c0wb3ll's 5tudy B109

OLE File Format Structure

OLE File Format Structure OLE File Format? OLE File Format은 MS 오피스인 워드, 엑셀, 파워포인트의 문서 포맷으로 사용되어 왔다. OLE File Format은 내부가 하나의 작은 하드 디스크와 같은 파일 시스템 구조를 가진다. 따라서 OLE File 내부에는 폴더 및 파일과 비슷한 개념으로 Storage와 Stream이 있다. OLE File Format Structure OLE File Structure OLE File은 크게 Header Block 과 Data Block 2개의 블록으로 나뉜다. Header Block은 512Byte의 크기를 가지고 그 이후에 Data Block은 512Byte 이상의 크기를 가지게 된다. Header Block은 O..

ShellBags (Windows10)

Shellbags (Windows10) Shellbag이란? 1-1. 정의 Shellbags란 User Registry Hive 파일 (ntuser.dat/usrclass.dat) 의 ShellBag의 하위키이며 사용자가 로컬, 네트워크 및 이동식 저장장치에서 접근한 폴더 정보가 기록되며 최초로 폴더를 열람시에 생성이 된다. 또한 폴더의 생성, 복사, 압축 프로그램에 의해서 실행되었을 경우에도 생성된다. NTUSER.DAT는 데스크톱, Windows 네트워크 폴더, 원격 컴퓨터 및 원격 폴더에 대한 ShellBags 정보를 저장한다. UsrClass.dat는 데스크톱, ZIP파일, 원격 폴더, 로컬 폴더, Windows 특수 폴더 및 가상 폴더에 대한 ShellBags 정보를 저장한다. 1-2. 포렌식적..

섹터 주소 지정 방식

섹터 주소 지정 방식 CHS 주소 지정 방식 CHS(Cylinder-Head-Sector) 주소 지정 방식은 이름을 보면 알 수 있듯이 실린더(Cylinder), 헤드(Head), 섹터(Sector) 구조를 기반으로 주소를 지정하는 방식이다. 이 방식은 물리적으로 주소를 할당하는 방식이고, 각각 실린더, 헤드, 섹터에 번호를 할당해 그 주소를 이용하여 데이터를 찾아 읽고 쓰는 방식이다. 예를 들어 CHS(1,2,3)이면 2번째 헤드를 1번째 실린더, 3번째 섹터에 위치 시킨다. 이 후 읽기 명령을 발생시켜 해당 위치부터 지정한 만큼 데이터를 읽게 만든다. 초기에 ATA 표준은 28bit 블록 주소 방식으로 실린더 16bit, 헤드 4bit, 섹터 8bit로 할당되었다. 이 후 ATA-1 이 정식으로 소개..

HackCTF Forensics Writeup (Let'S get it ! Boo * 4)

HackCTF Forensics Writeup (Let'S get it! Boo*4) 문제 Let'S get it ! Boo * 4 대문자가 이상하게 들어가 있는 것이 보인다면 당신은 LSB를 알고 있는 겁니다. ㅎ 풀이 위에 문제에서 대문자가 이상하게 들어가 있는데 대문자로 된 글자들을 나열하면 LSB가 된다. 보통 LSB를 사용한 문제에는 이렇게 문제에서 티를 내주기 때문에 그대로 풀면 되는데 풀기 전에 LSB가 무엇인지 먼저 알아보도록 하자. LSB (Least Significant Bit) LSB는 하나의 데이터 형에서 가장 낮은 위치의 Bit를 의미한다. 반대로 하나의 데이터 형에서 가장 높은 위치의 Bit는 MSB라고 한다. 예를 들어 1byte unsigned char 형에서의 LSB와 MS..

HackCTF Forensics Writeup (잔상)

HackCTF Forensics Writeup (잔상) 문제 잔상 풀이 compare.zip 압축파일을 해제하면 다음과 같이 두장의 사진을 준다. 아무리 봐도 같은 사진 같은데 무엇을 비교하라는걸까?? 비교해야 할 것은 헥스 에디터로 열었을 때 안에 있는 데이터 값인 것 같다. 사람의 눈으로는 미세한 데이터 차이는 판별하지 못하기 때문에 이렇게 숨기기도 하나보다. 그럼 헥스 에디터를 열어 데이터를 비교해 보자. 내가 사용하고 있는 헥스 에디터인 010 editor의 경우 compare file 기능을 이용하면 다음과 같이 틀린 부분과 같은 부분을 색깔별로 표시해주며 밑에 Compare 메뉴에 Difference 를 누르면 다른 부분으로 바로 이동시켜주는 편리한 기능이 있어서 사용하였다. afterimag..

HackCTF Forensics Writeup (Terrorist)

HackCTF Forensics Writeup (Terrorist) 문제 현장을 수사했고 단서를 찾게되었으니 다음 범행 장소를 알아내라고 한다. 풀이 Artifact.7z 이라는 7zip 파일을 압축 해제하면 다음과 같이 mission.jpg라는 사진 파일을 주는데 열리지 않는다. 헥스 에디터로 열어서 문제점을 찾아보자. 헥스 에디터로 열어 봤을때 헤더 시그니처가 확장자인 jpg 파일은 아닌것이 분명했고 저것이 어떤 헤더 시그니처 인지 찾는 과정에서 매우 유사한 헤더 시그니처를 가진 것이 많았기 때문에 고민 했지만 대충 그냥 소리가 나오는 파일이면 인식할 수 있었다. (헤더 시그니처는 3gp5 또는 m4a 파일이라고 생각한다.) 따라서 필자는 wav로 확장자를 바꾸어 사용하도록할 것이다. 확장자를 wav..

HackCTF Forensics Writeup (Magic PNG)

HackCTF Forensics Writeup (Magic PNG) 문제 풀이 문제를 다운 받고 열게 되면 다음과 같이 파일 형식을 지원하지 않는다며 사진을 보여주지 않는다. 헥스 에디터를 열어 문제점을 찾아보자. 우선 첫번째 헤더 시그니처를 보았다. 010 editor에서 의미있는 값마다 구분해서 보여주는 구분선 때문에 깜박 속아 넘어갈 뻔 했다. 하지만 보면 알 수 있듯이 89 50 4E 47 2E 0A 2E 0A 라 적힌것과 다르게 PNG 파일 헤더 시그니처는 89 50 4E 47 0D 0A 1A 0A 이다. 따라서 이 값을 고쳐주면 될 것 같다. 하지만 아직 제대로 다 해결하지 못 한 것 같다. 다시 한번 헥스 에디터로 돌아가 보자. 들어가 보면 전과 다르게 제대로 PNG 헤더 시그니처를 인식하고..

HackCTF Forensics Writeup (나는 해귀다)

HackCTF Forensics Writeup (나는 해귀다) 문제 문제파일을 다운받자. 풀이 압축파일을 다운받아 압축을 풀면 다음과 같은 사진을 준다. 자막을 보면 오 헥스값을 완전 뒤집어 놓으셨댄다. 헥스 에디터로 열어보자. 헥스 에디터로 열고나서 파일을 찬찬히 보면 89 50 4E 47 부터 png파일의 헤더 시그니처가 존재하고 그 후에 49 45 4E 44 AE 42 60 82 까지 푸터 시그니처까지 제대로 존재하는 것을 확인할 수 있다. 이제 문제는 그 다음인데 png 파일의 푸터 시그니처인 49 45 4E 44 AE 42 60 82 가 거꾸로 들어가 있는 모습을 볼 수 있다. 그리고 맨 밑을 보자 png 파일의 헤더 시그니처인 89 50 4E 47 0D 1A 0A 00 이 거꾸로 들어가 있는 ..

HackCTF Forensics Writeup (세상에서 잊혀진 날 찾아줘!)

HackCTF Forensics Writeup (세상에서 잊혀진 날 찾아줘!) 문제 세상에서 잊혀진 날 찾아달라고 한다. 찾아주러 가봅시다. 문제 파일은 pdf이다. 풀이 pdf 파일을 열면 이런 화면이 나온다. 파일을 받아주자. 이제 헥스 에디터로 열어보도록 하자. 헥스에디터로 열고 우선 pdf는 사진 파일을 원본 그대로 삽입해 놓는 형식으로 관리를 한다.(?) 대충 무슨 소리냐면 jpg 파일이 들어가면 jpg헤더부터 푸터까지 데이터가 들어가 있다는 뜻이다. 그럼 이 부분을 없애주면? 사진이 사라지고 사진으로 가려진 내용이 나오게 된다. 대충 정리해보자면 pdf는 사진 파일이 원본 그대로 들어가있다. jpg 헤더부터 푸터까지 데이터를 없애주면 pdf에서 사진이 사라진다 사진으로 가려졌던 pdf 파일 속..

HackCTF Forensics Writeup (Secret Document)

HackCTF Forensics Writeup (Secret Document) 문제 flag라는 이름을 가진 압축파일을 준다. 풀이 다음과 같이 Flag.zip을 압축 해제하려고 하자 비밀번호를 입력하라고 한다. 따라서 BruteForce어택을 백그라운드에 실행해놓고 다른 방법이 더 있나 찾아보기로 하였다. 그러던 중 파일 건너뛰기를 하고 압축을 해제했더니 암호가 걸린 flag.txt를 제외한 hint1.txt와 hint2.txt는 압축이 정상적으로 해제되었다. 이 힌트를 읽어보자. 우선 첫번째 힌트이다. Brute-Force NOOOOOOOOOOOOOO!라며 무작위 대입 공격을 사용하는 것이 아님을 알려준다. 나처럼 백그라운드에 돌려두었다면 곱게 켜서 다시 종료시켜주자. 그리고 두번째 힌트는 과연 패스..

HackCTF Forensic Writeup (So easy?)

HackCTF Forensics Writeup (So easy?) 문제 qwer.zip파일을 준다. 다운 받아주자. 풀이 압축을 해제하면 다음과 같은 사진을 준다. 사진을 보고서는 아무것도 얻을 수 없으니 일단 기본부터 하도록 하자. 그럼 다음과 같은 플래그 형식을 지킨 문자열이 나온다. 하지만 이것은 글을 읽으면 알 수 있듯이 속임수용 플래그이다. 진짜 배기는 그 밑에 PK라는 문자열인데 이는 헥스로 50 4B이며 그 뒤에 붙어있는 03 04 까지 하여 50 4B 03 04가 압축파일의 헤더 시그니처 되시겠다. 따라서 이 헥스값을 뜯어 새로운 파일을 만들면 압축파일을 얻을 수 있다. 그럼 다음과 같이 hidden.txt라는 텍스트 파일안에서 FLAG를 찾을 수 있다.

HackCTF Forensics Writeup (Question?)

HackCTF Forensics Writeup (Question?) 문제 딱히 문제는 없고 파일만 떡하니 하나 준다. 다운 받아주자. 풀이 다운 받은 파일의 이름이 Do you know HxD이다. 헥스에디터를 이용한 문제인것 같다. 일단 압축을 해제해주자. 압축을 해제하면 다음과 같은 사진을 준다. (사진이라기 보다는 추리문제...?) 우리가 이런 추리 문제를 풀러 온것은 아니니 각설하고 헥스에디터로 까주도록 하자. 파일을 헥스에디터로 까고난 뒤에 jpg파일의 푸터 시그니처인 FF D9 뒤에 문자열을 발견하였다.

HackCTF Forensics Writeup (Welcome_Forensics)

HackCTF Forensics Writeup (Welcome_Forensics) 문제 가로 길이가 괴상해서 글자를 알아볼 수 없는 사진을 준다. 하지만 누가 봐도 플래그라는 것은 알 것 같다. 풀이 사진 위에 마우스를 올리고 우클릭을 하면 다음과 같이 새 탭에서 이미지 열기라는 목록이 있을것이다. 이 탭을 누르면 FLAG!

메모리 보호 기법 (RELRO)

메모리 보호 기법 (RELRO) 메모리 보호 기법 종류 NX Bit ( MS : DEP ) ASLR Canaries RELRO PIE RELRO Explanation RELRO는 RELocation Read-Only의 줄임말이며, ELF 바이너리 / 프로세스의 데이터 섹션의 보안을 강화하는 일반적인 기술이다. RELRO에는 Partial RELRO와 FULL RELRO 두가지 모드가 있다. 각각 RELRO에 대한 특징은 다음과 같다. No RELRO 명령어 옵션 : gcc -Wl,-z,norelro Lazy Binding Write to GOT Partial RELRO 명령어 옵션 : gcc -Wl,-z,relro Lazy Binding Write to GOT RELRO in the Program Hea..

PLT & GOT

PLT & GOT ROP라는 기법에서 그냥 흘러가는 지식으로 대충 감만 잡고 있었는데 RELRO라는 보호기법에 대해 공부하다가 Lazy Binding? 에서 다시 나오길래 이번에 정리하려고 한다. PLT PLT란 Procedure Linkage Table의 약자로 외부 프로시저를 연결해주는 테이블이다. PLT는 실제 호출 코드를 담고 있는 테이블로써 이 내용 참조를 통해 _dl_runtime_resolve가 수행되고, 실제 시스템 라이브러리 호출이 이뤄지게 된다. GOT GOT란 Global Offset Table의 약자로 PLT가 참조하는 테이블이다. 프로시저들의 주소가 들어있다. GOT는 프로시저들의 주소를 가지고 있다. PLT가 어떤 외부 프로시저를 호출하면 이 GOT를 참조하여 해당 주소로 점프하..