CHIqueen

======= Difficulty level : Easy ======== A harmful ransomware script encrypted my precious text and hid it somewhere. I was going through some old photos when this incident happened. Luckily I was able to dump the memory as soon as I noticed something suspicious. Can you retrieve my data? Chall Link : https://goo.gl/uKLdkf ========== Authors : stuxn3t, cr4ck3t ========== 메모리 덤프파일이 주워 집니다.우선 이미지 ..

======= Difficulty level : Medium ======== Kevin sent me a file with some hidden message. Help me recover this secret from this bizzare network. ========== Authors : cr4ck3t ========== 먼저 bizz.pcap파일을 열어 줍니다. 패킷을 보다가 크기가 좀? 큰 ICMP패킷을 보았더니 504B0304로 시작하는게 눈에 띄어서 ICMP패킷을 필터링해서 보았습니다. 16번, 449번, 961번 패킷에서 값들을 복사해 다시 만들어 줍니다. 압축을 해재해 주면 inctf{_x0meTime3s_u_h4v3_t0_lOOk_3v3eryWh3r3_cl0s3r_T0_G3T_th3_..

======= Difficulty level : Easy ======== I have a friend named Jake.We were watching a football tournament on one fine chilly morning. Meanwhile Jake's sister Susan did something mischievous which cause Jake to lose some really important data. We could only find this piece of evidence, can you recover it for him? ========== Authors : cr4ck3t, stuxn3t ========== 우선 주어진 파일을 열어 봅시다. 별거 없습니다. binwal..

We received a communication from earth, let's analyse it:What is the carrier frequencyWhat is the name of the attackWhat is the exact url sent by this attack 먼저 문제파일을 audacity로 열어 줍니다.audacity 다운로드 : https://www.audacityteam.org/download/ 우리는 첫번째 문제로 carrier frequency를 알아보기 위해 전체 선택(Ctrl+A)이후 분석->스펙트럼 도식화로 주파수 분석을 해줍니다. 이론적으로 사람이 귀로 들을 수 있는 소리는 16000Hz까지 입니다. 하지만 분석창을 보면 16000Hz이후로 뭔가 잡히는것이 있습니다..

FileZilla는 FTP프로그램이다. %UserProfile%\AppData\Roaming\FileZilla 안에 파일 들이 있다. filezilla.xml과 recentsevers.xml를 주의깊게 보시면 됩니다. filezilla.xml에는 각종 설정 정보와 연결한 탭들의 정보가 들어 있습니다. recentservers.xml에는 최근 접속한 FTP의 정보가 간단하게 들어있습니다.

파워쉘은 따로 사용자가 입력했던 명령어를 기록해 둔다. 경로는 %UserProfile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt 이다. 기록의 예외도 있다. cmd를 통해 실행한 명령어인 경우 기록이 되지 않는다.예를 들어보자 shell을 통해 cmd /c powershell ls란 명령어를 치면 기록이 되지 않는다.

디스코드는 %UserProfile%\AppData\Roaming\discord\Local Storage 안에 "https_discordapp.com_0.localstorage" 파일을 남긴다. 이 파일은 SQLite3파일이며 DB browser for SQLite를 통해 열어 볼 수 있다. "UserFeedSettingsStore", "RunningGameStore", "GameStoreReportedGames", "SelectedChannelStore", "EmojiUsageHistory", "DraftStore", "DispatchManagerStore", "shouldShowChangeLog", "lastChangeLog", "gatewayURL", "LibraryApplicationStore", ..

지난번 웨일 아티팩트를 분석해 보면서 로그인 데이터에 대해 이야기를 잠깐 해보았다. 이번에는 직접 파이썬으로 비밀번호를 복호화 해보려 한다. 아래는 구글 크롬 브라우저의 Login Data파일에서 password_value를 불러와 win32crypt.CryptUnProtectData를 통해 복호화를 진행 했다.결과는 대박이었다. 갑자기 내 모든 비밀번호가 한번에 튀어나와 깜짝 놀랐다.(학교에서 진행함....) 아래는 웨일 Login Data를 불러와서 복호화를 시도해 보았다. 코드는 똑같다.웨일에서는 암호화 할때 추가적으로 무슨 짓을 했는지 복호화가 진행 되지를 않는다.

웹 브라우저 아티팩트 네이버 웨일 브라우저 분석 환경 : Windows 10 Home x64웨일 버전 : 1.0.41.8 (64-bit)네이버 웨일이랑 구글 크롬이랑 AppData구조가 비슷하다.웨일 : %UserProfile%\AppData\Local\Naver\Naver Whale\User Data크롬 : %UserProfile%\AppData\Local\Google\Chrome\User Data Defalut폴더 안에 구조도 상당히 비슷한데 크롬이 훨씬 복잡하다. 둘다 똑같이 sqlite3 데이터 베이스를 사용한다.+ 추가 참고 구글 크로미움 프로젝트 : https://www.chromium.org/ 접속 기록(History) : %UserProfile%\AppData\Local\Naver\Nave..