lab1 | MemLabs

https://github.com/stuxnet999/MemLabs/tree/master/Lab%201

문제를 읽어보자면 여동생이 그림을 그리다가 컴퓨터에 충돌이 일어났으며 그 순간 무언가가 실행되며 검은창이 떴다.  중요해보이는 3개의 파일들에 flag를 심은 듯하다. 메모리덤프를 복구해보자

 

다운로드를 받아보면 다음의 raw파일이 있다.

 

 

imageinfo plugin을 통해서 이 운영체제의 정보를 알아볼 수 있다.

운영체제 : Win7SP1x64

(메모리 덤프의 분석은 해당 시스템의 운영 체제 및 커널 버전에 의존하기에 이후의 명령어에서 --profile 옵션을 통해 운영체제를 입력해주자)

 

pslist plugin을 통해 pslist로그를 생성하여 시간 순으로 사용한 프로세스를 알아보자. 

일단 제일 의심되는 cmd.exe, mspaint.exe(그림판)

 

 

 

- cmd.exe

0xfffffa8002222780 cmd.exe                1984    604      1       21      1      0 2019-12- 1 14:34:54                                  

 

console plugin을 통해 cmd의 입출력값을 확인해보자

 

입력 : St4G3$1     출력 : ZmxhZ3t0aDFzXzFzX3RoM18xc3Rfc3Q0ZzMhIX0=

위의 출력을 base64로 decode해보면 첫번째 플래그가 나온다.

1st flag : flag{th1s_1s_th3_1st_st4g3!!}

 

 

 

- mspaint.exe

0xfffffa80022bab30 mspaint.exe            2424    604      6      128      1      0 2019-12-11 14:35:14                         

pid : 2424  ,  ppid : 604

 

memdump를 통해 특정 프로세스(mspaint.exe)가 실행될 때의 메모리 영역을 덤프해보자

-p : pid 지정,  -D : 덤프파일dir 지정

 

아무리 봐도 dmp파일을 이미지로써 복구하기가 어려우니 확장자를 data로 바꾸고 gimp라는 이미지 편집기로 봐주었다. 

아 이거찾기 너무어려움;; 에바..

이미지를 좌우대칭해주면 SECOND FLAG 도출..

2nd flag : Flag{Good_Boy_good_girl}

 

 

 

- winRAR.exe

cmdline을 통해 얻은 결과값으로 프로세스가 실행될 때의 인자값을 확인할 수 있다. 

이는 WinRAR.exe가 C:\Users\Alissa Simpson\Documents\Important.rar 경로에 위치한 RAR 파일을 처리하기 위해 실행되었다는 것을 의미한다. 

 

그렇다면 파일 압축대상인 rar파일을 복구해보자.

0xfffffa8001010b30 WinRAR.exe 1512 2504 6 207 2 0 2019-12-11 14:37:23 UTC+0000

메모리 주소 : 0xfffffa8001010b30

 

 

filescan을 통해서 메모리에서 Important.rar을 찾아보면

0x000000003fa3ebc0

 

dumpfile을 통해서 메모리파일로부터 실제 데이터 파일을 추출해보자

-Q : 대상 파일 메모리 주소, -D : 저장위치

 

원래 rar파일이니 확장자를 변경해주고 7zip을 통해서 열면

암호가 필요하다....설명에 따르면  Alice의 암호는 NTLM 해시를 대문자로 한 것이란다.

 

  NTLM hash 란?
NTLM (NT LAN Manager)은 Microsoft Windows 운영 체제에서 사용되는 인증 프로토콜 중 하나이다. NTLM 해시(Hash)는 사용자의 비밀번호를 기반으로 생성되는 해시 값이며, 일반적으로 Windows 운영 체제에서 로그인 암호를 보호하는 데 사용된다.

 

 

hashdump를 통해 메모리 덤프 파일에서 사용자 계정의 해시 값을 추출할 수 있다. 주로 Windows 운영 체제에서 사용되는 NTLM(NT LAN Manager) 해시를 추출하는 데에 사용된다. 

Alisa의 hash값이 나오며 첫번째는 LANMAN 알고리즘을 이용하는 해시, 두번쨰는 NTLM해시

암호 :  F4FF64C8BAAC57D22F22EDC681055BA6

 

3rd flag