스터디/프로젝트/세미나

Wireshark가 무엇인지, 어떤 기능이 있는지 정리해두고, 실습은 직접 패킷을 캡처해서 필터를 걸어보는 것까지 다룰 예정이다.1. Wireshark 화면 구성Wireshark는 네트워크를 지나가는 패킷을 수집하고 분석하는 도구이다. 포렌식 문제에서는 이미 캡처된 .pcap / .pcapng 파일을 여는 경우가 대부분이다.화면은 크게 세 개의 창으로 나뉜다. 창 역할Packet List캡처된 패킷이 한 줄씩 나열된다. 번호, 시간, 출발지, 목적지, 프로토콜, 길이, 요약 정보가 보인다.Packet Details선택한 패킷을 계층별(Frame, Ethernet, IP, TCP, 응용 계층)로 펼쳐서 볼 수 있다.Packet Bytes선택한 패킷의 원본 데이터를 16진수와 ASCII로 보여준다.Packe..

문제 설명 Do shark sleep? 문제파일은 다음과 같다.📂 478b95f8-2945-4999-8c00-3b79643a57c1 └─📄 dump.pcap >1. dump.pcap Wireshark로 분석하기2. Flag 찾기 1. dump.pcap Wireshark로 분석하기주어진 파일을 Wireshark로 열어보면 다음과 같다. 패킷 분석 경험이 없어 아직 흐름을 읽을 수는 없지만, 문외한의 입장에서 겉보기에 수상해 보이는 패킷들 먼저 분석해보기로 했다. 쿼리문을 보낸 것 같아보이는데, URL로 인코딩까지 되어있다. 차례대로 디코딩 후 분석해보면 아래와 같다.SELECT IF( ASCII(SUBSTRING((SELECT flag FROM s3cr3t LIMIT 1), 5, 1)) = 156..

access.log 파일이 무엇인지, 어떤 내용을 담고 있고, 보는 법 까지는 문제을 풀면서 정리 해두었기에 추가 공부글에선 문제 풀이 글에서 중간중간 생략된 부분들을 다룰 예정이다. 1. 정확한 이벤트의 해석 아래 사진 속 로그 기록들의 한줄 한줄을 로그 라인, 또는 이벤트 라고 한다. 문제 풀이에서 했던 이벤트 해석을 좀 더 자세 해보겠다. 해석을 위해 뽑은 이벤트는 아래와 같았다. 172.20.0.1 - - [26/Apr/2024:17:38:39 +0000] "GET /vulnerabilities/sqli/?id=1%29%29%20AS%20StWF%20WHERE%202270%3D2270%20AND%20EXP%28%7E%28SELECT%20%2A%20FROM%20%28SELECT%20CONCAT%28..

문제 설명 당신은 이번 해킹 사건의 분석을 담당하게 되었습니다.그런데 access.log 파일 하나만이 제공 가능하다고 합니다.과연 분석을 마치고 플래그를 찾아낼 수 있을까요? 문제파일은 다음과 같다.📂 72c81a85-7938-4771-8d65-4907a17e6d12 └─📄 access.log >1. access.log 파일 열고, 정보 종합해서 flag 획득하기 1. access.log 파일 열고, 정보 종합해서 flag 획득하기 access.log 파일은 웹 서버나 애플리케이션에 들어온 모든 클라이언트의 요청(접속) 기록을 순서대로 저장하는 파일이다. 한 파일 안에 모든 기록을 저장하기 때문에 아래 사진과 같이 수많은 기록들이 저장되어 있는 것을 볼 수 있다. access.log 파일을 분석하려..

※ 해당 글의 모든 이미지는 AI 를 활용하여 생성한 것 임을 밝힙니다.1. FAT32 파일 시스템 구조전체적인 구조는 아래와 같다. 위의 표는 참고용으로 만들었고, 아래 표에서 각 오프셋 당 역할을 자세히 알 수 있다. 표를 보면 DreamHack_VBR 을 풀때 보았던 특정 오프셋의 역할도 알 수 있다. A: 파일시스템이 FAT32면 1, NTFS면 2B: 해당 볼륨의 크기C: 볼륨 시리얼 번호A 는 0x52 부터 8바이트에 있는 BS_FilSysType 필드에서 해당 파일 시스템의 포멧이 FAT32 인것을 알 수 있었다.(HxD 의 경우에는 'Decoded text' 칸에서 한눈에 볼 수 있었다.) B 는 0x0B 부터 2 바이트에 있는 섹터당 바이트와 0x20 부터 4바이트에 있는 볼륜 전체 섹..

문제 설명주어진 VBR을 분석하고, 플래그를 계산하시오.FLAG = DH{(A + B + C)} (단, 더한 값을 십진수로 변환할 것)A: 파일시스템이 FAT32면 1, NTFS면 2B: 해당 볼륨의 크기C: 볼륨 시리얼 번호 문제파일은 다음과 같다.📂 6db84336-bc21-44ea-93a6-a56c7eaec0e6 └─📄 vbr.bin >1. HxD로 bin파일 열고, 정보 종합해서 flag 획득하기 1. HxD로 bin파일 열고, 정보 종합해서 flag 획득하기 HxD 로 열어서, 분석을 시작하겠다. 제일 먼저, 해당 bin 파일이 'FAT32' 파일 시스템인 것을 확인할 수 있다. 그리고 오프셋의 0x43 ~ 0x46 부분에서 볼륨 시리얼 번호가 '0x0EA8EE8A' 것도 확인할 수 있다...

1. edb 파일의 개념과 특징먼저, Windows.edb 파일은 윈도우 색인 파일로, 검색추 속도를 빠르게 하려고 만든 인덱스 정보가 저장되는 파일이다. 문제 설명에서도 언급된 'Windows + S(검색 단축키)'를 사용하면 사용자가 검색창을 열어 원하는 단어를 입력할 수 있다. 이때 Windows는 빠르게 검색 결과를 제공하기 위해 미리 파일 및 검색 대상 데이터에 대한 정보를 인덱싱해 두는데, 이러한 인덱스 데이터베이스가 바로 Windows.edb 파일이다. 즉, 사용자가 검색창에 단어를 입력하는 순간 Windows.edb에 저장된 인덱스를 활용하여 빠르게 검색 결과를 찾아내는 것이다.※ 검색을하지 않아도 기본적으로 윈도우가 지정한 '색인 범위'에 포함된 폴더라면 자동 수집 대상이 된다. flag..

문제 설명Do you know "Windows Search" with (windows + s) command?Find the flag.txt! 문제파일은 다음과 같다.📂 075c1f6c-420c-4521-90f1-e5a16b048093 └─🗄️ Windows.edb >1. edb 파일 열기2. 분석 후 flag 발견 1. edb 파일 열기주어진 edb 파일을 ' NirSoft ESEDatabaseView' 를 사용하여 열어보면 csv 형태로 edb 파일을 볼 수 있다. 2, 분석 후 flag 발견'CTRL + Q' 로 필터를 활성화 시키고, 'flag.txt' 를 검색하면 아래와 같이 나온다. 한 개씩 클릭하여 속성을 확인하다보면 플래그를 발견할 수 있다.

여름 방학 도중 진행된 졸업생 초청 특강에서 'e-Discovery'라는 개념을 처음 듣게 되었다.검찰청 포렌식팀에서 8년간 근무하신 선배님의 강연이어서 그런지, 디지털 포렌식을 공부하고 있는 나에게는 더욱 와닿았던 강연이었다. 강연의 마지막쯤에 선배님께서 '이디스커버리 제도가 국내에 도입된다면 디지털 포렌식의 영향은 더욱 커질 것'이라고 말씀하시던 것이 기억에 남아, e-Discovery에 대해 알아보기로 했다. 증거개시제도, 전자증거개시, 전자 디스커버리 등 다양한 이름으로 불리는 e-Discovery에 대해 알기 위해서는, 먼저 디스커버리 제도에 대해 간단히 짚고 넘어가야 할 것 같다. 위키백과의 정의에 따르면, 디스커버리 제도란 재판이 개시되기 전에 당사자 서로가 가진 증거와 서류를 상호 공개하여..

프로젝트 주제급발진 사고 디지털 포렌식 수사를 위한 신뢰성 확보 장치 및 분석 절차 제안주제 선정 계기대한민국에서 급발진 사고는 기술적·법적·데이터적 한계가 복합적으로 얽혀 있어 원인을 입증하기 매우 어렵다.실제로 공식적으로 급발진이 인정된 사례는 사실상 전무하며, 수사 및 재판 과정에서도 대부분 운전자의 페달 오조작으로 결론이 내려지는 경우가 많다. 특히 현행 입증 구조에서는 운전자가 '브레이크를 밟았다'는 사실을 스스로 증명해야 하는 경우가 많아 운전자에게 불리한 측면이 존재한다. 이에 따라 사고 당시의 운전 행위와 차량 상태를 객관적이고 신뢰성 있게 기록하여, 운전자가 자신의 무고를 입증할 수 있는 증거를 확보할 수 있는 장치와 디지털 포렌식 기반의 분석 방안이 필요하다.프로젝트 목표PEDAL-TR..