이 영역을 누르면 첫 페이지로 이동
BIBISUNG 블로그의 첫 페이지로 이동

BIBISUNG

페이지 맨 위로 올라가기

BIBISUNG

IT/재테크/문화/일상 주제로 같이 얘기 나눠요

정보보안

  • BIBISUNG
Volatility 플러그인

Volatility 플러그인

2019.09.26
볼라틸리티를 사용한 메모리 포렌식은 직접 분석도 중요하지만 우선 플러그인 사용법을 숙달하는 것이 선행되어야 합니다. 간단하게 플러그인에 대한 설명과 실행가능한 명령어로 정리해 봤습니다. imageinfo - 메모리 덤프 파일의 프로파일 정보를 출력한다. 프로파일은 운영체제와 하드웨어 아키텍쳐 식별 정보다. vol.py -f sample\cridex.vmem imageinfo kdbgscan - 커널 디버거 데이터 블록의 특징을 찾고 분석한다. imageinfo가 프로파일의 정보를 출력하기 위해서 사용하는 논리는 kdbgscan에서 제공된 기능에 기반하고 있다. vol.py -f sample\cridex.vmem kdbgscan timeliner - 시간 정보가 있는 윈도우 아티팩트를 출력한다. csv 파..
쓰기방지, 이미징

쓰기방지, 이미징

2019.09.24
1. 쓰기방지 1) 레지스트리 이용 Key: HKLM\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies Name : WriteProtect Value : 0x00000000(쓰기방지 해제), 0x00000001(쓰기방지 설정) Dword(32비트) 생성 2) EnCase 이용 EnCase 실행 -> Tools 탭의 FastBloc SE 클릭 -> Write Protected 또는 Write Blocked 모드 선택한 후 USB 삽입 Write Protected: 디스크 쓰기 시 경고 메시지 표시 Write Blocked: 디스크 쓰기 시 정상적으로 쓰기 된 것처럼 보이나 USB를 뺏다가 다시 껴보면 쓰기가 안 되어있음. 2. 이미징 1) Encase(2순위..
모바일 포렌식: 이미징

모바일 포렌식: 이미징

2019.09.04
위 사진을 보면 디지털 증거 분석율은 매년 증가추세를 보이고 있다. 그 중 모바일기기의 증가율을 가장 높고 매체별로 보았을 때도 70%넘는 분석 비율을 보이고있다. 갈수록 고도화되는 안티포렌식과 암호기술로 인해 모바일 포렌식이 난항을 겪고있다. 1. 모바일 데이터 추출 1) H/W Imaging Chip-off - 모바일 기기의 메인보드에 부착된 플래시 메모리를 물리적으로 분리하여 메모리 리더기를 통해 덤프한다. - Chip-off 방법의 경우 메인보드에서 분리된 플래시 메모리를 다시 복원하는 것은 어려우므로 물리적으로 모바일 기기가 파손되어 사용할 수 없는 경우에 주로 사용한다. - 원본 데이터 획득에 있어 가장 확실한 방법이지만 난이도가 가장 높고 칩 손상으로 인한데이터 영구 손실 가능성 등의 제약사..
증거법

증거법

2019.09.04
1. 증거법 기본원칙 1) 디지털 포렌식 기본원칙 정당성의 원칙 - 증거는 적법한 절차를 거쳐 얻어져야 한다. 재현의 원칙 - 같은 조건에서는 항상 같은 결과가 나와야 한다. 신속성의 원칙 - 휘발성 정보들은 수사 진행상 신속하게 획득을 하여야 한다. 절차 연속성의 원칙 - 증거물을 '획득 - 이송 - 분석 - 보관 - 제출'의 각 단계에서 담당자와 책임자를 명확히 해야 한다. - 증거물이 이송 중 물리적 손상을 받았다면 해당 내용을 인수/인계해야 하며, 복구 보고서 작성 등 적절한 조치를 취해야 한다. 무결성의 원칙 - 수집 당시 디스크의 Hash 값과 증거 제출 당시 디스크의 Hash 값이 같음을 증명해야 한다. 2) 위법수집증거 배제원칙 - 형사소송법 제308조의2(위법수집증거의 배제)에 따르면 위..
디지털 증거 보장 위한 제도적 장치

디지털 증거 보장 위한 제도적 장치

2018.11.15
최근 보안뉴스에 올라온 디지털 포렌식과 디지털 증거에 대한 뉴스기사다.포렌식에 관심있는 학생이거나 관련 종사자는 한번쯤 읽어보면 좋을 것 같다.기사 보러가기※ 요약디지털 데이터의 특성 비가시성, 취약성, 복제 용이성, 대량성, 전문성, 휘발성, 초국경성을 뒷받침 할만한 제도적 장치가 마련되어야 한다. 제도적 장치로 [디지털 포렌식 표준 가이드라인], [디지털 포렌식 도구 검증], [디지털 수사관 입증], [디지털 증거 분석실 검증] 등이 있다.
NTFS(New Technology File System)

NTFS(New Technology File System)

2018.10.11
1. NTFS 소개- FAT의 한계점을 개선하기 위해 개발되었고, Windows NT부터 현재 Windows 10까지 사용되고있다.- 이전 FAT32 파일 시스템에 비해 디스크 관련 오류로부터 자동적으로 복구할 수 있는 기능, 대용량 하드 디스크에 대한 재원 개선, 보안 강화로 사용 권한 및 암호화를 통해 특정 파일에 대한 특정 사용자의 엑세스 제한 등의 장점을 가지고 있다.NTFS 1.0- Windows NT의 최초 판매 버전인 Windows NT 3.1에 포함된 버전으로 최초로 공개된 버전이다.NTFS 1.2- Windows NT 4.0에 포함된 버전. NT 4.0이 나온 뒤 Windows NT가 많이 사용되기 시작하면서 실제적으로 가장 널리 쓰이고 있는 버전이다.NTFS 3.0(NTFS 6.0)- ..
FAT(File Allocation Table)

FAT(File Allocation Table)

2018.10.10
1. FAT 소개- FAT12이 처음 구현된 것은 빌 게이츠가 자신의 회사 제품인 BASIC에서 플로피디스크를 관리하는데 이용하기 위해서였다.- 발전하게 된 계기는 팀 패터슨이 QDOS라는 운영체제를 개발하면서 FAT 파일시스템을 선택했기 때문이다. - 단순한 구조 덕분인지 자연스럽게 PC에서 가장 많이 쓰이는 파일시스템으로 자리를 잡게 되었다.FAT12- FAT 파일시스템의 최초의 표준- 플로피디스크에 파일을 저장하기 위해 개발됨FAT16- 하드디스크를 지원하기 위해 개발됨- 최대 클러스터 개수가 65,535개로 늘어남으로 인해 최대 2GB까지 지원VFAT- 32bit 보호모드에 적합하도록 수정하여 성능 향상- LFNs(Long File Names) 지원FAT32- 최대파일 크기 4GB 지원- 최대 볼..
디지털 포렌식 도구

디지털 포렌식 도구

2018.10.02
디지털 포렌식 도구란? - 디지털 포렌식에 있어서 원활한 분석/수사 작업을 하게끔 지원하는 장비 및 프로그램을 정의한다. 디지털 포렌식 도구의 요구사항 1) 유용성(Usability) - 복잡도 문제를 해결하기 위해 추상화 계층에서 데이터와 조사관에게 도움을 주는 포맷을 제공해야 한다. 2) 포괄성(Comprehensive) - 모든 증거를 식별할 수 있기 위해 조사관이 모든 출력 데이터에 접근할 수 있어야 한다. 3) 정확성(Accuracy) - 오류 문제를 해결하기 위해 출력 데이터가 정확하고 결과가 적절하게 해석될 수 있도록 오류 한계가 계산된다는 것을 보장해야 한다. 4) 통일성(Deterministic) - 정확성을 보장하기 위해 변형 규칙 집합과 입력이 주어지면 항상 동일한 출력을 산출해야 한..
디지털 포렌식 5대원칙

디지털 포렌식 5대원칙

2018.09.30
디지털 포렌식이란?사이버 범죄 수사에 활용되며 컴퓨터와 인터넷을 통한 정보의 흐름을 조사하고 범죄 사실에 대한 증거를 확보하는 기술이 디지털 포렌식이다.크게 증거 수집 -> 증거 분석 -> 증거 제출로 구분된다.증거 수집은 컴퓨터 메모리, 하드디스크 드라이브 USB 메모리 등 저장 매체에 남아 있는 데이터를 취합하는 것 인데, 원본 데이터가 손상되거나 변형되지 않아야 하기 때문에 원본 데이터의 무결성을 보장하는 이미징 기술등을 사용한다.증거 분석 단계에서는 수집된 데이터에서 수사에 필요한 유용한 정보를 끌어내기 위해 자세히 분석한다. 일부 데이터는 숨겨져 있을 수 있기 때문에 삭제된 파일을 복구하거나 암호화된 파일을 해독하는 기술 등이 활용된다.마지막으로 이런 과정을 통해 입수된 디지털 증거가 법정 증거..
[pwnable.kr]fd

[pwnable.kr]fd

2018.01.03
pwnable.kr은 포너블 워게임 사이트이다.포너블은 쉽게 말하면 시스템 해킹이다.사이트에 들어가서 좌측 상단 play를 클릭하면 문제들이 나오고 회원가입 후 문제를 풀면된다. 첫 문제를 보면 "엄마! 리눅스에서 파일 디스크립터가 뭐야?"라고 나온고, 하단에 너 완전 쌩초보면 영상참고하라고 나온다. 그리고 ssh로 접속할 수 있게 호스트이름이랑 포트 알려준다. 들어가서 문제를 풀면 flag를 알려줄 것이다. 그리고 여기 폼에다 플래그 입력해서 풀면된다. 나는 putty를 사용해 접속했다. putty로 접속하면 로그인창이 나오고 fd/guest로 로그인 했다. 폴더 안에 뭐가있는지 보면 fd, fd.c, flag가 있다. fd는 fd.c를 컴파일 한 프로그램일 거고, flag는 플래그 관련된 것 같다. ..
[해커스쿨ftz]Level 4

[해커스쿨ftz]Level 4

2018.01.02
level4/suck my brain으로 로그인 후 ls입력. hint 파일이 있길래 hint보니 백도어 심어놨다고 얘기한다. find 명령어 치고 level5 SetUID권한 설정된 파일 없어서 바로 /etc/xinetd 살펴봤다. 보니 backdoor라는 파일이 덩그러니 있어서 cat으로 내용을 봤다. finger서비스 설정 내용이 나와있다. 설정을 조작해서 백도어 만든 것 같고 보면 finger 사용하면 level5 권한으로 /home/level4/tmp/backdoor 실행하는 것 같다. /home/level4/tmp 가봤더니 backdoor 파일이 있어서 바로 finger를 실행시켰는데 문제가 안풀려서 뭔가 했더니 backdoor가 관리자가 만들어 놓은 줄 알았는데 아니고 걍 누가 낚시용으로 만..
[해커스쿨ftz]Level 3

[해커스쿨ftz]Level 3

2017.12.30
level3/can you fly?로 로그인 후 전과 같이 ls명령어 후 hint 출력. hint 안에는 c언어 소스코드가 있었고, level4의 SetUID권한 있는 /bin/autodig 파일 발견. 소스보니까 autodig의 소스라고 나와있다. #include #include #include int main(argc, char **argv){ //인자개수와 인자저장 배열 char cmd[100]; //문자열 변수 선언 if(argc!=2){ //인자가 2개가 아니면 조건문 실행 printf("Auto Digger Version 0.9\n"); printf("Usage : %s host\n, argv[0]"); //0번쨰 인자 출력 exit(0); //프로그램 종료 } // 위 조건문 실행 안되면 s..
  • 최신
    • 1
    • 2
  • 다음

정보

BIBISUNG 블로그의 첫 페이지로 이동

BIBISUNG

  • BIBISUNG의 첫 페이지로 이동

검색

메뉴

  • 홈
  • 태그
  • 미디어로그
  • 위치로그
  • 방명록

카테고리

  • 분류 전체보기 (99)
    • 성비비 일상 (16)
    • 해외주식 (0)
      • 수익인증 (0)
      • 종목분석 (0)
    • 물생활 (0)
    • 군대 (5)
    • 영어회화 (12)
      • OPIc (11)
    • 자격증 (6)
    • Python (2)
    • 정보보안 (14)
      • 디지털 포렌식 (9)
      • Wargames (5)
    • /dev/null (11)
    • 걷다, 보다 (32)
      • 시네마천국 (29)
      • 공연·전시·축제 (3)

정보

성비비의 BIBISUNG

BIBISUNG

성비비

블로그 구독하기

  • 구독하기
  • 네이버 이웃 맺기
  • RSS 피드

방문자

  • 전체 방문자
  • 오늘
  • 어제

티스토리

  • 티스토리 홈
  • 이 블로그 관리하기
  • 글쓰기
Powered by Tistory / Kakao. © 성비비. Designed by Fraccino.

티스토리툴바