목록분류 전체보기 (203)
YeoPEVA
Defcon-2018 File Server - Basic File info : md5 / sha : (문제 풀이) Basic 1 해당 이미지의 볼륨 시리얼 번호를 물어보는 문제입니다. FTK-imager를 이용해 간단히 풀이가 가능했습니다. Answer : C096-2465 Basic 2 이미지와 같이 동본된, txt 파일을 통해 확인할 수 있습니다. Answer : Professor Frink Basic 3 이미지 누락... | (풀이하던 사진이 누락되어, 텍스트로 대체합니다... ㅠㅠ) 삭제 이벤트 로그 1102 Event ID 존재 X 로그인 흔적 | + 4625 이벤트 ID → 로그인 실패 흔적이 대다수를 차지 4624 이벤트 ID → 로그인 성공 필터링 확인시 mpowers administrat..
Defcon DFIR CTF 2019 Linux Forensic File info : md5 / sha : Defcon DFIR CTF 2019 1. 운영체제를 묻는 문제였습니다. autospy를 이용해 boot 디렉토리를 색인하고 확인하니, kali라는 것을 확인할 수 있었습니다. flag 2. autospy를 사용해, access.log를 뽑아냈습니다. md5 | access.log를 돌린 결과, 위처럼 md5 값을 확인할 수 있었습니다. flag 3. 자격 증명 | 계정 권한과 관련된 도구를 찾는 문제입니다. /root/Downloads 측에 위와 같이 미미카츠가 발견되었습니다. flag 4. super secret file을 제작했다고 해서, root 측에서 .bash_history를 통해, 분석..
Defcon DFIR CTF 2019 Memory Forensic File info : md5 / sha : Defcon DFIR CTF 2019 1. get your volatility on 문제 파일의 SHA1 값을 알아내면 되는 문제. 간단히 shasum을 통해, sha1을 뽑아내고 풀었다. 2. pr0file 여러가지 제안하는 프로파일이 존재하는데 (imageinfo) 이 중, Win7SP1x64 프로파일을 인증했을 경우, 인증이 성공적으로 진행됬었습니다. 3. hey, write this down volatility pslist를 이용해서, pid (프로세스 ID)를 뽑아낸 다음, notepad를 확인해보면 위처럼 notepad PID를 확인할 수 있습니다. 4. wscript can haz c..
Defcon DFIR CTF 2019 Triage Vm File info : md5 / sha : Defcon DFIR CTF 2019 몇몇 문제는 직접 부팅해서 확인하는 특이한..? 방식으로 풀이를 진행했고, 한번 풀다가 잠시 접어두고, 다시 풀고 그래서, 중간에 풀이 방식이 조금 바뀔 수 있습니다. 1. Who's That User? User 이름을 물어보는 문제입니다. 그냥 부팅해서 풀었습니다 [...?] 다른 풀이 : autospy나 ftk 이용해서, SAM 레지스트리 뽑아서, 접근 가능. Answer : flag 2. Thee who logged in last C:\Windows\system32\config 로 접근하여 레지스트리를 뽑아낸 다음, SAM 레지스트리를 분석하면 됩니다. (REGA ..
Defcon-2019 | Deadbox Created: Feb 13, 2020 2:54 AM Tags: Defcon Defcon DFIR CTF 2019 Triage Vm File info : md5 / sha : Defcon DFIR CTF 2019 1. 누가 이미지 (E01)을 만들었는지 물어보는 문제입니다. 같이 포함되어 있는 텍스트 파일 확인을 통해, 간단히 해결할 수 있습니다. flag 2. 사용자가 사용하는 유저의 계정을 묻는 문제였습니다. REGA를 이용해 간단히 풀이할 수 있으며, FTK Imager를 이용해서, C:\Windows\System32\config 측에서 SAM 하이브 파일을 뽑아, 분석하여, 사용자 계정 정보를 체크 flag 3. 1번과 같이, 이미징 작업을 하면서 발생한 로..