본문 바로가기

[+] Forensic

Metasploit(Meterpreter) Forensic 요즘 날씨가 추워 손도 얼고 뇌도 얼고(?) 해서 그런지 몰라도 뜻대로 잘 안써지네요. 조금 더 책과 사설등을 많이 읽어야겠습니다. 참고로 문서에서 언급하지 않은 부분이 있는데, Meterpreter가 동작할 때 공격자 PC의 Meterpreter와 피해자 PC의 세션 프로세스에서는 초기화를 먼저 수행하고 세션을 연결합니다. 문서를 이해하는데는 무리가 없어 문서에서는 제외하였는데, Meterpreter 동작 원리에 대해서 조금 더 관심이 있으신 분들이 있을 것 같아 이렇게 언급합니다. 더보기
[메모] Windows 8과 2012 Sever의 크래시 덤프 Windows 8이전 버전에서는 크래시 덤프의 종류를 일반적으로 작은 메모리 덤프, 커널 메모리 덤프, 전체 메모리 덤프(Windows 7 에서는 존재하지 않음)라고 말할 수 있었다. 하지만 Windows 8 버전에서부터는 3가지 덤프 종류 외에 "자동 메모리 덤프"라는 종류가 하나 더 추가되었다. 또 자동 메모리 덤프는 Windows 8의 기본 크래시 덤프로 설정되어 있다. [그림 1 - Windows 8의 크래시 덤프 설정 대화상자] 새롭게 추가 된 자동 메모리 덤프를 새로운 크래시 덤프의 종류로 생각할 수도 있지만, 사실 자동 메모리 덤프의 내용을 보면 새롭지 않다는 것을 알 수 있다. 자동 메모리 덤프가 수행되면 커널 메모리 덤프와 동일한 내용을 pagefile.sys에 저장하고 그 내용을 토대로.. 더보기
Torrent Forensic Artifact 흔히 어떤 미디어 콘텐츠나 응용 프로그램등의 불법적인 다운로드는 P2P로 이루어진다. 이전에는 당나귀나 프루나 라는 P2P 프로그램으로 이루어졌으나 요즘은 토렌트라는 응용프로그램으로 넘어와 자료 공유가 무척이나 활발히 이루어지고 있다. 특히 성인동영상이 P2P에서 공유되고 있는 대표적인 미디어 콘텐츠 인데, 이와 같은 미디어로 인해 현재 우리나라에서는 크고작은 성폭력 범죄등이 발생하고 있는 시점이다. 최근에까지만 하여도 웹하드에서 주로 성인물을 쉽게 받아 볼 수 있었는데 근래에 들어 정부와 각 기관들의 강력한 대응으로 웹하드의 사업자 등록화와 저작권물에 대한 강력한 단속등으로 인해 웹하드에서는 우리가 흔히 말하는 '야동'이라는 것을 쉽게 접하지 못하게 되었다. 하지만 아직까지도 토렌트 시드파일을 전문적으.. 더보기
N Drive Forensic Artifact 글쓴이는 주변 분들을 대상으로 하나의 설문조사(?)를 했었다. 자주 사용하는 클라우드 서비스가 무엇이냐는 질문에 대한 답변을 조사하는 것이었는데 설문의 결과를 종합해 보니 어느정도 예상하는 순위들이 정해졌다. 1. N 드라이브2. 다음 클라우드3. U 클라우드4. 아마존 클라우드5. 구글 드라이브 글쓴이는 시간이 허락하는대로 위 5가지의 흔적들을 조사 해 포스팅하고자 한다. 이번 글은 당연히 N 드라이브에 대한 흔적들을 소개하고자 한다. 글쓴이는 이전에 클라우드 포렌식이란 주제로 글을 써 포스팅한 적이 있다. 그 글에서 클라우드의 현재 문제점 때문에 클라이언트 측의 장비를 중심으로 여러 증거들을 수집해야 한다고 했었는데 이 글에서 클라이언트에서 어떠한 흔적과 증거들을 발견 할 수 있는지 소개하겠다. 일단.. 더보기
Exif 포맷의 사진 데이터 조작 여부 판단 방법 요즘은 휴대용 기기에 카메라가 거의 필수적으로 부착되어 사용되고 있다. 이 사진들은 대부분 JPEG 파일로 저장되며 그 사진 정보의 형태는 Exif 라는 포맷으로 사진 내부에 저장 된다. Exif 포맷에는 사진의 기본정보부터 시작하여, 사진을 찍은 기기의 모델명, 날짜, 렌즈 종류, GPS 등의 많은 정보가 저장되어 있다. 만약 어떤 사진이 수사나 어떤 사고에서 중요한 역할을 할 때 대부분의 조사관들은 Exif 포맷의 정보를 분석 해 이미지의 전반적인 정보를 알아내어 자신이 현재 진행하고 있는 업무에 적용하곤 한다.(해커그룹 체포에 도움이 된 Exif GPS 정보에 관한 기사 : http://www.zdnet.co.kr/news/news_view.asp?artice_id=20120416153845)하지만.. 더보기

티스토리툴바