광팔이 보안이야기

파일을 다운로드하면 file_deleted.7z 압축 파일을 다운로드할 수 있다. 압축을 pc방의 데이터를 얻을 수 있다. 이제 FTK Imager을 사용해 보자. 파일을 찾아보는 도중 의심가는 파일을 하나 찾았다. s3c3r7.avi.lnk 링크 파일이 있다. 총 5가지의 정보를 얻어야 한다. 이제 링크 파일을 분석해보자. 1. 경로 2. 만들어진 시간 3. 마지막 실행된 시간 4. 쓰기 시간 5. 볼륨 시리얼 1. 경로 파일의 경로는 바로 보인다. 경로 : H:\study\s3c3r7.avi lnk 파일 경험은 없어 Insec security의 정보를 보고 공부했다. * lnk 파일 헤더 구조 link header 4C 00 00 00 / header size 01 14 02 00 00 00 00 0..

파일을 다운로드하면 format_it.zip 압축 파일을 다운로드할 수 있다. 압축을 풀면 flag.rar 파일과 이름없는 파일 하나가 있다. flag.rar 파일은 생성이 된다. 하지만 이름 없는 파일은 생성이 안된다. 파일 구조를 건들어서 파일 하나를 생성 못하는 것 같다. 일단 format_it.zip을 HxD로 열어보자. 문제를 풀기 위해서는 zip 파일의 구조를 먼저 공부를 해야 한다. format_it.zip 압축 파일에는 총두 개의 파일이 존재하니 구조를 보면 local header 2개 / central header 2개 / footer 1개 존재해야 한다. local header의 hex 값은 50 4B 03 04 central header 의 hex 값은 50 4B 01 02 foote..

prob page와 source page 두 개를 준다. 일단 두 개다 들어가 보면 하나는 php가 실행된 사이트, 하나는 그 사이트에 대한 소스코드이다. 일단 소스코드 부터 살펴보자. 소스코드를 보면 GET 요청의 a가 ""이면 WUT? 31337? 문구가 나온다. isset이라는 함수를 처음 봤는데... 찾아보니까 여기서는 엄청 중요하다. isset함수는 변수에 값이 있는지 없는지를 확인해준다. 즉, a의 값이 없으면 flase로 가서 else 문을 실행을 하고 값이 있으면 key를 주는 것이다. key를 받으려면 값을 적어주면 되는데 ? 안에 0~9 아무숫자를 넣어주면 플래그를 얻을 수 있다. ?의 수는 총 29개이다. 플래그 값 : 8a3d223721fe4e1db2d8dbad9d0b6dda

파일을 다운로드하면 prob30.dll 파일을 받을 수 있다. 올리 디버그를 열어 파일을 열어보았다. 문자열을 찾아보니 the key is ::::라는 게 보였다. 혹시나 해서 BP를 걸면 플래그를 얻을 수 있을까 했지만 얻지 못하고 새로운 사실을 하나 확인할 수 있었다. BP를 걸었던 부분의 코드는 실행을 하지 않는 것이었다. 점프문을 반대로 따라가 보니 함수를 불러오는 부분까지 갈 수 있었다. 이제 여기서 생각을 해보면 dll파일을 그냥 실행시키면 내가 원하는 부분의 함수를 가지 않아 the key is...라는 문구를 얻지 못했던 것이다. 그럼 이제 강제로 함수를 실행시켜 보면 플래그를 얻을 수 있을 것이다. 72E2100A에 new origin here을 실행 시키면 이 부분부터 실행시킬 수 있다..

파일을 다운로드하면 prob29.png 파일을 다운로드할 수 있다. 어디서 본적이 있는 이미지이다... 친구가 책에 그림 그릴 때 이런 표를 보고 그림을 그리는 걸 본 적이 있다. 알아보니 노노그램이라는 일본의 퍼즐 게임이라고 한다. 노가다 성공... qr 코드를 얻을 수 있고 qr 코드를 찍으면 이미지 하나를 준다. 플레그를 얻을 수 있다. 플레그 값 : I_hate_N0nOgr4nn

파일을 다운로드하면 contact.pcap 파일을 다운로드할 수 있다. pcap 파일을 보고 ip / 포트 / 키 를 찾아야 겠다. pcap 파일을 열기 위해 NetworkMiner을 사용했다. 파일을 살펴보다 Chat.exe 파일을 발견했다. xcz.kr(1.234.80.148)에서 192.168.0.123이 Chat.exe 파일을 다운로드한 것을 볼 수 있다. 이제 192.168.0.123을 보면 MAC OS(14.40.84.156)에서 통신이 들어온 것을 볼 수 있다. 여기서 패킷의 통신을 찾아보려 했지만 networkminer에서는 안 보는데 whwireshark에서는 보인다... 이유를 모르겠다... 진짜 삽질 많이 했는데 이래서 wireshark가 정말 좋다고 하는 건가... 이제 wiresh..