📘 [STUDY] 포렌식

[ 포렌식 ] 윈도우 폴더 구조

1. 개요 포렌식 공부를 하며 윈도우 포렌식을 위해 필수로 알아야 할 윈도우의 폴더 별 역할과 기능을 정리함 여러 사이트를 돌아다니며 묶어 정리한 내용으로, 하단 출처를 통해 원본과 함께 정리하며 공부함 2. 주요 폴더 2-1. 시스템 폴더 운영체제 사용자 프로필 폴더 기본 시스템 폴더 Windows 9x / ME X C:\Windows Windows NT C:\WINNT\Profiles C:\WINNT Windows 2000 C:\Documents and Settings Windows XP C:\Windows Windows Vista / 7 / 8 / 10 / 11 C:\Users Windows NT 이전: 개인 사용자 목적 OS -> 다중 사용자에 대한 경우를 생각하지 않아도 되기 때문에 별도의 사용..

[ XCZ ] Prob22 - Write Up

이미지 파일을 통해 사용자의 위치이동기록(?)을 찾는 문제인 것 같다 우선 이미지를 다운받아 FTK Imager로 열었다. 안열린다 (...) 혹시나 이미지 파일인가 싶어 위에있는 Image Mounting도 시켜보았으나 실패했다. 내가 문제인가 싶어 구글링을 시도했다 알고보니 확장자가 안붙어있어서 확장자를 확인한 후 확장자 붙이고 다시 열어야 한다고 한다. 바로 파일의 signature를 확인했다. 파일 시그니처는 41 44 53 45 였고, 사이트를 통해 확인한 결과 검색이 안된다 (...) 마지막으로 구글에 검색했다. 다행히 검색이 되어 ad1 확장자 임을 알 수 있었다. 파일에 확장자를 추가하니 파일이 열린다. FTK Imager로 데이터를 확인했다. 우선 바탕화면에 winhex와 XCZ 폴더, ..

[ Forensic ] 스터디맵

# 문제모음 1. Suninatas ( http://suninatas.com ) ㄴ 21번 | https://devwaffle.tistory.com/15 ㄴ 30번 | https://devwaffle.tistory.com/23 2. XCZ ( http://xcz.kr ) 3. DigitalForensic with CTF ( http://www.ctf-d.com/Notice ) 4. Cyber Defenders ( https://learn.cyberdefenders.org/ ) 5. Dreamhack ( https://dreamhack.io/wargame/challenges/?tag=&page=1 ) 6. N0Named Wargame ( http://ctf.no-named.kr:1234/ ) ㄴ Magic..

[ 3주차 ] Suninatas - 30번

문제 분석 문제 풀이 우선 volatility를 사용하여 이미지 정보를 확인했다 사용되던 사용자의 프로파일은 Windows 7 32bit Service Pack 1이다. Service Profile: Win7SP1x86_23418 그 다음 문제에서 요구하는 정보들을 가져왔다. Q1) ip주소 확인 ip 주소를 확인하기위해 netscan을 실행했다. 여러 요청이 동일한 local network에서 보내진다. 따라서 해당 주소가 사용자의 ip주소일 것이다. A1) ip address: 192.168.197.138 Q2) 기밀문서 파일명 기밀문서는 다양한파일이 될 수 있으므로, pstree 명령을 사용하여 우선 실행된 프로그램을 확인했다. 사용된 프로그램 리스트를 확인한 결과 문서를 열 수 있는 프로그램은 ..

[ 2주차 ] N0Named Wargame - [B] 유출된 자료 거래 사건[4]

문제 분석 이전 문제에서 파일이 제공되었다: 문제 풀이 문제를 보자마자 3개의 파티션 중 손상되어있던 파티션이 떠올랐다. 또 Downloads 폴더에 VeraCrypt가 있던것을 미루어 볼 때, 암호화된 디스크 (혹은 파티션)을 해독하여 여는 것으로 추론했다. 하지만 이 파티션을 어떤식으로 마운트해 열어봐야할지 이해가 되지 않았다. 또 암호가 어디에 있는지도 몰랐다. 일단 숨겨뒀다고 했으니 사용기록이 있을것으로 보고 Log Tracker를 확인했다. 하지만 아무것도 못찾았다 (...) PPT를 둘러보던 중, 휴지통의 위치가 나와있는 것을 확인했다. 혹시나 하는 마음에 휴지통을 확인한 결과, 의미없는 사진 몇장들과 윈도우 패치 업데이트 파일, 그리고 텍스트 파일을 확인했다. 일단 1.txt 파일과 vc.t..