Lucete

요즘 일이 많아서 CTF(Capture The Flag)에 참여하지 못한지 오래된 듯하다... 그래서 혼자 문제들 뭐있나 보다가 ...forensic(file carving)이라는 문제를 보고 오오오오오오!!!!!!!!!!!이거다!!! 라고 생각해서 풀어보았다.. 문제가 생각보다 쉽게 풀렸고 풀이도 여러가지 방법으로 풀어보았다. 점수는 150점이였는데!!! 문제는 There used to be a bunch of animals here, what did Dr. Xernon do to them? 이거였다.한번 풀어보자 첫번째 방법은 foremost를 이용하여 푸는 방법이다.animals.dd 이미지가 주어진다. file 명령어를 이용하여 file animals.dd를 해보면 DOS/MBR boot sect..

짜쟌~!! 디지털 포렌식에 있어서 침해 당했거나 사고가 일어나면 증거를 수집하고 처리하는 것에 대해 알아보자 :D 사고가 일어나 사고 대응 절차를 보게 되면 크게 6개로 나누어진다.1. 준비 - 준비가 되어있으면 어떠한 사고가 발생했을 시 신속하게 대응 할수 있다. 준비는 사고 대응 계획을 수립하는 단계를 이야기한다. - 프로세스, 절차, 조사에 필요한 도구 등이 모두 포함되며 물론 조사에 필요한 도구 사용법 또한 포함된다.2. 탐지 - 생각을 해보자 기본적으로 많은 관제회사 뿐아니라 여러곳에서 관제를 하지만 공격은 계속들어오고 사건 사고는 계속 발생한다. 여기서 탐지 능력은 이많은 것들 중 중요한 것을 골라 어떠한 공격(사건)으로 연결되는지를 판단하는 능력인 것 같다.3. 분석 - 이 때부터 본격적으로..

어쩌다 보니 찾게 된문제!!! 풀어보자 !! 근데 맞게 푸는지를 모르겠다 :( 문제는 Auth : MalwarePid_C&C_Attacker.Serverex) 123_http://www.naver.com/index.php_1.2.3.4 Hint) No ParameterHint-2) Attacker.Server on the MemoryHint-3) Attacker.Server is pharming Server 이렇게 란다.시작하자 !! 크와아아앙 나와라 ! volatility!!!! 먼저 imageinfo 를 통해 profile과 메모리 덤프파일 생성 시간을 확인 후 pslist명령어를 통해 프로세스 리스트를 확인 해보았다. 보다보니 attrib.exe를 보고 무슨 파일인지 의문 이생겼다.바로 구글로 달려..

메모리 포렌식에 빠져서 요즘 공부하다가 volatility를 사용하는 도중 의문이 들었다. 의문이라기 보단 잘 보지 않아 생긴 문제이지만 ... 먼저 imageinfo 를 하여 메모리덤프의 프로파일을 확인 할수있다...여기서 의문이 들었는데 ........ 두둥 !!! BoB.vmem 파일의 프로파일은 windows XPSP2x86과 XPSP3x86 2개가 나온다... 물론 아는 사람도 있다. 어떻게 서비스팩을 찾아내는지... 눈이있다면 안다... 난 눈이없었다.그래서 명령어를 통해서 알아 봤다. 어떻게? dlllist | grep xpsp2

300 - Breaking NewsWe just received this transmission from our news correspondents. We need to find out what they are telling us.file 문제인데 문제의 파일을 받아보면 알집으로 파일을 하나 주고 그것을 풀면 이제 우리가 풀어야 하는 문제 파일들이 나온다. 먼저 헥스로 파일을 확인 해보면 별 특이한 것이 없는 것같다 하나 하나 보던 도중 마지막에 base64로 디코딩이 되어 있는 것 같은 문자열을 발견하고 하나하나 파일에서 그러한 글자만 모아보았다. 총 나온 파일은 5개 chapter 4, 9, 10, 15, 18 이렇게 나왔다. 이제 base 64 decoding 을 해보자 base 64 디코딩을 하니..

- 디스크 비교적 단순한 구조를 가지고 있다. 그러나 만약 외부 업체에 의뢰를 한다면 정보 유출이 되므로 주의 해야하는 단점이 있다.디스크를 분석 할때는 증거 저장용 디스크를 Master로 설정하여 분석 대상 디스크를 slave로 지정하여 부팅을 master로 한다.이유는 증거용 디스크에 영향을 주지 않기 위해서 이다. 디스크 분석 - 반드시 원본을 복제한 복사본을 가지고 분석을 한다. - 읽기 전용으로 설정한 후 분석한다. - 복제 디스크는 원본 디스크랑 용량을 같게한다. (같은게 없다면 크게) 디스크 복제 - H/W 적인 방법 : 장비를 이용, 사용이 간편하고 속도가 빠르지만 가격이 비싸다. 또한 라이브 시스템에서 수행이 불가능하다. - S/W 적인 방법 : 라이브 한 시스템에서 그대로 디스크 복사 ..

타임라인이 무엇일까? 타임라인은 사전의미로는 연대표, 시각표 이러한 의미를 들고있다.또는 비디오 클립이나 오디오 클립을 순서대로 배치하는 편집 프로그램 작업 공간. 타임라인은 레이어와 프레임으로 구성되어 있는데, 레이어의 결합을 통해 화면의 이미지나 오디오를 배치함으로써 움직이는 애니메이션이나 음악을 만드는 기능이다.- 네이버 용어사전 - 그러나 사전을 생각하지 말고 있더라도 주위에 음악을 하는 사람이나 비슷한 일을 하는 사람들을 보면 타임라인이라는 단어를 많이 사용한다.이처럼 컴퓨터를 분석할때 또한 타임라인이 사용되는데 어떠한 동작을 했는지 시간을 남겨준다. 차이가 있을 수 있지만 이러한 의미를 가진다. 이러한 기능을 어디서 할수 있을까?타임라인 기능은 인케이스에 있는 기능이라고 안다. 인케이스 7.x..

제목 그자체로 저장장치에서가 아닌 운영체제 단에서 저장장치에서 쓰기 방지하는 방법이다.어떻게 보면 좋고 어떻게 보면 음.... - Key : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies- Value : WriteProtect- Data : 0x00000001 (쓰기 방지 설정), 0x00000000 (쓰기 방지 해제)