[디지털 포렌식] DefCoN#21 #Round1

#1 Jensen 사건을 수락 한 Jack과 그의 팀은 Mr. Jensen의 비즈니스 및 가정에서 네트워크 탭과 무선 캡처 장치를 설치합니다. 모니터링을하는 동안 Jack andhis 팀은 재미있는 용의자 인 Betty를 발견합니다. 이것은 젠슨 부인이 남편과 바람을 피는 것을 두려워하는 여성이 될 수 있습니다. Jack은 포렌식 분석가를 지정하여 정보 캡처를 자세히 살펴 봅니다. 미팅이 설정되었음을 알게됩니다. 이 폴더에있는 Round 1 패킷 캡처를 사용하여 사례에 대해 자세히 알아보고 다음 질문에 답하십시오.

 

#. 회의 일정은 주중 어느 날입니까?

hint : i like chat

 

Wireshark로 round.pcap 파일 열기

우리가 봐야할 프로토콜은 IRC

IRC란, Internet Relay Chat의 약자로 실시간 채팅 프로토콜로 여러 사용자가 모여 대화를 나눌 수 있는 프로토콜이다

IRC를 필터검색해 TCP Stream으로 열기

빨간색 : Hi Greg

파란색 : Hi Betty

              what day do you want to meet up? 

이라 입력되어있고, 그 밑에는 데이터 은닉된, 즉 인코딩 된 값으로 보여짐

해당 문자들은 코드앞에 %#이 포함되고 x48, x6F처럼 16진수 값으로 되어있으니 HTML로 인코딩 되어있는 대화내용임을 확인할 수 있다

-> HTML 디코딩 사이트에서 디코딩 해보기

 

https://www.convertstring.com/ko/EncodeDecode/HtmlDecode

사이트 공유

 

 

디코딩 한 결과값을 확인해보면 무슨 채팅을 했는지 알 수 있다

답: Wednesday 2pm