[ 2주차 ] N0Named Wargame - [B] 유출된 자료 거래 사건[3]

문제 분석

 

---

문제 이미지

이전 문제에서 파일이 제공되었다:

 

제공된 파일

 

문제 풀이

---

 

앞서 NTFS Log Tracker를 주의깊게 보았다. 동거자가 존재했으므로, 동거자의 계정이 존재 및 사용되었을 것으로 예상하여 사용기록중 nonamed 계정이 아닌 다른 사용자 계정을 찾아보았다.

 

 

다른 사용자의 사용기록

너무 당당하게 나와있었다.

따라서 다른 사용자의 이름은 cocktail임을 알 수 있었다.

 

다음에 알아내야 하는 것이 사용자 삭제 시점이다. 삭제 시점 등은 계정작업이므로 로그가 남았을 것으로 예상, evtx를 확인하기로 했다.

 

 

기본적인 기록파일을 포함해 그룹정책을 관리하는 모든 기록을 꺼냈다.

하지만 기록을 까서 읽어봐도 뭔말인지, 어떤 이벤트인지 이해하기 어려웠다.

 

그래서 현재 cocktile 사용자의 디렉토리는 남아있기 때문에, 레지스트리에도 사용자의 정보가 남아있을것으로 추측, 레지스트리를 확인할 수 있는 REGA라는 프로그램을 사용하여 레지스트리를 열었다.

 

 

 

구글링을 통해 사용자 리스트가

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList

 

에 있다는 것을 알았다. 실제로 검색해서 들어가니 다행이도 기록이 남아 있었다.

마침 옆에 도구상자에 '시간 검색' 기능이 존재했고, 이를 사용하여 cocktail 사용자의 마지막 접속기록 이후의 로그를 전부 확인했다.

 

그중 23시 52분 27초에 최초로 계정 관련 명령이 실행된 것을 확인했다. (Account와 Users의 값이 변경된 기록을 확인했다.)

 

 

 

풀이 결과

---

Flag: NND{cocktail_0220.23:52:57}

Flag를 얻었다.