Information Security

Project1.exe 프로그램을 실행시킨 후 2345를 입력했는 데 반응이 없었다. 올리디버거 프로그램을 이용해 command strings 문자열을 확인했는데 "913465"라는 값을 확인했다. 913465를 입력 시 Congratulation! 메시지를 확인했다.

다운로드한 pdf 파일을 PDF Stream Dumper 도구를 사용하여 열어보았다. 37번째 object에서 base64 자바 스크립트 코드를 확인할 수 있다. base64를 계속 복호화를 시도했는 데 key가 아니라는 것을 알 수 있다. 39번째 object에서 PDF 헤더를 확인할 수 있다. 39번째 object에서 "Save Decompressed Strem" 기능을 이용해 pdf 파일을 추출을 시도했는 데 잠금이 되어 있는 것을 알 수 있다. https://pdf.io/ko/unlock/사이트를 이용해 pdf 잠금을 해제했다. 잠금 해제 pdf 파일을 다시 PDF Stream Dumper 프로그램을 이용해 열어보았는데 FLAG 값을 확인할 수 있다. MD5(SunINatAsGOodWeLL!@#$..

볼라티릴티 설치 후 imageinfo를 확인했다. imageinfo를 통해 Win7SP1x86를 확인한 내용 입력 후 IP와 port를 확인하기 위해 netscan 명령어를 사용했다. 프로세스를 확인하기 위해 pstree 명령어를 사용했는데 cmd에서 notepad.exe 실행한 것을 알 수 있다. cmd에서 어떤 행동을 했는 지 확인하기 위해 cmdscan을 실행했다. 데이터 복구를 위해 R-Studio 프로그램을 설치해 cmdscan 한 경로를 확인한 결과 ScreetDoumen7.txt 파일을 확인했다. ScreetDoumen7.txt 파일에서 FLAG값을 확인할 수 있었다. Key is "4rmy_4irforce_N4vy" Q1 : IP 주소 - 192.168.197.138 Q2 : 파일 명 - ..

파일을 다운로드하여 HxD로 열어보았다. 확장자를 zip으로 바꾸어 열어보았다. VMware 파일을 실행시키면 30초 후 shutdown 된다는 메시지를 확인할 수 있다. 메모장에 적힌 내용을 확인했다. shutdown을 멈추게 하고 www.naver.com 접속 시 사이트가 차단되어 있는 것을 알 수 있다. 1번 문제를 풀기위해 hosts 파일 위치에 들어가 보니 hosts.txt 파일 확인할 수 있다. hosts.txt 파일이 수상해서 숨김파일 보이게 했는데 진짜 hosts 파일을 확인할 수 있었다. Key 값 what_the_he11_1s_keey 키 값을 확인할 수 있다. 최근 파일 v1valv 폴더가 수상해 보였다. 폴더에 들어가서 사진 파일을 열어보면 키로거 경로가 보이는 사진 파일을 확인할 ..

down 클릭 시 So_Simple.zip 파일을 열었는데 비밀번호가 걸려있는 것을 알 수 있다. Hxd 프로그램을 이용하여 So_Simple.zip 파일을 열어보았다. 암호에 대한 부분 09 08 모든 부분을 00 00 으로 변경했다. 비밀번호 없이 압축이 풀리는 것을 알 수 있다. Am_I_key 압축파일을 보면 There_is_key.txt 파일이 있는 것을 알 수 있다. There_is_key.txt 파일을 보면 base64로 암호화되어 있는 것을 알 수 있다. dGE1dHlfSDR6M2xudXRfY29mZmVI base64 디코딩한 결과 ta5ty_H4z3Inut_coffee 값을 얻을 수 있다.

빈도 분석을 통해 암호문을 복호화해야 하는 것 같다. (https://quipqiup.com/)

이미지 파일을 크기가 비 정상적으로 크다는 것을 알 수 있다. foremost는 데이터 복구를 위한 카빙(Carving) 툴이다. monitor 사진 파일에서 사진을 추출된 것을 알 수 있다. 추출된 파일을 보게 되면 글자를 확인할 수 있다. X-Ways hex editor 도구인 WinHex 도구를 이용하면 쉽게 파일을 카빙 할 수 있다. (Tools - Disk Tools - File Recovery by Type) 이미지 추출 옵션 설정을 한다. monitor.jpg 파일 안의 다른 jpg 파일들을 추출된 것을 알 수 있다.

covert 사이트를 통하여 해당 바이너리를 문자열로 변환해보았다. NVCTFDV KF JLEZERKRJ REU KFURP ZJ R XFFU URP REU RLKYBVP ZJ GCRZUTKWZJMVIPYRIU http://www.unit-conversion.info/texttools/convert-text-to-binary/ 카이사르 암호화를 복호화해보았다. (http://theblob.org/rot.cgi)