모두의 dream

윈도우 포렌식을 하다보면 드라이브 문자를 매칭해야될 때가 있다. 1. 아티팩트1.1. 핵심1.1.1. MountedDevice경로: SYSTEM\MountedDevices1.2. 교차 검증1.2.1. Windows Portable Devices경로: %SystemRoot%\Windows\System32\Config경로: SOWFTWARE\Microsoft\Windows Portable Devices\Device1.2.2. WPDBUSENUM경로: %SystemRoot%\Windows\System32\Config경로: SYSTEM\CurrentControlSet\Enum\SWD\WPDBUSENUM1.2.3. VolumeInfoCache경로: %SystemRoot%\Windows\System32\Config..

BitLocker는 윈도우의 디스크 암호화 기능으로 누군가가 오프라인으로 디스크에 접근하여 데이터를 읽을 수 없도록 한다. 따라서 기기를 도난당하거나 분실했을 때 유용하게 사용될 수 있다.1. BitLocker 암호화 여부 확인보통 NTFS BR 영역은 헤더에 OEM ID로 NTFS 글자가 있다. 하지만 BitLocker로 암호화 된 경우 FVE-FS(Full Volume Encryption File System)라는 문자열이 식별된다.2. Keys2.1. FVEK (Full Volume Encryption Key)실제 디스크를 암호화할 때 사용되는 256비트 크기의 키로 VMK로 암호화 되어 디스크에 저장된다.BitLocker 메타데이터에 암호화된 상태로 저장된다.2.2. VMK (Volume Mast..

보호되어 있는 글입니다.

보호되어 있는 글입니다.

쓰기방지 하드웨어 장비가 없을 때 사용할 수 있는 방법레지스트리 값 수정1. 레지스트리 편집기 실행2. 아래 경로로 이동컴퓨터\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\3. "StorageDevicePolicies" 키 접근/생성만약 StorageDevicePolicies 키가 존재하지 않을 경우 키 생성4. "WriteProtect" 값 수정/생성만약 StorageDevicesPolices 키를 새로 생성한 경우 WriteProtect 값 생성WriteProtect 값을 1로 설정하면 쓰기 방지가 설정되고, 0으로 설정하면 쓰기 방지가 해제된다.결과 확인쓰기 방지가 적용됐다.

WargameCyberDefenders: https://github.com/RokLcw/CyberDefendersHack The Box:Dreamhack: reversing.kr: Algorithm백준: https://github.com/RokLcw/BAEKJOON

"요즘 저장 매체들은 왜 포렌식이 힘들어요???" 라는 질문에 대답하기 위한 개념 정리.I. SSDSSDNAND 플래시 메모리를 기반으로 한 저장매체.플래시 메모리를 사용하기 때문에 셀(Cell) 이라는 기본 단위로 구성되어 있고 해당 셀에 비트를 저장한다.쓰기(Write) 작업시 0, 지우기(Erase) 작업시 1로 채워지게 된다.하드디스크에서 파일을 삭제하는 방식MFT 영역에서 파일의 위치를 가리키던 메타 데이터만 삭제를 하고 실제 데이터는 남겨두는 방식이었다.만약 하드디스크 삭제 방식 그대로 SSD에서 사용하게 된다면??해당 방식은 플래시 메모리를 사용하는 SSD에서는 문제가 발생하게 된다.셀에는 수명이 존재하는데 하드디스크에서 사용되는 플래터에 비해 현저히 짧은 수명을 갖고 있다.하드디스크처럼 메..

보호되어 있는 글입니다.

APT 37 그룹의 악성코드 RokRAT에 대한 분석 내용.인터넷 상에 공유되어 다운로드 받을 수 있는 RokRAT 악성코드를 다운로드 받아서 분석을 진행했다. 현재 학습 중인 내용상 lnk 파일에 숨겨져 있는 스크립트에 대한 내용만 공부하고 싶어 바이너리 분석은 별도로 진행하지 않았으며 추후 분석이 가능해진다면 추가해볼 예정이다.I. 악성코드 정보파일명: (안보칼럼) 반국가세력에 안보기관이 무기력해서는 안된다.lnkHash (MD5): 2A12C48F3755D5EC762BF22215A34C19II. 악성코드 동작 과정lnk 파일에는 악성코드를 드롭, 실행하기 위한 스크립트와 악성파일, 사용자를 속이기 위한 정상 한글파일이 함께 들어있다.악성코드를 실행하면 각각 아래 경로에 파일이 드롭되고, 한글 파일과..

이진 기수법컴퓨터에서 10진수를 저장하는 방법은 2진수이다. 예시) 10진수 108 → 2진수 0110 1100 10진수가 1, 10, 100, 1000 이렇게 10^n에 해당하는 수가 될 때마다 자릿수가 올라갔다면, 2진수는 1(2) = 1(10), 10(2) = 2(10), 100(2) = 4(10), 1000(2) = 8(10) 이런식으로 2^n에 해당하는 수가 될 때마다 자릿수가 올라간다. 10진수를 2진수로 변환하는 방법은 다음과 같다. (2로 나눈 후 나머지 값들을 이어 2진수로 변환한다.)그렇다면 소수를 2진수로 변환하는 방법은 무엇일까?정수는 위 방식대로 진행하면 되지만, 소수점 아래 부분은 위 방식의 반대로 진행하면 된다.2로 나눴던걸 2로 곱해주면 된다. 예시 1) 15.625정수: 위..