R3CTF/YUANHENGCTF 2024 Write-Up

[ Forensics ]

• TPA 02 - 📱

Peggy의 휴대폰 데이터와 휴대폰의 네트워크 패킷 캡처 파일이 주어진다.

주어진 데이터와 패킷 캡처를 사용해 피싱공격자의 전화번호와 peggy의 비밀번호를 알아내면 된다.

 

안드로이드에서 문자 메세지가 저장되어 있는 위치는

\data\data\com.android.providers.telephony\databases\mmssms.db

에 저장되어 있기 때문에 DB Browser로 내용을 확인해 볼 수 있다.

 

http://malicious.com:5000 이라는 피싱사이트를  알려주는 메세지를 보낸 사람이 공격자인 것을 알 수 있다.

+15555215558가 공격자의 전화번호이다.

 

Wireshark로 http 패킷을 확인해보면 ~/login에서 POST 한 것을 발견할 수 있다.

 

HTTP Stream으로 따라가보면 Host가 방금 발견한 피싱사이트의 로그인 페이지라는 것을 알 수 있다.

POST로 보낸 데이터는 이메일, 비밀번호, 데이터 기억 유무(추측)으로 Flag로 쓰이는 비밀번호는 l0v3_aNd_peace이다.

 

전화번호와 비밀번호를 조합해서 Flag를 만들면

r3ctf{15555215558_ l0v3_aNd_peace }가 된다.