Network Forensic puzzles contest #4

[Puzzle #4 : The Curious Mr.X]

http://forensicscontest.com/2010/02/03/puzzle-4-the-curious-mr-x

Puzzle #4: The Curious Mr. X – Network Forensics Puzzle Contest

While a fugitive in Mexico, Mr. X remotely infiltrates the Arctic Nuclear Fusion Research Facility’s (ANFRF) lab subnet over the Interwebs. Virtually inside the facility (pivoting through a compromised system), he conducts some noisy network reconnaissance

forensicscontest.com

* 시나리오

멕시코에서 도망자 인 X는 원격 웹을 통해 ANFRF (Arctic Nuclear Fusion Research Facility) 랩 서브넷에 원격으로 침투한다. 그는 사실상 시설 내부 (손상된 시스템을 통해 피봇 팅)에서 시끄러운 네트워크 정찰을 수행한다. 안타깝게도 X 씨는 아직 은밀하지 못하다.

불행히도 X 씨에게 실험실의 네트워크는 모든 트래픽 (전체 컨텐츠)을 캡처하도록 설계되어 있다. 그의 활동은 당신에 의해 발견되고 분석된다!

* 문제

1. Mr. X 스캐너의 IP 주소는 무엇입니까?

2. X 씨가 수행 한 첫 번째 포트 스캔의 경우 어떤 유형의 포트 스캔입니까? (참고 : 스캔은 수천 개의 패킷으로 구성되었습니다.) 하나를 선택하십시오.

TCP SYN
TCP ACK
UDP
TCP Connect
TCP XMAS
TCP RST

3. X 씨가 발견 한 대상의 IP 주소는 무엇입니까?

4. 그가 찾은 Apple 시스템의 MAC 주소는 무엇입니까?

5. 그가 찾은 Windows 시스템의 IP 주소는 무엇입니까?

6. Windows 시스템에서 어떤 TCP 포트가 열려 있습니까? (가장 높은 가장 낮은에서 진수 번호를 적어주십시오)

* 증거파일 : evidence04.pcap

-------------------------------------------------------------------------------------------->>>

✔문제풀이✔ (사용툴 : Wireshark)

1. Mr. X 스캐너의 IP 주소는 무엇입니까?

주어진 파일 evidence04.pcap을 열어보니 중간중간 빨간색으로 표시가 되어 있었다.
첫번째 [SYN]패킷을 보내니 두번째에는 [RST,ACK] 패킷을 보낸 것을 볼 수 있다.
Follow Tcp stream을 해도 아무것도 나오지 않는다.

빨간색 패킷은 닫힌 포트이므로 TCP-3way handshaking에 실패한 패킷이다.

첫번째 패킷을 누르고 Packet Detail을 보니 Flags에 Syn만 1이 되어 있다. 보낸 IP주소가 Mr.X임을 알 수 있다.
Syn Flags만 활성화 된 것을 보아 TCP SYN 또는 TCP Connect scan임을 알 수 있다.
정답 : 10.42.42.253

2. X 씨가 수행 한 첫 번째 포트 스캔의 경우 어떤 유형의 포트 스캔입니까? 하나를 선택하십시오.

도착지 ip가 10.42.42.253이고, SYN, ACK Flags가 활성화 되어 있는 패킷(TCP Scan을 성공한 패킷)을 찾는다.

Follow tcp stream을 확인해보니 그림과 같은 화면이 나왔다.
779번 패킷에서 Mr.X ip가 10.42.42.50에게 SYN을 보내니까 786패킷에서 SYN, ACK를 보냈다.
그리고 Mr.X가 ACK를 보내 연결에 성공한 후 10.42.42.50가 RST,ACK를 보내 연결을 종료하였다.

TCP Connect와 TCP SYN의 차이는 그림을 보면 알 수 있다.
정답 : TCP Connect(TCP Open scan)

6. Windows 시스템에서 어떤 TCP 포트가 열려 있습니까? (가장 높은 가장 낮은에서 진수 번호를 적어주십시오)

2번 문제에서 SYN, ACK Flags가 활성화 되어 있는 패킷을 찾으면서 6번의 답을 알 수 있다.
IP 10.42.42.50에서 135번과 139번 포트가 열린 것이 보인다.
정답 : 135,139

3. X 씨가 발견 한 대상의 IP 주소는 무엇입니까?

Syn flags가 활성화 되어 있는 것을 검색해보니 ip 3개가 반복되어 나온다.

메뉴에서 statistics->IPv4 Statistics -> All Addresses에서도 확인할 수 있다.
정답 : 10.42.42.50, 10.42.42.56, 10.42.42.25

4. 그가 찾은 Apple 시스템의 MAC 주소는 무엇입니까?

Ctrl + F로 apple을 검색한다.
Packet details부분에 apple의 Mac주소가 나와있다.
Dst가 10.42.42.25는 Apple_92, 10.42.42.50은 CompalIn_51, 10.42.42.56은 CompalIn_cb
정답 : 00:16:cb:92:6e:dc