· volatility메모리 포렌식에 사용하는 메모리 분석 도구파이썬에서 구동되는 오픈소스 형식의 프레임워크라고 한다.vol.py -f [이미지 경로] [플러그인]vol.py -f [이미지 경로] --profile=[운영체제] [플러그인]여기서 -f 은 파일 선택 옵션이다. · volatility 플러그인--info : 플러그인 정보 확인 가능vol.py --info imageinfo : 메모리 덤프 파일의 프로파일 정보를 출력 / 운영체제 정보, 커널 정보 등을 확인 가능vol.py -f window7.vmem imageinfo kdbgscan : 커널 디버거 데이터 블록의 특징을 찾고 분석 timeliner : 시간 정보가 있는 윈도우 아티팩트 출력 pstree : 프로세스 트리 출력vol.py -f..

Ann’s AppleTV증거 파일을 다운받으면 02번과 같이 와이어샤크로 열 수 있는 패킷 파일을 다운받을 수 있다.Apple Mac 주소를 알아내기 위해 우선 Mac 주소 형식을 알아야 찾을 수 있을 것 같아 형식부터 알아봤다.형식을 알아본 후 와이어샤크 상단부터 차근 차근 읽어보다가 SYN, ACK 패킷이 아닌 GET으로 혼자 튀는 녀석이 있길래 따라가기 누르고 TCP 스트림을 한번 봐봤다.보다가 Mac 주소는 아직 발견 못했는데 2번 문제인 User Agent의 값을 찾을 수 있어서 먼저 정리해줬다. AppleTV/2.4와이어샤크 밑 부분을 보다가 이렇게 대놓고 인터넷 주소가 나와있는걸 보고 바로 확인해줬다. IP 주소도 확인 가능했다.00:25:00:fe:07:c4Ann이 검색한 검색어 4가지를 ..

Puzzle #2: Ann Skips Bail패킷 캡처 파일을 주고 Ann의 신상 정보들을 수집하는 문제인 것 같다. 패킷 캡처 파일이기 때문에 와이어샤크로 열어야 할 것 같아서 열어봤다.우선 이메일 주소를 알기 위해 메일 프로토콜인 SMTP를 찾아봤다.찾은 후 오른쪽 클릭을 해서 따라가기 -> TCP 스트림을 들어갔다.이렇게 정보창이 쫙 뜨는데 읽어보니 From "Ann" 뒤에 이메일 주소 sneakyg33k@aol.com가 나와있는 걸로 보아 Ann의 이메일 주소같았다. 비밀번호를 찾기 위해 LOGIN 글씨가 있는 곳 밑을 살펴봤다. 뭔가 암호화 된 듯이 영어가 불규칙적으로 나열되어 있어서 암호화 된걸 다시 디코딩 해줘야 할 것 같아 디코딩 사이트를 검색 한 후 제일 위에 뜬 base64 사이트에서 ..

· broken-png스터디에서 알게된 010 Editor로 사진을 열어봤다. 설명에서 정사각형으로 와야 할 이미지가 반밖에 안왔다고 한다. 사진도 보니까 반쯤 잘려있어서 이 이미지 크기를 변경하면 될 것 같았다. sig랑 chunk0, 1, 2, 3 으로 이미지가 분류된 것 같았고 이것 저것 눌러보다가 이름 앞에 있는 > 를 누르니 이름 별로 설정하는 칸이 나왔다. 그 중에서 파일 크기? 해상도 같은 걸 조절 할 수 있는 부분이 chunk 0에 있는 ihdr 인거 같아서 조절을 해줬다. 아까 정사각형으로 와야 한다고 했으니 가로 세로 모두 512로 설정하고 저장한 후 다시 이미지 파일을 열어봤더니 플래그 전체가 나왔다. DH{image_height_property}  · Forensics 101설명에 ..