Giardino Segreto

'Security/Forensics'에 해당되는 글 20건

[Artifact] 이미지 포렌식 - png 구조 2020.05.20
[Memory] Volatility 2020.03.14
[Artifact] 이미지 포렌식 - JPEG 구조 2020.01.22
[Precedents Analysis] 종근당 압수 수색 사건 [대법원 2015.7.16 자2011모1839전원합의체 결정] 2020.01.10
[File Structure] PE파일(Portable Executable) 2 2019.11.23
[Artifact] NTFS - $UsnJrnl - $J 2019.11.14
[Artifact] NTFS - $MFT 2019.11.13

[Artifact] 이미지 포렌식 - png 구조

png 포맷은 시그니처와 청크들로 이루어져있다. Signature 오프셋 크기 내용 비고 0x00 8 Signature 89 50 4E 47 0D 0A 1A 0A Chunk Chunk는 이미지 관련된 특정 정보들을 담고 있으며 IHDR, PLTE, IDAT, IEND가 있다. - IHDR chunk: 이미지 헤더 정보 - PLTE chunk: 팔레트 테이블 정보 - IDAT chunk: 이미지 데이터 정보 - IEND chunk: 이미지 trailer 정보 경우에 따라 보조 Chunk로 tRNS, cHRM, qAMA, iCCP, sBIT, sRGB, iTXt, iEXt, zTXt, bKGD, hIST, pHYs, sPLT, tIME가 올 수 있다. -> 주요 청크는 첫 글자가 대분자로, 보조 청크는 첫 ..

[Memory] Volatility

볼라틸리티 볼라틸리티는 파이썬 기반으로 만든 메모리 포렌식 도구로 윈도우, 리눅스, MAC os에서 실행 가능한 오픈소스다. Plugin을 추가하여 여러 기능을 사용할 수 있으며 직접 플러그인을 제작하여 사용하는 것 역시 가능하다. 획득할 수 있는 정보 - 트리 형태의 프로세스 리스트 - 프로세스가 로드한 DLL과 핸들 - 프로세스 환경변수와 Import, Export하는 함수 - 네트워크 정보 - 시스템에서 로드했던 드라이버 목록 - 실행 중이거나 종료 또는 루트킷으로 은닉된 프로세스 오프셋 - SID(보안 식별자), PID, 스레드 수, 핸들 수, 시작 및 종료시간 기본 옵션 옵션 내용 -h, --help 모든 옵션의 도움말 및 해당 옵션의 디폴트 값 출력 --con-file 설정파일 경로 설정 -d..

[Artifact] 이미지 포렌식 - JPEG 구조

1. JFIF SOI & App0 구조 오프셋 마커 사이즈 의미 데이터 0x00 SOI 2 SOI(Start Of Image) FF D8 0x02 APP0 2 JPEG/JFIF FF E0 0x04 2 App0 데이터 크기(length~ythumbnail) 0x06 5 JFIF 고정 문자열 4A 46 49 46 00 0x0B 2 major version & minor version 0x0D 1 Density units 0x0E 2 Xdensity 0x10 2 Ydensity 0x12 1 Xthumbnail 0x13 1 Ythumbnail 0x14 3*n Thumbnail (n=Xthumbnail * Ythumbnail) App1 구조 오프셋 마커 사이즈 의미 데이터 0x00(0x14) APP1 2 JPEG..

[Precedents Analysis] 종근당 압수 수색 사건 [대법원 2015.7.16 자2011모1839전원합의체 결정]

개요 종근당 압수수색 사건이란 디지털 증거에 대한 압수수색 과정의 적법성이 문제가 된 사건으로 검사의 재항고를 기각하는 내용의 전원합의체 결정을 한 사건이다. 수원지검 수원지법이 압수수색영장을 발부받아 대표이사와 직원들이 참여하는 가운데 압수수색을 개시하였다. 하드디스크 5개, 외장하드 1개, 노트북 1개 전체용량 200G에 대해 조사를 진행하던 가운데 검사 측에서는 디지털 저장매체에 혐의사실과 관련된 정보와 관련없는 정보가 혼재된 것으로 판단하여 종근당 측의 동의를 받아서 사무실로 반출했다. 제 1처분: 검사는 이 사건 저장매체를 대검찰청 디지털포렌식 센터에 인계 후 자료분석을 의뢰하였고 종근당 직원의 참여하에 봉인을 해제하고 이미징 제 2처분: 제 1처분이 완료된 후 검사는 대검찰청에 저장된 복제본을..

[File Structure] PE파일(Portable Executable)

PE-COFF(Portable Executable Common Object File Format) Windows 운영 체제에서 실행 파일(executable files)와 object 파일. 즉 윈도우즈에서 사용되는 실행 파일을 뜻한다. PE파일에는 exe, scr, com, dll, ocx, sys 등이 있다. PE파일은 악성코드 분석이나 리버스 엔지니어링의 주요 대상이기때문에 보안을 공부하는 사람들이 반드시 공부해야 하는 것 중 하나라고 할 수 있다. PE파일 구조 PE파일의 구조를 공부하기 위해 PE파일의 헤더에 대한 공부는 필수적이다. PE헤더에 파일이 실행되기 위해 필요한 모든 정보가 구조체 형식으로 적혀있기때문이다. DOS Header 64bytes로 고정된 길이를 가지며 주요 구성요소는 e_..

[Artifact] NTFS - $UsnJrnl - $J

$J는 Sparse Area(0으로 채워진)가 속성의 앞 부분에 나온 후 가변 크기의 로그 레코드들이 연속적으로 나열되는 구조를 가졌다. Sparse Area R R R R Contents Offset Size Size of Record 0x00 4 Major Version 0x04 2 Minor Version 0x06 2 MFT Reference Number 0x08 8 Parent MFT Refernce Number 0x10 8 USN 0x18 8 Update Sequence Number TimeStamp(FILETIME) 0x20 8 이벤트 발생 시간(UTC+0) Reason Flag 0x28 4 Source Information 0x2C 4 Security ID 0x30 4 File Attribu..

[Artifact] NTFS - $MFT

MFT Entry Header Content offset size Signature 0x00 4 FILE Offset of Fixup Array 0x04 2 48(0x30) Count of Fixup Values 0x06 2 3(0x03) $LogFile Sequence Number(LSN) 0x08 8 Sequence Value 0x10 2 Hard Link Count 0x12 2 1 Offset to First Attribute 0x14 2 56(0x38) Flags 0x16 2 0x01(MFT Entry 사용중) 0x02(MFT Entry = directory) Used Size of MFT Entry 0x18 4 Allocated Size of MFT Entry 0x1C 4 1024(0x0400)..

이전 목록 [1] [2] [3] 다음 목록

티스토리툴바