[Network Forensic] 살인을 확인할 수 있습니까?

Network Forensic #44 (살인을 확인할 수 있습니까?)

 

네트워크 포렌식 44번 문제

 

문제 파일로 pcapng 파일이 주어진다.

 

해당 파일을 Wireshark로 열려고 시도하면, 손상되어 열리지 않는다.

 

손상된 pcapng 파일을 복구하기 위해 pcapfix 도구를 통해 손상된 부분을 복구하였다.

 

pcapfix : 손상된 pcap, pcapng 파일을 복구시켜주는 도구

 

설치 참조 사이트 : https://f00l.de/pcapfix/

pcapfix - repair corrupted pcap / pcapng files

다운받은 파일의 압축을 풀어주면 폴더가 생성되며, 안에는 여러 파일들이 있다.

 

폴더 안에 문제 파일을 같이 넣어준 다음, 명령어를 통해 pcapng 파일을 복구할 수 있다.

 

[그림 1] pcapfix 명령어 -> 손상된 파일 복구

 

위와 같이 명령을 수행하면 복구된 fixed_kill.pcapng 파일이 생성된다.

 

이제 Wireshark 도구를 통해 분석할 수 있다.

 

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

 

다운로드 사이트 : https://www.wireshark.org/download.html

Wireshark · Download

 

[그림 2] Wireshark 도구 실행 - 문제 파일 오픈

 

Wireshark 도구로 문제 파일을 오픈한 화면이다.

 

상세 분석을 위해 [Statics] - [Conversations] 기능을 통해 두 호스트 간의 연결 정보나 내용을 간략히 정리해서 볼 수 있다.

 

[그림 3] Statics - Conversations 기능

 

 

[그림 4] Conversations 화면

 

TCP 탭의 내용을 살펴보면 위 화면과 같이 21번 포트의 정보를 확인할 수 있다.

 

21번 포트는 FTP에 사용되는 포트번호이다.

 

FTP (File Transfer Protocol) : 파일 전송에 사용되는 프로토콜

 

상세 내용 확인을 위해 [Follow TCP Stream] 기능으로 확인하였다.

 

[그림 5] tcp.stream eq 0

 

TCP Stream 0번에서 jpg 파일과 mp4 파일들을 주고 받은 것을 확인할 수 있다.

 

jpg 파일의 시그니처는 [FF D8 FF E0]으로, Wireshark의 Find Packet(Ctrl + F)에서 Hex Value로 설정하고 jpg 파일 시그니처를 검색하면 jpg 파일들의 데이터를 확인할 수 있다.

 

[그림 6] FF D8 FF E0 검색

 

[그림 7] 플래그 발견

 

데이터를 검색, 분석하던 도중 위 화면과 같이 696번 패킷에서 플래그 문자열을 확인하였다.

---

# Reference

 

http://www.yes24.com/Product/Goods/59156934