bingsu's Finance Diary

HackCTF Forensic 10번째 문제는 "Let'S get it! Boo*4"다. 해당 문제는 다음과 같다. 이 문제의 경우에는 문제 이름에서부터 사용해야 하는 개념을 알려주고 있다. 해당 문제의 이름에서 대문자만 따오면 "LSB"라는 문자열이 만들어진다. 즉, 이 문제는 스테가노그래피를 이용한 LSB 변조가 되어 있음을 알 수 있고, 해당 개념을 사용하여 푸는 문제라고 할 수 있다. 이미지 스테가노그래피는 이미지 파일에 메시지를 숨기는 방법이다. 숨기는 방법은 삽입과 변조, 두 가지 방법이 있다. 변조의 방식 중에는 최하위 비트인 LSB를 변조하는 방법이 있다. 주로 JPEG, BMP와 같은 24비트 이미지 파일에 적용된다고 한다. LSB 변조를 하면 물론 실제 이미지에 영향을 주기는 하지만 2..

Forensics/HackCTF 2022. 1. 17. 23:29

HackCTF Forensic 9번째 문제는 "잔상"이다. 첨부파일로 주어진 compare.zip 파일의 압축을 해제하면 aftertime_1.jpeg, aftertime_2.jpeg 파일이 있다. afterimage_1.jpeg, afterimage_2.jpeg 파일 위와 같이 모두 동일한 사진이다. (빡쌤 커리 타면서 열심히 살았는데 이렇게 또 뵙게 되었다. 덕분에 수학 1등급 유지했었습니다.) 풀이법을 고민하던 중, 이 문제가 생각났다. 해당 문제 역시 파일 크기와 이미지가 동일한 두 개의 bmp 파일이 주어져 있었고, HxD에서 두 파일 바이너리를 비교하는 기능을 통해 다른 부분을 조합해 플래그를 얻는 방식이었다. 해당 문제도 두 jpeg 이미지가 거의 똑같고 파일 크기 역시 45KB로 동일하므로..

Forensics/HackCTF 2022. 1. 16. 21:49

HackCTF Forensic 8번째 문제는 "Terrorist"다. 첨부파일로는 Artifact.7z 압축 파일이 있다. 이 파일을 분석해 범행 장소를 찾으면 문제가 풀릴 것 같다. Artifact.7z 압축 파일에는 mission.jpg 파일만 있었다. 압축을 풀고 mission.jpg 파일을 확인하면 잘못된 파일 형식이라고 뜬다. 앞서 풀었던 Magic PNG 문제와 같이 파일 구조를 확인해 볼 필요가 있다. HxD 툴을 활용해 mission.jpg 파일 구조를 확인했다. jpg 파일의 경우 Header Signature가 "FF D8 ~", Footer Signature가 "FF D9"인데 이 파일은 아무리 봐도 jpg 파일인 것 같지는 않았다. File Signature Database에서 검색..

Forensics/HackCTF 2022. 1. 16. 20:53

HackCTF Forensic 7번째 문제는 "Magic PNG"다. 첨부파일로 주어진 압축 파일을 해제하면 MP__1.PNG 파일이 있다. 하지만 MP__1.PNG 파일을 확인하면 잘못된 파일 형식이라고 뜬다. 파일 구조를 확인해 볼 필요가 있다. 일단 PNG Header Signature 값은 "89 50 4E 47 0D 0A 1A 0A"여야 하므로 해당 부분을 수정해줬다. PNG Footer Signature 값은 "49 45 4E 44 AE 42 60 82"이므로 정상적임을 확인할 수 있다. MP__1.PNG 파일을 열어보면 무언가 잘려 있는 듯한 느낌을 주는 사진이 있다. 이 파일의 크기가 793KB로 보통 PNG 파일에 비해 조금 커서 사진 파일 안에 또 다른 파일이 있는지 HxD로 살펴본 결..

Forensics/HackCTF 2022. 1. 16. 00:34

HackCTF Forensic 6번째 문제는 "나는 해귀다"이다. 첨부파일로 주어진 압축 파일을 해제하면 아래와 같은 사진 파일이 들어있다. 유명한 밈을 활용한 사진과 문구가 보인다. hex 값을 뒤집어 놨다는 것이 보여서 HxD로 분석을 진행했다. 분석 전에는 이 문제처럼 PNG 모든 헥스 값이 뒤집어서 저장이 되어 있을까 싶었다. 얼핏 구조를 봤을 때는 전혀 이상이 없어 보인다. 하지만 이 사진의 용량이 637KB였고 보통 png 파일보다 용량이 다소 큰 것을 고려했을 때 다른 사진 파일이 뒤집어져 저장되어 있을까 싶어서 PNG footer signature를 검색했다. 표면적으로 보이는 waytogo.png 이미지 속에 또 다른 png가 존재하는 것을 확인할 수 있었다. 그리고 이 png 파일의 경..

Forensics/HackCTF 2022. 1. 15. 00:06

HackCTF Forensic 4번째 문제는 "Secret Document"다. 작년 학기 초에 풀었던 문제 같은데, 아마 그때 당시 상당히 바빠서 미뤄뒀던 것도 있어서 라업을 작성하지 않았나 보다. 덕분에 해당 게시글을 쓰면서 문제를 다시 풀어봤다. (올해 유독 게으르면서 부지런했다.(?)) 첨부파일로는 Flag.zip 압축 파일이 있다. 하지만 암호가 걸려 있는 것 같다. 암호를 어떻게 알아낼까 싶어서 일단 HxD로 압축파일을 살펴보기로 했다. 그리고 flag.txt 파일에만 암호화가 되어 있고, 나머지 hint1.txt, hint2.txt 파일은 암호화가 되어 있지 않아서 hint 텍스트 파일 두 개를 먼저 봤다. hint1.txt 파일 내용이다. Brute Force 문제가 아니라고 한다. 실제로..

Forensics/HackCTF 2022. 1. 14. 23:27

xcz.kr의 24번째 문제는 Memoryyyyy Dumpppppp다. 포렌식 문제고, 문제는 아래와 같다. 메모리 포렌식 문제다. 첨부된 파일의 압축을 풀면 xczprob2 파일이 있다. 이 파일을 volatility로 분석하자. imageinfo 플러그인을 이용해서 덤프파일의 이미지 정보를 확인하자. (WinXPSP2x86) psxview 플러그인을 사용해 숨겨진 프로세스가 있는지 확인했다. pslist에서는 확인이 불가능하지만, psscan에서 확인이 되는 nc.exe가 숨겨져서 실행이 되었음을 알 수 있었다. (psxview 플러그인을 통해 숨겨진 프로세스를 찾을 수 있는 이유는 이 사이트에서 참고했습니다.) 마찬가지로 nc.exe가 실행된 것을 확인할 수 있다. Key의 형식은 "Process ..

Forensics/xcz.kr 2022. 1. 6. 18:07

xcz.kr의 27번째 문제는 XCZ Company Hacking Incident이다. 포렌식 문제고, 문제는 아래와 같다. 회사 내부의 기밀문서를 외부로 유출한 증거를 하드디스크에서 찾아 키 값을 찾는 문제인 것 같다. 첨부된 파일은 Prob27.7z 파일이다. 이를 FTK Imager로 분석했다. 최근 사용된 파일이 있는지 보기 위해서 Recent 폴더를 봤다. confidential.doc.Ink가 기밀문서와 관련된 파일인가 추측을 할 수 있었다. 기밀문서로 보이는 이 파일을 어떠한 방식으로 유출했는지를 알아내기 위해 인터넷 history 파일이 있는지 찾아보려고 했으나 이에 대한 정보는 찾을 수 없었다. 2021 여름에 서울여자대학교 SWING 분들과 WSCTF를 개최했을 때 내가 냈던 문제와 유..

Forensics/xcz.kr 2022. 1. 6. 14:41