[SKS! 연합스터디] 2주차. evidence03

Ann’s AppleTV

증거 파일을 다운받으면 02번과 같이 와이어샤크로 열 수 있는 패킷 파일을 다운받을 수 있다.

Apple Mac 주소를 알아내기 위해 우선 Mac 주소 형식을 알아야 찾을 수 있을 것 같아 형식부터 알아봤다.

형식을 알아본 후 와이어샤크 상단부터 차근 차근 읽어보다가 SYN, ACK 패킷이 아닌 GET으로 혼자 튀는 녀석이 있길래 따라가기 누르고 TCP 스트림을 한번 봐봤다.

보다가 Mac 주소는 아직 발견 못했는데 2번 문제인 User Agent의 값을 찾을 수 있어서 먼저 정리해줬다. 

AppleTV/2.4

와이어샤크 밑 부분을 보다가 이렇게 대놓고 인터넷 주소가 나와있는걸 보고 바로 확인해줬다. IP 주소도 확인 가능했다.

00:25:00:fe:07:c4

Ann이 검색한 검색어 4가지를 찾아야 하는데 검색을 하기 위해서 SYN, ACK 패킷이 아니라 GET을 요청해야 한다고 생각해서 GET을 위주로 정렬해봤다.

근데 이렇게 쫙 떠서 약간 소름이었다.. 먼저 hack을 검색하고 iknowyourewatchingme를 검색한거 보고 진짜 좀 무서웠다..ㅋㅋㅋ 그리고 sneak을 검색한 것 같은데 나머지 한 개가 안보인다.

나머지 한 개를 찾아보다가 최종적으로 누른 정보가 Hackers와 Sneakers 라는 영화를 검색하려고 hack이랑 sneak를 검색한 것으로 확인됐다. 그리고 찾아보니까 번역이 이상하게 되어 있던 것이었는데 4가지 검색어가 아니라 첫번째로 4번 검색한 단어가 뭔지 물어보는 것이어서 hack을 h, ha, hac, hack 로 4번 나눠서 검색한 걸 물어보는 질문이었다.

 

그래서 클릭한 첫 번째 영화는 Hackers 라는 걸 알게 되었고 영화 예고편 링크를 찾아야 한다.

예고편 링크를 찾기 위해 HTTP 스트림을 따라가기 해준 후 내려보다가 key 이름이 preview-url 인걸 보고 예고편 링크인 걸 알 수 있었다.

http://a227.v.phobos.apple.com/us/r1000/008/Video/62/bd/1b/mzm.plqacyqb..640x278.h264lc.d2.p.m4v

 

그리고 위에서 찾았던 Ann이 클릭한 두 번째 영화 제목은 snab으로 오타가 났었던 Sneakers 였다.

 

구매한 가격을 알기 위해 힌트로 나온 price-display를 검색해보니 $9.99 인걸 확인할 수 있었다.

 

Ann이 마지막으로 검색한 검색어를 찾기 위해 시간 순으로 설정해봤다.

잘 안보이지만 시간 순으로 정렬한 후 스크롤을 내려보니 마지막에 iknowyourewatchingme 를 검색한 걸 확인할 수 있었다. (ㄷㄷ)

 

1. Ann의 AppleTV의 MAC 주소는 무엇입니까? < 00:25:00:fe:07:c4 >
2. Ann의 AppleTV는 HTTP 요청에서 어떤 User-Agent 문자열을 사용했습니까? < AppleTV/2.4 >
3. AppleTV에서 Ann의 처음 네 가지 검색어는 무엇입니까(모든 증분 검색 횟수)? < h, ha, hac, hack >
4. Ann이 클릭한 첫 번째 영화의 제목은 무엇입니까? < Hackers >
5. 영화 예고편의 전체 URL은 무엇입니까(“preview-url”로 정의)? < http://a227.v.phobos.apple.com/us/r1000/008/Video/62/bd/1b/mzm.plqacyqb..640x278.h264lc.d2.p.m4v >
6. Ann이 클릭한 두 번째 영화의 제목은 무엇입니까? < Sneakers >
7. 구매 가격은 무엇입니까(“price-display”로 정의)? < $9.99 >
8. Ann이 마지막으로 검색한 전체 용어는 무엇입니까? < iknowyourewatchingme >

 

< 느낀 점 >

evidence 02번을 풀면서 알게 된 따라가기와 스트림 보는 법을 활용해 이번 문제는 좀 더 수월하게 풀 수 있었던 것 같았다. 사용자가 쳤던 검색어가 진짜 다 나와서 (오타까지) 엄청 신기하면서도 내가 검색했던 것들도 다 남아 있을 거라는 생각에 뭔가 신기하면서 약간 무서웠다. 이렇게 네트워크를 이용한 포렌식이 더 재밌다고 느껴졌다.