[ctf-d] GrrCON 2015 #9

5팀 이은경

문제

 

풀이

NTLM 이란?

윈도우에서 제공하는 인증 프로토콜 중 하나이다. Windows NT의 모든 제품군에서 사용한다.

클라이언트 신원 확인을 할 때 네트워크를 통한 암호, 해시 암호를 전송하지 않고 Challenge-Response 방식을 사용한다. SMB 프로토콜에 하위호환성을 위해 내장되어 있다.

 

hivescan

Memory Dump로부터 CMHIVEs(Registry hives)의 Physical address를 찾아주는 명령어

hivelist

hashdump

hivelist에서 찾은 system(y 옵션), sam(s 옵션) hive offset값을 입력하여 확인한다.

문제에서 확인하라고 했던 관리자(Administrator) 계정의 해시 암호가 보인다.

 

ophcrack으로 크랙을 해야 하나 하고 넣어봤는데 아무것도 나오지 않았다. 문제 format대로 그냥 저기 나온 값이 진짜 flag였다.

 

정답