본문 바로가기

Dreamhack/Forensic

WarGame - sleepingshark 풀이
WarGame - sleepingshark 풀이 2024. 5. 21. 문제 파일 :문제 파일은 pcap파일이다pcap파일은 Wireshark로 확인 할 수 있는 네트워크 패킷을 모아논 파일이다여기서 flag를 찾으란 말이다필터에 http를 넣으면 보기 편하다flag가 잔뜩 있는걸 확인 할 수 있다.URL을 복사해서 URL디코딩을 한번 해보면Time based sql injection을 하는 payload를 볼 수 있다 Time-based SQL Injection은 서버의 응답 시간을 이용해 데이터베이스의 상태를 알아내는 공격 방법입니다 timestamp를 보면 3초이상 차이나는 패킷들을 확인하면 flag문자열 한글자씩의 아스키코드를 확인 가능하다이 작업은 하나하나 뒤져볼 수 있지만 python라이브러리에 pcap파일을 뒤져주는 라이브러리가 있어 그것을 활용 해주면 된다fr..
WarGame - BMP Recovery 풀이
WarGame - BMP Recovery 풀이 2024. 5. 19. BMP 파일을 지웠다 복구해라그러면 문제파일은 python 파일 하나랑 broken된 bmp파일이 있었다코드가 주어진 걸 보니까 아마 문제풀이도 파이썬으로 해야할 것 만 같은 그런 느낌이다일단 주어진 코드 분석을 해보자flag.bmp파일을 rb로 열고파일내용을 읽고 data에 저장그리고 BMP파일 시작 부분 부터 0x1C까지 0으로 채우고0x22부터 0x36까지 0으로 채운다수정된 data를 flag.bmp.broken이라는 이름으로 새로 저장그니까 쉽게 풀이하면 헥사코드를 bmp구조에 해당되는 부분을 0으로 바꿔놨다 이얘기다bmp구조는 여기 말고 다른 블로그 찾아보면 좋은 글이 많으니까 참고했음 한다참고만일단 BMP파일을 복구 하기위해선 파일의 헤더와 해당 오프셋의 데이터가 필요이걸 이해하기 위해선파일..
WarGame - Snowing! 풀이
WarGame - Snowing! 풀이 2024. 5. 18. 눈이 많이 온대요겨울이신가문제 파일을 다운받고 확인해봤는데txt파일 하나랑 이미지 파일 하나가 있었다flag파일은 fake flag라는데 혹시나 해서 정답칸에 넣어봤는데 fake랍니다flag.txt가 이상하게 스크롤이 밑에까지 있는걸 발견했다 드레그 해봤는데이게 단서다 일단 이미지니까 스테가노그래픽인가 해서 디코딩 돌려봤는데 아닌거 같다  뭐지알 수가 없네근데 snow 스테가노그래피 어디서 많이 들어봤었는데찾아보니까 따로 The SNOW steganography program라는 exe가 있다고 해서언능 다운받고 돌려봤다사용법이 친절하게 나와있으니까 바로 찾을 수 있었다
WarGame - FFFFAAAATTT
WarGame - FFFFAAAATTT 2024. 5. 17. 문제를 보아하니 fat 관련 문제인거 같다일단 파일을 다운 받아 보니 확장자는 .001일단 hxd로 파을을 해체분석장난 아니다 디스크를 고치래일단 문제를 보았을때 FAT32 File System이랑 관련이 깊다고 생각이 들고그러면 자연스럽게 유추가 가능한게 부트레코드를 떠올렸다.분명 이미지 파일 인데 FTK에서 인식을 못하는 이유는 저 난해하게 만들어 논 것때문이다시스템 이미지의 백업 BR은 섹터 6번에 위치해 있다그것들을 복사해 FIX THE DISK 부분에 그대로 넣어준다자 이제 수정 -완- 했으니 FTK로 한번 확인해보자야무지게 파일 복구가 된거 같다근데 저기 Dreamhack이라는 수상한 폴더가 있다.열어보자여러 파일들이 있고 flag파일을 찾았다근데 바로 누르는 순간 암호가 걸려있었고 추가적으로..
WarGame - Basic_Forensics_1
WarGame - Basic_Forensics_1 2024. 5. 17. 이미지 파일 안에 히든 메시지가 숨어있다스테가노그래피인가여러가지 사이트나 비트 마스크 필터 적용 등등 해봤는데 생각보다 파일 크기도 작고 해서 그냥 파일 자체를 디코딩을 해봤는데 바로 flag 찾았다Steganography Online (stylesuxx.github.io) Steganography OnlineEncode message To encode a message into an image, choose the image you want to use, enter your text and hit the Encode button. Save the last image, it will contain your hidden message. Remember, the more text you want to hid..
WarGame - lolololologfile
WarGame - lolololologfile 2024. 5. 17. 문제다flag가 있는 pdf파일을 지웠다 복구어떡해?문제 파일을 받아봤는데 E01이다E01이 뭐냐 이미지 파일이란거다이미지 파일이 뭐냐디스크나 파일을 복사를 하는 작업을 이미징이라 하는데 이미징의 결과물이 이미지 파일이다그럼 문제 풀어보도록 하겠슴다일단 이미지 파일이니까 열어보기 위해 툴을 이용해야 하는데 Encase나 FTK 등 있겠지마는 제가 사용한 툴은RMF이다그럼 RMF 을 이용해 이미지 파일을 열어보겠씀다이미지파일 열자마자 삭제된 파일들 중에 상단에 pdf 파일이 있어 밑에 프리뷰로 훑어봤는데 flag가 바로 있었다찾았다
WarGame - Windows Search
WarGame - Windows Search 2024. 5. 17. 문제 파일은 인덱 파일이다여기서 인덱싱이란 뭔가인덱싱은 PC에서 파일, 이메일, 메시지 및 기타 콘텐츠를 찾아서 단어와 그 안에 메타 데이터 같은 정보를 검색에 사용하기 위해 분류해 놓은 것이다.포렌식적 의미로는 1. 파일 구조2. 인터넷 접속 기록3. OneNote4. Outlook5. 기타 MS 프로그램으로 볼 수 있겠고이에 따른 장점은1. 안티 포렌식 극복2. 많은 시간 정보가 들어가있고3. 삭제된 레코드 기록이 있다.그럼 이제 문제를 풀어보자일단 파일이 주어졌으니 그에 맞는 툴을 이용해서 분석 해보자데이터베이스를 분석 할 수 있는 툴을 이용해 확인을 해보자File을 선택 후 Open을 눌러보면 파일 오픈이 가능하다 File path 경로를 문제 파일로 설정오픈 해주심 된다한국은 +9하고 넘어가서 ..

티스토리툴바