Forensics/Wargame53 one_data_one_zip 문제 파일을 열어보면 확장자가 pcapng 인 파일 하나를 얻을 수 있다. 바로 pcap 파일로 변환시켜주자 그리고 wire shark로 열어주면 FTP 천국이다. FTP는 파일 전송 프로토콜인데 그럼 무슨 파일을 전송했는지 보면 flag를 얻을 수 있을 것 같다. Follow TCP Stream 해보니까 저기 flag zip파일이 하나 보였다. 통신으로 주고 받은 파일은 저 flag.zip파일 하나로 보인다. FTP로 전달한 내용을 받기 위해서 ftp-data로 검색해서 follow TCP stream 을 하면 이런 창이 뜨는데 Show and save data as 를 Raw로 선택해주어야 한다. 그리고 Save as를 해서 확장자 zip 파일을 해줬는데 위 사진에서도 볼 수 있듯이 zip 파일 시그.. 2020. 11. 24. [N0Named wargame] [B] 유출된 자료 거래 사건[4] 문제를 보면 문서를 하드 어딘가 암호화해두어 숨겨두었다고 한다. 휴지통을 보니 암호화 해둔 것의 비밀번호인 것 같은 텍스트 파일을 찾을 수 있었다. 근데 이 문제에 사용한 이미지 파일이 파티션이 3까지 있는데 2만 사용해서 파티션 3을 사용할 수 있을 까 생각을 해 보니 veracrypt를 사용하면 파티션 자체 암호화도 가능해서 파티션 3을 사용할 수 있을 것 같다. 그래서 파티션 3을 추출하고 veracrypt를 다운로드 받은 뒤에 볼륨을 만들어보았다. 그 과정에서 아까 휴지통에서 봤던 텍스트 파일을 이용할 수 있었다. 볼륨을 다 만든 뒤에 마운트 해준 다음 오른쪽 마우스 클릭으로 Open을 눌러주면 이렇게 새 볼륨 창이 뜨고 plan.txt 를 얻을 수 있었다. 텍스트 파일을 열어보니 flag를 확인.. 2020. 11. 17. [N0Named wargame] [B] 유출된 자료 거래 사건[2] 문제를 보면 해당 USB로 옮겼을 것으로 의심되는 파일을 찾아보자 하면서 파일을 입수한 경로를 찾아보면 찾기 편할 수도 라는 힌트를 주었다. 어느 곳에서 파일을 받은 뒤에 USB로 옮겼을 것으로 추측해보면 인터넷이나 메일로 파일을 받은 것을 생각해볼 수 있을 것 같다. FTK imager로 파일을 받을 만한 경로를 생각해보면 이렇게 chrome으로 다운로드 기록이 남을 수 있다. History 파일을 추출해서 DB Browser for SQLite로 열어보면 이렇게 다운로드 받은 기록이 뜨게 되는데 , 그 중에서도 Confidential_Doc 파일이 눈에 띈다. 이 파일을 한번 찾아보자 하지만 이미 삭제한 파일이기 때문에 FTK imager 안에서는 찾을 수 없었다. 그래서 파일 시스템 로그를 분석하기.. 2020. 11. 17. [N0Named wargame] [B] 유출된 자료 거래 사건[3] 문제를 보면 구매자의 집에 동거자를 알아내는 것이다. 계정이 삭제된 시각을 알아내야 하므로 윈도우 로그인 기록을 확인하면 계정 삭제 기록도 볼 수 있을 것 같다. 구글링 결과 윈도우 로그인 기록은 이벤트 뷰어를 통해 확인할 수 있다. Windows - System32에 들어가면 확장자가 evtx인 다양한 파일을 볼 수 있다. 그 중에서도 Security.evtx 가 사용자 계정 정보를 확인할 수 있는 이벤트 로그이다. 그 파일만 추출해 보면 많은 로그인 기록들을 확인할 수 있는데, 그 중에서도 이벤트 ID가 4726인 것이 사용자 계정 삭제를 가르키는 ID라고 한다. 밑의 설명을 보면 사용자 계정을 삭제했습니다와 함께 계정 이름을 확인할 수 있다. 성공! 2020. 11. 17. 이전 1 ··· 5 6 7 8 9 10 11 ··· 14 다음 728x90
