[Forensics] To Do[!MEMO]문제 파일이 .ad1 확장자로 된 파일로 주어졌기 때문에 FTK Imager를 사용하여 FLAG를 찾을 수 있다.Add Evidence Item... -> Image File -> 문제파일 선택 Finish를 진행하면 왼쪽의 Evidence Tree에 다음과 같이 나타난다.문제 이름에서 추측할 수 있다시피 todo 일정과 관련이 있어 보인다.여기저기 찾다보면 Microsoft Todos 폴더를 찾을 수 있다.하위 디렉토리 LocalState를 타고 쭉 들어가 보면 todosqlite.db 파일이 존재한다.파일을 선택한 후 export files... 로 파일을 추출하여 DB를 확인한다.DB를 확인하기 위해 DB Browser for SQLite 를 사용했다.ta..

DescriptionAre you worthy to continue?svc.pwnable.xyz : 30000ProblemSolutionv3 변수를 0x40000 크기만큼 동적할당 한 후 값으로는 1을 넣어준다.마지막 부분에서 v3의 값이 0이면 flag 값을 알아낼 수 있다.size[0]에는 입력한 message length가 들어가고, v4를 "message length"크기 만큼 malloc으로 동적할당한다.그 후, 최대 message length 크기만큼 message를 입력 받아 v4에 넣어준다.v5에 size[0]값을 넣어주고, v4[size[0]-1]에 0을 넣어주는데 이 부분으로 v3을 0으로 만들 수 있음을 추측할 수 있다.어셈블리어로 자세히 보면 다음과 같이 볼 수 있다.v4_addr ..

RokRAT은 북한 해킹 그룹인 APT37(ScarCruft, RedEyes, Vedalia)이 주로 사용하는 원격 액세스 트로이 목마(RAT: Remote Access Trojan) 악성코드이다. RAT은 감염된 컴퓨터를 공격자가 원격에서 제어할 수 있도록 설계된 악성코드의 한 종류이다.행위 조직: APT37북한 해킹 그룹 APT37(ScarCruft, RedEyes, Vedalia 라고도 알려져 있는)이 주로 사용한다.이 그룹은 주로 대한민국 정부 기관, 기업, 대북 관련 인사 등을 표적으로 삼는다.유포 방식주로 스피어 피싱(Spear Phishing: 특정 개인, 그룹 또는 조직을 대상으로 하는 피싱 공격) 이메일을 통해 유포된다.악성 LNK 파일 형태로 위장하는 경우가 많으며, 이 파일은 정상 문..

DescriptionNana told me that buffer overflow is one of the most common software vulnerability.Is that true?ssh bof@pwnable.kr -p2222 (pw: guest)Solution bof는 gets함수에서 이루어지고 32바이트를 더미로 채운 후 SFP와 RET 부분도 채우면 key의 주소가 나온다. 32바이트 이상 입력하니 stack smashing이 된다.메모리 보호기법이 걸려있는 듯 하다. DEP, Canary, PIE 보호기법이 걸려있다.overflowme가 32byte였기에 32+8 로 40byte를 더미로 채우고 0xcafebabe를 넣으면 되는 줄 알았는데 gdb로 열어보니 달랐다. 일단, 0x2c를 ..

DescriptionDaddy told me about cool MD5 hash collision today.I wanna do something like that too!ssh col@pwnable.kr -p2222 (pw:guest)Solution이 문제는 입력값이 아닌 인자를 계산해서 hashcode 값과 비교하는 문제이다.int res = 0;char str[20] = "";for (int i=0; i인자 문자열은 20 byte 이고 앞에서부터 4 byte씩 더한다.문자열을 (int)로 변환하면 ASCII Code가 된다.또한, 리틀엔디안 c언어로 재구성해서 테스트 해보았을 때 리틀엔디안 방식으로 계산된다.예를 들어, "ABCD"가 입력했을 때, (int *)로 변환한다면 0x67666564 가 ..

Descriptiontry to play the wargame your self but if you are ABSOLUTE beginner, follow this tutorial link: https://youtu.be/971eZhMHQQwssh fd@pwnable.kr -p2222 (pw:guest)ssh로 접속하면 fd 바이너리, fd 소스코드, flag가 있다.fd 소스코드를 확인해보면 main 인자가 1개 이상이어야 하고, 그 인자가 0x1234의 값과 같아야 파일 디스크립터 값이 0(stdin)이되어 입력받을 수 있다.0x1234를 10진수로 바꾼 4660을 인자로 넘겨주면 된다.그리고 strcmp로 입력받은 문자열이 "LETMEWIN" 과 비교하여 같으면 flag를 출력하기 떄문에 LETMEW..