[SuNiNaTaS] [FORENSIC] Level 30. Military

Memory Forensics 문제이다.

Volatility만 잘 쓰면 답을 알아낼 수 있다.

자세한 풀이는 아래 클릭~

우선 이 파일에 어떤 OS 정보(Profile)가 담겨 있는지 알아야 한다.

이 이후의 명령어를 입력할 때 그 OS로 한정해야 하기 때문이다.

1번 문제의 IP를 알아내려면 netscan 옵션을 추가하면 된다.

netstat 명령의 결과처럼 출력되는데, 왼편이 local 즉, 이 사용자의 IP이며, 오른편이 remote 즉, 원격지 IP이다.

2번 문제를 풀기 위해, cmdscan 옵션을 추가해 명령어 기록을 확인해보자.

notepad를 이용해 파일을 연 흔적이 있다.

파일명은 알았으니, 이 파일이 존재하는 주소를 파악하기 위해, filescan 옵션을 주고, 해당 파일명으로 필터링했다.

이후 아래 옵션을 통해 그 주소로부터 파일을 추출하면 된다.

이후 파일을 읽으면 3번 답인 키 값을 얻는다.

마지막으로 3개의 답을 이어 붙여 md5 hash하면 인증키가 만들어진다.

Clear~