仙台 CTF2018 セキュリティ技術競技会 (CTF) 問題解説復習問題平成 30 年 11 月 10 日仙台 CTF 推進プロジェクト五十嵐良一 Copyright (C) 2018 Sendai CTF. All Rights Reserved.

Size: px

Start display at page:

りさこもてぎ
4 years ago
Views:

仙台 CTF2018 セキュリティ技術競技会 (CTF) 問題解説復習問題平成 30 年 11 月 10 日仙台 CTF 推進プロジェクト五十嵐良一

2 Lab.01 P 2

3 問題 1 [ シナリオ ] ある日営業所の社員用パソコンのウイルス対策ソフトからウイルス検知アラートが通知されました社員に電話連絡し状況を確認したところ最近利用していなかった社員用パソコンを久しぶりに起動し最新パターンファイルに更新のうえ手動でオンデマンドスキャンを実行したところデスクトップに作成されていた身に覚えのないファイルをマルウェアとして検知したようですあなたは検知したファイル ( 検体 ) は過去のいつかの時点で感染していたマルウェアである可能性が高いと判断し社員用パソコンから調査に必要となるエビデンスを証拠保全のうえ感染原因を調査することとしました検体が作成および起動された日時を特定してください [ 検知したファイル ] フォルダ名 :C: Users user01 Desktop ファイル名 :1.exe 脅威名 :BKDR_POISON.DS [ フラグ ] 検査の種類処理結果 : オンデマンドスキャン : 無視検体 1.exe が作成および起動された日時 (YYYY/MM/DD-hh:mm)( 半角 ) 例 :2018/11/10-23:59 P 3

4 解説 (1) 解き方その 1 Windows にはアプリケーションの起動を高速化するための Prefetch と呼ばれる機能が搭載されておりアプリケーションが起動されると C: Windows Prefetch に Prefetch ファイル ( 拡張子.pf でアプリケーション名を含むファイル名 ) が作成されます Prefetch ファイルにはアプリケーションのフルパス最終起動日時などが記録されているため調査用ツール WinPrefetchView などを利用し 1.exe の最終起動日時を確認することができます解き方その 2 問題ファイルの Prefetch は ZIP 圧縮された際にタイムスタンプが更新されています代わりに $MFT を MFTECmd および mactime でタイムライン解析し Prefetch の本来のタイムスタンプを確認することでも 1.exe のおおよその最終起動日時を確認することができます NirSoft WinPrefetchView MFTECmd mactime (The Sleuth Kitに同梱 ) P 4

5 解説 (2) 解き方その 1 FLAG 2018/10/07-17:52 P 5

6 解説 (3) 解き方その 2 C: work>mftecmd -f $MFT --body. --bdl C MFTECmd version Author: Eric Zimmerman (saericzimmerman@gmail.com) Command line: -f $MFT --body. --bdl C Warning: Administrator privileges not found! Processed '$MFT' in seconds Bodyfile output will be saved to ' _MFTECmd_Output.body' C: work>mactime -b _MFTECmd_Output.body -z Japan -m -d > timeline_mft.txt C: work> P 6

7 解説 (4) 解き方その 2 FLAG 2018/10/07-17:52 P 7

8 Lab.02 P 8

9 問題 2 あなたは感染パソコンをタイムライン解析したところウェブサイト閲覧中に脆弱性攻撃を受けた痕跡を発見しました $MFT(Lab.01 の添付ファイル ) のタイムライン解析ならびに Internet Explorer の一時ファイル ( この問題の添付ファイル ) の解析により感染に利用された脆弱性攻撃コードのファイル名を推測してくださいなお脆弱性攻撃コードのファイルは内容をテキストに書き換えてあるため危険はありません [ フラグ ] 感染に利用された脆弱性攻撃コードのファイル名 ( 半角 ) 例 :abc.swf P 9

10 解説 (1) $MFT を MFTECmd および mactime でタイムライン解析し 1.exe が作成起動された直前の状況を確認し脆弱性攻撃に悪用される不審なファイルへのアクセスが発生していないか確認します ( 例 :Adobe Flash Java PDF など ) C: work>mftecmd -f $MFT --body. --bdl C MFTECmd version Author: Eric Zimmerman (saericzimmerman@gmail.com) Command line: -f $MFT --body. --bdl C Warning: Administrator privileges not found! Processed '$MFT' in seconds Bodyfile output will be saved to ' _MFTECmd_Output.body' C: work>mactime -b _MFTECmd_Output.body -z Japan -m -d > timeline_mft.txt C: work> P 10

11 解説 (2) 1.exe が作成される直前に Adobe Flash ファイル FMfH[1].swf にアクセスしている P 11

12 解説 (3) FMfH[1].swf の内容 FLAG FMfH[1].swf P 12

13 Lab.03 P 13

14 問題 3 あなたは脆弱性攻撃コードのダウンロード元 URL を特定しプロキシサーバで通信を遮断したいと考えました Internet Explorer の一時ファイル (Lab.02 の添付ファイル ) を解析し脆弱性攻撃コードのダウンロード元 URL を特定してください [ フラグ ] 脆弱性攻撃コードのダウンロード元 URL( 半角小文字 ) 例 : P 14

15 解説 (1) 問題ファイル (Internet Explorer の一時ファイル ) を Plaso(log2timeline) でタイムライン解析し問題 2 で特定した脆弱性攻撃コード FMfH[1].swf のダウンロード元 URL を特定します C: work>log2timeline.py db.plaso Users Checking availability and versions of dependencies. [OPTIONAL] missing: lzma. [OK] ( 以下略 ) C: work>psort.py -z Japan -o l2tcsv -w timeline_plaso.txt db.plaso :23:25,953 [WARNING] (MainProcess) PID:1252 <psort_tool> Appending to an already existing storage file. Processing completed. ******************************** Export results ******************************** Events processed : 3138 Events MACB grouped : 2331 Events filtered : 0 Events from time slice : C: work misc> Plaso(log2timeline) P 15

16 解説 (2) FLAG P 16

実習資料 2 仙台 CTF セキュリティ技術勉強会実習 plaso/log2timeline によるタイムライン解析平成 29 年 11 月 12 日仙台 CTF 実行委員会

実習資料 2 仙台 CTF セキュリティ技術勉強会実習 plaso/log2timeline によるタイムライン解析平成 29 年 11 月 12 日仙台 CTF 実行委員会目次本実習の概要... 1 実習 1 タイムライン解析... 2 実習 1 の解説... 3 本実習の概要あなたは架空の企業株式会社仙台シーテーエフに入社したばかりの新米情報セキュリティ担当者です営業所の社員用

仙台 CTF2018 セキュリティ技術競技会 (CTF) 問題解説復習問題 平成 30 年 11 月 10 日 仙台 CTF 推進プロジェクト 五十嵐良一 Copyright (C) 2018 Sendai CTF. All Rights Reserved.

仙台 CTF2018 セキュリティ技術競技会 (CTF) 問題解説復習問題平成 30 年 11 月 10 日仙台 CTF 推進プロジェクト五十嵐良一 Copyright (C) 2018 Sendai CTF. All Rights Reserved.