Information Security

해당 네트워크 대역대에서 nmap 스캔을 사용했다. 192.168.219.165 주소에 80 port가 열려 있는 것을 확인하고 버전 정보를 확인했다. 192.168.219.165 접속 시 페이지가 접속되는 것을 알 수 있다. Contact 메뉴를 보면 Copyright@2019 에서 Copyright@2017로 변경된 것을 알 수 있다. file 변수에 /etc/passwd 입력 시 아래와 같이 passwd 파일 내용을 확인할 수 있다. nginx 로그 파일 access.log 파일을 보면 입력한 명령어가 로그에 보이는 것을 알 수 있다. 리버스 쉘을 이용하기 위해 PHP 코드로 access.log를 공격했다. netcat을 이용해 미리 Open한 7777 port로 접속이 된 것을 알 수 있다. Se..

file 명령어를 통해 문제 파일의 확장자를 확인했다. XZ 확장자를 가진 압축파일을 확인하고 확장자 변경 후 압축 파일을 풀었다. 한번 더 file 명령어를 통해 파일의 유형을 확인했다. Windows로 파일을 옮긴 후 16개의 압축파일에서 동일한 용량을 확인했지만 013.7Z 압축파일만 CRC가 다른 것을 알 수 있다. 압축을 풀면 이번에는 009.7z 파일만 CRC가 다른 것을 알 수 있다. 009.7z 압축을 풀면 0000007.7z만 다른 것을 알 수 있다. 0000007.7z 압축 파일을 풀면 0000000008.7z 파일만 다른 것을 알 수 있다. 0000000008.7z 압축을 풀면 bomb_08 파일이 다른 것을 알 수 있다. strings 명령어를 통해 FLAG 값을 확인했다.

filescan 플러그인을 사용하던 중 Flag.txt를 발견했다. Flag.txt를 추출했다. 해당 파일을 HxD를 이용해서 확인했다. ILSpy 프로그램에서 파일의 확장자가 .locked 이어야 한다는 것을 알았다. HiddenTearDecrypter 프로그램을 아래와 같이 사용했다. Flag 파일이 출력되는 것을 알 수 있다.

ILSpy에 넣어 password를 검색해보면 computerName-userName-password를 넘기는 것 같습니다. 해당 악성코드는 .net이기 때문에 UTF-16으로 인코딩하기 때문에 el 옵션을 통해 비밀번호를 추출했다. (windows 용 strings 는 -el 옵션을 사용하지 않습니다)

foremost 명령어를 이용해 이미지 파일을 출력했다. png 파일 안에 Flag 값을 확인할 수 있다.

vmware-tray.exe을 procdump 플러그인을 이용해 덤프를 떴다. .Net assembly 파일 디컴파일인 ILSpy를 이용해서 디컴파일 해보면 해당 코드에 비트코인 주소 1MmpEmebJkqXG8nQv4cjJSmxZQFVmFo63M 이라는 것을 알 수 있습니다.

filescan을 이용해 Chrome의 History 파일을 찾았다. dumpfile을 만들었다. DB Browser for SQLite를 이용해서 DB 파일을 열어 보았다. site_url 이라는 칼럼이 존재하는데 아래의 쿼리문을 입력했다. strings 명령어를 통해 @mail.com 검색했다. mail.com에 접속해 이메일을 확인할 수 있다.

pslist를 통해 torrent가 동작하는 것을 알 수 있다. filescan을 통해 torrent 파일만 검색했다. 0x000000007dae9350 파일을 추출해보겠습니다. strings 명령어로 0x000000007dae9350 문자열을 확인했다.