Yum_Yum

Network Forensic #48 (조용할수록 더 귀를...)

문제 파일로 tar.gz 확장자의 파일이 주어진다.

해당 파일의 압축을 해제한다.

압축을 해제하면 pcapng 파일이 생성된다.

해당 파일의 패킷 분석을 위해 Wireshark 도구를 통해 분석하였다.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

Wireshark를 통해 확인해보면 STP, ICMP, DNS, CDP 등 다양한 프로토콜을 사용한 패킷들을 확인할 수 있다.

해당 패킷들을 자세히 살펴보면 STP와 ICMP 패킷들이 많이 사용된 것으로 보인다.

두 종류의 패킷을 세부적으로 확인해보면 해당 패킷 데이터들이 다 동일하여 별다른 정보를 찾을 수 없다.

하지만 ICMP 패킷에서 이상한 점을 발견하였다.

ICMP 프로토콜을 필터링하여 확인한 결과, seq 번호가 0으로 설정되어 있는 ping 패킷들이 대다수 있는 것을 확인하였다.

ICMP 요청에 대한 응답 메시지인지 확인하기 위해 있어야할 seq의 번호 값이 0으로 설정되어 있다는 것이 매우 이상한 점이다.

해당 ICMP 패킷들의 데이터 값들을 자세히 살펴보면 식별자 정보(Identification)에 한 글자씩 문자 값이 들어가 있는 것을 확인할 수 있으며, request 패킷에 연속적으로 이어지는 문자열을 확인할 수 있다.

위 화면과 같이 seq 번호가 0인 request 패킷들의 식별자 정보 부분을 확인해 정리하면 다음과 같은 문자열을 확인할 수 있다.

here is your flag라는 문자열과 함께 오른쪽 부분에서 플래그 확인이 가능하다.

오른쪽 문자열을 플래그로 입력해주면 문제를 해결할 수 있다.  

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #47 (당신은 캡처 파일에서 플래그를 찾을 수 있는가?)

문제 파일로 pcap 파일이 주어진다.

패킷 분석을 위해 Wireshark 도구를 사용하여 파일을 분석하였다.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

Wireshark 도구의 [Statics] - [Conversations] 기능을 이용하여 패킷을 확인한다.

TCP 프로토콜로 하나의 Stream만 존재하는 것을 확인하였다.

TCP 프로토콜의 상세 분석을 위해 [Follow TCP Stream] 기능을 통해 내용을 확인하였다.

내용을 확인하면 위 화면과 같이 플래그가 존재하는 것을 확인할 수 있다.

문제 파일의 이름이 easy인 것처럼, 쉽게 풀 수 있는 네트워크 포렌식 문제이다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #46 (lol team이라는 의심스러운 팀이 있습니다.)

문제 파일로 pcapng 파일이 주어진다.

패킷 분석을 위해 Wireshark 도구로 열어 확인하였다.

Wireshark : 오픈 소스 패킷 분석 프로그램으로 pcap을 이용하여 패킷을 잡아내는 것이 주요 기능

다운로드 사이트 : https://www.wireshark.org/download.html

Wireshark로 열어보면 총 8개의 패킷이 캡처된 것을 확인할 수 있다.

상세 스트림 내용 분석을 위해 [Analyze] - [Follow TCP Stream]을 통해 확인하였다.

TCP 스트림 0번의 내용을 살펴보면 http://2014.easyctf.com/account 사이트로 HTTP POST를 요청하고 있음을 확인할 수 있고, 변경한 비밀번호로 의심되는 내용도 확인 가능하다.

좀 더 추가적인 정보 확인을 위해 HTTP 프로토콜의 패킷을 분석하였다.

4번 패킷과 7번 패킷은 HTTP 프로토콜이다.

4번 패킷을 분석하던 중에 lolteam이 변경한 비밀번호 문자열을 발견하였다.

위 화면대로 4번 패킷을 분석하면 변경된 비밀번호를 확인할 수 있으며 플래그로 입력 시 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Network Forensic #45 (우리는 의심스러운 네트워크...)

문제 파일로 pcapng 파일이 주어진다.

패킷 분석을 위해 Wireshark 도구를 통해 파일을 열어준다.

우선 [Statics] - [Conversations] 기능을 통해 해당 파일의 연결 정보와 내용을 확인하였다.

Conversations 기능으로 확인한 TCP 화면이다.

자세히 보면, 83558 Bytes와 80195Bytes가 매우 큰 크기로 보인다.

해당 항목을 [Follow Stream]하여 상세 스트림 내용을 확인하였다.

TCP 스트림을 확인해보면 Drawing.png라는 의심스러운 파일이 발견된다.

그리고 위 Conversations 화면을 통해 해당 파일이 전송된 포트는 80번 포트임을 알 수 있다.

결론적으로 Drawing.png 파일은 웹으로 교환되었다고 추측할 수 있다.

송수신한 파일들의 목록 확인과 추출을 위해 [File] - [Export Objects] - [HTTP] 기능을 사용하였다.

내용을 확인해보면 TCP 스트림에서 확인했던 Drawing.png 파일과 이름이 같은 jpg 파일에 관한 내용을 볼 수 있다.

해당 항목을 Drawing.jpg 파일로 우측 하단의 [Save As] 기능을 통해 저장하고 실행한다.

Drawing.jpg 파일을 열면 플래그를 확인할 수 있고 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Disk Forensic #14 (누군가 부정행위를 했다는...)

문제 파일로 zip 파일이 주어진다.

리눅스 unzip 명령어를 통해 문제 파일의 압축을 풀어준다.

압축을 풀려고 시도하면 에러와 함께 풀리지 않고, out/'문자열' 형태의 출력을 확인할 수 있다.

상세 분석을 위해 HxD로 문제 파일을 열고 out/'문자열' 형태를 검색하여 분석하였다.

문자열 검색 기능을 통해 분석하던 도중 이상한 부분을 발견하였다.

첫 번째 문자열인 out/rxo802ayx4을 검색하면 바로 위에 'flag'를 반대로 적어 놓은 'galf' 4Byte의 문자열을 확인할 수 있다.

위 과정대로 계속해서 플래그와 관련된 문자열들이 은닉되어 있음을 확인할 수 있다.

위와 같은 방식으로 문자열을 정리하면 다음과 같다.

문자열들을 'galf'를 'flag'로 본 것과 같은 방식으로 정리하면 최종 플래그가 완성된다.

위 방식과 과정을 통해 문제를 해결할 수 있다.

# Reference

http://www.yes24.com/Product/Goods/59156934

Multimedia Forensic #97 (우리는 이 이미지에...)

문제 파일을 실행하면 다음과 같이 고양이가 그려진 이미지가 나타난다.

이미지만 봐서는 지문에서 제시한 숨겨진 메시지는 보이지 않는다.

문제를 분석하는 것에 대한 힌트가 존재하지 않기 때문에 GIMP 도구를 사용해서 숨겨진 정보가 있는지 확인하였다.

GIMP : 사진 편집이나 이미지 생성 및 편집 등 다양한 이미지 작업을 하기에 적절한 편집 도구

설치 사이트 : https://www.gimp.org/

GIMP 프로그램으로 이미지를 분석하던 도중 색상표 기능을 통해 색상표가 데이터 매트릭스와 비슷하다는 것을 확인하였다.

색상표 : 디지털 이미지 파일의 헤더 부분에 인덱스 번호에 해당하는 색상을 지정한 것

데이터 매트릭스 : 작은 공간에 매우 많은 양의 데이터를 인코딩할 수 있는 2D 매트릭스 코드

색상표를 따로 캡처 및 저장 후 Stegsolve 도구를 사용하여 흑백으로 색이 구분되는 데이터 매트릭스의 특징에 맞게 색상을 반전시켰다.

Stegsolve : 스테가노그래피 분석 도구로 색상과 비트 별로 이미지를 분석하는 기능을 제공해주는 도구

설치 사이트 : http://www.wechall.net/forum/show/thread/527/Stegsolve_1.3/

확장자가 jar 파일이기 때문에 java가 설치되어 있어야 실행할 수 있다.

Stegsolve 프로그램을 실행하고 캡처한 이미지(색상표)를 불러온다.

그리고 하단의 > 화살표를 클릭해서 Red plane 5을 설정하면 원본 색상표와 거의 비슷한 화면이 보인다.

이제 데이터 매트릭스의 정보를 확인해야 한다.

위 화면은 마치 QR코드와 매우 유사한 이미지 형태이므로 QR코드 디코딩 사이트로 접속하여 데이터 매트릭스를 분석하였다.

QR코드 디코딩 사이트 : https://zxing.org/w/decode.jspx

데이터 매트릭스를 분석하게 되면, 위 화면에서 Parsed Result 부분에 URL 주소가 나타난다.

URL 주소를 입력한 뒤, 사이트에 접속하였다.

잠시 어느 사이트에 접속하게 되고, 몇초 뒤에 위 화면과 같이 검색창으로 이동된다.

검색창에 있는 문자열을 플래그로 입력하게 되면 문제를 해결할 수 있다. 

# Reference

http://www.yes24.com/Product/Goods/59156934