분류 전체보기

서론 * 힌트 - 진행과정 25회 까지는 잘 되지만, 25회부터는 SuNiNaTaS Browser를 사용하라고 한다. - 코딩하면 깔끔하게 해결된다. 123456789import httplib, urllib conn = httplib.HTTPConnection("suninatas.com")Headers = {"Cookie":"ASPSESSIONIDSAAQTAQS=BOJBMOEAJHALEICAOMAKKJOM", "User-Agent":"SuNiNaTaS", "Content-type":"application/x-www-form-urlencoded"}for i in range(26, 51) : conn.request("POST", "/Part_one/web04/web04_ck.asp", urllib.urlen..

AnalyzerMFT 설치- https://github.com/dkovar/analyzeMFT AnalyezeMFT -f 파일명 -o 추출명.csv 로 떨구어서 조회하면 된다. * RefNTFS MFT 엔트리 소개 http://forensic-proof.com/archives/470 NTFS MFT 구조 소개 http://forensic-proof.com/archives/584

* ADS - Alternate Data Stream의 약자이자, 또 다른 데이터 스트림을 생성한다.FAT부터 되었으며, NTFS(New Technology File System)부터 윈도우도 지원을 하기 시작한다. 1. 매킨토시와 호환을 갖추기 위해 ADS가 도입되었다고 하는데, 맥에서 FS는 data, resource(ADS)영역으로 나뉜다.2. 메타데이터와, 데이터를 구분지어 사용하기 위해 도입되었다고 볼 수 있다. * 윈도우 XP까지는 ADS를 통한 Data Hiding을 이용한다면, 아직도 공격이 가능하다. * ADS 생성 방법.1. C:\ADS>echo "Qerogram" > test.txt:hidden2. C:\ADS>echo "Qerogram2" > :ads.txt * ADS 확인 방법- ..

서론 복구가 귀찮아서 만들어 봤는데 그렇게 어려운 로직도 아니었고 허접한 소스가 결과로 나왔다. 진행과정 헤더인 ffd8ffe0을 찾고, 푸터인 ffd9를 찾아 그 사이의 값을 모두 쓰는 방식으로 구현했다. HxD를 이용해서, 파일을 두개 합쳐보고 실험을 해봤더니 성공적이었다. 해당 py파일 뒤에 parameter로 복구할 파일을 불러오면 되는 부분이다.1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556import binascii, sys, os FileName = 0EIP = 0Cluster_Size = 32Flag = 0Recovery_File = 0 def main(..

서론 들어가면 벌한마리가 있다.힌트로는 Where is missing link? 인데 소스를 보면 벌사진에 하이퍼링크로 return/good.html에 접근하는 코드가 존재한다. 진행과정poly로 형태를 만드는 것 같아서 위의 코드는 아니고 주석으로 보면pw랑 un이 존재한다. pw로 아마 이게 계정접속 아이디/비번으로 추측을 할 수 있다.BZh91AY&SY로 시작을 하는데, 검색을 해보니 이것은 bz2라는 압축파일의 헤더임을 파악할 수 있었다.bz2라는 기본 라이브러리를 이용해서 decompress method로 해결을 하였다. 12345import bz2 un=bz2.decompress('BZh91AY&SYA\xaf\x82\r\x00\x00\x01\x01\x80\x02\xc0\x02\x00 \x00!..

서론 NULL 진행과정 들어가보면 사진 하나 뿐이고 힌트가 없다. 사진을 다운받아서 어떤 행위를 하면 답이 나올 거라 생각했지만. 잘 모르겠어서 write up을 보았다. 파이썬에서 그림을 다루는 라이브러리는 PIL이라고 있다고 한다. 거의다 3.3으로 write up을 진행해서 진행이 쉽진 않았다. REF에 적어둔 경로로 들어가면 2.x버전들도 PIL 라이브러리를 다운로드가 가능하다. (pip로 하라는 게시글도 보았지만 되지는 않았다..) → pip install Image를 통해 가능하다. x좌표를 7픽셀씩 늘릴 때마다 값이 변경됨을 확인하고 루프를 7씩 뛰게끔 코딩하였다. y좌표는 격자무늬 바로 밑 픽셀인 45정도가 적당하여 값을 대입하여 풀어냈다. 두 방법 중 아무거나 채택해서 하면 된다. for..

서론 NULL 진행과정 - 들어와보면, 바지의 지퍼가 보이고, 소스를 보니 대놓고 zip하고 주석처리를 해놨다. - 유추하여 channel.zip을 url로 넘겨서 해보면 우연히 다운로드가 된다. - readme.txt를 읽어보면 90052부터 시작한다고 한다. 46145.txt에서 문제를 야기한다. comment를 수집하라고. 그 부분까지 해결한 코드이다.123456789101112131415161718import zipfile, re res = zipfile.ZipFile("channel.zip", "r") result = "" EIP = 90052while 1 : path = str(EIP) + ".txt" temp = res.read(path) print path pattern = re.compi..

서론 NULL 진행과정 - 문제를 들어오면 title이 peak hell이라고 되어있다. - 무슨 소리인지 몰라서, 소스를 보았더니 아래와 같이 peakhell 태그를 발견했는데, banner.p라는 파일을 참조하는 것을 확인할 수 있다.123cs - banner.p를 열어보니 알 수 없는 글자가 가득했다. 찾아보니, p파일은 text → binary화 한것이라고 하고, python object들을 serialize할 때 사용되는 파일이라고 한다. peak hell과 비슷한 발음인 pickle을 python은 제공하고 있다. pickle의 loads method를 이용해서 아주 손쉽게 해결을 했다.12345678910import pickle, urllib res = urllib.urlopen("http:..

힌트 - 400 이동을 해야 정답을 얻을 수 있다. urllib을 활용하라 진행과정 또, 사진에 걸려있는 태그는 태그라서, 사진을 누르면 페이지를 이동합니다. 링크를 눌러보면 and the next nothing is 44827 하고 창이뜨는데, nothing인자를 GET방식으로 받는 것 같은데 이 부분을 파싱하여, urllib으로 요청하는 코드를 작성하면 됩니다.123456789import re, urllib res = urllib.urlopen('http://www.pythonchallenge.com/pc/def/linkedlist.php?nothing=12345') for i in range(0, 400): temp = res.read() print temp p = re.compile('[^0-9]..

힌트 One small letter, surrounded by EXACTLY three big bodyguards on each of its sides. 진행과정 - 소문자 좌우로 정확히 3개의 큰 바디가드가 있다. - 이 문제 또한 ocr과 동일하게 Chrome 개발자 도구(F12)에 아주 긴 string이 존재한다. - string을 보면 대/소문자로만 구성이 되어있는데, 큰 바디가드는 아마 대문자라고 볼 수 있다. - 대문자3 소문자1 대문자3의 정규식을 작성해서 긁어내면 해결이 가능하다. - 하지만, 대문자 4가 올수도 있으니까 소문자1, 대문자3, 소문자1, 대문자3, 소문자 1을 해서 대문자3과, 대문자3사이에 있는 소문자만 ()로 빼내면 되는 부분이다.1234567import re t = '..

힌트 recognize the characters. maybe they are in the book, but MAYBE they are in the page source. 진행과정 힌트대로 Chrome 개발자 도구(F12)로 소스를 파싱하면 제일 아래에 주석의 밑에 엄청 긴 문자열이 존재한다. 정규식으로 alphabet만 긁어내면 정답이 나온다. 1234567import re t = '''...''' p = re.compile('[a-zA-Z]') print p.findall(t)cs['e', 'q', 'u', 'a', 'l', 'i', 't', 'y'] => http://www.pythonchallenge.com/pc/def/equality.html # REF NULL

서론 NULL 진행과정 시저 암호이다.(오른쪽으로 2번 이동한) K->M O->Q E->G 적힌 문구(힌트)를 까보면 i hope you didnt translate it by hand thats what computers are for doing it in by hand is inefficient and that's why this text is so long using stringmaketrans*+ is recommended now apply on the url 이다. 그냥 url을 똑같이 암호화했을 때의 값을 의미한다. 123456789q = "map" for i in q : if ord(i)+2 > ord('z') : print chr(ord(i)+2-26), continue if i == '...