[2023.10.14] 디지털 포렌식 기초 & [SUNINATAS] 15번 문제

[섹션 2-1]

- volatility

-Windows terminal

-시스템 환경 변수 설정        

- 문제 다운로드

 1)volatility wiki – Memory Semple

 2) CTF-d -GrrCON2015 – 사이트 닫힘

 

메모리 : 프로그램이 올라갈 수 있는 공간

volatility는 메모리 관련 데이터를 수집하는 도구

 

 

[섹션2-2] Volatility Cridex 풀이

volatility-f -> imageinfo  : 모든 분석에 전에 imageinfo해줘야 함.

- imageinfo : 이 메모리가 어떤 운영체제의 메모리인지 알려주는 명령어

- suggested profiles: 제안해줌.

‘pslist’ 명령어 입력

‘pslist > pslist.log’를 입력하면 터미널 창에 출력된 모든 값들이 pslist.log라는 파일로 생성.

 

-pslist: 시간 순서대로 출력함.

‘psscan, pstree, psxview’까지 차례로 입력!

-psscan: offset 순서대로 출력함. 숨김 프로세스를 볼 수 있음!

-pstree: PID, PPID 기반으로 구조화하여 출력함.

-psxview: pslist와 psscan을 한 눈에 볼 수 있는 도구.

 

노트패드에서 pslist.log부터 psxview.log까지 열기. 위에 보이는 한줄 한줄은 프로세스를 의미함.

 

 

[15번 문제]

링크를 클릭해서 들어가면 아래와 같이 노래가 재생된다.

파일 안에 키 값이 있다고 했으니까 파일을 다운로드한다.

지휘자명이 특이하다는 것을 알 수 있다.

 

키값을 넣어주면, 문제가 해결된다!!