디지털 포렌식8 [suninatas] Forensic 30 먼저 이 문제를 풀 도구로 Volatility를 사용하기로 했다. 먼저 imageinfo로 확인해주자 Win7SP1x86임을 확인했다. 이제 먼저 1번 답인 김장군 PC의 IP 주소를 알아내기 위해 netscan으로 알아보자 열면 이렇게 많은 내용들이 나오는데 밑으로 내려보면 김장군 PC의 IP 주소는 192.168.197.138임을 알 수 있다. 이제 2번 답을 알아보자 해커가 열람한 기밀 문서의 파일 명을 알아봐야 하는데 해커가 실행한 프로세스를 확인하기 위해 pstree를 이용해서 알아보자 초반에 cmd가 켜지고 notepad가 열린 것을 확인할 수 있는데 음.. 일단 볼라틸리티에 cmdscan 이라고 cmd에 내린 명령을 확인할 수 있는 플러그인이 있으니까 한번 해보자 그러면 누가봐도 의심되는 파.. 2020. 12. 1. [N0Named wargame] [B] 유출된 자료 거래 사건[4] 문제를 보면 문서를 하드 어딘가 암호화해두어 숨겨두었다고 한다. 휴지통을 보니 암호화 해둔 것의 비밀번호인 것 같은 텍스트 파일을 찾을 수 있었다. 근데 이 문제에 사용한 이미지 파일이 파티션이 3까지 있는데 2만 사용해서 파티션 3을 사용할 수 있을 까 생각을 해 보니 veracrypt를 사용하면 파티션 자체 암호화도 가능해서 파티션 3을 사용할 수 있을 것 같다. 그래서 파티션 3을 추출하고 veracrypt를 다운로드 받은 뒤에 볼륨을 만들어보았다. 그 과정에서 아까 휴지통에서 봤던 텍스트 파일을 이용할 수 있었다. 볼륨을 다 만든 뒤에 마운트 해준 다음 오른쪽 마우스 클릭으로 Open을 눌러주면 이렇게 새 볼륨 창이 뜨고 plan.txt 를 얻을 수 있었다. 텍스트 파일을 열어보니 flag를 확인.. 2020. 11. 17. [N0Named wargame] [B] 유출된 자료 거래 사건[3] 문제를 보면 구매자의 집에 동거자를 알아내는 것이다. 계정이 삭제된 시각을 알아내야 하므로 윈도우 로그인 기록을 확인하면 계정 삭제 기록도 볼 수 있을 것 같다. 구글링 결과 윈도우 로그인 기록은 이벤트 뷰어를 통해 확인할 수 있다. Windows - System32에 들어가면 확장자가 evtx인 다양한 파일을 볼 수 있다. 그 중에서도 Security.evtx 가 사용자 계정 정보를 확인할 수 있는 이벤트 로그이다. 그 파일만 추출해 보면 많은 로그인 기록들을 확인할 수 있는데, 그 중에서도 이벤트 ID가 4726인 것이 사용자 계정 삭제를 가르키는 ID라고 한다. 밑의 설명을 보면 사용자 계정을 삭제했습니다와 함께 계정 이름을 확인할 수 있다. 성공! 2020. 11. 17. [N0Named wargame] infect 문제를 보면 악성 프로그램을 찾아 파일명과 실행시각을 알아내라고 한다. 악성프로그램은 결국 실행되어야 하니까 확장자가 exe인 것을 유의깊게 봐야겠다. 첨부파일을 다운로드 받아보면 ad1파일과 텍스트 파일이 하나 들어있다. 우선 ad1파일을 FTK imager을 사용해 열어보자 일단 파일을 열어서 유저의 바탕화면에 들어가보니, 의미 없는 data2.encrypted 파일과 그 밑에 VboxTester.exe 파일이 보인다. data2.encrypted 파일의 시간을 바탕으로 윈도우 pf 파일을 찾아보면 flag를 찾을 수도 있을 것 같다는 생각이 들었다. data2.encrypted 파일의 시간은 20년 10월 28일 오후 2시 14분 9초인데, 그때 pf 파일은 두 개가 생성되었다. 하나는 CMD,EX.. 2020. 11. 17. 이전 1 2 다음 728x90
