본문 바로가기

포렌식

버추얼박스 윈도우7 가상환경 세팅 (VM VirtualBox)
버추얼박스 윈도우7 가상환경 세팅 (VM VirtualBox) 2024. 5. 29. 일단 준비물이 두개가 필요하다.본 글에서는 'Oracle VM VirtualBox'를 사용한다.윈도우 기준이다.준비물 1은 Oracle VM VirtualBox 버추얼박스 홈페이지에 들어가면 다운로드 가능하다.Downloads – Oracle VM VirtualBox Downloads – Oracle VM VirtualBoxDownload VirtualBox Here you will find links to VirtualBox binaries and its source code. VirtualBox binaries By downloading, you agree to the terms and conditions of the respective license. VirtualBox 7.0.18 platform..
HMCTF - 47
HMCTF - 47 2024. 5. 21. 문제 파일에는 5개의 msg 파일이 있다msg는 Outlook의 메일 확장자이다msg를 분석하는 방법에는 여러가지가 있는데 필자는 온라인뷰어를 통해 확인을 했다생각보다 간단했다바로 flag를 찾을 수 있다
WarGame - sleepingshark 풀이
WarGame - sleepingshark 풀이 2024. 5. 21. 문제 파일 :문제 파일은 pcap파일이다pcap파일은 Wireshark로 확인 할 수 있는 네트워크 패킷을 모아논 파일이다여기서 flag를 찾으란 말이다필터에 http를 넣으면 보기 편하다flag가 잔뜩 있는걸 확인 할 수 있다.URL을 복사해서 URL디코딩을 한번 해보면Time based sql injection을 하는 payload를 볼 수 있다 Time-based SQL Injection은 서버의 응답 시간을 이용해 데이터베이스의 상태를 알아내는 공격 방법입니다 timestamp를 보면 3초이상 차이나는 패킷들을 확인하면 flag문자열 한글자씩의 아스키코드를 확인 가능하다이 작업은 하나하나 뒤져볼 수 있지만 python라이브러리에 pcap파일을 뒤져주는 라이브러리가 있어 그것을 활용 해주면 된다fr..
WarGame - BMP Recovery 풀이
WarGame - BMP Recovery 풀이 2024. 5. 19. BMP 파일을 지웠다 복구해라그러면 문제파일은 python 파일 하나랑 broken된 bmp파일이 있었다코드가 주어진 걸 보니까 아마 문제풀이도 파이썬으로 해야할 것 만 같은 그런 느낌이다일단 주어진 코드 분석을 해보자flag.bmp파일을 rb로 열고파일내용을 읽고 data에 저장그리고 BMP파일 시작 부분 부터 0x1C까지 0으로 채우고0x22부터 0x36까지 0으로 채운다수정된 data를 flag.bmp.broken이라는 이름으로 새로 저장그니까 쉽게 풀이하면 헥사코드를 bmp구조에 해당되는 부분을 0으로 바꿔놨다 이얘기다bmp구조는 여기 말고 다른 블로그 찾아보면 좋은 글이 많으니까 참고했음 한다참고만일단 BMP파일을 복구 하기위해선 파일의 헤더와 해당 오프셋의 데이터가 필요이걸 이해하기 위해선파일..
WarGame - Snowing! 풀이
WarGame - Snowing! 풀이 2024. 5. 18. 눈이 많이 온대요겨울이신가문제 파일을 다운받고 확인해봤는데txt파일 하나랑 이미지 파일 하나가 있었다flag파일은 fake flag라는데 혹시나 해서 정답칸에 넣어봤는데 fake랍니다flag.txt가 이상하게 스크롤이 밑에까지 있는걸 발견했다 드레그 해봤는데이게 단서다 일단 이미지니까 스테가노그래픽인가 해서 디코딩 돌려봤는데 아닌거 같다  뭐지알 수가 없네근데 snow 스테가노그래피 어디서 많이 들어봤었는데찾아보니까 따로 The SNOW steganography program라는 exe가 있다고 해서언능 다운받고 돌려봤다사용법이 친절하게 나와있으니까 바로 찾을 수 있었다
WarGame - FFFFAAAATTT
WarGame - FFFFAAAATTT 2024. 5. 17. 문제를 보아하니 fat 관련 문제인거 같다일단 파일을 다운 받아 보니 확장자는 .001일단 hxd로 파을을 해체분석장난 아니다 디스크를 고치래일단 문제를 보았을때 FAT32 File System이랑 관련이 깊다고 생각이 들고그러면 자연스럽게 유추가 가능한게 부트레코드를 떠올렸다.분명 이미지 파일 인데 FTK에서 인식을 못하는 이유는 저 난해하게 만들어 논 것때문이다시스템 이미지의 백업 BR은 섹터 6번에 위치해 있다그것들을 복사해 FIX THE DISK 부분에 그대로 넣어준다자 이제 수정 -완- 했으니 FTK로 한번 확인해보자야무지게 파일 복구가 된거 같다근데 저기 Dreamhack이라는 수상한 폴더가 있다.열어보자여러 파일들이 있고 flag파일을 찾았다근데 바로 누르는 순간 암호가 걸려있었고 추가적으로..
WarGame - Basic_Forensics_1
WarGame - Basic_Forensics_1 2024. 5. 17. 이미지 파일 안에 히든 메시지가 숨어있다스테가노그래피인가여러가지 사이트나 비트 마스크 필터 적용 등등 해봤는데 생각보다 파일 크기도 작고 해서 그냥 파일 자체를 디코딩을 해봤는데 바로 flag 찾았다Steganography Online (stylesuxx.github.io) Steganography OnlineEncode message To encode a message into an image, choose the image you want to use, enter your text and hit the Encode button. Save the last image, it will contain your hidden message. Remember, the more text you want to hid..
WarGame - lolololologfile
WarGame - lolololologfile 2024. 5. 17. 문제다flag가 있는 pdf파일을 지웠다 복구어떡해?문제 파일을 받아봤는데 E01이다E01이 뭐냐 이미지 파일이란거다이미지 파일이 뭐냐디스크나 파일을 복사를 하는 작업을 이미징이라 하는데 이미징의 결과물이 이미지 파일이다그럼 문제 풀어보도록 하겠슴다일단 이미지 파일이니까 열어보기 위해 툴을 이용해야 하는데 Encase나 FTK 등 있겠지마는 제가 사용한 툴은RMF이다그럼 RMF 을 이용해 이미지 파일을 열어보겠씀다이미지파일 열자마자 삭제된 파일들 중에 상단에 pdf 파일이 있어 밑에 프리뷰로 훑어봤는데 flag가 바로 있었다찾았다

티스토리툴바