Information Security

OtterCTF.vem 메모리 덤프 파일을 imageinfo 플러그인을 사용했다. profile은 Win7SP1x64를 사용하고 password를 사용하기 위해 hivelist 파일의 가상 주소를 찾았다. 계정의 Password가 존재할 것 같은 SAM 파일과 SYSTEM파일을 Rick 사용자의 NTLM 크랙 했지만 아무것도 나오지 않았다. Password를 시스템 LSA 암호에 저장할 수도 있기 때문에 lsadump 플러그인을 이용해 조회했다. 윈도우 계정의 Password를 알아낼 수 있는 mimikatz를 이용해도 Password가 동일한 것을 알 수 있다.

for1.raw 메모리 덤프 파일을 imageinfo를 실행했다. filescan을 이용해 Desktop이 자주 보여 grep 명령어를 이용해 scan 하면 DS0394.jpg, steghide 파일이 수상해 보였다. steghide와 DS0394.jpg 파일이 있기 때문에 이미지 추출해서 steghide로 숨겨진 데이터를 추출을 시도해야 할 것 같다. 추출해낸 사진 파일을 보면 하단에 29/08/2019라고 적혀있는 것을 알 수 있다. mimikatz 플러그인을 이용해 Password을 알아냈다. steghide를 이용해 추출하려고 시도했다. 비밀번호 Messi2020를 입력 시 실패했다. 그래서 사진의 2019라고 적혀 있어 Messi2019를 입력 시 이미지가 추출됐다. image.info 사진 파..