bingsu's Finance Diary

N0Named wargame의 Forensic 19번째 문제다. 이후 연결되는 문제가 있다. 회사의 내부 자료 유출에 사용된 USB 대용량 장치를 찾는 문제다. 링크를 통해 파일을 다운로드하면 nonamed.7z 압축 파일이 있고, 이 파일의 압축을 풀면 nonamed.vmdk 가상 머신 디스크 파일이 있다. 이를 FTK Imager로 분석했다. Windows에서 USB 사용 이력을 분석하는 방법에는 여러 가지 방법이 있다. (이 사이트에서 참고를 했다.) 첫 번째로, 이벤트 로그를 분석하는 방법이다. 여러가지 이름으로 로그가 존재할 수 있지만, "C:\Windows\Systme32\winevt\Logs\Microsoft-Windows\DriveFrameworks-UserMode%4Operational...

Forensics/N0Named 2021. 5. 5. 20:59

HackCTF Forensic 5번째 문제는 "세상에서 잊혀진 날 찾아줘!"다. 첨부파일로 주어진 pdf 파일을 열면 아래와 같은 사진이 있다. 이 문제의 경우 굉장히 간단하게 풀린다. 아래 드래그 한 부분을 복사 붙여 넣기 하면 플래그를 얻을 수 있다. 또 다른 방법으로는 파일 구조를 분석하면서 플래그를 얻어낼 수 있었다. pdf 파일 내부에 jpeg 파일 구조를 볼 수 있었다. 이 부분을 따로 추출해서 확인한 결과는 아래의 사진과 같이 pdf에서 눈에 바로 보이는 Exploit 사진이었다. 따라서 저 jpeg 파일 부분을 삭제했더니 숨겨져 있는 플래그가 보였다. 나중에 pdf 파일 구조를 공부해 본 결과, pdf 파일은 전처리 없이 내부에 사진 파일을 통째로 끼워 넣는다고 한다. 따라서 원본 사진 파..

Forensics/HackCTF 2021. 4. 6. 02:42

N0Named wargame 문제를 풀어봤다. Forensic 5번째 문제다. HELL.zip 파일을 열면 아래와 같이 두 장의 bmp 파일이 있다. 두 파일의 이미지는 거의 똑같게 보였다. 파일 크기 역시 동일하므로 각 파일을 HxD로 열어봤다. HxD에서 두 파일의 헥스 값을 비교하는 기능을 썼다. 두 파일의 헥스 값이 다른 부분을 조합하면 플래그를 얻을 수 있고, 이를 인증하면 문제가 풀린다.

Forensics/N0Named 2021. 4. 2. 03:12

N0Named wargame 문제를 풀어봤다. Forensic 네 번째 문제다. 숨겨진 메세지가 있다고 문제에서 주어졌지만, 원본 파일이 궁금해서 열어봤다. 대략 이런 내용이 들어있다. 이게 당연히 숨겨진 메시지가 아닐 테니 HxD를 통해 살펴보자. 보면 이 파일은 압축 파일의 구조를 가지고 있다는 것을 확인할 수 있다. 따라서 이 파일의 확장명을 zip으로 바꿔주고, 파일을 열면 아래와 같은 폴더들이 보인다. 이 zip 폴더에 무언가 있을까 싶어서 FTK Imager를 통해 열어서 살펴봤다. ppt\media 폴더에서 secret.png라는 폴더가 있었다. 이를 통해 플래그 값을 알 수 있었고, 인증하면 풀린다.

Forensics/N0Named 2021. 4. 2. 02:51

N0Named wargame 문제를 풀어봤다. Forensic 세 번째 문제다. drive 링크가 있고, 첨부파일인 압축 파일을 다운로드할 수 있다. 해당 압축 파일은 분할 ZIP 파일이지만 다른 분할 파일이 없다는 경고창이 뜨면서 파일이 열리지 않는다. zip file의 Local File Header의 Signature 부분이 잘못되어 있었다. 따라서 이를 50 4B 03 04가 되게끔 바꾸자. (zip 파일의 구조에 대해서는 이 글에서 다루고 있다. 참고하실 분은 참고하세요.) 이 외에 Central Directory와 Footer 부분에는 딱히 문제점을 찾을 수 없었다. ZIP 파일 복구 문제였던 것 같다. 따라서 Local File Header Signature 부분을 복구하고 파일을 다시 열면..

Forensics/N0Named 2021. 4. 2. 02:31

xcz.kr의 35번째 문제는 ZIP이다. 포렌식 문제고, 문제는 아래와 같다. 숨겨져 있는 파일을 찾으면 된다. 이 문제의 파일을 다운로드해서 열어봤다. 이름이 없는 파일과, flag.rar 파일이 있었다. flag.rar 파일을 열려고 했더니 암호를 입력해야 한다고 떴다. 일단 zip 파일 구조를 분석하기 위해 HxD를 사용했다. zip 파일의 구조는 이 블로그를 많이 참고했다. 위와 같이 zip 파일의 일반적인 구조는 크게 3개의 파일 구조(Local File Header, Central Directory, End of central directory record)로 되어 있다. 이때, 파일 하나 당 하나의 Local File Header, Central Directory는 반드시 가져야 한다. 이..

Forensics/xcz.kr 2021. 4. 2. 01:19

N0Named wargame 문제를 풀어봤다. Forensic 두 번째 문제다. 1번 문제와 동일하게 png 파일 복구라고 되어 있다. 파일을 열어서 확인했다. 역시 png 구조에서 문제가 있는 것 같다. HxD로 구조를 확인해보자. 보면 PNG 헥스 값이 뒤집어서 저장이 되어 있는 것을 확인할 수 있다. 따라서 이를 거꾸로 저장하면 된다. 파이썬으로 파일 바이너리를 거꾸로 저장할 수 있다. 이 블로그에서 참고를 했다. file = open('C:\Users\judyh\Downloads\manduu23.png','rb') data = file.read() rev_data = data[::-1] new = open('C:\Users\judyh\Downloads\manduu232.png','wb') new...

Forensics/N0Named 2021. 3. 31. 03:31

N0Named wargame 문제를 풀어봤다. Forensic 첫 번째 문제다. png 복구라고 써져 있다. 첨부 파일을 열어서 확인해보자. 문제 설명과 같이 png 구조에서 문제가 있는 것 같다. HxD로 구조를 확인해보자. PNG signature부터 이상하다. 원래 PNG signature는 "89 50 4E 47 0D 0A 1A 0A"다. 이에 맞게 고쳐주자. 고치면 위와 같은 사진과 함께 플래그가 보인다. 이를 인증하면 문제가 풀린다.

Forensics/N0Named 2021. 3. 31. 02:09