Message?]どうも、ゆったんです。Messageについて説明します。問題として、上のような画像ファイルが渡される。カテゴリを考えると、おそらく何かしらのデータがこのjpgファイル内に隠されているのだろうとめどをつけてバイナリエディタに投げ込んで目grepしてみると、tcpdumpファイルのヘッダが見つかるので抜き出す。切り取ったtcpdumpファイルをWiresharkに投げ込んでみると、逆引きしていることがわかる。チームメイトが逆引きしてFlagをSubmitしたのですがAcceptされず、私も逆引きしてみると、Acceptされなかったのは”.”が抜けてたのが原因だとわかった。133.242.55.252とnslooupを叩いて逆引きをした結果、下のような文字列が返される。ログインパスワードを解明せよみむらです。ついて解説いたします。メモリダンプイメージが渡されます。いうようなツールや、システムをクラッシュさせて取得する方法があります。メモリダンプはアプリケーションやシステムの解析目的に用いられ、たとえばマルウェアが動作している時にメモリダンプを取って調査するというようなことも行われます。今回の場合は、このメモリダンプのイメージからログインパスワードに関する情報を抽出し、解析して求めることが解法となります。いうツールを用いて、データを抽出します。ダウンロードは次のリンクより。Hostingログインパスワードに関する情報はレジストリ上にありますので、メモリ上のレジストリハイブの場所を求めます。\??\C:\Users\forensics\AppData\Local\Microsoft\Windows\UsrClass.dat実行しますとこのようになります。値をメモし、実際に出力を行います。0x8f61c008になります。0x9ffc03a0Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::forensics:1000:aad3b435b51404eeaad3b435b51404ee:98ffdb1b29e7c88954326cd4011141d8:::実行しますとこのような結果が表示されます。解析ソフトに与えることで、ものの数秒で答えが見つかります。ハッシュを掛けただけのものであることに由来します。ハッシュ値と平文の逆引き表を持っており、今回はそれを用いてパスワードを求めました。この逆引き表に含まれていなかった場合は求めることは出来ません。いう短いパスワードであったためにテーブル内に含まれており、ハッシュ値から求めることができました。一般にこういう解析に対しては、ハッシュを生成する際にパスワードにソルトと呼ばれるランダムな文字列を生成し、パスワード文字列につけてハッシュを生成することが一般的な対策であり、これをすることにより、パスワードの文字列長を伸ばしたときと同じ効果が得られ、テーブルによる攻撃を難しくさせます。いうことで、この問題については答えは次の通りとなります。削除されているファイルの名前は何ですか?どうも、みむらです。フォレンジック200の問題である「削除されているファイルの名前は何ですか?」について解説いたします。削除したファイルを求めるというものになります。いうフラグを立てるという動作になります。前車であってもディスク内を探せば見つけることが出来ます。別のファイルに使用された場合は当然元の中身は消えてしまいますので復元できなくなります。いうフラグが立っているファイルのファイル名を見つけることが解法となります。情報を解析して、表にして出してくれるツールとなります。問題のファイルを先ほどのツールに与えますと、次のような表が出力されます。なっているファイルを探すだけです。いうわけで、答えが求まります。