bingsu's Finance Diary

HackCTF Web의 11번째 문제는 Home이다. 문제 링크: http://ctf.j0n9hyun.xyz:2034 처음 문제를 보면 "인증되지 않은 IP 주소"와 함께 내 IP 주소가 나와 있다. 또한, 일부 IP를 필터링하고 있는 것으로 봐서 서버가 loopback IP로 인식하게끔 만들면 되는 것 같다. 추가 힌트로 "머리말"을 생각해보라고 나와있다. 어떻게 접근할지 생각을 했다. 머리말이라는 힌트에서 Header에 대한 지식이 필요함을 추측할 수 있었고, Client와 Server가 정보를 전송하는 것과 관련된 header는 HTTP header이므로 이와 관련해서 검색을 했다. 위와 같은 검색 결과를 얻을 수 있었고 X-Forwarded-For Header가 이 문제를 푸는데 도움이 될 수 있..

WebHacking/HackCTF 2022. 1. 10. 17:40

xcz.kr의 24번째 문제는 Memoryyyyy Dumpppppp다. 포렌식 문제고, 문제는 아래와 같다. 메모리 포렌식 문제다. 첨부된 파일의 압축을 풀면 xczprob2 파일이 있다. 이 파일을 volatility로 분석하자. imageinfo 플러그인을 이용해서 덤프파일의 이미지 정보를 확인하자. (WinXPSP2x86) psxview 플러그인을 사용해 숨겨진 프로세스가 있는지 확인했다. pslist에서는 확인이 불가능하지만, psscan에서 확인이 되는 nc.exe가 숨겨져서 실행이 되었음을 알 수 있었다. (psxview 플러그인을 통해 숨겨진 프로세스를 찾을 수 있는 이유는 이 사이트에서 참고했습니다.) 마찬가지로 nc.exe가 실행된 것을 확인할 수 있다. Key의 형식은 "Process ..

Forensics/xcz.kr 2022. 1. 6. 18:07

xcz.kr의 27번째 문제는 XCZ Company Hacking Incident이다. 포렌식 문제고, 문제는 아래와 같다. 회사 내부의 기밀문서를 외부로 유출한 증거를 하드디스크에서 찾아 키 값을 찾는 문제인 것 같다. 첨부된 파일은 Prob27.7z 파일이다. 이를 FTK Imager로 분석했다. 최근 사용된 파일이 있는지 보기 위해서 Recent 폴더를 봤다. confidential.doc.Ink가 기밀문서와 관련된 파일인가 추측을 할 수 있었다. 기밀문서로 보이는 이 파일을 어떠한 방식으로 유출했는지를 알아내기 위해 인터넷 history 파일이 있는지 찾아보려고 했으나 이에 대한 정보는 찾을 수 없었다. 2021 여름에 서울여자대학교 SWING 분들과 WSCTF를 개최했을 때 내가 냈던 문제와 유..

Forensics/xcz.kr 2022. 1. 6. 14:41

프로젝트를 위해 준비를 하면서 Petya라는 랜섬웨어를 분석하게 되어 정리를 해 보려고 한다. [ Ransomware ] 몸값을 뜻하는 Ransom과 Software(소프트웨어)가 더해진 합성어이다. 컴퓨터 시스템을 감염시켜 접근을 제한하고 일종의 몸값을 요구하는 악성 소프트웨어의 한 종류다. 컴퓨터로의 접근이 제한되어 제한을 없애기 위해 해당 악성 프로그램을 개발한 자에게 지불을 강요받는다. [ Petya ] 2016년 처음 발견된 암호화 랜섬웨어의 일종이다. 트로이 목마(Trojan Horse)로 분류된다. (아래는 트로이 목마에 대한 설명이다.) 더보기 [ 트로이 목마 ] 악성 루틴이 숨어 있는 프로그램이다. 겉보기에는 정상적인 프로그램으로 보이나 실행 시 악성코드가 실행된다. 트로이 목마가 설치되..

Study/Project 2021. 7. 4. 01:00

N0Named wargame의 Forensic 19번째 문제다. 이후 연결되는 문제가 있다. 회사의 내부 자료 유출에 사용된 USB 대용량 장치를 찾는 문제다. 링크를 통해 파일을 다운로드하면 nonamed.7z 압축 파일이 있고, 이 파일의 압축을 풀면 nonamed.vmdk 가상 머신 디스크 파일이 있다. 이를 FTK Imager로 분석했다. Windows에서 USB 사용 이력을 분석하는 방법에는 여러 가지 방법이 있다. (이 사이트에서 참고를 했다.) 첫 번째로, 이벤트 로그를 분석하는 방법이다. 여러가지 이름으로 로그가 존재할 수 있지만, "C:\Windows\Systme32\winevt\Logs\Microsoft-Windows\DriveFrameworks-UserMode%4Operational...

Forensics/N0Named 2021. 5. 5. 20:59

HackCTF Forensic 5번째 문제는 "세상에서 잊혀진 날 찾아줘!"다. 첨부파일로 주어진 pdf 파일을 열면 아래와 같은 사진이 있다. 이 문제의 경우 굉장히 간단하게 풀린다. 아래 드래그 한 부분을 복사 붙여 넣기 하면 플래그를 얻을 수 있다. 또 다른 방법으로는 파일 구조를 분석하면서 플래그를 얻어낼 수 있었다. pdf 파일 내부에 jpeg 파일 구조를 볼 수 있었다. 이 부분을 따로 추출해서 확인한 결과는 아래의 사진과 같이 pdf에서 눈에 바로 보이는 Exploit 사진이었다. 따라서 저 jpeg 파일 부분을 삭제했더니 숨겨져 있는 플래그가 보였다. 나중에 pdf 파일 구조를 공부해 본 결과, pdf 파일은 전처리 없이 내부에 사진 파일을 통째로 끼워 넣는다고 한다. 따라서 원본 사진 파..

Forensics/HackCTF 2021. 4. 6. 02:42

N0Named wargame 문제를 풀어봤다. Forensic 5번째 문제다. HELL.zip 파일을 열면 아래와 같이 두 장의 bmp 파일이 있다. 두 파일의 이미지는 거의 똑같게 보였다. 파일 크기 역시 동일하므로 각 파일을 HxD로 열어봤다. HxD에서 두 파일의 헥스 값을 비교하는 기능을 썼다. 두 파일의 헥스 값이 다른 부분을 조합하면 플래그를 얻을 수 있고, 이를 인증하면 문제가 풀린다.

Forensics/N0Named 2021. 4. 2. 03:12

N0Named wargame 문제를 풀어봤다. Forensic 네 번째 문제다. 숨겨진 메세지가 있다고 문제에서 주어졌지만, 원본 파일이 궁금해서 열어봤다. 대략 이런 내용이 들어있다. 이게 당연히 숨겨진 메시지가 아닐 테니 HxD를 통해 살펴보자. 보면 이 파일은 압축 파일의 구조를 가지고 있다는 것을 확인할 수 있다. 따라서 이 파일의 확장명을 zip으로 바꿔주고, 파일을 열면 아래와 같은 폴더들이 보인다. 이 zip 폴더에 무언가 있을까 싶어서 FTK Imager를 통해 열어서 살펴봤다. ppt\media 폴더에서 secret.png라는 폴더가 있었다. 이를 통해 플래그 값을 알 수 있었고, 인증하면 풀린다.

Forensics/N0Named 2021. 4. 2. 02:51