HeeJ's

rekall을 설치하고, (rekall 설치 참고 사이트: https://cpuu.postype.com/post/763901) sample.vmem을 열어주었다. imageinfo를 확인해주었는데, volatility와 다른 정보가 나왔다. psxview 필드 또한 volatility와 달랐다. 즉, volatility에서 했던 psxview 필드 7가지 은닉에 대해서는 동일하게 수행하는 것이 불가능 할 것이다. 출처 발표까지 파이팅!! 우리 선배님 S2 https://blog.naver.com/i1004yu/222052409058

1. 쿠키? 쿠키란 클라이언트 로컬에 저장되는 키와 값이 들어있는 작은 데이터 파일이다. 사용자 인증이 유효한 시간을 명시할 수 있으며, 유효 시간이 정해지면 브라우저가 종료되어도 인증이 유지된다. 클라이언트의 상태 정보를 로컬에 저장했다가 요청 시 참조한다. 클라이언트에 300개까지의 쿠키가 저장 가능하며, 하나의 도메인 당 20개의 값만 가질 수 있다. 최대 크기는 4KB 쿠키는 서버 측에서 만료 날짜/시간을 지정해 정해진 시간동안 데이터를 유지할 수 있다. 쿠키의 구성요소 이름 각각의 쿠키를 구별하는데 사용 값 쿠키의 이름과 관련된 값 유효시간 쿠키의 유지시간 도메인 쿠키를 전송할 도메인 경로 쿠키를 전송할 요청 경로 쿠키의 동작 방식 1. 클라이언트가 페이지를 요청 2. 서버에서 쿠키를 생성 3...

문제: 문제에 들어가보면 버튼은 4번까지 있는데 5번 파일에 플래그가 있다는 정보가 나온다. 그래서 버튼을 일단 눌러보았는데 1번을 누르면 ?id=1 2번을 누르면 ?id=2가 나왔다 그래서 아무 버튼을 누른 상태로 숫자를 5로 바꿔줘보았다. flag를 얻을 수 있었다. 성공!

문제: 사이트에 접속해보면 Hidden Flag라는 문자열과 함께 로봇 사진이 있다. 이 로봇 사진이 robots.txt와 관련된 것이라는 힌트를 주는 것 같다. robots.txt를 열어보았다. /robot_flag/ 디렉터리의 접근이 모두에게 차단되어있다. 이 robot_flag에 들어가보면 flag를 찾을 수 있다.

웹 크롤러와 같은 로봇들의 접근을 제어하기 위한 국제 규약 이 로봇들을 관리해 원하는 페이지를 노출이 되거나, 노출되지 않도록 다룰 수 있다. 권고안이기 때문에 꼭 지킬 의무는 없다. (지킬 의무는 없지만 지켜주는 것이 상식이다.) 로봇 배제 표준을 따르는 일반 텍스트 파일로 작성해야한다. 이 로봇들은 포털사이트들을 돌아다니면서 정보를 수집하는데, 사이트를 돌아다니면서 검색엔진 결과에 잘 노출되도록 한다. 즉 포털 사이트에서 검색했을 때 사용자들이 원하는 사이트가 잘 보여지도록 하는 것이다. 서버의 트래픽이 한정되어있거나 검색 엔진에 노출을 원하지 않을 경우, robots.txt에 "안내문" 형식으로 특정 경로에 대한 크롤링을 자제해 줄 것을 권고한다. robots.txt는 웹사이트의 루트(최상위 경로)..

우선, strings를 우회하기 위해서 덤프를 떠야하기 때문에 string.exe가 필요해 따로 설치해주었다. docs.microsoft.com/ko-kr/sysinternals/downloads/strings Strings - Windows Sysinternals Search for ANSI and UNICODE strings in binary images. docs.microsoft.com string.exe는 여기서 다운받을 수 있다. 그리고, psxview를 우회한 상태라면 sample.vmem파일을 새로 다운받아서 진행해주어야 한다. 그 후 MalwareProcess의 PID(2752)를 이용해 메모리 덤프를 떠주었다. 덤프 파일을 확인해준 후, 이 덤프 파일을 strings.exe라는 바이너리..

문제: txt파일에 2진수가 여러 개 쓰여있었다. 이 숫자들을 16진수나 10진수로 바꾼 후, ASCII로 바꿔주면 답이 나올 것 같다. 노가다했다.

문제: 바로 전에 풀어주었던 Question? 문제와 동일하게 압축을 풀어주니 jpg 파일이 나왔다. 이 파일을 우선 HxD로 열어준 후, 그 문제와 똑같이 hack이라는 단어를 검색해보았다. flag가 보이길래 이 값을 넣어줬더니 오답이 떴다... 그래서 다시 HxD를 살펴보니 txt파일이 숨겨져있는 것을 확인할 수 있었다. 이 hex 값들을 잘 살펴보면 fake flag 바로 앞에 jpg 파일의 푸터 시그니쳐를 발견할 수 있다. 그래서 이 부분까지가 jpg 파일의 시그니쳐라는 것을 확인하고 그 뒷부분에서 ZIP 파일의 시그니쳐인 PK(50 4B)를 확인할 수 있었다. 이 부분을 가지고 새로 파일을 만들어준 뒤, ZIP파일의 시그니처이기 때문에 확장자 명을 ZIP로 바꾸어주었다. 그리고 이 파일을 열어..