🔐 보안,정보보호

[ 포렌식 ] 윈도우 폴더 구조

1. 개요 포렌식 공부를 하며 윈도우 포렌식을 위해 필수로 알아야 할 윈도우의 폴더 별 역할과 기능을 정리함 여러 사이트를 돌아다니며 묶어 정리한 내용으로, 하단 출처를 통해 원본과 함께 정리하며 공부함 2. 주요 폴더 2-1. 시스템 폴더 운영체제 사용자 프로필 폴더 기본 시스템 폴더 Windows 9x / ME X C:\Windows Windows NT C:\WINNT\Profiles C:\WINNT Windows 2000 C:\Documents and Settings Windows XP C:\Windows Windows Vista / 7 / 8 / 10 / 11 C:\Users Windows NT 이전: 개인 사용자 목적 OS -> 다중 사용자에 대한 경우를 생각하지 않아도 되기 때문에 별도의 사용..

[ DoPwn ] Week3 - "military" Write Up

문자열을 3번 입력받고 Wrong..을 출력하는 프로그램이다. 코드 변환 결과를 통해 입력받은 데이터를 비교한 결과가 다르거나 'discharged_past'의 값이 550일 때 프로그램을 종료한다는 것을 알 수 있다. 따라서 둘다 조건을 만족할 수 있도록 해야한다. 따라서 아래와 같이 풀이과정을 계획했다. 1) 첫번째 입력에서 %p로 마지막 입력에서 입력해야 할 값을 알아낸다 2) 두번째 입력에서 discharged_past 값을 550으로 변경한다 3) 마지막 입력에서 첫번째 입력을 통해 알아낸 값을 입력한다 위와 같이 python 스크립트를 작성하여 1회 실행 후, 첫번째 출력을 통해 마지막 입력값을 알아냈다. 알아낸 값을 마지막 입력값으로 설정한 후, 자동으로 입력되도록 스크립트의 마지막을 수정한..

[ DoPwn ] Week3 - "ilovepwn" Write Up

숫자로 특정 위치를 입력하면 해당 위치의 데이터를 변경할 수 있는 프로그램이다. 코드 변환 결과를 통해 0 위치에 ASCII 값 35 (='#')를 넣으면 ILOVEPWN과 key를 비교하여 쉘함수를 실행할 수 있다는 것을 알 수 있다. +) strcmp는 같으면 0을 반환함으로 !를 붙은 상태가 같은 상태일 때를 말함 메모리에 저장되는 key와 fakekey의 위치 상 fakekey의 값이 변경되는 원리를 통해 key의 값을 변경하면 될 것이다. fakekey보다 key의 메모리 위치가 높으므로, 따라서 음수값을 넣어 데이터를 수정할 수 있다. 위와 같이 2바이트씩 한글자가 차지하고, 이런 원리로 8칸 더 위에 key값이 존재하므로, -9부터 -16까지 위에서 비교되는 "ILOVEPWN" 문자열을 반대..

[ DoPwn ] Week3 - "Part-time Job" Write Up

출력되는 메뉴에 따라 1~3은 각각 1, 2, 3씩 points 값 증가, 4는 points 값 1 감소 기능을 수행하는 프로그램이다. 우선 flag를 획득하는 방법을 알아보기 위해 IDA를 사용해 프로그램을 뜯어냈다. IDA를 통해 본래 C코드로 확인한 결과 v3과 v4의 데이터를 조작하여 프로그램이 구동되며, 입력받은 값이 특정 while문을 통해 system함수를 실행할 수 있음을 알았다. 따라서 아래 방법을 통해 flag를 획득할 수 있음을 알 수 있다. 1) v4값을 0x17D78400 (=400000000) 이상이 되도록 한다 2) v3값으로 999를 입력한다 3) shell에 flag 파일을 확인하는 명령어를 입력하여 flag를 취득한다 v4는 unsigned int이므로 4억번 힘들게 입력..

[ XCZ ] Prob22 - Write Up

이미지 파일을 통해 사용자의 위치이동기록(?)을 찾는 문제인 것 같다 우선 이미지를 다운받아 FTK Imager로 열었다. 안열린다 (...) 혹시나 이미지 파일인가 싶어 위에있는 Image Mounting도 시켜보았으나 실패했다. 내가 문제인가 싶어 구글링을 시도했다 알고보니 확장자가 안붙어있어서 확장자를 확인한 후 확장자 붙이고 다시 열어야 한다고 한다. 바로 파일의 signature를 확인했다. 파일 시그니처는 41 44 53 45 였고, 사이트를 통해 확인한 결과 검색이 안된다 (...) 마지막으로 구글에 검색했다. 다행히 검색이 되어 ad1 확장자 임을 알 수 있었다. 파일에 확장자를 추가하니 파일이 열린다. FTK Imager로 데이터를 확인했다. 우선 바탕화면에 winhex와 XCZ 폴더, ..