Codegate 2012 Network 300 풀이

이번 문제는 풀이 과정에서 삽질을 너무 많이하여 시간이 꽤 걸렸네요..

자 이번 문제 지문부터 보도록 하죠!

One day, attacker A hacked into B company’s internal system and then stole backup data.
This backup data was made by attacker A himself.
Attacker A used his specifically configured network to detour B company’s security system.
Now you(B'company's an employee) detected it late.
You have to analyze the traffic by using WireShark and have to find which data was leaked from which internal system.
A stolen data by Attacker A will be an important hint to find the answer.

Answer : strupr(md5(Hint_in_the_leaked data|Hacked_internal_system_address)) ('|'is just a character) 

 
일단 문제는 어떤 해커가 B 회사의 백업 데이터를 유출 시켰다는 내용입니다.

그런데 그 해커는 회사 내부의 보안시스템을 우회하기 위해 자신만의 특별한 네트워크를 형성하여 침입을 했다는군요.

문제에서는 와이어샤크를 이용하여 트래픽을 분석하고 유출된 데이터가 있던 시스템의 주소를 알아내라는 군요.

또 공격자에 의해 도난당한 데이터가 힌트가 될 수도 있다는 말을 하고 있습니다.

일단 와이어샤크로 패킷파일을 열어보면 udplite 프로토콜 패킷밖에 보이지 않습니다.

[그림 1 - 패킷파일 내용]

이때는 정말 난감했었습니다. udplite라는 프로토콜도 생소할 뿐만 아니라 stream등도 보지 못했기 때문이죠.

이때는 무작정 패킷 하나하나를 분석하였습니다.

그러던 중 data 부분에서 많이 보던 것이 보였습니다.

[그림 2 - data 부분]

한창 ipv6를 공부한다고 까불었을 때 많이 보았던 hex 값이었습니다.

ipv6의 ip 형태이죠!!

그래서 혹시나 하여 해당 패킷들을 ipv6로 바꾸어 보았습니다.

[그림 3 - ipv6로 변환]

변환 방법은 패킷을 우클릭 -> decode as -> network tab -> IPv6 순서로 클릭을 하시면 됩니다.

이제야 뭔가 평소에 보던 패킷들이 보이는군요.

바로 TCP Stream을 보았더니 많이 보던 시그니처가 있었습니다.

[그림 4 - TCP Stream]

7z 시그니처를 보니 압축 파일이 오고 간듯 합니다.

더군다나 이 패킷들은 모두 하나의 패킷이어서 다른 파일은 더 이상 발견하지 못하였습니다.

해당 스트림을 raw 포맷으로 저장하고 압축을 풀어보면 아래와 같이 swf 플래시 파일이 하나 나옵니다.

[그림 5 - 압축 파일 내용]

해당 swf 파일을 실행 해 보면 아래와 같이 답변은~ 하면서 무언가가 써집니다.

 [그림 6 - swf 파일 실행 결과]

문제에서는 데이터가 힌트도 될 수 있다 하였으니 ipv6.dst를 염두에 둬 봅시다.

패킷에는 오로지 두 개의 호스트 IP만 존재합니다. 이 중 유출 데이터 시스템 주소를 구별 해야 하는데 이는 간단합니다.

데이터 유출은 파일이 옴겨진 것이고 파일이 옴겨질 때는 보내는 쪽지 유출된 시스템이라고 충분히 생각 할 수 있습니다.

그러므로 패킷파일에서 많은 량의 패킷을 발송한 호스트만 찾으면 됩니다.

찾아보니 fe80::c0a8:8888(192.168.136.136) 패킷을 일방적으로 많이 보내고 있었습니다.

이제 답변의 형태로만 만들어주면 됩니다.

답변의 형태는 strupr(md5(유출된 데이터안의 힌트|유출된 데이터의 시스템 주소))) 이니 아래와 같이 계산하면 됩니다.

[그림 7 - 문제 답변 계산]

 - 6642E5A831032D2CF852C66024D9C1F1