Yum_Yum

Network Forensic #41 (우리의 제일 귀여운...)

문제 파일로 stego.pcap 파일이 주어진다.

pcap 파일 분석을 위해 Wireshark 도구를 통해 분석을 진행해보자.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

분석을 진행하다 보면 3번 패킷에서 message.png 파일을 서버로 요청한 것을 확인할 수 있다.

상세 분석을 위해 [Follow TCP Stream] 기능을 통해 분석해보자.

TCP Stream을 보면 클라이언트가 message.png 파일을 다운로드 한 기록이 존재한다.

혹시 png 파일의 내용을 보면 플래그가 나올 줄 알고 확인해본 결과, 플래그에 대한 아무런 내용도 존재하지 않는다.

그래서 다시 pcap 파일을 계속해서 분석한 결과, 중요한 내용을 발견하였다.

Urgent Pointer : 긴급 데이터 처리를 위해 사용되며, URG 플래그 비트가 지정된 경우에만 유효

패킷 세부 정보를 분석하던 도중 Urgent pointer가 사용된 기록을 발견하였다.

Urgent pointer로 긴급 메시지가 전송될 때는 별도의 패킷으로 전송되지 않고 일반 데이터에 포함되어 함께 전달된다.

Urgent pointer 값 중 0을 제외한 모든 값들에 대한 분석을 위해 tshark 프로그램을 사용하여 0을 제외한 나머지 값들을 추출하여 분석하였다.

Tshark : Wireshark 도구의 CLI 버전이라고 할 수 있으며, 리눅스 환경에서 사용 가능

설치 방법 : sudo apt-get install Tshark 입력

위 명령어대로 Urgent pointer 값을 출력하면 여러 값들이 나오는 것을 확인할 수 있다.

문제를 해석해보면 스테가노그래피 기법으로 플래그를 숨겼다고 추측해볼 수 있으며, 10진수 0~127 값이 사용되는 아스키 코드가 사용됐을 수도 있다.

따라서 플래그 확인을 위해 Python으로 아스키 코드에 매칭 되는 문자열로 변환시켰다.

Python 코드는 위 코드와 같다.

결과를 확인해보면 변환된 값이 플래그라는 것을 확인할 수 있다.

위 과정을 통해 해당 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #37 (Sans Network Forensic [Puzzle 8] #7)

Sans Network Forensic 마지막 정리이다.

우선 1번 ~ 6번 문제 풀이 때 사용했었던 필수 도구인 Wireshark로 해당 파일을 열어준다.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

이번 문제는 Joe가 사용하는 WEP 패스워드를 구하는 문제이다.

이 문제는 특별하게 정리할 내용이 없다..

그 이유는, 앞에 5번 문제에서 풀이한 aircrack-ng 도구를 통해 WEP 패스워드를 이미 구했기 때문이다.

위 화면에서 보이는 것은 WEP 패스워드이다.

플래그로 입력해주면 문제 해결이 가능하다..!

Network Forensic #38 (Sans Network Forensic [Puzzle 8] #8)

문제에서 설명하는 WAP의 관리자는 Joe이다. 

Joe의 MAC 주소(00:11:22:33:44:55)는 문제에서 알려주었으니 Joe의 MAC 주소를 통해 Joe의 IP 주소를 확인할 수 있다.

Wireshark의 필터 기능을 이용해서 Joe의 MAC 주소로 통신한 패킷을 확인하면 DHCP를 통해 IP를 할당 받은 것을 확인 가능하다.

해당 DHCP 패킷을 통해 Joe의 IP 주소는 192.168.1.100이라는 것을 확인할 수 있다.

이제 NetworkMiner 도구를 사용해보자.

NetworkMiner : 네트워크 포렌식 분석 도구로써 사용하는 운영체제나 세션, 호스트 이름, 열려있는 포트 정보 탐지 기능 등 상세한 정보를 얻을 수 있는 도구

다운로드 사이트 : https://www.netresec.com/index.ashx?page=NetworkMiner

NetworkMiner를 사용해 [Credentials] 탭을 확인해보면 Joe의 IP 주소인 192.168.1.100에서 192.168.1.1로 접속한 Username과 Password를 위 화면처럼 확인할 수 있다.

또한 [Parameters] 탭을 통해 IP 주소 192.168.1.100에서 192.168.1.1로 보내지는 패킷을 확인해보면 Authorization이라는 Parameter name을 확인할 수 있으며 Parameter value 값에 base64로 인코딩 된 문자열을 확인할 수 있다.

따라서 username과 password를 플래그로 입력해주면 문제 해결이 가능하다.

Network Forensic #39 (Sans Network Forensic [Puzzle 8] #9)

이번 문제는 WAP의 관리 암호가 무엇으로 변경되었는지 구하는 문제이다.

문제에서 passphrase라는 단어가 이번 문제의 결정적 힌트이다.

Wireshark의 찾기 기능을 이용해서 String 검색으로 Packet details에서 passphrase 단어를 찾으면 POST 패킷 하나를 확인할 수 있다.

passphrase 값에 hahp0~ 이라는 값이 들어가 있는 것을 확인할 수 있으며, 플래그로 입력해주면 된다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #34 (Sans Network Forensic [Puzzle 8] #4)

앞에서 주어진 pcap 파일로 계속 풀어나가는 문제이다.

앞서 살펴본 3번 문제는 WEP으로 암호화 된 데이터 프레임이 얼마나 존재하는지에 대해 물어봤고, 4번 문제의 경우 WEP으로 암호화하기 위한 초기화 벡터(iv)에 대한 값이 중복되지 않고, 총 몇 개가 있는지 물어보는 문제이다.

앞에서 살펴본 도구와 똑같이 Wireshark로 분석을 진행한다.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

초기화 벡터 값(iv)은 패킷 세부 내용을 통해 확인할 수 있다.

Wireshark 필터를 통해 초기화 벡터를 가진 패킷들을 필터링해 볼 수 있지만, 중복된 초기화 벡터를 가진 패킷을 제거하지 못한다.

그렇기 때문에 문제에서 요구하는 답을 찾을 수 없다.

이런 경우에는, 처리된 패킷 중에서 보고자하는 패킷들만 볼 수 있도록 자체 필터를 사용해서 해결이 가능하다.

따라서 Tshark 도구의 자체 필터 기능을 사용해서 캡처된 패킷 중에 보고자하는 패킷들만 선별해서 볼 수 있다.

Tshark : Wireshark 도구의 CLI 버전이라고 할 수 있으며, 리눅스 환경에서 사용 가능

설치 방법 : sudo apt-get install Tshark 입력

리눅스에서 Tshark를 실행시켜 패킷 중에서 보고자하는 패킷들만 선별해서 보는 것이 가능하다.

※ 해당 문제에서 사용한 Tshark 필터 사용 옵션

• -r : pcap 파일 읽어오기

• -Y : Wireshark 디스플레이 필터 사용

• -T fields : 각 field를 사용자 정의대로 출력

• -e : 출력하고자 하는 필드 지정

• sort -u : 필드 내 값을 제거하고 유일한 값만 출력

• wc -l : 특정 파일의 행의 개수만 출력

Tshark를 사용해 필터 적용한 결과, 위 화면과 같이 결과 값이 출력되는 것을 확인할 수 있다.

Network Forensic #35 (Sans Network Forensic [Puzzle 8] #5)

이번에는 2계층 공격에 대한 MAC 주소를 구하는 문제이다.

네트워크 2계층에서의 공격을 알아보기 위해 aircrack-ng와 airdecap-ng 도구를 사용해서 무선랜 패킷의 암호화를 풀어 분석하였다.

aircrack-ng : 무선랜 패킷 파일에 대한 종합 분석 도구이며, Monitoring / Attacking / Testing / Cracking 등 다양한 기능을 사용할 수 있다. (airdecap는 같은 폴더에 존재하며, 복호화 도구이다.)

다운로드 사이트 : https://www.aircrack-ng.org/

원래 기본 도구는 CLI 형태지만, 편리성을 위해 GUI 도구로 실행하였다.

문제 파일을 선택한 다음, Launch 버튼을 누르면 분석을 시작한다.

분석 결과, 암호화 키를 얻을 수 있다.

이제 airdecap-ng 도구를 실행하여 복호화하자.

위와 똑같이 파일을 선택하고, 얻은 암호화 키를 입력한 다음 Launch 버튼을 눌러 분석을 진행한다.

다음과 같은 결과가 나오면서, 복호화 된 파일이 생성되었다.

이제 복호화 된 pcap 파일을 Wireshark를 통해 확인해보자.

복호화 된 pcap 파일을 확인해보면 ARP 프로토콜이 매우 많이 발생한 것을 확인할 수 있다.

ARP는 2계층에 속하는 통신 프로토콜이므로 ARP를 이용한 공격으로 추측할 수 있다.

따라서 필터를 이용해 ARP 패킷만 확인해보면 위 화면과 같이 계속해서 한 개의 호스트에서 지속적인 ARP 패킷을 보내는 것을 확인할 수 있다.

지속적인 ARP 패킷을 보내는 호스트의 MAC 주소는 다음과 같이 찾을 수 있다.

화면에 보이는 MAC 주소를 플래그로 입력해주면 문제 해결이 가능하다.

Network Forensic #36 (Sans Network Forensic [Puzzle 8] #6)

이 문제도 4번 문제와 같이 초기화 벡터를 구하는 문제이다.

문제 4번과 같은 방식으로 Tshark 도구를 통해 플래그를 구할 수 있다.

> 공격자 측면

> 공격자 이외의 측면

플래그에 대한 값은 공격자와 공격자 이외의 초기화 벡터를 더한 값이 된다.

따라서 위 화면의 2개의 값을 더하면 플래그를 구할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #31 (Sans Network Forensic [Puzzle 8] #1)

문제 파일로 pcap 파일이 주어진다.

Wireshark 도구를 통해 pcap 파일을 열어 확인해보자.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

파일을 열어보면 무선랜(802.11 프로토콜)을 사용해 통신한 패킷들이 캡처된 것을 확인할 수 있다.

첫 번째 패킷을 확인해보면 패킷 info 내용에 SSID가 적혀 있는 것을 확인할 수 있다.

자세한 내용 확인을 위해, 패킷 세부 내용을 분석하였다.

패킷 세부 내용을 확인해보면, SSID와 BSSID를 찾을 수 있다.

SSID : 서비스 세트 식별자(Service Set Identifier), 무선랜 상에서 전송되는 패킷의 헤더에 존재하는 고유 식별자

BSSID : 기본 서비스 영역 식별자(Basic Service Set Identifier), 무선랜 표준인 802.11에서 48bit BSS를 구분하기 위해 사용

따라서 찾은 SSID와 BSSID를 플래그 형식에 맞게 입력하면 문제 해결이 가능하다.

Network Forensic #32 (Sans Network Forensic [Puzzle 8] #2)

패킷 캡처의 시작 시간부터 종료 시간까지 얼마나 걸렸는지에 대한 문제이다.

분석 방법은 매우 간단하다.

우선 Wireshark 도구의 마지막 패킷으로 이동해보자.

위 화면은 마지막 패킷의 Time 정보이다.

마지막 패킷의 Time 정보를 확인하면 첫 패킷 캡처 시간부터 마지막 패킷의 캡처 시간까지의 걸린 시간을 확인할 수 있다.

다른 문제들보다는 좀 간단하게 풀 수 있는 문제이다.

Network Forensic #33 (Sans Network Forensic [Puzzle 8] #3)

우선 암호화 된 데이터 프레임 확인을 위해서는 Wireshark 필터링 기능을 이용한다.

WEP으로 암호화 된 데이터 프레임 패킷은 Data Frame 영역에 protected flag가 1로 되어 있다.

따라서 Data Frame 영역을 찾기 위해 [wlan.fc.type_subtype == 20]을 적용해서 Data Frame 영역을 지정하고, [wlan.fc.protected == 1]을 적용해 protected flag가 1인 패킷들을 확인하면 된다.

필터링 결과, 위 화면과 같이 하단의 Displayed를 확인해보면 총 패킷 수와 현재 창에서 보이는 패킷의 개수를 확인할 수 있다.

따라서 필터를 적용한 현재 창에서 보이는 패킷의 개수가 WEP으로 암호화 된 데이터 프레임이다.

위 화면에서 보이는 개수를 플래그로 입력해주면 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #30 (Sans Network Forensic [Puzzle 7])

이번 문제... 매우 어려운 문제였다..

앞에서 정리한 Sans Network Forensic [Puzzle 4] 문제의 난이도와 매우 큰 차이가 느껴질 정도로 매우 어려운 문제였다...

본격적으로 문제 풀이를 진행해보자..!

문제로 주어진 pcap 파일 확인을 위해 Wireshark 도구를 통해 파일을 확인한다.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

pcap 파일을 열면, 지금까지 보지 못했던 pcap 파일인 것을 알 수 있다.

그리고 802.11 프로토콜을 통해 무선랜 패킷 파일이라는 것을 확인할 수 있다.

IEEE 802.11은 흔히 무선랜, 와이파이라고 부르는 무선 근거리 통신망을 위한 컴퓨터 무선 네트워크에 사용되는 기술

무선랜의 경우 보통 암호화 되어있는 패킷이므로 aircrack-ng 도구를 통해 분석하였다.

Aircrack-ng : 무선랜 패킷 파일에 대한 종합 분석 도구이며, Monitoring / Attacking / Testing / Cracking 등 다양한 기능을 사용할 수 있다.

다운로드 사이트 : https://www.aircrack-ng.org/

Aircrack-ng 도구는 대부분 CLI 형태로 되어 있지만, 필자는 GUI 형태의 도구로 분석하였다.

해당 문제 파일을 찾은 다음, Launch 버튼을 누르면 분석을 시작한다.

aircrack-ng로 분석한 결과, WEP 방식으로 암호화 되어 있다는 것과 해당 암호 키에 대한 정보를 얻을 수 있다.

무선 패킷의 복호화를 위해 aircrack 패키지 중 복호화 도구인 airdecap-ng를 사용하여 패킷 복호화를 진행하였다.

(위 사이트에서 aircrack-ng 도구를 다운받으면, 같은 폴더에 복호화 도구가 있다.)

복호화 된 pcap 파일이 해당 폴더에 생성된다.

이제 Wireshark 도구로 복호화 된 파일을 확인해보자.

pcap 파일을 확인해보면 일반적으로 볼 수 있는 상태의 pcap 파일이다.

pcap 파일 확인 결과, IMAP이나 STMP 등 메일과 관련된 프로토콜을 사용한 것을 확인 가능하다.

첫 번째 패킷의 IMAP 패킷을 [Follow TCP Stream] 기능을 통해 확인해보면 다음과 같은 결과가 나온다.

해당 결과를 확인해보면 문제에서 등장했던 Dark Tangent에게 보내는 메일 내용이라는 것을 확인할 수 있다.

메일 내용을 통해 Ann과 Dark Tangent가 만날 랑데부 지점에 대한 힌트가 첨부 파일에 있다는 것을 알 수 있다.

또한 image 형식의 첨부 파일을 보낸 것도 확인할 수 있으며 base64로 인코딩 되어 전송되었다는 것도 확인할 수 있다.

따라서 해당 데이터를 추출해 base64로 디코딩하면 첨부된 이미지 파일을 확인할 수 있다.

하지만 첨부 파일 인코딩 데이터 중간에 missing in capture file이라는 문자열이 있다.

따라서 현재 패킷을 통해서는 첨부 파일 복원을 진행할 수 없다는 것을 알 수 있다... (너무 어려움)

문제로 주어진 패킷을 보면, IMAP 패킷 이외에 메일과 관련된 SMTP 패킷도 있기 때문에 SMTP 패킷도 확인해보자.

Wireshark 필터를 사용해 SMTP 프로토콜을 검색한 후, 첫 번째 SMTP 프로토콜 패킷을 [Follow TCP Stream]을 통해 확인해보면 기존 IMAP 프로토콜 패킷과 동일한 내용 확인이 가능하며, 첨부 파일 데이터도 중간 손실 데이터가 없는 온전한 상태인 것을 확인할 수 있다.

첨부 파일의 데이터를 base64 디코딩 사이트를 통해 확인하면 다음과 같은 결과를 볼 수 있다.

base64 디코딩 사이트 : https://freeonlinetools24.com/base64-image

추출된 이미지 속에는 총 5가지의 문장이 적혀 있는 것을 확인할 수 있다.

작아서 잘 안 보일거 같아 한 문장씩 해결하면서 상세한 설명 부분을 넣었다.

첫 번째 문장 : App Store - App Name

첫 문장은 App Store의 App Name을 찾는 것이므로 App Store의 검색 기능을 이용해서 App을 찾았을 것이라고 추측할 수 있다.

본격적인 분석을 진행해보자.

우선 NetworkMiner 도구로 해당 pcap 파일을 열어준다.

NetworkMiner : 네트워크 포렌식 분석 도구로써 사용하는 운영체제나 세션, 호스트 이름, 열려있는 포트 정보 탐지 기능 등 상세한 정보를 얻을 수 있는 도구

다운로드 사이트 : https://www.netresec.com/index.ashx?page=NetworkMiner

NetworkMiner의 [Images] 탭을 통해 확인해보면 위 화면과 같이 카드게임들의 이미지가 출력되는 것을 통해 카드 게임이 문제에 대한 힌트로 보인다.

카드 게임에 대한 가능성을 생각하면서, NetworkMiner의 [Paeameters] 탭을 통해 검색한 App을 확인하였다.

[Parameters] 탭을 확인한 결과, Destination host에 위 화면과 같이 ax.search.itunes.apple.com이라는 것을 확인할 수 있으며, 검색과 관련한 URL이라는 것을 알 수 있다.

이를 통해 URL의 Parameters name과 Parameter value를 확인하면 term과 solitaire라는 값이 있다.

그리고 solitaire 단어를 구글에 검색해보면 카드 게임이라는 결과를 확인할 수 있다.

첫 번째 문장 해결!!

두 번째 문장 : Podcast Title

이 문장은 전에 문제 풀이한 Sans Network Forensic [Puzzle 3]의 4번 문제와 매우 비슷한 방식으로 풀 수 있다.

Wireshark의 찾기 기능(Ctrl + F)의 Packet details를 선택한 다음, Podcast를 검색하면 HTTP/XML 프로토콜이 검색된다.

따라서 Podcast가 HTTP를 사용해서 통신했다고 의심해볼 수 있으며, Wireshark의 필터에 http && xml을 검색해서 HTTP 200 OK 패킷들을 확인하였다.

위 결과 창에서 찾기 기능을 이용해 Podcast 관련 문자열이 있는 패킷을 확인하면 3개의 패킷이 있다.

패킷의 xml을 추출해 확인해보면 마지막으로 선택되는 패킷의 xml에서 Podcast 내용과 title 확인이 가능하다.

※ HTTP 200 OK XML 코드 확인하는 방법

1. 패킷 선택

2. 패킷의 세부 정보 출력 화면 - extensible Markup Language 마우스 우클릭

3. Copy - Bytes - Printable text only 선택

4. 메모장(코드 편집 프로그램) - 붙여넣기

이렇게 해서 두 번째 문장도 해결했다...!

세 번째 문장 :  Youtube Video Title

NetworkMiner 도구를 사용하여 [Message] 탭을 확인해보면 한 개의 SMTP 패킷이 있는 것을 확인할 수 있다.

그리고 패킷 내용을 확인해보면 Youtube Video에 대한 URL 확인이 가능하다.

해당 URL을 접속해보면 다음과 같은 영상이 나오게 된다.

URL로 이동하게 되면, 다음과 같은 영상이 나오면서 영상 제목을 확인할 수 있다.

세 번째 문장도 완료!

네 번째 문장 : Google Earth City Name

이건 처음에 봤을 때 뭔소리인지 이해가 안 갔던 문장이다..

그래도 문제는 풀어야 하니.. 위 문장에 대해 분석을 진행했다.

NetworkMiner의 [Parameters] 탭을 확인해보면 Google Earth에서 검색한 도시 이름에 대한 정보가 나온다.

Destination host의 maps.google.com을 통해 구글 지도와 관련 있는 URL이라는 것을 알 수 있다.

관련 URL의 Parameter name과 Parameter value를 통해 q와 hacker valley, wv라는 값을 확인 가능하다.

자세한 정보 확인을 위해 구글에 검색하여 확인하였다.

위 화면과 같이 실제로 존재하는 지명이라는 것을 확인하였다.

4번째 문장도 완료... 하나 남았다!

다섯 번째 문장 : AIM Buddy Name

NetworkMiner의 [Parameters] 탭을 확인해보면 AIM과 관련된 URL을 확인하면 위 화면과 같은 URL들을 확인할 수 있다.

Parameter name에 message를 통해 Do you have the cash? 라는 내용을 확인할 수 있다.

메시지 내용을 전달할 때 AIM Buddy Name도 함께 전송될 것이라고 추측해볼 수 있으며, 해당 패킷의 프레임 번호인 187605을 Wireshark를 통해 확인하였다.

187605번 패킷에 대한 [Follow TCP Stream] 기능 내용으로, 보낸 message 내용을 확인할 수 있다.

또한 inter0pt1c 내용과 ip1NaUEi7G7o_OHY를 통해 두 값 중에 하나가 Buddy name이라는 것을 확인할 수 있다.

위 내용은 NetworkMiner 도구에서도 확인이 가능한 정보다.

이렇게 해서 5개의 문장에 대한 분석을 끝냈다.

문제의 최종 답이 하나의 단어라고 하였으므로 주어진 5가지 문장의 해답을 한 개의 단어로 만들어야 한다.

5가지 단어는 서로의 연관 관계가 없으므로, 단어의 첫 글자를 조합하면 한 단어로 만들어지면서 어느 장소에 대한 내용이 나오게 된다.

위 과정대로 본 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #27 (Sans Network Forensic [Puzzle 4] #4)

이전에 1번부터 3번까지 풀은 문제 파일로 계속해서 풀어나가는 문제이다.

저번 문제처럼 해당 pcap파일을 Wireshark로 열어준다.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

이번에는 Apple 시스템의 MAC 주소를 찾는 문제이다.

앞에서 설명한 10.42.42.25, 10.42.42.50, 10.42.42.56 3개의 IP 주소들을 확인해보면 된다.

10.42.42.25 IP 주소를 확인해보면 위 화면과 같이 Apple 시스템에 해당하는 MAC 주소를 확인할 수 있다.

화면에서 보이는 것처럼, 해당 MAC 주소를 플래그로 입력해주면 쉽게 해결할 수 있는 문제이다.

Network Forensic #28 (Sans Network Forensic [Puzzle 4] #5)

앞에 4번 문제에서 확인한 Apple 시스템에 해당하는 IP 주소인 10.42.42.25를 제외한 나머지 두 개의 IP 주소 중에 연결된 IP 주소를 확인하면 된다.

Wireshark의 필터를 이용해서 Windows와 연결된 흔적을 확인하였다.

검색해서 확인한 결과, 10.42.42.56에서는 연결된 흔적을 찾을 수 없었지만, 위 화면과 같이 10.42.42.50을 검색하여 연결된 흔적을 발견할 수 있었다.

Windows 시스템이라는 것을 확정짓기 위해 Windows 시스템의 네트워크 특징을 이용해 확인할 수 있다.

Windows의 ICMP 패킷의 TTL은 보통 128로 설정된다.

그렇기 때문에, ICMP의 TTL 값을 Wireshark 필터에 [icmp && ip.ttl == 128]을 사용해 확인하면 다음과 같이 출력된다.

※ 운영체제별 ICMP TTL

• Windows : 128

• Linux : 255

• MAC : 64

또한, 다른 방법으로 NetworkMiner를 통해 분석하는 방법도 있다.

NetworkMiner : 네트워크 포렌식 분석 도구로써 사용하는 운영체제나 세션, 호스트 이름, 열려있는 포트 정보 탐지 기능 등 상세한 정보를 얻을 수 있는 도구

다운로드 사이트 : https://www.netresec.com/index.ashx?page=NetworkMiner

NetworkMiner를 실행한 후에 Hosts 목록에서 Windows 시스템이라는 것을 확인할 수 있다.

따라서 확인한 IP 주소를 플래그로 입력하게 되면 문제를 해결할 수 있다.

Network Forensic #29 (Sans Network Forensic [Puzzle 4] #6)

Sans Network Forensic [Puzzle 4]의 마지막 문제이다.

위 5번 문제에서 확인했던 Hosts 탭을 확인해보면 열려 있는 TCP 포트 번호에 대한 정보 확인이 가능하다.

플래그에서 제시하는 포맷에 맞게 낮은 번호순으로 플래그를 입력하면 쉽게 해결이 가능하다.

6번 문제를 끝으로 Sans Network Forensic [Puzzle 4] 풀이를 마친다.

# Reference

http://www.yes24.com/Product/Goods/59156934