Forensics - TK-CTF/CTF GitHub Wiki

PwnのWikiがかっこよかったため真似させていただきました．
以下に色々書いておりますが，何分私が初心者でありますから，内容は貧弱であります．どうぞ温かい目でよろしくお願いいたします．

Contents

  1. こころがまえ
  2. 特定厨風
  3. Steganography
  4. ドライブイメージ
  5. Wordファイル
  6. Network
  7. MemoryDump
  8. Zip
  9. AVI
  10. Tools
  11. Links

こころがまえ

Forensicsでは，様々な形式のデータファイルを処理していきます． 体系的なまとめですとかは，私にはまだよくわかっていないことが多く難しいです．いままで解いた経験（笑）から，解く上で大事なことは以下の通りとなりそうです．

  • Wikipediaでファイル形式を調べると，わかりやすく正確にまとまっていることがある．ことがある．
  • RFC で検索すると，そのファイル形式の規格書みたいなのが出てくる．これを読むのもいい
  • ツールに頼りすぎないようにする．例えば，binwalk コマンドでzlib compressed dataとか出てきても信用しないこと．
  • stringsにかけて何度も出てくる文字で検索したりすること．ヘッダの形式として入れなくちゃいけない文字だったら，そこでファイル形式が割れる．
  • データの隅々まで目を通すこと．exiftoolコマンドで出てくる情報にはよくヒントが埋まっている．
  • 問題名や問題文には，とてもたくさんのヒントが詰まっています．一見してデータ形式がわかってしまう人はそうそういらっしゃいませんから，大体はヒントがあります．わかりづらいことも多いのですが．
  • 強い人はデータ形式がわかったら，C言語とかでコートをかいてゴリゴリ解いてしまうらしいのです...怖い...
  • キーワードが hex encoding とか xor encoding してある事はままあるようです．

特定厨風

画像のEXIFを解析することによって画像のとられた地点の座標が割れることがあります．基本はその座標をGoogle Mapにぶち込んであげれば終わるのですが，そのぶち込み方が注意が必要なポイントです．座標は度，分，秒と60進数で進んでいきますから，そこに留意しなければなりません． ex.)31+35/60+2.76/3600=緯度31.5841 130+32/60+51.7272/3600=経度130.547702

Steganography

情報の中に情報を隠すことを言います．
CTFのSteganographyは，どのツールで開けるのかヒントがあることが多いが，なかったらなかったで困るのでいろいろ試すようにする．
PNGのInterlaceのアルゴリズムの一つであるAdam7の処理途中でQRコードが出てくる，という問題があった．(SECCON2019のsandstorm)

代表的なツール

  • Steghide: パスワードを付けて隠すことができる．PNGには対応していない．
  • Stepic: 普通のSteganographyをして呉れる．ただし，どうもPython2系を使ってるようで，普通に実行すると文句を言われる．

ドライブイメージ

イメージファイルが渡されたら，いろいろと試す．
ex) mount, fls, icat, strings
やっぱり，一筋縄ではいかなさそうなので，解きまくるしかなさそう

Wordファイル

Wordファイルは！ 実は！ zipで圧縮されたxmlだから適当なソフトで解凍できます！ それこそWindowsの標準機能でも． エーーーーーー

Network

Wiresharkを使いましょう．これは基本です．
仕様を理解するか，もしくは調べましょう．
あと，Rubyとかで自分でパケット通信を書いた方が早いこともあるみたいです．そんなスキルないよT_T
cURLを使って通信するやつもできるかもしれん
webの人との境界があいまいなので，話し合おう．

MemoryDump

volatility

メモリダンプを読むお仕事． https://github.com/stuxnet999/MemLabs ←これはどこかのインド人？によるありがたい問題集です．

Zip

zlibというライブラリで圧縮・展開ができる．

zipにパスワードがかかっている

zipのパスワードはブルートフォースアタックで破れると聞いている

zipが壊れている

central directoryが残っていれば，そこら辺のソフトで修復できる，
central directoryが壊れていたら，わからない．そもそもそれはzipではない可能性があるので，立ち返ってやり直そう．

AVI

Windowsの，動画や音楽を一つにまとめるフォーマット．実はWAVEもAVIの一種．動画編集ソフトのAviUtlの名前にも入っています．
http://eternalwindows.jp/winmm/mminput/mminput04.html
http://eternalwindows.jp/winmm/mminput/mminput04.html

Tools

  • tweakPNG: PNGの構造がひとめでわかる！

Links

https://qiita.com/knqyf263/items/6ebf06e27be7c48aab2e
https://digitaltravesia.jp/usamimihurricane/webhelp/_RESOURCE/MenuItem/another/anotherAboutSteganography.html

⚠️ **GitHub.com Fallback** ⚠️