have a Young's

exe 파일이 1개 주어진다. 주어진 파일을 exeinfo로 확인해 보면 Visual Basic으로 작성된 것을 확인할 수 있었다. VB Decompiler pro로 프로그램을 디컴파일 해보았다. Module2 -> Proc_4_0_405EF8에서 IP 주소와 PORT 번호를 확인할 수 있다. IP : 40.82.159.132 / PORT : 3117 Module2 -> Proc_4_3_40513C을 보면 var_8C를 Xor 7 하는 것을 확인할 수 있다. "rtbu" xor 7 = user ID : user 비밀번호도 마찬가지로 "dofidb65$#"에 xor 7을 하고 있다. PW : chance12#$ FLAG fiesta{40.82.159.132_1337_user_chance12#$}

웹 아티팩트 (Web Artifact) : 사용자로 인해 웹 어플리케이션과 웹 브라우저가 통신하면서 생성되는 기록(흔적). 1) 웹 히스토리 (Web History) - 웹 사이트 방문 시 웹 사이트 정보를 분류해 저장. - URL, 접속 시간, 접속 횟수, 페이지 제목 등의 정보 제공. 2) 웹 캐시 (Cache) - 웹 사이트 접속 시 방문사이트로부터 자동으로 전달받는 데이터. - 기존에 방문했던 웹 사이트를 재방문 할 때 변경되지 않은 정보는 다시 다운받지 않고 웹 캐시에서 로딩하는 방식. - 캐시파일 정보(저장 시간, 파일명, 타입, 크기, 경로), 이미지, 텍스트, HTML, XML, 스크립트 파일 등의 웹 페이지를 표현하기 위한 다양한 데이터들을 포함. 3) 웹 쿠키 (Cookie) - HTT..

1. FTK Imager를 열고, Add Evidence Item을 클릭 후 Logical Drive 선택 후 다음 2. Source Drive 선택하고 완료 3. 삭제된 파일 선택해서 Export Files를 한다. 결과를 보면 성공적으로 추출했다. Export Results가 0 bytes인 경우에는 복원이 되지 않은 것이다. 추출한 파일을 열어보니 복원이 된 것을 확인할 수 있다.

휘발성 메모리에는 장치를 다시 시작하거나, 종료할 때 손실되는 아래와 같은 Artifacts(운영체제나 애플리케이션을 사용하면서 생성되는 흔적으로 포렌식에서 사용되는 단어)가 포함되어 있다. - 시스템 프로세스 - 서비스 실행 - 클립보드 정보 - 탐색 세션(시크릿 세션) - 비밀번호 - 액세스된 파일 및 멀티미디어 - 채팅/실행 중인 애플리케이션 저장 데이터 - Malware 동작 - etc.. [ 프로세스 제한 ] - 휘발성 메모리 획득에는 많은 제한이 존재하는데, 전적으로 시나리오와 시스템 상태에 따라서 다름. - 접근이 제한된 장치는 휘발성 메모리 분석에 사용할 수 없음. - 잠금 해제로 인해서 시스템 데이터가 변경되면 시스템이 불안정 할 수 있음. - 모바일 장치(루팅되거나 탈옥된) 플랫폼의 경..

Windows Registry : 하나 이상의 사용자, 애플리케이션 or 하드웨어 장치에 대해 시스템을 구성하는 데 필요한 정보를 저장하기 위한 중앙 계층형 데이터 베이스. : 마이크로소프트 윈도우 32/64비트 버전과 윈도우 모바일 운영 체제의 설정과 선택 항목을 담고 있는 데이터베이스로 모든 하드웨어, 운영 체제 소프트웨어, 대부분의 비운영 체제 소프트웨어, 사용자 PC 선호도 등에 대한 정보, 설정이 들어있다. - 레지스트리 파일은 "C:drive/windows/system32/config" 파일 경로에 있다. - 각 레지스트리에는 법의학적으로 귀중한 정보가 많이 포함. - 레지스트리 파일은 컴퓨터의 모든 구성 정보를 저장하므로 매초 자동으로 업데이트. - 레지스트리 파일은 키, 값 두 가지 기본 ..

파일 카빙 ( File Carving ) : 메타 데이터가 아닌 파일 자체의 바이너리 데이터(content, signature, header 등)를 이용해 디스크의 비할당 영역에서 파일을 복구하는 방식 * 연속적 카빙 / 비연속적 카빙 : 파일이 저장될 때 분할이 되어서 저장되는지 아닌지에 차이가 있음 1. 시그니쳐(signature) 기반 카빙 - 가장 기본적인 방식 - 파일의 header(파일의 처음), footer(파일의 마지막)를 기반으로 카빙하는 기법 2. 램 슬랙(Ram Slcack) 카빙 램 슬랙(Ram Slack) : 파일 내용을 디스크에 기록할 때, 파일의 크기가 512의 배수가 되지 않아서 0x00으로 채워지는 영역 - 램 슬랙 공간을 뒤지면 파일의 footer 등의 위치를 알아낼 수 ..

PNG 파일이 주어진다. 해당 파일을 열어보면 secret message 1 문제처럼 FLAG가 가려져있다. 마찬가지로 가려진 FLAG를 찾아야 하는 것 같다. https://github.com/BishopFox/unredacter GitHub - BishopFox/unredacter: Never ever ever use pixelation as a redaction technique Never ever ever use pixelation as a redaction technique - GitHub - BishopFox/unredacter: Never ever ever use pixelation as a redaction technique github.com 픽셀화된 이미지를 해독하는 unredacter..

위와 같은 pdf 파일이 주어진다. 가려진 FLAG를 구해보자! pdftotext 툴로 pdf 파일에서 text를 추출하면 txt 파일이 생성된다. 추출한 txt 파일을 확인하면, FLAG를 확인할 수 있다! FLAG uoftctf{fired_for_leaking_secrets_in_a_pdf}

주어진 파일은 워드 파일이다. 해당 파일을 열어보면, 열 수 없는 파일이라고 나온다. olveba 툴을 이용해서 워드 파일 안에 있는 매크로 스크립트(VB script)를 추출하면, Sub AutoOpen() Dim v6 As Variant, v7 As Variant v6 = Array(98, 120, 113, 99, 116, 99, 113, 108, 115, 39, 116, 111, 72, 113, 38, 123, 36, 34, 72, 116, 35, 121, 72, 101, 98, 121, 72, 116, 39, 115, 114, 72, 99, 39, 39, 39, 106) v7 = Array(44, 32, 51, 84, 43, 53, 48, 62, 68, 114, 38, 61, 17, 70, 121..

이 문제는 DTMF에 관련된 문제다. DTMF : Dual Tone Multiple Frequency. 이중 톤 다중 주파수는 유선전화기에서 사용되던 신호 방식으로 흔히 유선 전화에서 들을 수 있는 다이얼 소리를 말한다. - 크게 전화기의 숫자 패드를 누를 때 나는 소리와 이외의 소리(통화중, 통화 대기, 통화 끊김)로 구분. https://cyberchef.io/#recipe=Extract_Files(true,true,true,true,true,true,false,true) CyberChef cyberchef.io CyberChef에서 파일 추출 기능을 사용할 것이다. Input에 추출할 파일을 끌어다 놓으면, 아래와 같이 파일이 추출된다. 추출된 파일 중에서 extracted_at_0x302.wav ..