Information Security

문제 설명 최근 저희 고객으로부터 메모리 덤프 파일을 받았습니다. 고객이 자리를 비운 사이에 누군가 시스템에 접근하여 이상한 파일들에 접근한 것을 발견했다고 합니다. 해당 파일들을 찾으면 유용할 수 있을 것 같습니다. 고객의 말을 그대로 인용하자면 다음과 같습니다. "이름들이 알아볼 수 없었다. 알파벳과 숫자로 이루어져 있었지만 정확히 무엇인지 알아볼 수 없었다." 게다가 그는 평소에 가장 즐겨 사용하던 앱이 실행할 때마다 오류가 발생하는 것을 발견했습니다. 혹시 바이러스 때문일까요?참고-1 : 이 챌린지는 깃발 3개로 구성되어 있습니다. 두 번째 깃발을 얻는 게 끝이라고 생각하신다면, 절대 아닙니다!! :P참고-2 : 이 문제를 만들 때 작은 오류가 있었습니다. 만약 " L4B_3_D0n3 !! " 라..

문제 설명 최근 제 시스템이 해킹당했습니다. 해커가 많은 정보를 훔쳐갔을 뿐만 아니라 제 아주 중요한 파일도 삭제했습니다. 복구 방법을 전혀 모르겠습니다. 현재로서는 이 메모리 덤프 파일만이 유일한 증거입니다. 제발 도와주세요. 참고사항 : 이 챌린지는 1개의 플래그로만 구성됩니다. 이 랩의 플래그 형식은 다음과 같습니다. inctf{s0me_l33t_Str1ng} 메모리 덤프 파일의 운영체제를 확인하였습니다.python vol.py -f MemoryDump_Lab4.raw imageinfo pslist 플러그인을 이용하여 프로세스를 먼저 확인한 결과 StikyNote.exe 프로그램이 수상해 보입니다.python vol.py -f MemoryDump_Lab4.raw --profile Win7SP1x64..

문제 설명악성 스크립트가 제 시스템에 저장된 매우 비밀스러운 정보를 암호화했습니다. 정보를 복구해 주시겠습니까?참고사항-1 : 이 챌린지는 깃발 1개로만 구성되어 있습니다. 깃발은 2개로 나뉩니다.참고사항-2 : 두 번째 깃발을 얻으려면 첫 번째 깃발이 필요합니다.이 과제를 해결하려면 이 추가 도구가 필요합니다.$ sudo apt install steghide이 랩의 플래그 형식은 다음과 같습니다. inctf{s0me_l33t_Str1ng} 메모리 덤프파일의 운영체제 버전을 확인하였습니다.python vol.py -f MemoryDump_Lab3.raw imageinfo cmdline 플러그인을 이용하여 명령줄을 확인해 보았습니다.python vol.py -f MemoryDump_Lab3.raw --pr..

문제저희 회사 고객 중 한 명이 알 수 없는 오류로 인해 시스템 접근 권한을 잃었습니다. 그는 매우 유명한 "환경" 운동가로 알려져 있습니다. 조사 과정에서 그는 브라우저, 비밀번호 관리자 등을 주로 사용한다고 밝혔습니다. 이 메모리 덤프를 분석하여 그의 중요한 정보를 찾아 저희에게 보내주시면 감사하겠습니다.참고사항 : 이 챌린지는 3개의 플래그로 구성되어 있습니다. imageinfo 플러그인을 통해 메모리 이미지의 운영체제를 확인하였습니다.python vol.py -f MemoryDump_Lab2.raw imageinfo pslist 플러그인을 통해 프로세스 목록을 확인해 보면 Chrome.exe, KeePass.exe 프로세스들이 동작하는 것을 알 수 있습니다.python vol.py -f Memor..

문제 설명여동생의 컴퓨터가 고장 났어요. 다행히 이 메모리 덤프를 복구할 수 있었죠. 언니의 중요한 파일을 시스템에서 모두 가져오는 게 당신의 임무예요. 기억하기로는 갑자기 뭔가가 실행되고 있는 검은색 창이 떴어요. 컴퓨터가 고장 났을 때, 여동생은 뭔가를 그리려고 하고 있었어요. 그게 고장 당시에 대한 기억의 전부예요.참고사항 : 이 챌린지는 3개의 플래그로 구성되어 있습니다. imageinfo 플러그인을 이용하여 가장 먼저 운영 체제를 식별을 하였습니다.python vol.py -f MemoryDump_Lab1.raw imageinfo pslist 플러그인을 사용하여 프로세스를 확인했습니다. cmd.exe, mspaint.exe, WinRAR.exe 프로세스가 수상한 것을 알 수 있습니다.python..

filescan 플러그인을 사용하던 중 Flag.txt를 발견했다. Flag.txt를 추출했다. 해당 파일을 HxD를 이용해서 확인했다. ILSpy 프로그램에서 파일의 확장자가 .locked 이어야 한다는 것을 알았다. HiddenTearDecrypter 프로그램을 아래와 같이 사용했다. Flag 파일이 출력되는 것을 알 수 있다.

pslist를 통해 torrent가 동작하는 것을 알 수 있다. filescan을 통해 torrent 파일만 검색했다. 0x000000007dae9350 파일을 추출해보겠습니다. strings 명령어로 0x000000007dae9350 문자열을 확인했다.