Network Forensic puzzles contest #2

[Puzzle #2 : Ann Skips Bail]

http://forensicscontest.com/2009/10/10/puzzle-2-ann-skips-bail

Puzzle #2: Ann Skips Bail – Network Forensics Puzzle Contest

After being released on bail, Ann Dercover disappears! Fortunately, investigators were carefully monitoring her network activity before she skipped town. “We believe Ann may have communicated with her secret lover, Mr. X, before she left,” says the pol

forensicscontest.com

* 시나리오

경찰서장은 Ann이 떠나기 전에 비밀 애인 X씨와 대화를 나눈 것이라고 믿는다.

패킷캡처에는 그녀의 소재에 대한 단서가 포함될 수 있다.

당신은 법의학 수사관이다. Ann의 이메일, 어디로 갔는지, 그리고 다음을 포함한 증거를 찾아내는 것이 임무이다.

* 문제

1. Ann의 이메일 주소는 무엇입니까?

2. Ann의 이메일 비밀번호는 무엇입니까?

3. Ann의 비밀 애인의 이메일 주소는 무엇입니까?

4. Ann은 비밀 애인에게 어떤 두 가지 물건을 가져 오라고 했습니까?

5. Ann의 비밀 애인에게 보낸 첨부 파일의 이름은 무엇입니까?

6. Ann이 비밀 애인에게 전송한 MD5sum은 무엇입니까?

7. 어떤 도시와 국가가 그들의 집결지인지?

8. 문서에 포함 된 이미지의 MD5sum은 무엇입니까?

* 증거파일 : evidence02.pcap

------------------------------------------------------------------------------------------------------------>>>

✔문제풀이✔ 사용툴: Wiresharke, HxD

1. Ann의 이메일 주소는 무엇입니까?

이번 문제에서는 Ann의 IP 주소를 알려주지 않았다. 하지만 문제에서 Ann의 이메일이라는 힌트를 주어 SMTP프로토콜을 선택하여 Follow TCP stream을 확인하였다.

250은 요청된 메일이 정상적으로 완료되었음을 나타내는 코드이다.
334는 로그인 진행동안 발생하는 코드이다. 문제에서 이메일 주소를 물어봤으므로 Auth Login 부분을 확인해야 한다.

334의 문자열은 Base64 인코딩 된 문자이다. 디코딩을 해보니 id와 pw가 나왔다.
정답 : sneakyg33k@aol.com

2. Ann의 이메일 비밀번호는 무엇입니까?

[그림3] 디코딩 된 문자에서 알 수 있다.
정답 : 558r00lz

3. Ann의 비밀 애인의 이메일 주소는 무엇입니까?

[그림2]에서 RCPT TO는 SMTP명령어 중 하나로 메일의 수신자를 지정하는 명령이다.
두번째 그림을 보면 <Sec558@gmail.com>이라고 되어 있고, lunch next week라는 제목으로 메일을 보냈다.

밑으로 내려보니 또 다른 SMTP 패킷이 있다. <mistersecretx@aol.com>한테 rendezvous라는 제목으로 메일을 보냈다.
시간상 뒤에 보냈고, 메일주소가 secret이라는 걸 보아 비밀애인 X인것 같다.
정답 : mistersecretx@aol.com