kkamagi.story

GUI 모드로 도커이미지 설치 및 도커 컨테이너 실행하기 처음 사용하기 때문에 도커를 콘솔모드로 실행하고 조작하기가 불편 하실꺼예요. 도커를 설치하면 툴박스는 "Kitematic (Alpha)" 아이콘이 바탕화면에 생성되었을 것이고 Docker for Windows를 설치한 분은 작업표시줄의 고래아이콘을 클릭하여 팝업 메뉴에서 Kitematic를 클릭하여 Kitematic를 실행해주세요. kitematic 다운로드 및 설치(압축해제) 폴더 생성 필요 압축 해제 후 실행 Docker for Windows에서 Kitematic 선택하기 Kitematic는 미리 만들어놓은 도커용 이미지 마켓 정도로 생각하면 됨 이미지를 만들어 배포도 가능합니다. 도커 컨테이너 실행 화면으로 넘어갔을 경우 이 화면으로 넘어올려..

[NETWORK] chapter01 우리는 적군에 대한 첩보를 수집하기 위해 스파이를 고용했다. 그러나 스파이는 추출한 기밀문서를 잃어버린 것 같다. 그들은 이것을 우리에게 보냈고, 이것을 통해 필요한 모든 것을 찾을 수 있다고 했다. 도와 줄 수 있습니까? * 문제 첨부파일 다운로드 (exfil.tar.xz) - dump.pcap - server.py 1. dump.pcap Wireshark 분석 - DNS 패킷확인 tshark -r dump.pcap -Tfields -e dns.qry.name | awk '!a[$0]++' > extracted.txt && tshark -r dump.pcap -Tfields -e dns.cname | awk '!a[$0]++' >> extracted.txt 성공적으로..

나는 힉스 입자가 발견되지 않을 것이라고 미시건 대학의 Gordon Kane과 내기를 했다. file 확장자가 부재하여 file 명령어로 file type 확인 - xz 압축 파일임을 확인 file type을 계속확인하여 xz -> tar -> pcap 파일을 얻을 수 있었다. 이제 wireshark로 패킷을 분석해보자. TCP 통신이 이뤄졌던 것을 확인 Follow Stream을 통해 데이터를 확인 tcp stream eq 0 을 보면, file명과 hash값을 알 수 있다. 리눅스의 string 명령어를 사용하여 pcap 파일의 string을 검색하고, SHA-1 값만 grep해 보자. 6개의 Hash 값이 확인되었으나, Hash 값만 통해 어떤 파일인지 식별이 불가능하여, Hybrid Analysi..

[NETWORK] chapter01 - 파일을 다운로드하고 플래그를 찾아라. https://github.com/ctfs/write-ups-2015/blob/master/asis-quals-ctf-2015/forensic/zrypt/README.md https://www.virustotal.com/gui/file/37ec11678ab1ac0daf8a630fdf6fb37ca250b3c4f44c092f1338a14409fb3f79/details HTTP Object 확인 위와 같이 특이한 이름의 파일들을 확인해보면 다음과 같다. YupE1RB8 EX8UPdUb xnCub4eW EO4qqhn8 VuwPO9eM BOQqupmS E0frzRAi file type 확인 후 zipinfo 명령어를 통해 압축파일들의 정..

[NETWORK] chapter01 - 하늘은 왜 푸른색입니까? binwalk (특정 파일에서 어떤 파일이 포함되어 있는지 분석 및 추출하는 툴)을 통해 blue.pcap 파일 내에 png 파일이 포함되어 있는 것을 확인 wireshark로 blue.pcap파일을 열고 ctrl + F로 'png' String을 검색한다. 검색 시 맨 좌측에 Packet bytes로 변경 후 검색한다. 검색하면 특정 패킷에 특정됨을 확인할 수 있다. 패킷의 헤더를 보면 [02 0c 20] 으로 시작함을 알 수 있다. ctrl+F를 통해 추가적으로 Hex값을 검색해보면 해당 헤더 [02 0c 20]을 가진 6개의 패킷을 확인할 수 있다. 283, 288, 293, 298, 303, 308, 313 패킷에 대해 wiresha..

[NETWORK] chapter01 - 살인을 확인할 수 있습니까? 부검 파일에 서명해주세요. -> 손상된 pcap 파일 kill.pcapng 파일이 정상적으로 열리지 않는 것을 확인 pcap file을 우분투 docker로 복사하여 아래 명령 설치 및 실행 (pcapfix) # apt-get install pcapfix 복구가 완료되면 파일명에 'fixed_'문자열이 붙은 파일이 생성된다. docker를 빠져나온 뒤 복구한 pcap파일을 호스트로 복사 statistics - Conversations을 통해 두 host간 연결 정보 및 내용을 확인 TCP Stream으로 패킷 상세 내용 확인 -> jpg, mp4 파일을 전송한 내용 확인 jpg 파일의 시그니처 [FF D8 FF E0 xx xx 4A 46..

X 회사의 재정 정보를 훔치기 위해서 IU는 비밀리에 직장을 구했다. 그녀는 CFO의 컴퓨터를 공격하기로 결정한 후 사회 공학적 방법으로 악의적인 악성코드를 자신의 컴퓨터로 삽입하기로 결정했다. 그녀는 CFO가 퇴근할 때 컴퓨터를 끄지 않는다는 것을 알아냈다. CFO가 사무실에서 나간 후, 그녀는 CFO의 컴퓨터에서 재무자료를 얻고 EXCEL 파일을 검색한다. 그녀는 설치된 응용 프로그램을 확인해서 파일에서 정보를 찾을 수 있었다. 모든 추적을 제거하기 위해 그녀는 악성코드, 이벤트 로그 및 최근 파일 목록을 지웠다. X 회사는 적절한 조치를 취하기 위해 그녀가 어떤 정보를 훔쳤는지 밝혀야 한다. 이 파일들은 CFO의 컴퓨터에서 공격받은 파일들이다. 그녀가 훔친 파일의 전체 경로와 파일의 크기를 찾아라...

[DISK Forensic] Please get my key back! 사용도구 : HxD, binwalk, Firmware-mod-kit 파일 타입 확인 불가 HxD로 확인결과, type=firmware라는 문자열이 존재하는 것을 보아, 펌웨어 데이터로 추측 binwalk로 파일을 분석하면 해당 파일이 LZMA(Lempel-Ziv-Markov chain algorithm, 데이터 압축에 쓰이는 알고리즘으로 최대 4GB의 가변 압축 사전 크기를 제공) 방식으로 압축된 SquashFS(리눅스에서 사용되는 읽기 전용 파일 시스템. 주로 임베디드 시스템에서 사용) 데이터 인 것을 확인 펌웨어 이미지를 분석하기 위해 firmware mod kit을 이용 firmware mod kit (fmk)설치 http://..

판교 테크노밸리 K기업에서 기밀유출 사건이 발생했다. 현재 용의자의 시스템을 조사하는 중이다. 용의자의 인터넷 사용 패턴으로 용의자의 관심사를 파악하고자 한다. 용의자가 가장 많이 접근했던 사이트의 URL(http://aaa.bbb.cccc/)과 해당 URL에 마지막으로 접근한 시간(UTC+09:00)을 알아내시오. (1~2번 문제파일 : 2012_Secuwave F200.7z) 사용도구 : IE10Analyzer.exe KEY Format : URL(http://aaa.bbb.cccc/) KEY Format : yyyy-MM-dd_hh:mm:ss 브라우저 접속 정보 분석 필요 웹 브라우저 History - 접속URL/접속 횟수/마지막 접속 시간, 접속 페이지 등의 정보가 있음 압축 해제 7ester -..

(A~C번 문제파일 : 2012_Secuwave F100.7z) 이벤트예약 웹사이트를 운영하고 있는 "깜짝이야"사의 관리자 앞으로 한통의 협박 메일이 도착했다. 당장 10억을 입금하지 않으면, 확보한 자사의 웹페이지 소스코드를 모두 공개할 것이며, 추가적인 위협을 가하겠다는 내용이다. 관리자는 포렌식 전문가인 당신에게 침해사고 분석을 의뢰하였다. 침해된 시스템에 남겨진 흔적과 각종 로그 파일을 분석하여 다음 사항을 밝혀내시오. A. 공격자가 웹페이지 소스코드를 유출한 시간(UTC+09:00)은? Key format: (yyyy-MM-dd_hh:mm:ss) B. 리버스쉘(Reverse Shell)을 동작시키는 프로세스 ID(PID)는? (10진수) KEY Format : 1234 C. 리버스쉘(Revers..