티스토리

S.W.F.S.

검색하기

블로그 홈

S.W.F.S.

swfs-swuforensics.tistory.com/m

서울여자대학교 디지털 포렌식 소학회 S.W.F.S 입니다!

구독자: 3

방명록 방문하기

주요 글 목록

[ctf-d] splitted 3번 김주미 방금 풀었던 문제의 바로 옆 문제이다. 쪼개진? 갈라진? 열어보니까 wireshark 로 확인할 수 있는 패킷 같은데 제목 보면 단편화 관련인가 싶기도 하고? 열어보면 양이 그렇게 많진 않다. 송수신자도 명확하게 두 명 뿐이고 TCP 프로토콜로 파일을 전송했나보다~ 저 flag.zip을 얻는 게 관건일듯. 찾아보니 패킷들 순번을 조합해서 리눅스 명령어로 재조립 할 수도 있지만 더 간단히 패킷 스니핑을 할 수 있는 방법이 있다고 한다. 바로... networkMiner https://www.netresec.com/?page=networkminer NetworkMiner - The NSM and Network Forensics Analysis Tool ⛏ Network Miner is a net.. 공감수 1 댓글수 0 2022. 9. 27.
[ctf-d] Graphics Interchange Format 3팀 김주미 100점 짜리지만 제목이 있어보여서 가져왔다. (^^) 그런데... 그래픽 교환 포맷? 바이너리 코드로 열어봤을 때 시그니처를 조정해서 파일 포맷을 jpg나 png 계열로 바꾸거나 뭐... 아무튼 HxD로 열면 해결될 것 같은 느낌이다. 제공받은 파일은 간달프 gif 파일~ 의외로 시그니처에 문제가 있는 것은 아니었다. jpg나 png 시그니처 검색해도 나오는 건 없더라. 널바이트로 채워져서 대충 봤을 때 중간에 뭐가 들어갔겠거니~ 하는 부분도 없었는데 생각없이 내려보다가 누가봐도 플래그같은 문자열을 발견했다. ... 이렇게 푸는 게 맞나 싶긴 하다. 보통 바이너리 코드 열어서 보는 문제들은 flag나 ctf 같은 키워드 검색해서 나오는 경우도 많은 것 같다. key : gandalftheb.. 공감수 0 댓글수 0 2022. 9. 27.
[N0NAMED] 길에서 주어온 만두 6팀 박지혜 Q. N0Named Wargame. 길에서 주어온 만두 http://ctf.no-named.kr:1234/challenges#%EA%B8%B8%EC%97%90%EC%84%9C%20%EC%A3%BC%EC%96%B4%EC%98%A8%20%EB%A7%8C%EB%91%90-5 문제에 첨부파일로 알집 파일이 있어 다운받아주었다. 다음과 같이 readme.txt와 big.png 파일이 보인다. readme.txt 파일은 문제와 똑같은 말이 쓰여 있다. 우선 big.png 파일을 HxD 에디터를 이용해 분석해보기로 했다. Header 부분은 별 다를 게 없어 보인다. Footer 부분도 가 보았다. 마지막 부분에 PASS:1234 라는 비밀번호의 단서를 발견할 수 있었다. 힌트로 윈도우의 opensteg.. 공감수 1 댓글수 0 2022. 9. 27.
[ctf-d] Wota 보호되어 있는 글입니다. 공감수 0 댓글수 0 2022. 9. 27.
[N0NAMED] 입사테스트[2] 6팀 박지혜 Q. N0Named Wargame : 입사테스트[2] http://ctf.no-named.kr:1234/challenges#%EC%9E%85%EC%82%AC%20%ED%85%8C%EC%8A%A4%ED%8A%B8[2]-3 힌트가 이미지 파일 복구라는 것을 먼저 알고, task.jpg 파일을 다운받았다. 파일을 열자 이 파일의 형식은 지원되지 않는다고 뜬다. HxD 에디터로 이 파일을 열어 파일의 제대로 된 확장자가 무엇인지 알아보도록 한다. 파일의 시그니처를 확인해보니 이 파일은 png 파일이었던 것 같다. 하지만 기존의 png 파일의 시그니처와 완벽하게 맞지 않으므로 시그니처를 수정해주었다. PNG 헤더 시그니처 : 89 50 4E 47 0D 0A 1A 0A 사진이 열리긴 했지만 어떠한 힌트.. 공감수 3 댓글수 0 2022. 9. 27.
[ctf-d] 모두 비밀번호를 txt파일... 1팀 송보연 ctf-d 사이트의 모두 비밀.. 이라는 문제를 풀어보려 한다. 문제에 따로 키 포멧은 주어져 있지 않고, 확장자가 rtf인 파일이 하나 주어져있다. 문제에서 txt 파일이 언급되어있고 "탑비밀"이라는 단어가 언급되어있는걸 보니 rtf파일에서 무언가를 찾아야하는거 같다. 주어진 파일을 다운받아서 노트패드 파일로 열어보았다. 이렇게 헥사 값이 엄청나게 많이 들어있는 파일이다. 헥사값... 뭔가 지금까지 HxD를 이용해서 헥사값을 살펴봤던게 생각났다. 지금까지 HxD를 이용해서 헥사값을 살펴봤을때는 헤더시그니처와 푸터시그니처를 주로 살펴봤었다. 혹시나? 하고 맨 처음 헥사값만 따로 떼 봤다. 00 89 50 4e 47 ... 쓸데없는 문자들을 다 제외하고 나온 헤더값? 이다. 이부분을 구글에 쳐.. 공감수 1 댓글수 0 2022. 9. 27.
[ctf-d] black-hole 보호되어 있는 글입니다. 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] 우리의 제일 귀여운… 5팀 최민주 pcap 파일을 와이어샤크로 열어보았다. 클라이언트가 서버에게 png파일을 요청한 기록을 확인할 수 있다. 이 부분을 마우스 우클릭을 하여 tcp stream으로 살펴보았다. png 파일을 다운로드 하기 위하여 show data as ASCII => RAW로 바꿨다. 하단의 sava as를 눌러주고 저장된 파일을 열어보았다. png 파일이라면 연결 프로그램이 갤러리로 연결될텐데 아닌 걸 보아하니.. 속성을 살펴보았다. png 파일이 아니다. Hxd편집기로 파일을 열어보았다. 드래그된 부분을 포함하여 쓸데없는 부분들을 전부 잘라주었다. 이 파일을 추출할 수 있었지만 별다른 플래그는 보이지 않았다. 여기서 막혀서... 다른 write-up을 참고했다. Urgent Pointer : 긴급 데이터 .. 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] black-hole 3팀 정다빈 문제를 다운받으면 다음과 같은 사진이 나온다. HxD 로 열어 봤더니 flag값으로 의심가는게 있다. https://www.base64decode.org/ Base64 Decode and Encode - Online Decode from Base64 format or encode into it with various advanced options. Our site has an easy to use online tool to convert your data. www.base64decode.org base64로 Decode해보니 바로 나왔다. flag 값 : BITCTF{S5 0014+81} 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] broken 3팀 정다빈 사진을 다운로드 받았더니 qr코드 같은 사진이 나왔다. 빈 공간에 네모가 있어야하는데 없는 qr코드이다. 구글링을 통해 Decoder 사이트를 찾았다. 원본을 넣어주면 나오지 않는다. 그림판을 통해 사진을 반전시켜주고 다시 해봤다. flag 값 : 1t_S_s0_cr3atIv3 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] 우리는 바탕화면 캡처 본을 얻었다. 3팀 심유나 먼저 사진을 열어보니 바탕화면인데 창이 3개 띄워져 있는 사진이 나왔다. 도저히 어떻게 손을 대야 할 지 몰라서 구글링을 해보았다.. 사진 오른쪽 하단에 보면 그림판은 그림판인데 채우기 부분이 선택되어 있는 걸 볼 수 있다. 일단 똑같이 사진을 그림판으로 열었다. 그리고 채우기로 검정색을 채워주면 이렇게 글자(플래그)가 보이는 걸 알 수 있다. SECCON{the_hidden_message_ever}을 플래그 값으로 입력하면 해결~! 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] black-hole 3팀 심유나 문제에는 키 형식이 주어져 있고, 약간의 힌트(base64)도 보인다. 먼저 스테가노그래피와 속성을 살펴보았는데 역시나 특별한 건 없어서 hxd로 열어보았다. 문제에 키 format이 BITCTF{(key)}라고 나와있어서 BITCTF를 Base64로 encode해보았다. QklUQ1RG가 나와서 텍스트 문자열로 검색을 해보았다. 뒤 문자열까지 포함하여 플래그 값으로 예상된다. 그 부분을 복사해서 이번에는 DECODE를 해보았다. 결과는 BITCTF{S5 0014+81} 이렇게 나왔다. 플래그 값으로 입력하면 해결! 공감수 0 댓글수 0 2022. 9. 27.
[webhacking.kr] old-10 3팀 이윤지 이리저리 클릭을 해 보다가 가장 왼쪽에 작게 적혀 있던 O에 마우스를 올리고 클릭을 하면 글자가 옆으로 조금씩 밀린다는 것을 알게 되었다. 페이지 소스를 확인해 봤더니 onclick 부분을 유심히 봐야 할 것 같다. O 이걸 해석해 보자면... 글자를 한 번 누를 때마다 1 픽셀씩 움직이고 1600 픽셀이 되었을 때 go에 현재 위치를 담아 전송하게 되는 코드라고 한다. 즉 글자를 1600 픽셀 움직이면 문제가 풀리는 듯! 개발자 도구를 이용해 1599까지 이동을 해 주고 마지막 한 번을 마우스로 클릭을 했더니 간단하게 문제가 풀렸다! 성공! 공감수 0 댓글수 0 2022. 9. 27.
GrrCON 2015 #2 1팀 김나연 outlook.exe의 덤프파일을 strings 파싱한 파일(strings_3196.log)에서 메일 원본을 찾아보자 메일 원본은 URL을 찾으면 됨 http://식으로 검색 결과가 많으니 exe, pdf, docx, xlsx 형식으로 결과값 중에서 다시 검색 strings_3196.log에서 'http://'로 검색한 후 결과 값에서 다시 '.exe' 로 검색했을 때 결과가 3개 나온다. 검색 결과를 포함한 줄로 가보니 html 형식으로 메일 원본으로 보이는 내용을 찾았다. 내용을 메모장으로 옮겨서 보면 아래와 같다. VPN software인 것처럼 속여 첨부파일을 보낸 것으로 추정된다. 태그 안 첨부 파일은 AnyConnectInstaller.exe이다. flag AnyConnectIns.. 공감수 1 댓글수 0 2022. 9. 27.
GrrCON 2015 #1 1팀 김나연 제공된 파일 확장자가 vmss다. vmss파일이 뭔지 찾아봤다. vmss파일 (VMware Suspended State File) VM웨어 일시 중단 된 상태일 때 상태를 저장한 파일 VM이 중지된 위치에서 VM을 재개하는 데 사용됨. 우선 volatility imageinfo 명령으로 운영체제를 식별 분석하기 위해 미리 명령어.log 파일 형식으로 저장해둔다. pslist 결과값을 봤을 때 메일 관련된 프로세스를 찾아보니 OUTLOOK.EXE를 찾았다. PID는 3196 outlook.exe를 메모리 덤프해서 메일 원본을 보자 volatility_2.6_win64_standalone.exe -f .\Target1-1dd8701f.vmss --profile=Win7SP1x86 memdump .. 공감수 1 댓글수 0 2022. 9. 27.
[ctf-d] 플래그를 찾아라! 3팀 이윤지 dump1.raw.lzma 파일의 압축을 푸니 dump1.raw 파일이 나왔다. raw 확장자를 가지는 파일은 메모리 덤프 파일이기 때문에 volatility를 이용하려고 한다. (volatility를 사용해 풀었던 문제: https://ziee.tistory.com/83) 이 메모리 파일의 profile은 Win10x64인 것을 imageinfo 명령어를 통해 알 수 있다. pstree를 통해 확인해 보니 다른 시스템 프로세스들보다 눈에 띄는 그림판 mspaint.exe의 흔적이 있다. 프로세스 PID는 4092인 것을 확인할 수 있다. mspaint.exe를 덤프 해 보아야 할 것 같다. (참고: https://aaasssddd25.tistory.com/55) 4092.dmp가 추출되었다.. 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] Find Key(Hash) 2팀 김민주 문제는 다음과 같다. 키의 포맷은 md5이며 128비트 암호화 해시 함수임을 알 수 있었다. 먼저 문제에서 주어진 텍스트 파일을 열어보니 프랑스어가 나왔다. 해당 파일을 HxD 파일에 열어보니 공백으로 보이는 수상한 부분을 볼 수 있었다. 구글링을 HxD로 열었을 때 보이는 공백 부분은 텍스트 파일 안에 메시지를 숨긴 whitespace steganography임을 알았고, http://darkside.com.au/snow/index.html The SNOW Home Page The SNOW Home Page Whitespace steganography The program SNOW is used to conceal messages in ASCII text by appending whites.. 공감수 0 댓글수 0 2022. 9. 27.
[xcz.kr] Prob3 - I don't speak English. 4팀 이유진 http://xcz.kr/START/prob/prob3.php xcz.kr 문제를 딱 보고 비즈네르 암호가 생각이 났다 https://www.guballa.de/vigenere-solver Vigenere Solver - www.guballa.de Vigenere Solver This online tool breaks Vigenère ciphers without knowing the key. Besides the classical variant Beaufort ciphers and Autokey ciphers are supported as well. As an example you can crack the following cipher text with this tool: Altd hlbe .. 공감수 0 댓글수 0 2022. 9. 27.
[xcz.kr] Prob2 - Listen Carefully! 4팀 이유진 http://xcz.kr/START/prob/prob2.php xcz.kr 문제에서 주어진 파일을 다운 받아보면 높낮이가 다른 소리가 흘러나온다. 파일 이름에서 힌트를 얻었는데 모스부호인 것 같다는 생각을 했다 https://morsecode.world/international/decoder/audio-decoder-adaptive.html Morse Code Adaptive Audio Decoder Notes The decoder will analyse sound coming from the microphone or from an audio file. The spectrogram of the sound is shown in the main graph along with a pink regi.. 공감수 0 댓글수 0 2022. 9. 27.
[DreamHack] rev-basic-1 1팀 정유진 리버싱 문제를 풀어보자 리버싱 문제0처럼 동일한 툴을 사용했다. 이 문제도 x6dbg 사용하려다가 보기 쉬운 IDA로 풀었다. sub_140001000으로 들어가서 cmp를 확인해준다. 각각 문자들이 있다. 이 문자들을 조합하면 플래그가 나온다.! 공감수 0 댓글수 0 2022. 9. 27.
[DreamHack] rev-basic-0 1팀 정유진 리버싱 기초 문제를 풀어보자. exe파일을 실행시킨 모습이다. x64디버거를 다운받아서 열었을 땐 위와 같은 모습이다. 어셈블리어가 보인다. 문자열 찾기를 통해 correct를 찾아준다. 여기서 함수를..찾았는데 이동이 안돼서? 내가 잘 몰라서? 안되다가 결국 IDA를 설치했다. 디스어셈블리한다고 누르고 다시 exe파일을 열면 위 사진처럼 나온다. 보기 좋게 시각화되어있다. 여기서 sub_140001000으로 이동해준다. sub_140001000 함수의 로직을 확인하면, lea로 Str2에 있는 내용을 rdx에 load하여 비교 후 그 비교값이 True면 '"Correct", False면 "Wrong"를 반환한다 라고 한다. 출처: https://not4dog.tistory.com/20 [C.. 공감수 0 댓글수 0 2022. 9. 27.
[DigitalForensic_with CTF] 호레이쇼가 플래그를 보며… 4팀 김소희 문제를 클릭하면 아래와 같은 화면이 나온다. 파일을 다운 받은 후 열어보면 아래와 같은 사진이 있다. 사진 이름부터 사진안에 사진이 숨겨져 있다는 것을 알려준다. HxD로 열어보면 jpg 파일 시그니처 3개가 보인다. http://forensic-proof.com/archives/300 그래서 숨긴 파일을 추출해보았다. (전체 복사 붙여넣기 후 1번 부터 2번전까지 지우기) 이 파일은 플래그와 상관없는 사진 파일인 것 같다. 그래서 다음 숨긴 파일을 추출하였다. (전체 복사 붙여넣기 후 1번 부터 3번전까지 지우기) 플래그인 것 같은데 좌우 반전이.. 공감수 1 댓글수 0 2022. 9. 27.
[DigitalForensic_with CTF] 모두 비밀번호를 txt파일… 4팀 김소희 문제를 클릭하면 아래와 같은 화면이 나온다. rtf 파일은 "서식 있는 텍스트 포맷 또는 리치 텍스트 포맷(Rich Text Format, 줄여서 RTF)이라고 부르며 마이크로소프트사가 1987년에 개발한 규격인 사유의 문서 파일 형식이고 크로스 플랫폼 문서 교환을 위하여 만들어졌다."고 한다. 파일을 다운 받은 후 열어보면 아래와 같은 글씨들이 보인다. 자세히 보니 00\' 다음 숫자부터 png 파일 시그니처가 보인다. http://forensic-proof.com/archives/300 필요 없는 부분을 쉽게 지우기 위해서 Sublime Text를 사용하였다. Ctrl + H를 사용하면 한번에 내용을 바꿀 수 있다. .. 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] 답을 찾기 위해 돋보기를 써라! 2팀 김민주 문제는 다음과 같다. 문제에서 주어진 파일을 다운 받아보니 해당 QR코드가 나왔다. 아래 주소의 QR코드 디코더 사이트를 이용했다. https://blog.qr4.nl/Online-QR-Code-Decoder.aspx Online QR Code Decoder tweet This is a free service to read and decode QR codes on-line. Upload a picture with a QR code in it or a web reference to an image of a QR code and this decoder will try to read it and show what is encoded in the QR code. QR Code reading tips.. 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] 조수의 차이만큼 하얗습니다! 1팀 송보연 ctf-d 사이트의 조소의 차이만큼 하얗습니다! 라는 문제를 풀어보려한다. 100점짜리인만큼 쉬울거같다는 생각이 든다. 주어진 파일을 다운받아준다. 이미지 파일을 열어보면 다음과 같이 그냥 하얀색에 아무것도 안보인다. 이미지파일이 주어졌는데 뭔가아무것도 안보이면 HxD를 이용해서 헥사값을 살펴보거나, 스테가노그래피 기법을 이용해보거나 둘중 하나로 보통 풀렸는데, 일단 조금 더 간단해 보이는 스테가노그래피 기법을 이용해보기로 했다. https://29a.ch/photo-forensics/#forensic-magnifier 이 스테가노그래피 사이트를 이용해서 파일을 분석해보았다. 사이트에 사진을 넣고 마우스를 가져다대니 노란색으로 글자가 보였다. 글을 읽어보니 플래그값이 무엇인지 알려주고 있었다.. 공감수 2 댓글수 0 2022. 9. 27.
[CTF-d] 당신의 친구 Bob은 모의해킹 전문가이다. 6팀 최민영 CTF-d의 disk문제인 당신의 친구 bob은 모의해킹 전문가이다. 문제풀이 시작하겠습니다. 파일을 다운받아보니 여러 폴더가 들어있었는데, 이 중 root 등을 통해 리눅스 관련 파일인 것으로 추측할 수 있습니다. 가상머신을 통해 리눅스를 열어보겠습니다. cd를 통해 해당 디렉토리로 이동한 뒤 문제에서는 바보같은 사용자를 찾으라 하였으니 유저의 정보가 들어있는 etc 파일로 들어가겠습니다. 여기서 passwd파일과 shadow 파일이 보이는데 passwd파일에는 유저 정보가 담겨있고, shadow파일에는 유저의 비밀번호 정보가 담겨있습니다. https://blog.naver.com/PostView.nhn?isHttpsRedirect=true&blogId=koromoon&logNo=22061.. 공감수 0 댓글수 0 2022. 9. 27.
[자격증 2팀] 11주차 & 최종 보고서 보호되어 있는 글입니다. 공감수 0 댓글수 0 2022. 9. 27.
[ctf-d] GrrCON 2015 #5 4팀 김기연 재부팅 후에도 지속성을 유지하는 데 사용되는 레지스트리 키? **Run and RunOnce Registry keys** 이 레지스트리 키에 자동실행을 원하는 키 값을 작성하여 등록하면, 윈도우즈 OS에서 자동 실행이 가능하다. 악성코드는 이를 통해 침입 시스템에서의 생명주기를 늘려 악의적 행위를 지속 가능하다. --- Run and RunOnce Registry keys 종류 1) HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 2) HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run - 등록된 키 값을 볼 수 있다. 해당 값들은 시작 시 실행되는 프로그램들이 .. 공감수 0 댓글수 0 2022. 9. 21.
[xcz.kr] Prob1 - End Of Image 4팀 이유진 http://xcz.kr/START/prob/prob1.php xcz.kr 일단 문제로 주어진 사진을 저장해주었다 처음에는 스테가노그라피 문제인 줄 알고 여러 사이트에 돌려보았는데 특별한 점이 없었고 바로 HxD로 열어보았다. 헤더 시그니처가 89 50 4E 47로 PNG가 맞다는 것을 확인했다 문제 타이틀이 End Of Image길래 가장 끝부분도 살펴보았다 푸터 시그니처가 49 45 4E 44 AE 42 60이 아니라 JPG의 푸터 값인 FF D9로 되어 있다 PNG 파일과 JPG 파일이 붙어 있다고 판단했고 JPG 파일의 헤더 시그니처를 검색해보았다. 바로 나온다.... 이 부분부터 파일의 제일 마지막까지 복사해서 새로 파일을 만들어 붙여넣기 해주었다 나는 test.jpg로 저장해주었다.. 공감수 1 댓글수 1 2022. 9. 21.
[ctf-d] Find Key(Movie) 2팀 김민주 문제는 다음과 같다. 주어진 파일은 동영상이었다. 해당 영상을 시청하는 도중 이런 화면을 발견할 수 있었고, 해당 값을 플래그 값으로 입력해 주었다. 문제 풀이 성공 플래그 값을 너무 쉽게 찾은 듯한 문제였다 공감수 0 댓글수 0 2022. 9. 21.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.