보안

TL;DR 1. 계정관리에 신경쓰자! 안쓰는 계정이 있으면 삭제하거나 비활성화하자. 아니면 MFA라도. 2. 채굴이 목적인 침투를 봐서 반가웠다.. 기왕이면 많이 좀 벌어가지! 3. 클라우드 포메이션이나 IaC(Infrastructure as code)도 공격에 활용하기 좋다는 점. # 발단 2023년 2월 3일 오전 9시, 나는 비몽사몽한 상태로 휴대폰을 통해 메일을 뒤적이고 있었다. AWS에서 이상을 탐지했다는 메일이 새벽에 와있었다. 뭐, 스팸이나 스피어피싱 메일이 종종오니까 그런거라고 생각하고 별 일 아닌가보다 하고 넘어갔다. # 전개 근데 문득 우리 회사는 AWS를 많이 쓰니까, 회사에 대한 침해사고가 아닌가 걱정이 되기도 했다. 또 "최근 테스트 환경을 만들던 것을 오탐했나?" 하는 생각이 들..

ㅈㄴㄱㄷ 봤는데 이름이 특이하길래? 드롭퍼만 분석하고, RAT구나~ 하고 종료함. 이미지출처 : https://img.insight.co.kr/static/2018/10/30/700/qi0spy745bz942ph8sf5.jpg Phase 1. Dropper - Workbook_Open 함수가 있고, 악의적인 함수들이 보인다. 실행하면 Workbook_Open()가 호출되고, 전체 vba 코드는 다음과 같다. Private Declare PtrSafe Function DispCallFunc Lib "oleaut32.dll" (ByVal pv As LongPtr, ByVal ov As LongPtr, ByVal cc As Integer, ByVal vr As Integer, ByVal ca As Long, ..

hwp 구조 내에 포함된 BINDATA 경우에 COMPRESS가 되어 있음. hwpscan과 같은 도구에서 파싱 시간이 많이 소요되면, 직접할 수 밖에 없었다. 우선 7-zip으로 extract를 하자. 하고나서 아래의 코드로 zlib decompress 하면 된다. import zlib with open("BIN0004.OLE", "rb") as f : zip = zlib.decompressobj(-zlib.MAX_WBITS) with open("BIN_DEC", "wb") as output : output.write(zip.decompress(f.read()))

Audio LSB Steganography를 아냐고 묻는 문제다. 풀이의 핵심은 용어 그대로 Audio 파일의 LSB(최하위 비트를 갖고 와서 반전시켜) SteganoGraphy(유의미한 데이터를 얻는 것) 사전 지식 [+] Audio 파일 정의 [+] LSB 정의 -> [-] 최하위 비트를 어떻게 가져오며, 반전을 어떻게 해요? 값 & 1을 연산 [+] 스테가노그래피 정의 풀이 1. wav파일이 문제로 나왔는데, 구조 보기가 귀찮은 사람들은 010 Editor로 열어보자. 이를 통해 얻을 수 있는 정보는 다음과 같다. [+] Header Length = 0x24 => 근데 필요없음. f.seek() 용 [+] ByteChunkSize = 12121532(Decimal) -> 데이터가 시작하는 부분인 0..

서론 제목 그대로, 이번에 다뤄볼 주제는 윈도우 시스템에서 바로가기(lnk)와, Symbolic Link의 차이에 대해 생각해봤다.왜 이런 주제를 선택하게 되었나?라고 한다면, Volume Shadow Copy에 대해 공부를 하다가 둘의 차이가 뭔가 하고 한번 직접 진행해봤다.굳이 하드링크는 테스트하지 않더라도, 뻔한 상식으로 알고 있기 때문에, Symbolic Link와 바로가기의 차이에 대해서만 분석해봤다.파일명 sha1 HxDSetup.exe D562A6D6F827580B7EE4A77EAAFC8BA174A99B12 진행과정 1. Symbolic Link 만들기간단하게, mklink라는 기본 명령어가 존재한다. mklink에 /d옵션을 주면 디렉터리의 Symbolic Link를 생성할 수 있게 된다...

1./letsencrypt-autocs 가장 먼저뜨는 인풋 박스는, 아래와 같은 문구가 표출되는데 엔터를 쳐주면 된다.blank to select all options shown (Enter 'c' to cancel): 그 다음으론, 아래와 같이 뜨는데 1을 입력해주고 엔터치면 갱신된다.1: No redirect - Make no further changes to the webserver configuration.2: Redirect - Make all requests redirect to secure HTTPS access. Choose this fornew sites, or if you're confident your site works on HTTPS. You can undo thischange b..

진행과정 1. /etc/hostname에서 우선 변경 2. /etc/hosts 파일에도 아이피 호스트명으로 변경 예시) 127.0.0.1 3. 재부팅하면 적용이 된다. # REF [1] http://dreamlog.tistory.com/374

서론 대략 아래의 문구가 뜨는 것을 경험했던 사람들이 꽤 많을 것으로 예상된다. --------------------------------------------------------------------------------------- Linux raspberrypi 4.9.59-v7+ #1047 SMP Sun Oct 29 12:19:23 GMT 2017 armv7l The programs included with the Debian GNU/Linux system are free software; the exact distribution terms for each program are described in the individual files in /usr/share/doc/*/copyright. D..

서론 라즈베리파이3에서 mysql을 올렸는데 비밀번호가 변경이 안되서 정말 고생을 많이 했다. 진행과정 플러그인이 문제가 된다고 하여, root로 로그인 이후, 아래처럼 수행한다. 1 2 3 4 5 6 # mysql -u root -p > use mysql; > update user set plugin=""; > update user set password=PASSWORD("xxx") where User='root'; > flush privileges; > \q; Colored by Color Scripter cs Reference [1] http://nancom.tistory.com/257

서론 스캐너 툴을 쓸 수 없는 상황이 몇번 연출되어 직접 작성해봤다. 진행과정 간략하게 3줄이다.123for x in {1..254..1} do ping 192.168.0.$x & done;killall -9 ping;arp -a;Colored by Color Scriptercs # REF NULL

* 컨트롤 + F 로 검색후, 다음 검색어 컨트롤 + N / 이전검색어 컨트롤 + B* 컨트롤 + M으로 패킷 마킹가능. 마킹한 패킷간의 이동은 쉬프트+컨트롤+N or B* File -> Print(컨트롤+P)를 통해 특정 패킷분야 PDF화하여 분석가능.* 패킷의 시간 뿐만 아니라 패킷이 찍힌 절대 시간을 얻을 수도 있다. (VIEW->Time Display Format을 통해) * 패킷 시간 참조.- List 영역에서 원하는 패킷 선택. Edit -> Set Time Reference 클릭.(패킷의 시간이 *REF*로 표기)특정 패킷의 시작 전/후를 나누기에 아주 적합한 방식.

* 2.4 버전으로 작성되었고, 주관적인 사용법 내역이다.* Image 버전은 Win7SP0x86 기준이다. 1. 이미지 수집vol.exe -f [dump파일] imageinfo=== 결과 === Suggested Profile(s) : Win7SP0x86, Win7SP1x86Image Type (Service Pack) : 0============위와 같이 정보가 나오고 ImageType에서 서비스팩 버전을 알려준다. 왼쪽에 있을 수록 정확.즉, Win7SP0x86으로 추정. 2. 프로세스 정보 수집.vol.exe -f [dump파일] --profile=Win7SP0x86 psscan- 프로필 인자는 1에서 수집한걸 쓴다.psscan의 경우 죽은 프로세스들도 나온다.pslist의 경우 죽은 프로세스는 ..