ssoL2 TISTORY

디지털 포렌식을 하는 데 있어 컴퓨터의 내부 환경에 대한 깊은 지식은 핵심이다. 1. 비트와 바이트 컴퓨터는 바이너리 라고 불리는 2진수 언어를 사용한다. 사람들은 10진수(0~9까지의 숫자) / 컴퓨터는 신속하게 계산하기 위해 비트 여러 개 = 바이트(8 bit) 각 문자, 숫자, 스페이스, 특수 문자는 하나의 바이트로 표시 - 헥사데시멀 바이너리를 16진수로 편하기 표시할 수 있는 방법(숫자 0~9 그리고 문자 A~F) 앞에 "0x" 라는 문자가 붙거나 뒤에 "h"가 붙음 - 바이너리에서 문자로: ASHCII와 유니코드 컴퓨터는 인코딩(encoding)을 이용하여 바이너리를 사람이 읽을 수 있는 문자로 변환 ASCII(the American Standard Code for Information Int..

문제 : 조별과제 ppt 있는데 숨겨진 메세지 찾자 1_n.pptx를 열면 짱구가 반겨준다. 그러나 여기에 숨겨져 있는 메세지가 있단 사실~ pptx 속성을 보니까 5장의 슬라이드에 글자도 몇 개 없는데 209개의 단어가 나온 것보고 흠 뭔가 숨겨져 있구나 생각 파일 분리되는 거 있나 확인하려고 바로 foremost 명령어 때림 보니까 pptx 그대로 나오고 거기서 png 2개 추출된 듯 하다. 하나는 짱구고 하나는 Flag~ 야호 끝 ZIP, DOCX, PPTX, XLSX, JAR 등 모두 헤더 시그니처가 50 4B 03 04로 동일하다 forensic-proof.com/archives/300

문제 : 어디 회사를 갈지 찾자 다운 받은 FINDAJOB.ZIP 압출 풀려고 하는데 오류남 -> 막아놓은듯 HxD로 살펴보자 ZIP 파일 구조를 찾아보니 [Local Header - File Data]-...-[Central Directory]-[End of Central Directory] 구조이다. 이때, ZIP의 로컬 헤더 시그니처는 50 4B 03 04이다. 자세한 ZIP 파일 구조는 아래 출처에서 볼 수 있다. jmoon.co.kr/48 역시나 헤더 시그니처가 잘못되어있다. 50 50 -> 50 4B로 바꾸자 FINDAJOB.TXT에서 건물 그림 사이에 있는 알파벳이 KET이다. (문제 풀이보다 KEY 찾는게 더 어려움) 끝

re : xeh_desrev 설명보면 png 복구하라고 나와 있다. (제목에도 힌트가 존재함 잘 보자 >> 거꾸로 하면 versed_hex : re -> reversed_hex) 헤더 시그니처부터 이상 근데 png 푸터 시그니처가 49 45 4E 44 AE 60 82 인데, 형광펜 칠해놓은 것과 반대로 되어 있음 거꾸로 돌려 놓자 파이썬 + 계산기 이용 굿 png로 돌아왔다 오예 끝

# 2주차는 1주차 풀이 보충 및 공부 X 공부 1. 윈도우 포렌식 도구들 사용법 익히기 2. windows prefetch 가 무엇인지, 어디에 저장되는지 알아보기 (www.forensic-artifact.com/windows-forensics/prefetch) 1. 윈도우 포렌식 도구 1) FTK Imager : 수집된 데이터의 무결성을 보장하기 위해서 정확한 복사본(포렌식 이미지)를 생성하는 도구 더불어 데이터 사전 분석과 정보 검색 RAM 같은 휘발성 데이터 수집도 가능 - 하드 디스크 뿐만 아니라 아래의 저장 장치에서도 데이터 수집 가능 자기미디어 광학 미디어 대체 미디어 플로피 디스크 CD MP3 플레이어 하드 드라이브 CD-R 또는 CD-RW 태블릿 USB/PC 카드 DVD 스마트폰 ZIP ..

너 음악 좋아하니? Hint : Authkey는 파일 안에 숨겨져 있다. 노래는 나비-diary 문제 풀면서 거의 4번은 들은 듯.. 노래 너무 오랜만이고 ~^^! 사실 위 사진에서 소리 조절 오른쪽에 설정 누르면 '다운로드'가 있던데 처음에는 몰라서 주소로 mp3를 다운받았다. 흠 역시 실행은 안되고.. file 명령어를 통해 파일 정보를 알아보자. 음..Audio 파일이고.. MPEG ADTS를 포함하고 있고.. 딱히 뭔가 중요해보이는 건 없어보이는데,, 그나마 MPEG랑 ADTS가 뭔지 알아보자 MPEG : 음... 대충 보니 비디오 혹은 음악 파일을 압축하기 위해 모인 그룹으로, 배포하기 위해서 높은 용량을 줄이기 위한 목적이다. ADTS : ACC가 압축된 음성 데이터라면, 이에 대응하는 헤더 ..

suninatas의 비밀번호를 아니? 다운 받아보니 tar 확장자 tar 는 여러 개의 파일을 하나의 파일로 묶거나 풀 때 사용하는 명령 ! Tape ARchiver 의 앞글자를 따서 TAR !! -> 파일 전송 시 여러 개이면 관리 복잡해지니까 하나로 합쳐서 처리하기 위한 목적 보통 리눅스나 SSH 환경에서 사용되며, 실제로는 "압축" 하지는 않고 하나의 파일로 묶는 용도일 뿐이다! tar를 통해 하나로 합쳐진 파일은 gzip 또은 bzip2 방식으로 압축 가능 gzip일 경우 .tar.gz 이며, bzip2일 경우, .tar.bz2 이다 !! 혹시 그래서 하나로 합쳐져 있다길래 foremost로 분리될 까 싶어 해봤지만 어떠한 것도 추출되지 않았다 !!! tar -> foremost XXX 따라서 t..

noperfectsecurity.tistory.com/136

아 ㅋㅋ 입사 테스트[1]로 착각하고 헤맸네 ㅇ.ㅇ;;;;;;;;;;;;;; 문제 ㅎㅇ영 설명대로 이미지 파일을 복구 하면 되겠구만 ^^! task.jpg 다운로드~~~ 역시 지원이 안되는구만 ^^ 일단 HxD로 살펴보자구~! 일단 보니까 헤더 시그니처가 JPG도 아님 근데 자세히 보니 PNG랑 더 가까움 JPG : FF D8 FF E0 xx xx 4A 46 헤더 : 89 4A 50 47 0D 0A 1A 0A PNG : 89 50 4E 47 0D 0A 1A 0A => 헤더를 JPG 말고 PNG로 바꾸자 PNG 헤더 시그니처로 바꿈 ㅇㅇ 오 지원하지 않던 형식이 검은 바탕이 나타남 올ㅋ 그래도 이번엔 크기 형식도 작고 괜춘한디,,,,,,,,,,,,,,,,그럼 TrewkPNG로 살펴보자 TrewkPNG : ..

문제 두둥등장 ~~~~~~~~~~~~~~~~~ 설명 그대로 PNG를 복구해봅시다~~ ????????? 사진이 안보임 파일 형식이 지원되지 않나봄 WHAT? PNG 형식인데 왜 안보이냐,,, 일단 HxD로 PNG 구조를 살펴보자 ??????????? ㄷ ㄷ PNG 헤더 시그니처는 "89 50 4E 47 0D 0A 1A 0A" 인데 mandu.png에서는 다름 => 제대로 수정하자 수정함 저장하고 사진 나오는지 확인해보자 개꿀~~~ 쉽구마잉 ^~^* Yeah~!

21번 문제 두둥등장 언뜻보니 메모장에 Solution Key가 적혀 있는데 자로 가려져 있음 일단 사진 저장 ㄱ [Downloads] 에 저장된 monitor.jpg 오늘 저장한 다른 jpg 사진들 보다 특히나 큰 크기 => 의구심 up ubuntu에서 foremost 명령어를 이용해 숨겨진 파일이 있는지 확인해보자 output directory 생김 !! 들어가보자 audit.txt와 jpg directory 생김 !! audit.txt 살펴보니 오홍 ~ 8개의 JPG 파일이 두둥등장 !!!!!!!!!!!!!!!! 그럼 아까 JPG directory 안에 8개의 사진 파일이 있나보다 ~! 역싀...^^* 8개 파일 있었구만 ^^ 무슨 사진인지 확인해봐야징~~~~ 따라란~~~~~ 자로 다양한 각도로 찍..

공부 1. 주요 파일들의 헤더/푸터 시그니처 공부 2. HxD, foremost 도구 사용법 3. PNG, APNG 파일 구조 1. 주요 파일들의 헤더/푸터 시그니처 공부 - 파일의 데이터를 사용하기 위해 관련 소프트웨어를 이용 -> 이러한 소프트웨어들은 각각 자신만의 고유한 파일 포맷을 만들어 사용 -> 소프트웨어가 어떤 파일을 읽을 수 있다면, 해당 파일의 포맷을 해석 할 수 있다는 뜻 - 파일 시그니처(File Signature) : 파일들은 각각 고유한 포맷을 가지고 있는데, 포맷의 기본이 되는 내용 - 파일의 가장 처음 위치하는 특정 바이트들도 파일 포맷을 구분하기 위해 사용됨 - 파일 시그니처는 파일 처음 뿐만 아니라 마지막에도 존재하는 포맷도 있음 -> 파일 처음에 존재하는 시그니처 : 헤더..