리눅스 아티팩트 종류1. wtmp접속성공에 기록을 확인한다.(로그인/로그아웃 정보, boot/shutdown의 히스토리 정보를 파일로 저장한다)/var/log/wtmp는 바이너리 파일로 이루어져 있고,last -f /var/log/wtmp명령을 이용하여 확인이 가능하다.2. btmp접속실패에 기록을 확인한다./var/log/btmp 파일에 저장된다.(바이너리 파일로 이루어져 있다.)last -f /var/log/btmp명령을 이용하여 확인이 가능하다.3.utmp시스템에 현재 로그인한 사용자들에 대한 상태 정보를 확인할 수 있다.역시 바이너리 파일로 되어 있어 w, who, finger 등의 명령어로 확인할 수 있다.* w 명령어현재 시스템에 성공적으로 로그인한 사용자정보, 시스템로드 정보, uptime ..

ext4 파일 시스템은 전체 파티션을 block 그룹으로 나누고, 각각의 block 그룹에는 super blcok, group discriptor table, data block bitmap, inode bitmap, inode table, data 영역이 존재한다.ext4파일 시스템은 저널링(Journaling)기능 - 파일 변경사항 추적 을 통해 삭제된 파일을 복구한다. 저널영역(Journal Area)저널영역은 inode 8번에 저장되어 있다.(주소값)Super Block 하나와, 여러개의 트랜잭션으로 구성되어 있다.이 Super Block에는 block type, block size, 총 블록 수 등 전체적인 정보에 대해 기록되어 있다.이 트랜잭션은 Descriptor Block or Revoca..

1.What’s the Operating System version of the Server? (two words) 오랜만에 해서 한참 찾았는데 SAM, SOFRWARE, SYSTEM 등 raw 파일들은 Windows - System32 - config 폴더에 있는 걸 기억하자. 세개 다 Rega에서 열어주자. 전에 문제 풀 때 공부했던 걸 찾아보니(풀었던 기억이 있어서) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion - 운영체제 버전을 레지스트리 상에서 확인하는 경로 이 경로로 가면 ProdectName에 답을 찾을 수 있다. ** Currentversion 6.3(version number) - 2012 R2(Operation System) *** 이거 안해..

다운받고 ftk imager에서 열어주자. pdf파일들이 많은데 삭제된 파일은 seg1 , 2 , 3 , 4 네가지가 있어서 추출해 봤는데 추출이 되지 않았다. $MFT파일이 있어서 추출해준 후 MFT Explorer에서 열어줘봤는데 별다른 정보를 얻을 수 없었다. 파일 시스템은 특정 파일이 삭제되면 새로운 데이터가 덮어 쓰여지지 않는 이상 삭제된 파일의 정보가 남아있기 때문에 복구가 가능하다. -> unallocated space는 새로운 데이터를 덮어쓸 수 있는 공간이니까 지워진 파일의 정보가 남아있을 수 있다. 추출해주고 HxD에서 열어줘 보았다. 02067 파일에서 PDF 헤더 시그니처가 있었다. Hxd에 있는 파일 연결 기능을 사용하여 파일들을 연결해주면(파일 이름 pdf로 저장) 플래그를 구할..

문제를 받으면 Enc라는 파일과 flag라는 jpg파일이 있다. enc 파일이 Hxd로 열어보니 파일 시그니처가 MZ여서 압축을 해제해보니 src들이 나왔다. 실행파일인 듯 했다. 파일 확장자명을 exe로 바꿔보니 flag가 바꼈다. 뭔가 가려져있다. 메모장 형식?인 걸 알려주는 것 같다. Hxd에서 flag.jpg파일을 열어보고 JPG의 푸터 시그니처인 FF D9를 검색해보았다. 두 개가 나오니 중간 하나를 지워주자. flag.jpg에 flag첫 부분이 나왔다. 두 번째 FF D9 부분으로 가보니 바로 두 번째 부분이 나왔다. 세 번째 플래그를 좀 고민했는데 PNG 파일의 구조를 다시 훓어보고 오니 IDAT 앞부분에 플래그로 보이는 부분을 발견했다. 모두 합치면 플래그를 구할 수 있다.

파일 시스템마다 형식이 다르기때문에 복구하는 방법 역시 다르다. NTFS Walker를 사용하여 파일을 복구해보자. EXE, DOCX, JPG, ZIP, PNG 파일을 각각 복구해볼 것이다. NTFS Walker에서 확인할 수 있다! 이제 Shift + Delete를 통해 삭제해보자. 삭제된 것으로 나온다 ! 하나하나 해보자. 제일 위에 있는 PNG파일을 복구해보자. hxd에서 NTFS 이미지 파일을 열어주면 이 드래그한 부분이 MBR영역인데 파티션 정보를 표현하는 부분이다. 16Bytes로 구성되어 있다. 5~8번 부분이 VBR섹터 번호이다. 0x80이므로 128섹터로 이동해보자. VBR영역으로 이동했다. 4번째 줄 8Bytes부분이 Start of MFT부분으로 계산 시 사용된다. 복구하고자 하는 파..