📘 [STUDY] 포렌식/하계 교육 [후이즈: 포렌식] (2021)

[ 3주차 ] Suninatas - 30번

문제 분석 문제 풀이 우선 volatility를 사용하여 이미지 정보를 확인했다 사용되던 사용자의 프로파일은 Windows 7 32bit Service Pack 1이다. Service Profile: Win7SP1x86_23418 그 다음 문제에서 요구하는 정보들을 가져왔다. Q1) ip주소 확인 ip 주소를 확인하기위해 netscan을 실행했다. 여러 요청이 동일한 local network에서 보내진다. 따라서 해당 주소가 사용자의 ip주소일 것이다. A1) ip address: 192.168.197.138 Q2) 기밀문서 파일명 기밀문서는 다양한파일이 될 수 있으므로, pstree 명령을 사용하여 우선 실행된 프로그램을 확인했다. 사용된 프로그램 리스트를 확인한 결과 문서를 열 수 있는 프로그램은 ..

[ 2주차 ] N0Named Wargame - [B] 유출된 자료 거래 사건[4]

문제 분석 이전 문제에서 파일이 제공되었다: 문제 풀이 문제를 보자마자 3개의 파티션 중 손상되어있던 파티션이 떠올랐다. 또 Downloads 폴더에 VeraCrypt가 있던것을 미루어 볼 때, 암호화된 디스크 (혹은 파티션)을 해독하여 여는 것으로 추론했다. 하지만 이 파티션을 어떤식으로 마운트해 열어봐야할지 이해가 되지 않았다. 또 암호가 어디에 있는지도 몰랐다. 일단 숨겨뒀다고 했으니 사용기록이 있을것으로 보고 Log Tracker를 확인했다. 하지만 아무것도 못찾았다 (...) PPT를 둘러보던 중, 휴지통의 위치가 나와있는 것을 확인했다. 혹시나 하는 마음에 휴지통을 확인한 결과, 의미없는 사진 몇장들과 윈도우 패치 업데이트 파일, 그리고 텍스트 파일을 확인했다. 일단 1.txt 파일과 vc.t..

[ 2주차 ] N0Named Wargame - [B] 유출된 자료 거래 사건[3]

문제 분석 이전 문제에서 파일이 제공되었다: 문제 풀이 앞서 NTFS Log Tracker를 주의깊게 보았다. 동거자가 존재했으므로, 동거자의 계정이 존재 및 사용되었을 것으로 예상하여 사용기록중 nonamed 계정이 아닌 다른 사용자 계정을 찾아보았다. 너무 당당하게 나와있었다. 따라서 다른 사용자의 이름은 cocktail임을 알 수 있었다. 다음에 알아내야 하는 것이 사용자 삭제 시점이다. 삭제 시점 등은 계정작업이므로 로그가 남았을 것으로 예상, evtx를 확인하기로 했다. 기본적인 기록파일을 포함해 그룹정책을 관리하는 모든 기록을 꺼냈다. 하지만 기록을 까서 읽어봐도 뭔말인지, 어떤 이벤트인지 이해하기 어려웠다. 그래서 현재 cocktile 사용자의 디렉토리는 남아있기 때문에, 레지스트리에도 사용..

[ 2주차 ] N0Named Wargame - [B] 유출된 자료 거래 사건[2]

문제 분석 이전 문제에서 파일이 제공되었다: 문제 풀이 우선 가상디스크 파일 안의 내용을 보기 위해 FTK Imager를 실행하여 열었다. 총 3개의 파티션으로 이루어져있으며, 순서대로 시스템 파티션, 주 파티션, 인식불가 파티션으로 이루어져 있다. 문제에서는 이름이 변경된 파일을 찾기를 원했다. 따라서 문제가 이름이 변경된 데이터를 찾길 원했으므로, 관련 기록을 확인했다. 교육 PPT에 관련된 내용이 있어, NTFS Log Tracker 툴을 구글링하여 사용했다. Tracker를 사용하기 위해 필요한 $LogFile, $MFT, $UsnJrnl:$J를 구하기 위해 /[root] 에서 $LogFIle 과 $MFT를, /[root]에서 $UsnJrnl을 추출했다. +) $LogFile을 통해 파일 생성/삭..

[ 2주차 ] N0Named Wargame - 우리의 추억들

문제 분석 문제 풀이 우선 문제에서 주어진 파일을 다운로드 받아 열면 아래와 같이 표시된다: 익숙한 ad1 파일이 보여 지체없이 바로 FTK Imager로 열었다. 우선 사진을 지웠다고 했으니, 휴지통을 뒤졌다. 여러 데이터들 중 레지스트리와 유튜브 썸네일 이미지를 찾았다. 이를 참고하여 Youtube 접속 기록을 레지스트리에서 찾는 것으로 확인, 크롬 접속기록을 들어갔다 (큰 실수) 우선 크롬 접속기록을 찾아 추출하고, DB Browser로 열었다. 총 5개의 youtube 접속 기록을 찾았다. 이제 얘네들의 썸네일 (?)이나 캐시파일을 찾으면 된다 (고 생각했다) 근데 캐시파일은 우리가 눈으로 확인 가능한 이미지 형태가 아니라는걸 구글링을 통해 알게 되었다 ( => 실패 ) 다시 원점으로 돌아가 레지..