[ 3주차 ] Suninatas - 30번

문제 분석

 

---

문제 이미지

 

문제 풀이

---

우선 volatility를 사용하여 이미지 정보를 확인했다

 

imageinfo

 

사용되던 사용자의 프로파일은 Windows 7 32bit Service Pack 1이다.

 

Service Profile: Win7SP1x86_23418

 

 

그 다음 문제에서 요구하는 정보들을 가져왔다.

 

Q1) ip주소 확인

 

ip 주소를 확인하기위해 netscan을 실행했다.

 

 

netstat

여러 요청이 동일한 local network에서 보내진다.

따라서 해당 주소가 사용자의 ip주소일 것이다.

 

 

A1) ip address: 192.168.197.138

 

 

 

Q2) 기밀문서 파일명

 

기밀문서는 다양한파일이 될 수 있으므로, pstree 명령을 사용하여 우선 실행된 프로그램을 확인했다. 

 

pstree

사용된 프로그램 리스트를 확인한 결과 문서를 열 수 있는 프로그램은 notepad.txt밖에 없었다. 따라서 파일은 txt 파일과 같은 텍스트 파일 이라고 가정했다.

 

결과적으로 우리는 파일명이 필요하기 때문에, 파일들을 확인하기 위하여 filescan 명령을 사용했다.

 

filescan

 

스캔된 파일 리스트의  데이터들은 너무 많았다.

그래서 사용자들이 다수 접근하는 디렉토리들을 검색했다.

\Users까지 검색하자 사용자명 'training'을 알 수 있었고,

이를 기반으로

\Users\training\Desktop

\Users\training\Downloads

\Users\training\Documents

 

를 검색했다.

 

결과적으로  txt 파일을 하나 찾을 수 있었다.

 

A2) filename: SecreetDocument7.txt

 

나중에 알아낸 사실인데, 특정 확장자를 찾을 때에는 다음과 같은 옵션을 주면 된다고 한다:

 

filescan | findstr .txt

 

(괜히 하나하나 찾았다)

 

 

 

 

Q3) 파일 안에 있는 Key값 구하기

 

파일 안에 있는 데이터를 꺼내와야 하기 때문에, 데이터를 밖으로 끄집어내기로 했다.

dumpfile 명령어를 사용하여 아래와 같이 끄집어내는 것에 성공하였다.

 

하지만 텍스트파일이 나올것이라 생각했던 예상과는 달리, dat 파일이 나왔다.

다행히 파일명을 추출했던 파일명으로 변경하자, 데이터를 정상적으로 읽어올 수 있었다.

 

 

A3) Key: 4rmy_4irforce_N4vy

 

 

최종 결과들을 조합하여, 아래 키를 구할 수 있었다.

 

lowercase(MD5(192.168.197.138SecreetDocumen7.txt4rmy_4irforce_N4vy))

하지만 입력을 해도 정답으로 인식되지 않았다.

알고보니 MD5로 변환하고 소문자로 바꾼 값이 답이었다.

 

따라서 키를 구하였다.

 

 

 

풀이 결과

---

 

c152e3fb5a6882563231b00f21a8ed5f

Flag를 얻었다.