려웠다. 자기들이 가지고 있는 기계에서 이상한 통신을 발견했다고 한다. strangetrafficchallenge.pcap 파일이 주어지고, 다른 문제랑 다르게 힌트도 있다. 힌트를 열어보면 alt,esc,1,2,3,4,5,6,7,8,9,0,-,=,backspace,tab,q,w, ... 라고 적혀있다. Wireshark로 pacp 파일을 열어볼 수 있다. 이번 대회에서 ICMP 부터 TCP 이번엔 UDP 까지 패킷들이 참 다양하게 나오는거 같다. (ICMP : https://hackingstudypad.tistory.com/75) (TCP : https://hackingstudypad.tistory.com/76) 패킷은 총 56개로 많이 없는편이다...

두번째 네트워크 포렌식 문제이다. 제목에 Netfilx가 들어가는데, 넷플릭스랑 무슨 상관이 있는지는 잘 모르겠다. netflix-and-ctf.pcap 라는 이름의 패킷파일이 주어진다. Wireshark로 pcap 파일을 열어볼 수 있다. 첫번째 문제와 다르게 이번 패킷파일은 패킷 수가 2802개로 조금 많다. 어쩔수 없이 코딩을 해야할 듯 하다. 패킷파일은 10.10.100.139와 10.10.100.124 간에 오고가는 웹 패킷을 보여준다. POST 메소드를 이용해서 /search/browse 페이지와 /keypress/Lit_* 페이지를 요청한다. keypress 요청 부분을 자세히 보면 Lit_T, Lit_r, Lit_e 이런식으로 맨 끝에있는 문자가 계속 바뀌는데, 아마도 이건 키보드에서 T,..

지난 주말간 있었던 Space Heroes CTF 대회이다. 우주 컨셉으로 구성된 재미있는 대회였다. Star Pcap는 가장 쉬웠던 포렌식 문제이다. star.pcap 라는 이름의 패킷파일이 하나 주어진다. Wireshark로 pcap 파일을 열어볼 수 있다. 열어보면 패킷 양은 52개로 그렇게 많지 않다. 162.248.71.9에서 151.101.5.188 ICMP 패킷(ping)을 계속 날리고있는걸 확인할 수 있다. 패킷을 천천히 살펴보다가 수상한 부분을 발견했다. 패킷의 거의 마지막 부분을 보면 현재 파란색으로 블록잡혀있는 부분(63)만 다른값으로 변하는걸 확인할 수 있다. 예를들어 지금 보고있는 1번패킷은 해당부분의 값이 63이지만 2번 패킷을 보면 나머지 부분은 다 똑같은데 해당 부분만 32로..

네트워크 패킷 포렌식 문제이다. animalcrossing.pcapng 라는 이름의 패킷파일이 주어진다. 참고로 animalcrossing 은 동물의 숲의 영문판 이름이다. 이 대회당시에 동물의 숲이 엄청나게 유행이었는데, 문제랑은 무슨 관련이 있는진 잘 모르겠다. Wireshark를 이용해서 해당 패킷 파일을 열어보면 26번째 패킷부터 수상한 데이터가 보인다. ad.quickbrownfoxes.org 라는 곳과 dns 패킷을 엄청나게 주고받았는데 앞쪽에 RGlkIHlvd ~~ 로 시작하는 이상한 데이터도 같이 보인다. 생긴것으로 보아 base64로 인코딩 되어있는듯 하다. 이제 이 패킷에서 데이터를 뽑아내보자. 데이터를 뽑아낼때는 Wireshark 보다 Wireshark의 콘솔 버전인 Tshark를 이..

대망의 WS 마지막 문제 WS는 패킷 분석 프로그램인 Wireshark 의 줄임말이다. 역시나 record.pcapng 파일이 주어진다. 해당 파일은 와이어샤크로 열어볼 수 있다. 와이어샤크로 열어서 천천히 패킷을 보다보면 76번째 패킷에서 /josh/secret.git/git-receive-pack이라는 수상한 URI를 발견할 수 있다. CTF를 푸는 사람으로써 secret 라는 글자를 그냥 지나치는건 예의가 아니다. 패킷을 더 자세히보면 맨앞에 POST 메소드를 사용한 걸 확인할 수 있다. POST 메소드는 웹 서버에 데이터를 전달할때 쓰는 메소드이다. 예를들자면 로그인, 게시글 작성, 파일업로드 등등의 경우가 된다. 이 경우에는 git 서버에 파일을 업로드한 것 같다. 와이어샤크에는 이렇게 HTTP..

WS2 이전 WS1 과 같이 Wireshark 를 이용해서 푸는 문제이다 확실히 두번째 문제라 그런지 첫번째 문제보다 풀이수가 훨씬 적다. 이번에도 recording.pcapng 파일이 주어진다. pcapng 파일은 패킷 덤프 파일으로 와이어샤크를 이용해서 열어주면 내용을 볼 수 있다. 천천히 패킷을 내리다보면 35번째 패킷에서 수상한 부분이 보인다. Form Boundary Content-Disposition : form-data filename : flag.jpg Content-Type : image/jpeg 이런 문자열들이 보이는 걸로보아 웹페이지에 flag.jpg 파일을 업로드하는 패킷이 캡쳐가 된 듯 하다. 실제로 웹서버에 파일을 업로드할때 요청패킷을 burp suite 같은 프록시 툴로 잡아서..

WS1 236개 팀이나 푼 문제이다. 사실상 빵점방지 퍼주는 문제.. 주어진 파일로부터 자기 비밀번호를 찾아보라고 한다. recording.pcapng 라는 이름의 파일이 주어진다. pcapng 는 패킷 덤프 파일의 확장자 이다. 패킷 덤프 파일이 주어지는걸 보아 문제이름은 WS는 와이어샤크의 줄임말인가보다. 참고로 와이어샤크(Wireshark)는 오픈소스 패킷 분석 프로그램이다. https://www.wireshark.org/download.html Wireshark · Download Download Wireshark The current stable release of Wireshark is 3.6.2. It supersedes all previous releases. www.wireshark.or..