휴지통

[Kashi CTF] Kings (osint) 풀이

nocapholic — Wed, 5 Mar 2025 06:50:59 +0900

[Kashi CTF 2025]
Date : held on February 22 to 23, 2025 (24h)

Did you know the cosmic weapons like this? I found similar example of such weapons on the net and it was even weirder. This ruler's court artist once drew the most accurate painting of a now extinct bird. Can you tell me the coordinates upto 4 decimal places of the place where this painting is right now.

이런 우주 무기를 알고 계셨나요? 그물에서 비슷한 무기의 예를 발견했는데 더욱 이상했습니다. 이 통치자의 궁정 화가가 지금은 멸종된 새의 그림을 가장 정확하게 그린 적이 있습니다. 이 그림이 현재 있는 곳의 소수점 4자리까지의 좌표를 알려주실 수 있나요.

첨부파일 :

첨부파일에서 큰 도움을 주진 않는다. 그러나 아래 설명에 힌트가 있다.

예술가 : Ustad Mansu

멸종된 새 : Dodo

KashiCTF{59.9399_30.3149}

[Patriot CTF] Simple Exfiltration (forensic) 풀이

nocapholic — Wed, 5 Mar 2025 06:31:50 +0900

[Patriot CTF 2024]
Date : held on September 21 to 23, 2024 (48h)
CTF 때 못풀고 아쉬워서 묵혀놨다가, 드디어 정신차리고 CTF 복기

reference

https://youtu.be/pnBY3SjX15k?feature=shared

https://github.com/ramenhost/ctf-writeups/tree/main/patriot-ctf-2024/forensics/simple-exfiltration

We've got some reports about information being sent out of our network. Can you figure out what message was sent out.

exfiltration_activity_pctf_challenge.pcapng

0.57MB

192.168.237.132

192.168.237.1 사이에서 http 요청이 반복중이다

Solution

Wireshark에서 pcap 파일을 분석한 뒤, 주어진 ICMP ping 패킷 ttl 필드가 요청 당 1바이트를 전송하는 은밀한 채널로 사용되었음을 알 수 있다.

분석방법

1. source - destination 사이에 특정 ip 사이에서만 상호작용이 발생 (192.168.237.132 + 192.168.237.1)

2. 프로토콜 종류 확인 (ARP, ICMP, TCP, HTTP 등의 프로토콜이 사용됨)

3. ICMP 프로토콜을 분석해보니, Echo (ping)을 요청하고 있음.

4. 요청(request)에서 ttl=112(p), ttl=99(c), ttl=116(t), ttl=102(f), ttl=123({)

pctf{~~~} 플래그가 보인다.

이러한 의미에서 ttl 필드가 ping request를 하면서, 1바이트(ASCII)를 전송하는데 몰래 쓰였다는 의미로 보인다.

Wireshark에서 icmp.type과 icmp.type == 8을 사용하는 것에는 다음과 같은 차이가 있습니다.

1. icmp.type

icmp.type을 입력하면 모든 ICMP 패킷이 필터링됩니다.
즉, Wireshark는 모든 ICMP 패킷의 type 필드를 확인하고, 이를 포함하는 패킷만을 보여줍니다.
하지만 특정 값으로 제한하지 않았기 때문에 icmp.type만 사용하면 모든 유형의 ICMP 메시지가 표시됩니다. (예: Echo Request(8), Echo Reply(0), Destination Unreachable(3) 등)

2. icmp.type == 8

icmp.type == 8은 ICMP Echo Request(핑 요청) 패킷만 필터링합니다.
ICMP 패킷 중에서도 type 값이 8인 패킷만 표시됩니다.
즉, 핑 요청만 확인하고 싶을 때 사용합니다.

추가적으로 알아두면 좋은 ICMP 필터

정리

icmp.type → 모든 ICMP 패킷을 필터링 (특정 값 없이)
icmp.type == 8 → ICMP Echo Request(핑 요청)만 필터링

CTF 문제에서 ICMP 패킷을 분석할 때는 icmp.type == 8으로 필터링한 후, 개별 패킷의 TTL 값, payload 등을 확인하는 방식으로 접근하면 됩니다!

이제 하나씩 일일이 받아 적거나, python, tshark와 같은 툴을 사용해서 플래그를 추출해내면 된다.

tshark -r exfiltration_activity_pctf_challenge.pcapng -Y "icmp.type == 8" -Tfields -e ip.ttl | awk '{printf "%c", $1} END{printf "\n"}'

알게된 점

ICMP 프로토콜에서 echo ping은 cmd에서 ping google.com할 때 그 ping을 의미하는 거였다.

[questcon CTF] The Big Fish (OSINT) 풀이

nocapholic — Wed, 5 Mar 2025 05:57:07 +0900

reference

https://yocchin.hatenablog.com/entry/2024/10/24/082037

[2024 questcon CTF]
Date : held on October 22 to 23, 2024 (24h)
CTF 때 못풀고 아쉬워서 묵혀놨다가, 드디어 정신차리고 CTF 복기

요약 : png가 주어졌을 때 osint 툴 순서대로 사용해보기

1phase

┌──(kali㉿kali)-[~/ctf]
└─$ exiftool dashcam_capture_20180811.png
ExifTool Version Number         : 12.76
File Name                       : dashcam_capture_20180811.png
Directory                       : .
File Size                       : 726 kB
File Modification Date/Time     : 2024:10:22 13:34:45-04:00
File Access Date/Time           : 2025:03:04 15:50:49-05:00
File Inode Change Date/Time     : 2025:03:04 15:50:49-05:00
File Permissions                : -rw-r--r--
File Type                       : PNG
File Type Extension             : png
MIME Type                       : image/png
Image Width                     : 1018
Image Height                    : 467
Bit Depth                       : 8
Color Type                      : RGB with Alpha
Compression                     : Deflate/Inflate
Filter                          : Adaptive
Interlace                       : Noninterlaced
SRGB Rendering                  : Perceptual
Gamma                           : 2.2
Pixels Per Unit X               : 4724
Pixels Per Unit Y               : 4724
Pixel Units                     : meters
Creation Time                   : 2018:08:11 11:21:00
Exif Byte Order                 : Big-endian (Motorola, MM)
X Resolution                    : 72
Y Resolution                    : 72
Resolution Unit                 : inches
Y Cb Cr Positioning             : Centered
GPS Version ID                  : 2.3.0.0
GPS Latitude Ref                : North
GPS Longitude Ref               : East
Image Size                      : 1018x467
Megapixels                      : 0.475
GPS Latitude                    : 18 deg 32' 25.56" N
GPS Longitude                   : 73 deg 49' 56.34" E
GPS Position                    : 18 deg 32' 25.56" N, 73 deg 49' 56.34" E

다음 위치를 구글에서 검색해본다.

18 deg 32 ' 25.56" N 73 deg 49 ' 56. 34 " N

해당 위치가 맞았고, 바로 앞에는 Cosmos Bank가 존재한다.

2phase

"India Cosmos Bank cyber attack 2018 money"에서 검색하면 다음 페이지를 찾을 수 있습니다.
https://indianexpress.com/article/cities/pune/pune-crime-files-cyber-attack-cosmos-bank-funnelled-rs-94-crore-9168771/
이에 따르면 9억4천만루피의 손실이었던 것 같다.
QUESTCON{cosmos-2018-94}

개발자 유머.GIF

nocapholic — Sat, 15 Feb 2025 01:00:48 +0900

한국에서 유행한 빵 5

nocapholic — Sat, 15 Feb 2025 00:47:38 +0900

OSINT 프레임워크

nocapholic — Fri, 14 Feb 2025 22:24:33 +0900

리눅스 디렉토리 구조

nocapholic — Fri, 14 Feb 2025 22:24:07 +0900

알쏭달쏭 자바스크립트

nocapholic — Fri, 14 Feb 2025 20:42:48 +0900

영화를 통해 보는 사이버보안

nocapholic — Thu, 5 Dec 2024 07:37:14 +0900

https://m.boannews.com/html/detail.html?idx=133593

[보안&영화] 보안 담당자들이 커리어를 통해 경험할 수 있는 가장 큰 재앙은?

사이버 보안 담당자들이 자신의 할 일을 다 하는 데 있어 가장 큰 어려움은 무엇일까? ‘어려움’이라는 표현이 귀여워 보일 정도로 너무 커서 차라리 재해에 가깝게 느껴지는 것이 있을까? 산

m.boannews.com

게임과 보안은 흡사

nocapholic — Fri, 22 Nov 2024 22:20:34 +0900

https://boannews.com/media/view.asp?idx=134517

[게임&보안] 고수들 드글대는 사이버 공간인지라 누구나 압축 성장이 필요하다

2000년대 초반 즈음, 지금 아무리 부정해도 생물학적 나이와 개그 센스 등 거의 모든 지표가 ‘아재’를 가리키는 나이의 대한민국 남자들이라면 한 번쯤 들어봤을 만한 거대한 문화활동이 있었

www.boannews.com

1년동안 CTF를 많이 참여했지만, 의미없는 시간낭비했구나를 깨달을 수 있었습니다.