M4ndU의 만두만두한 블로그

show me the pcap

forensic

코로나사태로 인해 루돌프들 끼리 산타우체국에서 비밀리로 비대면 회의를 진행했다!
해당 회의 내용을 중간자 공격으로 PCAP형태로 가져왔으니 분석해보자!

pcap 파일 한 개가 주어진다.

Wireshark로 해당 파일을 열어보면 SSH, TLS 패킷들이 보이는데, 아래로 내려보면 756번부터 많은 RTP패킷들이 캡쳐된 것을 확인할 수 있다.

RTP는 실시간 전송 프로토콜로, 오디오와 비디오 정보의 실시간 전송을 하기위해 사용된다. 문제 지문에서 비대면 회의를 진행하였다고 했으므로, 해당 회의 내용이 RTP를 통해 진행된 것으로 볼 수 있다.

RTP 패킷의 담긴 내용을 확인해야 하는데, 해당 내용이 오디오형식이고 Wireshark에서 지원하는 코덱인 경우, Wireshark로 바로 확인할 수 있는 방법이 있다.

아무 RTP 패킷을 클릭하고 상단 메뉴에서 Telephony > RTP > Stream Analysis 를 클릭하고

Play Streams 버튼을 클릭하고 소스 선택 후 재생버튼을 누르면 된다.

그러나 여기에서는 비어있거나 지원하지 않는 코덱이라고 나온다.

따라서 해당 내용은 비디오인 것으로 추측해볼 수 있고, 다른 방법을 찾아보아야 했다.

여러가지를 검색하던 중에 블로그 글 하나를 찾을 수 있었다.

blog.itekako.com/technical/2017/03/07/rtp-stream-replay/

캡쳐한 rtp 패킷을 목적지만 수정하여 다시 실시간으로 전송하여 내용을 확인하는 방식이다.

필요한 환경은 패킷을 보낼 리눅스 환경과 내용을 확인할 리눅스/윈도우 환경 2개이다.

먼저, 주어진 pcap파일에서 (이하 origin.pcap) rtp패킷만 추출한 pcap파일을 만들어야 한다.

1. Wireshark로 origin.pcap를 연다.

2. 상단 메뉴에서 Telephony > RTP > RTP Streams

3. 스트림 선택

4. Prepare Filter 클릭 후 창 닫기

5. 상단 메뉴에서 File > Export Specified Packets… > Export as > pcap

6. rtpstream.pcap로 저장

7. rtpstream.pcap를 패킷을 보낼 리눅스 환경으로 이동

rtpstream.pcap를 replay하기 위해서는 패킷의 목적지 ip와 mac 주소를 수정해 주어야 한다.

해당 과정은 아래 modify-pcap.sh로 수행한다.

위 스크립트 실행에 필요한 패키지를 설치해야 한다.

$ sudo apt-get install tcpreplay tshark net-tools

그리고 스크립트를 실행해 준다.

$ bash modify-pcap.sh <player machine ip> <input pcap file> [<output pcap file>] [<output sdp file>]

$ bash modify-pcap.sh 192.168.0.2 rtpstream.pcap

그러면 패킷을 받기 위한 정보가 담긴 sdp파일이 생성되고, 패킷을 replay하기 위한 명령어가 출력된다.

sdp파일은 패킷을 받을 환경으로 이동한다.

패킷을 받아 영상으로 보기 위해서는 아래 명령어를 사용하면 된다.

$ ffplay sdp

나는 윈도우 환경에서 진행하였기 때문에 ffplay.exe를 사용하였다. ffplay.exe는 ffmpeg.org/download.html에서 다운받을 수 있다.

ffplay sdp로 대기 중인 상태에서, 리눅스 환경에서

sudo tcpreplay --intf1=enp0s3 'rtp-for-replay.pcap'

(modify-pcap.sh을 실행하고 출력된 명령어)을 실행하면, 패킷이 전송되어 받을 수 있다.

ffplay.exe sdp를 실행하였을 때 나는 

이러한 오류가 발생하였다. 해당 오류는 -protocol_whitelist file,udp,rtp,crypto,data 옵션을 추가해주어 해결할 수 있었다.

첫 번째 시도에서 오류가 발생하였다.

blog.itekako.com/technical/2017/03/07/rtp-stream-replay/에서는 문제가 있을 때, sdp 파일에 추가적인 정보를 추가해주라고 되어 있다. 

sdp-fmtp-data.sh

$ bash sdp-fmtp-data.sh origin.pcap

출력 결과

a=fmtp:96 profile-level-id=1;config=000001B001000001B58913000001000000012000C48D8DC43D3C04871443000001B24C61766335372E3130372E313030

해당 내용을 sdp 다음 행에 추가해주었다.

그러나 여전히 오류가 발생하였다.

sdp

c=IN IP4 10.0.2.15
m=video 58898 RTP/AVP 96
a=rtpmap:96 H264/90000
a=fmtp:96 profile-level-id=1;config=000001B001000001B58913000001000000012000C48D8DC43D3C04871443000001B24C61766335372E3130372E313030

sdp에 내용이 부족하거나 잘 못 설정된 것 같아, origin.pcap 파일을 다시 살펴보았다.

rtp 패킷들이 전송되기 전 부분인 749번 패킷에서 메타데이터를 확인할 수 있었다.

해당 내용에 따라 코덱 정보를 H264에서 MP4V-ES로 수정하고 시도하였더니 플래그를 얻을 수 있었다.

Is a computer forensics distribution that installs all necessary tools on Ubuntu to perform a detailed digital forensic and incident response examination.

google search.

extract LSB data

you can use zsteg.

Just get the flag

file : light

This file has png header signature. Therefore It is PNG file, and it has also png footer signature.

After PNG footer signature, there are some binary strings.

I could guess that binary is ascii code, because it starts 01~~.

easy.

Can You help us to extract the metal from Exchangeable header

file : metal.jpg

image description is strange.

hmm

next!

welcome to volatility 101, you have to know when you start analyzing a memory dump you have to look to processes and files on desktop.

profile = WinXPSP2x86

프로세스 특이사항은 이정도.

/Desktop/flag/

나오는게 없다. R-studio로 분석해봐야 할 거 같다.

another memdumpfile in Desktop dir.

There are 3 files which has 0 byte size in flag dir.

The file name seems like 'key'.

compare with look_to_clipboard.txt and filename.

k.08462 -> 20

e.22743 -> 8

y.08981 -> 40

이 다음은 mem을 추출해봐야 할거 같다.

아 easy 맞냐고

Dega Company has been attacked and some data have been exfiltrated, Help them to know what exactly has been leaked.

pcap

base64로 인코딩된 문자열이 많던데

This Stream is so weird, looking something hidden here!!

sonic visualizer - failed

audio lsb - failed

-롸업-

0xmohammed.github.io/2020/11/29/Last-Human-Writeup.html

cyber Criminal is hiding information in the below file .can you capture the flag ?. Note: Flag format flag{XXXXXXX}

xxd -r garbage garbage.zip

password brute-force 1to5 char - failed

lock bit change - failed

----풀이보고 내용추가----

dictionary attack으로 패스워드는 hacker_crackdown가 됨.;;

Habibamod is sending a secret signal, tune your receiver.

It's simple.

Value of encoder is encoded in base64.

0 to . , 1 to !

To decode it: . to 0, ! to 1.

Bin to ascii

good.

vcan0  06C   [8]  88 E6 0A 3D EC DC 50 2A

Why dosen't my BOMP Explode!!
Format: Flag{}

b0mp 파일이 주어진다.

first 2 bytes are empty, but next 4 bytes seems like file size.

0xcdbe = 52670 =

so this is bmp file. b0mp에서 0을 빼면 bmp이기도 하다.

put 0x42 0x4D (bmp magic number) into first 2 bytes.

hmm

another bits are also empty.

----풀이보고 내용추가----

b0mp의 파일명을 b0mp.data로 바꾸고 GIMP에 불러온 뒤에, 오프셋, 너비, 높이를 아래와 같이 조절하면 플래그를 확인할 수 있다.

Someone outside the department has downloaded some files from our server but fortunately we encrypt all the files. Can you get this files?

note.epd and readme.txt were transferred.

pub is directory.

note.epd is encrypted file.

How to decrypt note.epd.

xor 0~0xff - failed

저는 플래그를 이 파일에..

100

저는 플래그를 이 파일에 넣는 것에 긍정적입니다. 저를 위해 찾아 줄 수 있나요?

KEY Format : ABCTF{(key)}

just_open_it_jpg 라는 파일이 주어진다.

이미지를 보면 중간에 비트가 손상되서 이미지가 깨진 것을 확인할 수 있다.

jpg는 앞에 비트 하나만 잘 못 되어도 뒤에 전부 문제가 생기는 그러한 특징이 있다.

해당 비트 부분을 찾아서 고쳐야 하나 생각했지만..

문제에서 플래그 포멧을 준 것을 보고,  플래그 포멧을 이용하여 검색으로 찾으면 나오지 않을까라는  생각이 들었는데,

맞았다.

Multimedia

제 친구의 개가 바다에서…

100

제 친구의 개가 바다에서 수영을 하다가 플래그를 발견했는데 제게 주지 않습니다. 여기서 구해 줄 수 있습니까?

hidden.jpg가 주어진다.

이미지를 잘 보면, 흐릿한 문자열을 확인할 수 있다.

포토샵을 사용하여 반전 > 명도&채도 조절 을 통해 비교적 선명한 문자열을 만들 수 있었다.

Find the flag

주어진 파일 뒷 부분에 PK 시그니쳐가 붙어있다.

When you open a given png file with HxD, you can see PK signature at the end.

zip으로 만들어서 열면 플래그가 나온다.

Rename the file .png to .zip. Then, you can get a flag!

simple_forensic

암호가 걸린 zip 파일이 주어진다.

Given zip file has locked.

브포 돌려서 비번을 찾을 수 있다.

You need to brute-force attack to find password to unlock zip.

The password is 1337.

그러면 압축파일(file.zip) 하나랑 txt파일을 하나 열 수 있다.

Then, you can get a file.zip and a txt file.

뭔가 했는데, 모스부호 였다.

In txt file, you can see only K and H. I guessed this is morse code.

H -> - , K -> . 으로 하고 돌리면 되는데,

페이크 플래그가 나온다. ㅋㅋ;;

However, it was fake flag. :p

버리고 file.zip을 보자. 암호가 걸려있는 것 처럼 보이지만, 사실은 안 걸려있다.

Send txt file to TRASH CAN. And look at the file.zip

It seems like locked file, but it isn't. You don't need to find a password.

비트 조작해주면 된다.

Just change some bits of zip file.

mandu-mandu.tistory.com/143 참고하자

(처음에 브포를 돌렸기 때문에 이런 풀이가 나올 것 같았음.)

hxd로 까보면,

이렇게 나오는데, zero-width space steganography가 적용된 것이다.

e2808b, e2808c, e2808d, e2808f

zero-width space steganography

github.com/offdev/zwsp-steg-js

를 이용하여 플래그를 구할 수 있었다.

I can get a flag using zwsp-steg-js.

Find Hangul

아무런 설명 없이 VM.E01을 던져준다.

No description for this task.... :(

you can open the VM.E01 using FTK Imager.

유저폴더 살펴보고 휴지통을 살펴보았다.

I looked at the user folder and the Recycle.Bin.

많고많은 폴더와 파일 중에서 훈민정음.docx파일을 찾을 수 있다.

You can find Hunminjeongeum.docx file in many fake files.

추출해서 열어보자.

Export and open it.

하얀글씨로 안 보이도록 하거나, 스크롤을 많이 내리도록 되어 있어서, 색상 맞춰주고 정렬해주면 한 번에 내용을 볼 수 있다.

근데 저기있는 플래그도 페이크플래그다. ㅎㅎ;

But there's no flag. h4c(hangul_choigo) is not a flag. 

docx 파일을 zip으로 만들고 열어보면 flag.png를 찾을 수 있다.

Rename .docx to .zip and then open it, you can find flag.png

청크 이름의 대소문자를 바꿔놓았다. 다 수정해주면 정상적으로 이미지를 확인할 수 있다.

Recover chunk names.

png -> PNG

Srgb -> sRGB 등.. ect...

GNP

ff d9 jpg 푸터 시그니쳐 뒤에 png 파일이 뒤집어 있다.

It's reversed!!

잘라내서 뒤집고

< flag.png xxd -p -c1 | tac | xxd -p -r > file.png

stegsolve.jar로 보면 문자열이 나온다.

Affine Cipher 돌리면 플래그가 나온다. (GUESSING!!!!)

www.dcode.fr/affine-cipher (AUTOMATIC BRUTE FORCE DECRYPTION)

Dark light (not full wirte-up)

파일 여러개가 붙어있다.

foremost를 사용해서 분리해주었다.

qr code 9개가 나오는데 값을 보면,

sorry_this_is_not_a_flag

do_you_want_a_flag?

do_you_know_Korean_proverb?

등

잔

밑

이

어둡다.

h4c(f4c3_f_a_k_e)

뭘까?

hmm hmmmmmmmmmmmmmmm

message from space (not full wirte-up)

wav가 주어지는데, sstv 문제다.

github.com/MossFrog/SSTV-Decoder/blob/master/SSTV-Complete.py

디코딩 해주면 이런 이미지가 나온다.

Password : HangulDay

어디다 써먹는 걸까

Where can i use it... :(

14461009

한글 단순 치환 암호이다.

Hangul simple substitution cipher.

1446년 10월 09일, 'ㆍ','ㅛ','ㅕ' 이 부분을 보면 한글 창제와 관련이 있는 내용으로 보인다.

치환 코드는 이 것을 이용했다.

j0n9hyun.xyz/writeups/crypto/Korean-substituation-cipher/

필,켜,녈뇩 -> 천,지,인을   부터 시작하면 된다.

어느 정도 게싱으로 때려맞춰보면, 마지막에 문제를 확인할 수 있다.

해당 문제에 대한 답을 주어진 서버로 넘겨주면 플래그를 받을 수 있다.

forensic

keyboord

100

usb keyboard 패킷 캡쳐 파일이다.

github.com/TeamRocketIst/ctf-usb-keyboard-parser

이거 이용해서 hex 데이터를 키보드 문자로 변환해준다.

해당 키보드로 c코드를 작성한 것 같다.

코드 작성해도 돌려주면 플래그가 나온다.

webpacket

100

웹소켓으로 id와 pw를 인증하는 과정이 있다.

id pw를 입력받는 페이지에서 인증서버로 인증을 거치는 것이라고 추측해볼 수 있다.

따라서 http 패킷 중에서 websocket발생 이전 패킷들을 살펴보았다.

찾았다.

13.209.132.135:4423으로 이동하였다.

login.js를 보면, 패스워드를 인코딩한다. xor이기 때문에 인코딩 함수를 그대로 사용하여 복호화하였다.

pw가 flag였다.

SuNiNaTaS의 32번문제 풀이입니다. 

[FORENSIC]

hex editor로 열어보면 FAT32로 포멧되어 있는 것을 알 수 있다.

표에 따르면, 0x1FE~0x1FF 범위에 부트레코드 손상여부를 확인하는 용도의 시그니처 0x55AA가 있어야 한다고 한다.

그러나 이 이미지파일에는 없다.

시그니처 위쪽으로 밀려 있다. 사이에 NULL바이트를 추가해서 올바른 위치로 밀어주었다.

1FE - 126 = D8

D8크기 만큼 추가해주면 된다.

그러면 FTK Imager에서 정상적으로 인식한다.

2차 테러 계획.hwp를 추출해서 열어보면 다음 테러 장소를 알 수 있다.

 Rose Park

파일 수정 시각은 파일 속성을 보면 된다.

2016-05-30_11:44:02

MD5(2016-05-30_11:44:02_Rose Park) == 8ce84f2f0568e3c70665167d44e53c2a

SuNiNaTaS의 31번문제 풀이입니다. 

[FORENSIC]

http://ex3llo.tistory.com/33 게시글을 참고해서 풀어보았습니다.

https://blog.didierstevens.com/programs/pdf-tools/ 에서 pdfid.py를 다운받았습니다.

pdfid.py를 사용해 pdf 문서 구조를 확인했다. JavaScript 코드가 있는 것을 확인할 수 있다.

이제 이 자바스크립트 코드를 확인하기 위해 peepdf.py를 사용했다. 

이 peepdf.py는 https://github.com/jesparza/peepdf 에서 다운받을 수 있습니다.

-i 옵션을 꼭 넣자.

먼저 30을 확인해 보았다.

코드가 나올 때 까지 쭉 쫓아가자..

37에서 코드가 나왔다!

이어서 해보자.

36에는 아무것도 없다... 39에 %PDF가 보인다.

object 39에 pdf파일이 있는 것 같다. 이를 추출하기 위해 PDFStreamDumper.exe를 사용했다.

(이 프로그램을 보니 처음부터 이걸 사용했으면 되는게 아닌가 하는...읆...)

object 39을 pdf형식으로 추출했다.

pdf가 보호되어 있어서 https://smallpdf.com/unlock-pdf 이 사이트를 통해 잠금을 풀었다.

다시 PDFStreamDumper.exe 를 사용하니 object 7에서 플래그가 나왔다.

MD5(SunINatAsGOodWeLL!@#$) == 13d45a1e25471e72d2acc46f8ec46e95