Network & Forensic

취약점 찾으면서 팁 같은거 생각날 때 마다 적을예정 ㅇㅅㅇ. 1. FMK로는 추출이 안되는 펌웨어들도 많기 때문에 그럴때는, 적당히 binwalk를 이용하면 쉽게 파일시스템을 추출할 수 있다. ㅇㅅㅇhttps://github.com/ReFirmLabs/binwalk요기서 binwalk 를 설치하면 된다. git으로 설치 시, 의존되는 패키지가 완벽히 설치되지 않아 apt-get install binwalk를 한번 해주는게 좋다.sudo apt-get install lzma cpio zlib1g-dev liblzma-dev python-magic mtd-utils gzip bzip2 tar arj lhasa p7zip p7zip-full cabextract cramfsprogs cramfsswap squa..

pcap파일을 열어서 보면 ISAKMP패킷들이 많이 보이고 telnet으로 통신한 내용이 보인다.telnet으로 통신한 내용을 보면 아래 그림과 같은 내용이 들어있다. ip xfrm state가 무슨 명령어 인지 몰라서 구글링을 해보니 ipsec tunnel과 관련있는 것을 알 수 있었다.구글에 wireshark isakmp xfrm 라고 검색을 해서 제일 위에 있는 링크에 들어가니 위의 hash값을 이용해서 wireshark에서 decrypt하는 방법을 친절하게 설명해 놓았다.https://ask.wireshark.org/questions/12019/how-can-i-decrypt-ikev1-andor-esp-packets 이런식으로 설명해 놓은 그대로 설정을 하고 apply하면 패킷들이 decrypt..

포렌식도구윈도우 Autopsy - 파일시스템 분석lnkanalyzer - 바로가기파일 분석cacheview - 브라우져 캐시분석OLE/COM object viewer - ActiveX 컨트롤 정보확인mft2csv - mft분석WinprefetchView - 프리패치파일 분석NTFS Log Tracker - 윈도우 logfile, UsnJrnl 분석도구index.dat Analyzer tool - index.dat 분석Redline - 메모리분석Volatility - 메모리분석log2timeline - 타임라인데이터 확인F-ResponseEncase ImagerFTK imager등등 리눅스Volatility - 메모리분석extundelete - 삭제된 파일들 복구Firmware-Modification-Ki..

보호되어 있는 글입니다.

예전에 대회 끝나고 내가 track1 풀이한 문서

while true; do socat TCP-LISTEN:포트,reuseaddr EXEC:./실행파일; sleep 1; done xnetd보다 훨씬 편함

펌웨어 분석을 공부하기 위해 제일 만만한 iptime공유기의 펌웨어를 분석해 보기로 했다. 우선 지금 사용중인 공유기의 정보이다.모델은 iptime의 N604R이며 펌웨어 버전은 8.88이다. 펌웨어 비교분석을 하기위해 iptime홈페이지에가서 최신버전을 보니 무려 9.91.2까지 나왔다 ;; 일단 8_88펌웨어를 다운받은 후 분석 하였다. 펌웨어를 binwalk로 살펴보았다.binwalk는 파일의 시그니처를 이용하여 어떤 data가 들어있는지 확인을 할 수 있는 도구이다. LZMA 압축데이터3개와 Squashfl파일시스템으로 구성되어 있었다. Firmware Mod Kit을 이용하여 펌웨어내에서 각종 파일을 추출했다.FMK는 펌웨어를 빌드하거나 추출하는 등 다양한 기능이 있는 분석툴이다. 추출한 디렉토..

hwp 파일을 덤프 하지 못해 엮여 있는 다른문제들을 못풀어서 아쉬웠는데, 못 푼 문제도 대회가 끝난 후 보고서 양식이 아닌 문제풀이 방식으로 다시 풀어보면서 공부했다. 10기가에 가까운 압축파일들을 풀면 vmdk파일 한개와 덤프파일을 한개 준다. 문제(10개) 문서를 암호화한 랜섬웨어 파일 (전체 경로) 암호화된 파일은 모두 몇개 ? 암호 알고리즘과 모드 파일은 어디에서 다운로드 되었나?(URL, 프로토콜) 랜섬웨어 파일을 다운로드한 다운로더 다운로더는 언제 피씨에 다운로드됨 ? 다운로더는 어디에서 다운로드 ? (URL, 프로토콜) 문서를 암호화한 키가 저장되있는 db, 테이블명 문서를 암호화한 키는 뭐 ? 박부장의 ip 우선 덤프파일이 어떤것인지 분석하기 위해 volatility 툴을 사용했다.덤프파..

넷캣(Netcat)은 TCP나 UDP 프로토콜을 사용하는 네트워크 연결에서 데이터를읽고 쓰는 간단한 유틸리티 프로그램이다. 일반적으로는 UNIX의 cat과 비슷한사용법을 가지고 있지만 cat이 파일에 쓰거나 읽듯이 nc는 network connection에 읽거나 쓴다. 이것은 스크립트와 병용하여 network에 대한 debugging,testing tool로써 매우 편리하지만 반면 해킹에도 이용범위가 넓다. connect to somewhere: listen for inbound:nc [-options] hostname port[s] [ports] ...nc -l -p port [-options] [hostname] [port][ 옵션 ][ 설명 ]-c shell commandsas `-e'; use ..

일반 가정용 인터넷망을 이용하는 경우에는 ISP에서 별도로 보안정책을 두고 있지 않아 VPN으로 접속하는데 대부분 문제가 없지만, 기업이나 학교와 같은 기관 네트워크를 이용해 대회에 참가하는 경우에는 VPN연결이 제한되는 경우가 있습니다. 사전에 네트워크를 관리하는 부서에 연락하셔서 PPTP VPN 사용시 필요한 네트워크 포트와 프로토콜 즉, Outbound TCP 1723 포트와 GRE프로토콜과 OpenVPN 사용시 필요한 네트워크 포트와 프로토콜 OutBound UDP 1194 포트가 차단되지 않는 환경인지를 반드시!! 꼭!! 확인하셔야 합니다.[출처] VPN관련|작성자 튜기