Yum_Yum

Network Forensic #40 woodstock-1

문제 파일로 pcapng 형태로 된 패킷 캡처 파일이 주어집니다.

해당 파일을 Wireshark를 활용하여 분석하였습니다.

TCP 프로토콜을 통해 데이터를 주고 받은 것을 확인할 수 있습니다.

주고 받은 데이터를 확인하기 위해 1번 패킷을 선택한 다음, 우클릭하여 Follow TCP Steam 기능을 통해 확인하였습니다.

자세하게 확인해보면 4번째 줄에서 플래그를 확인하여 문제를 해결할 수 있습니다. 

Multimedia Forensic #30 Listen carefully!

문제 파일로 flac 파일이 주어지며, 실행하면 광고 같은 소리가 들립니다.

사실 이 문제는 전에 해결했지만, 플래그 인증이 되지 않아 계속된 플래그 입력 끝에 드디어 해결한 문제입니다.

해당 파일을 분석하기 위해 Audacity로 분석하여 확인하였습니다.

Audacity : 소리나 파동을 시각화하여 파악하기 위한 도구

일반적인 파형의 모습이나 소리로는 문제를 해결할 수 없어서 스펙트로그램 기능을 활용하여 분석하였습니다.

밑으로 된 검은색 화살표 부분을 눌러 스펙트로그램으로 변환시킬 수 있습니다.

변환 후 주파수 값의 범위를 작게 설정(주파수 값을 우클릭하면 줄일 수 있음)하면 문제의 플래그를 확인할 수 있습니다.

위에 보이는 문자열이 플래그입니다.

플래그를 한번에 볼 수 있지만, 저는 위 상태에서 오른쪽으로 드래그하면서 플래그를 입력하여 해결하였습니다.

주의사항 - 플래그 오류가 나는 경우, 작은 따옴표의 모양때문에 오류가 나는 것 같습니다. 따라서 플래그 칸이 아닌 메모장이나 텍스트 프로그램을 활용하여 플래그를 입력한 후에 복사 - 붙여넣기를 통하여 입력하세요!

Network Forensic #22 Sans Network Forensic [Puzzle 3] #7

가격을 확인하는 문제이다.

앞에서 풀이한 5번 문제와 같은 유형의 문제이다.

이전 6번 문제를 해결한 XML 코드에서 price-display를 검색한다.

price-display 옆에 적혀 있는 $부분을 입력하면 7번 문제를 해결할 수 있다.

Network Forensic #23 Sans Network Forensic [Puzzle 3] #8

이전 3번 문제와 같은 유형의 문제이다.

검색할 때의 형태를 알고 있으므로 HTTP 패킷 끝 부분부터 사이드바를 올리면서 확인해보면 마지막으로 검색한 내용에 대해 확인할 수 있다.

이것으로 8번 문제를 해결할 수 있으며, Sans Network Forensic [Puzzle 3]을 마무리하게 된다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #20 Sans Network Forensic [Puzzle 3] #5

클릭한 영화 예고편의 전체 URL에 대해 분석하는 문제이다.

전체 URL은 이전 문제 XML 코드에서 확인할 수 있다. 

지문에서 preview-url을 확인하라고 하였으므로 preview-url을 검색해보면 URL을 확인할 수 있다.

preview-url을 검색한 결과로, 옆에 URL을 확인할 수 있다.

따라서 옆 URL을 입력하면 5번 문제를 해결할 수 있다.

Network Forensic #21 Sans Network Forensic [Puzzle 3] #6

이전 문제인 4번 문제와 같은 유형의 문제이다.

HTTP 200 OK 패킷 전에 GET 요청을 한 GET 패킷을 확인하면 된다.

GET 요청에서 사용된 id 내용이 다른 패킷을 찾으면 쉽게 원하는 패킷의 위치로 이동할 수 있다.

Wireshark의 검색 기능을 통해 viewMovie 문자열을 찾고, 4번 문제와 같이 HTTP 200 OK 패킷의 XML을 확인하여 Ann이 클릭한 두 번째 영화 title을 확인할 수 있다.

viewMovie을 검색하면 두 번째 영화에 대한 패킷을 확인할 수 있다.

이전 문제와 같이 밑에 있는 HTTP/1.1 200 OK 정보가 적혀 있는 패킷에 대해 4번 문제처럼 XML 코드를 확인한다.

title 옆에 문자열을 플래그로 입력하면 6번 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #18 Sans Network Forensic [Puzzle 3] #3

첫 4개의 검색 내용을 찾기 위해서는 GET을 사용한 HTTP 패킷을 확인해야 한다.

Wireshark 도구에서 Filter 기능을 이용해 GET을 사용한 HTTP 패킷들을 정렬하였다.

※ HTTP의 GET과 POST

GET : 서버에서 어떤 데이터를 가져와서 보여주는 용도로, 데이터 값이 URL 뒤에 이어 붙어 많은 양의 데이터를 보내기는 매우 어려움 (서버 값이나 상태 등을 변화시키지 않고, 예를 들면 게시판 글을 읽거나 검색하는 경우에 사용)

POST : 서버 값이나 상태를 바꾸기 위한 용도로, 많은 양의 데이터 값을 보내기에 적합 (서버 값이나 상태 등을 변화시키고, DB 값이 수정되는 경우 예를 들면 게시판에 글을 쓰는 경우에 사용)

검색 내용을 찾기 위한 문제이고, 자세히 살펴보면 Info에 incremental search 문자열이 적혀 있는 패킷들을 보면 검색 내용을 확인할 수 있다.

q=h라고 Info에 있는 내용을 확인하면 Ann이 검색한 내용이다.

동일한 URL로 GET을 사용한 패킷을 찾아보면 Ann이 계속해서 검색한 내용들을 확인할 수 있다.

따라서 위 패킷들에 대한 내용들을 조합해보면 Appletv를 통하여 Ann이 검색한 검색 내용들을 확인할 수 있다.

Network Forensic #19 Sans Network Forensic [Puzzle 3] #4

Ann이 클릭한 첫 영화의 제목을 찾는 문제다.

이 문제는 검색한 후에 클릭을 한 정보를 찾는 문제이므로, 시간 흐름상 검색을 한 이후 패킷에 대해 집중적으로 확인해야 한다.

Hack이라는 문자열이 마지막 검색 결과였으므로, 이전 문제에서 확인한 276번 패킷 이후의 패킷을 분석해야 한다.

pageName이라는 문자열이 들어간 패킷을 확인해보면, 출력되는 Hackers라는 문자열을 확인할 수 있다.

검색 결과인 hack과 관련해서 생각해보면, 문제의 플래그로 유력한 문자열이다.

더 자세한 분석을 진행하던 중에 GET 요청으로 인한 HTTP 200 OK 패킷을 확인해보면 XML 소스를 확인할 수 있다.

HTTP 200 OK 패킷은 GET 요청에 의하여 발생하게 되고, 문제 시나리오를 구성해보면 hack 단어 검색에 대해 200 OK 패킷이 요청되었고, 단어 검색에 대한 관련 데이터를 요청하는 GET 요청으로 200 패킷이 응답 되었다. 

이후 발생하게 되는 GET 요청이 Ann이 클릭해서 발생한 요청으로 생각할 수 있으며, 다음 발생하는 HTTP 200 OK를 통하여 클릭 내용에 대한 결과 값을 받아 왔다는 것을 예상할 수 있다.

※ XML 코드 확인 방법

1. 패킷 선택

2. 패킷 아래 세부 정보 출력 화면

3. extensible Markup Language 오른쪽 마우스 클릭

4. Copy

5. Bytes

6. Printable text only

7. 메모장 & 텍스트 프로그램에 붙여서 확인

패킷의 XML 코드를 텍스트 프로그램으로 확인해보면 클릭한 단어를 확인할 수 있으며, 4번째 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #16 Sans Network Forensic [Puzzle 3] #1

문제 파일로 evidence03.pcap 파일이 주어진다.

Wireshark로 주어진 파일을 확인하였다.

첫 번째 패킷의 Source IP(192.168.1.10)를 통해 Apple TV의 주소를 확인할 수 있다.

첫 번째 패킷의 밑에 세부 내용을 확인해보면, Src의 MAC 주소를 확인할 수 있다.

파란색으로 드래그 된 MAC 주소를 플래그로 입력하면 1번 문제를 해결할 수 있다.

Network Forensic #17 Sans Network Forensic [Puzzle 3] #2

이전 문제에서 제시한 파일을 가지고, 8번까지 계속해서 푸는 문제이다.

AppleTV의 HTTP 요청 User-Agent를 확인하기 위해 HTP 패킷을 확인해야 한다.

그러므로 AppleTV의 HTTP 패킷을 확인하였다.

6번 패킷을 HTTP 패킷으로 확인이 가능하며, 자세한 분석을 위해 Follow TCP Stream 기능을 활용하여 확인한다.

패킷 내용을 확인해보면 AppleTV의 User-Agent를 확인할 수 있고, 2번 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934