W3LC0M3

dump1.raw.lzma 파일의 압축을 푸니 dump1.raw 파일이 나왔다. raw 확장자를 가지는 파일은 메모리 덤프 파일이기 때문에 volatility를 이용하려고 한다. (volatility를 사용해 풀었던 문제: https://ziee.tistory.com/83) 이 메모리 파일의 profile은 Win10x64인 것을 imageinfo 명령어를 통해 알 수 있다. pstree를 통해 확인해 보니 다른 시스템 프로세스들보다 눈에 띄는 그림판 mspaint.exe의 흔적이 있다. 프로세스 PID는 4092인 것을 확인할 수 있다. mspaint.exe를 덤프 해 보아야 할 것 같다. (참고: https://aaasssddd25.tistory.com/55) 4092.dmp가 추출되었다. 메모리 덤..

write up/ctf-d 2022. 9. 27. 19:15

문제에서 주어진 파일을 저장해 압축을 풀어 보면 1000개의 파일이 들어 있는 것을 확인할 수 있다. 문제에서 힌트로 grep을 주었기 때문에 리눅스를 이용해 다시 압축을 풀어 주었다. grep을 이용해 JPEG 파일을 찾으니 UgeVjTlmZjNFvULk 문자열이 이름으로 되어 있는 파일이 JPEG 파일인 것을 알 수 있었다. flag 얻기 성공! 리눅스를 이용해 문제를 푸는 것이 처음이라 짧은 풀이에도 불구하고 여러 라이트 업을 참고하게 되었다... 리눅스 공부를 해서 조금 더 능숙하게 다룰 수 있도록 해야겠다!

write up/ctf-d 2022. 9. 22. 23:35

7-zip 프로그램으로 xz 파일 압축을 푸니 RunMe.DMP 파일이 나온다. DMP 파일 보려고 여러 툴을 설치하고 삭제하고 반복했는데........... 안 되길래 헥스 에디터에 넣고 살펴보니 플래그가 있었다. 약간 허무했지만... 일단 성공 무슨 문제이든 헥스 에디터를 꼭 사용해 봐야 할 듯!

write up/ctf-d 2022. 9. 19. 23:05

https://ziee.tistory.com/86 [ctf-d] 판교 테크노밸리 K기업에서… #1 용의자가 가장 많이 접근했던 사이트 주소를 알아내야 하는 디스크 문제... 유저 목록 중 눈에 띄는 7ester가 용의자일 것 같으니 7ester 위주로 살펴야 할 듯! 사용하는 브라우저에 따라 분석하는 ziee.tistory.com 이전 문제에 이어서 마지막으로 사이트에 접근했던 시간을 알아내야 한다. 1299로 시작하는 숫자들이 시간에 관한 것일 것 같은데.... 툴을 살피다 옵션에서 시간에 관련된 것들을 발견했다. 3번째 옵션을 눌렀는데 변화가 생기지 않아 2번째 옵션을 눌러 봤더니 나열된 숫자들이 보기 쉽게 바뀌었다. 접근 시간에 가장 최근에 접근했던 시간이 보인다! 키 포맷에 맞춰 답을 입력해 주면..

write up/ctf-d 2022. 9. 16. 21:55

용의자가 가장 많이 접근했던 사이트 주소를 알아내야 하는 디스크 문제... 유저 목록 중 눈에 띄는 7ester가 용의자일 것 같으니 7ester 위주로 살펴야 할 듯! 사용하는 브라우저에 따라 분석하는 툴이 달라진다고 하니 브라우저를 먼저 알아봐야 할 것 같다. 크롬이나 사파리를 사용하면 이 경로에서 Chorme이 보이거나 Apple Computer\Safari가 보여야 한다고 하는데 없는 것을 보아 Internet Exploror를 사용한 것으로 보인다. 여러 경로를 살피다 Users\7ester\AppData\Local\Microsoft\Windows\WebCache에 들어가니 WebCacheV24.dat이라는 파일이 있었고 찾아보니 바이너리 파일로 인터넷 익스플로러로 접속하면 기록되는 파일인 In..

write up/ctf-d 2022. 9. 15. 22:25

저장한 docx 파일을 열어 보았더니 여러 페이지에 사진들이 있었다. 헥스 에디터로 확인해 보았는데 헤더 시그니처에 이상은 없으나 zip 파일과 시그니처가 같다는 것이 떠올랐다. 그리고 문서에 qqq.7z 아이콘이 있는 것을 보아 파일 확장자를 변경해야 문제를 풀 수 있을 것 같다. 확장자를 zip로 바꾸고 압축을 해제한 뒤 파일을 살피다 media 파일을 보았는데 아까 문서에 들어 있던 사진들을 볼 수 있었다. 그런데 image6.emf 파일만 열리지 않는다.... 헥스 에디터로 열어 보니 시그니처가 50 4B 03 04다... zip로 또 바꿔 봐야겠다. 아까처럼 한눈에 들어오는 것이 없다.... zip는 아닌 것 같아서 docx로 바꾼 뒤 열었더니 2013이라는 숫자가 크게 적혀 있다. 여기서 막히..

write up/ctf-d 2022. 9. 14. 19:00

이 사진에서 플래그를 얻어야 한다. 헥스 에디터로 열어 보았는데 헤더 시그니처와 푸터 시그니처에는 이상이 없었다. stegsolve를 사용해 파일을 열어 보았다. 이미지를 넘기다 보니 Red plane 0 부분에서 플래그를 얻을 수 있었다. 성공!

write up/ctf-d 2022. 9. 14. 18:30

주어진 압축 파일을 열면 Wh4Tis1t이라는 png 파일을 얻을 수 있는데 열리지는 않는다. 헥스 에디터로 열어 봤는데 문자열이... 수상하다. 문제 제목도 Base64를 의미하는 것 같기 때문에 Base64로 돌려 보았다. png 파일인 것 같다... 그래서 바로 저장을 해 주었다. 저장을 한 사진을 보니 qr코드이길래 qr reader를 돌려 주었더니 flag 값이 나왔다. 성공!

write up/ctf-d 2022. 9. 6. 19:55