2010년 경찰수사연구원에서 출제한 디지털 포렌식 세미나 문제 풀이 과정입니다. 모두 담은건 아니고 RC4 대칭키를 찾기 위한 과정 하나만을 담았습니다.

1. 본격

2. RDP

3. Packet

4. Analysis

5. 삽질기
bunseokbot@bob

6.
E-mail

7. :

8. admin@smishing.kr

9.
Website

10. :

11. blog.smishing.kr
Level

12. 1

13. -

14. Basic

15. understand

16. of

17. RDP

18. Packet

19. 문제
피해자가 어느날 컴퓨터에 로그인을 하니 워드패드 실행 중이었고, “당신의 D드라이브를 암호화 하였다,
다음 계좌 xxx-xxxx-xxxx로 100만원을 입금하고, 010-xxxx-xxx로 문자를 보낸뒤,
아래 지도에 가보면 비밀번호가 있을것이다.” 라고 기재되어 있었다.
이걸 보고 너무 놀란 피해자는 그만 컴퓨터를 꺼버렸으나, 다시 컴퓨터를 켜보니
워드패드에 있던 내용은 하드디스크에 저장되어 있지 않았다.
다행히, 당시 네트워크 관리자가 외부에서의 원격접속을 감지하여 해당 패킷들을 저장해 두었다.
!
RC4에 사용되는 대칭키는 무엇인가?
원격에서 입력한 키보드 입력값 중 전화번호는 무엇인가?
클립보드로 전송된 내용 중 계좌번호는 무엇인가?
클립보드로 전송된 그림(지도)를 복원하라
암호화된 하드디스크내의 파일을 복원하라
오늘

20. 설명할

21. 부분은

22. RC4에

23. 사용되는

24. 대칭키

25. 기본

26. 트래픽잼

27. 뭔

28. 개소리

29. 해설
Client

30. -

31. Server

32.
연결

33. 요청해도

34. 됨?

35.
!
Server

36. -

37. Client

38.
ㅇㅋ

39. 키

40. 드림

41.
!
Client

42. -

43. Server

44.
ㄱㅅ

45. 특별히

46. 너만

47. 랜덤

48. 키

49. 드림

50.
!
OK

51. 서로

52. 연결됨

53. ㅇㅋㅇㅋ

54. 예상대로?
올ㅋ

55. 서버랜덤키잼
Random

56. Key

57. :

58. 0C

59. D7

60. 35

61. 28

62. EF

63. DC

64. B5

65. AA

67.
73

68. E1

69. ED

70. 3B

71. 01

72. DC

73. 85

74. B7

75. D6

76. F8

77. 46

78. 1E

79. 83

81.
7A

82. 6F

83. 4A

84. CC

85. D1

86. FA

87. F9

88. 92

89. 90

90. E0

91. 56

92. 여기서

93. 예상

94. 하나

95. 해봅시다
서버가

96. 클라이언트에게

97. 전송하는

98. 데이터는

99.
!
Server

100. Random,

101. Modulus,

102. Exponents

103. 이다.

104.
!
여기서

105. 서버

106. 랜덤키는

107. 찾았으니

108. 이제

109.
Modulus와

110. Exponents를

111. 찾으면

112. 된..
패킷이

113. 없..다..

114. 자..잠시만?
서버에서

115. 랜덤키만

116. 보내는게

117. 아니라

118.
Modulus랑

119. Exponents랑

120. 같이

121. 보내잖아?

122. 넘긴

123. 패킷도

124. 다시보자
R..SA?

125. RSA1H가

126. 수상하다
http://msdn.microsoft.com/en-us/library/cc240919.aspx
오예

127. 개꿀

133. 0000000B

135. 03

136. 00

137. 01

138. 4d

139. 02

140. f0

141. 80

142. 7f

144. 66

145. 82

146. 01

147. 41

148. 0a

149. 01

150. 00

151. 02

152. ...M....

153. f..A....

158. 0000001B

160. 01

161. 00

162. 30

163. 1a

164. 02

165. 01

166. 22

167. 02

169. 01

170. 03

171. 02

172. 01

173. 00

174. 02

175. 01

176. 01

177. ..0....

178. ........

183. 0000002B

185. 02

186. 01

187. 00

188. 02

189. 01

190. 01

191. 02

192. 03

194. 00

195. ff

196. f8

197. 02

198. 01

199. 02

200. 04

201. 82

202. ........

203. ........

208. 0000003B

210. 01

211. 1b

212. 00

213. 05

214. 00

215. 14

216. 7c

217. 00

219. 01

220. 2a

221. 14

222. 76

223. 0a

224. 01

225. 01

226. 00

227. ......|.

228. .*.v....

233. 0000004B

235. 01

236. c0

237. 00

238. 4d

239. 63

240. 44

241. 6e

242. 81

244. 04

245. 01

246. 0c

247. 08

248. 00

249. 04

250. 00

251. 08

252. ...McDn.

253. ........

258. 0000005B

260. 00

261. 03

262. 0c

263. 10

264. 00

265. eb

266. 03

267. 04

269. 00

270. ec

271. 03

272. ed

273. 03

274. ee

275. 03

276. ef

277. ........

278. ........

283. 0000006B

285. 03

286. 02

287. 0c

288. ec

289. 00

290. 02

291. 00

292. 00

294. 00

295. 02

296. 00

297. 00

298. 00

299. 20

300. 00

301. 00

302. ........

303. .....

304. ..

309. 0000007B

311. 00

312. b8

313. 00

314. 00

315. 00

316. 0c

317. d7

318. 35

320. 28

321. ef

322. dc

323. b5

324. aa

325. 73

326. e1

327. ed

328. .......5

329. (....s..

334. 0000008B

336. 3b

337. 01

338. dc

339. 85

340. b7

341. d6

342. f8

343. 46

345. 1e

346. 83

347. 7a

348. 6f

349. 4a

350. cc

351. d1

352. fa

353. ;......F

354. ..zoJ...

359. 0000009B

361. f9

362. 92

363. 90

364. e0

365. 56

366. 01

367. 00

368. 00

370. 00

371. 01

372. 00

373. 00

374. 00

375. 01

376. 00

377. 00

378. ....V...

379. ........

384. 000000AB

386. 00

387. 06

388. 00

389. 5c

390. 00

391. 52

392. 53

393. 41

395. 31

396. 48

397. 00

398. 00

399. 00

400. 00

401. 02

402. 00

403. ....RSA

404. 1H......

409. 000000BB

411. 00

412. 3f

413. 00

414. 00

415. 00

416. 01

417. 00

418. 01

420. 00

421. b3

422. 21

423. fb

424. e4

425. 20

426. 0a

427. 09

428. .?......

429. ..!..

430. ..

435. 000000CB

437. 7a

438. 33

439. a6

440. 07

441. 62

442. 24

443. 23

444. a3

446. 5b

447. c1

448. 9f

449. 78

450. 01

451. f9

452. 86

453. f9

454. z3..b$#.

455. [..x....

460. 000000DB

462. cb

463. 40

464. 9d

465. 92

466. ec

467. d5

468. 60

469. 73

471. 75

472. 9f

473. 7f

474. 26

475. ce

476. 11

477. 14

478. 5b

479. .@....`s

480. u.....[

485. 000000EB

487. e6

488. f8

489. b5

490. f2

491. bd

492. 19

493. ca

494. 57

496. c4

497. 9a

498. 2b

499. 22

500. 23

501. ba

502. b0

503. a4

504. .......W

505. ..+#...

510. 000000FB

512. b2

513. 23

514. 16

515. 49

516. 54

517. c5

518. 7e

519. 92

521. d4

522. 00

523. 00

524. 00

525. 00

526. 00

527. 00

528. 00

529. .#.IT.~.

530. ........

535. 0000010B

537. 00

538. 08

539. 00

540. 48

541. 00

542. 5b

543. 44

544. cc

546. 56

547. 81

548. b5

549. 08

550. dd

551. fb

552. 46

553. 60

554. ...H.[D.

555. V.....F`

560. 0000011B

562. 67

563. a1

564. bc

565. a9

566. 4f

567. 4f

568. f9

569. 49

571. cc

572. c0

573. 7a

574. a3

575. 58

576. d3

577. a3

578. 0c

579. g...OO.I

580. ..z.X...

585. 0000012B

587. 5f

588. 33

589. ec

590. e8

591. 35

592. 4a

593. e0

594. dc

596. e5

597. ff

598. 36

599. 14

600. 14

601. 17

602. aa

603. 0b

604. _3..5J..

605. ..6.....

610. 0000013B

612. 4d

613. 9d

614. 54

615. 7b

616. 61

617. 19

618. 83

619. 0e

621. 4b

622. 7b

623. d2

624. e9

625. 0d

626. 42

627. a3

628. 6b

629. M.T{a...

630. K{...B.k

635. 0000014B

637. e0

638. e1

639. eb

640. d9

641. 50

642. 00

643. 00

644. 00

646. 00

647. 00

648. 00

649. 00

650. 00

660. ....P...

661. .....
구글이

662. 구글구글해

663. 분석분석
바로

664. 우리가

665. 찾던

666. Modulus가

667. 여기

668. 있음!

669.
!
B3

670. 21

671. FB

672. E4

673. 20

674. 0A

675. 09

676. 7A

677. 33

678. A6

679. 07

680. 62

681. 24

682. 23

683. A3

684. 5B

686.
C1

687. 9F

688. 78

689. 01

690. F9

691. 86

692. F9

693. CB

694. 40

695. 9D

696. 92

697. EC

698. D5

699. 60

700. 73

701. 75

703.
9F

704. 7F

705. 26

706. CE

707. 11

708. 14

709. 5B

710. E6

711. F8

712. B5

713. F2

714. BD

715. 19

716. CA

717. 57

718. C4

720.
9A

721. 2B

722. 22

723. 23

724. BA

725. B0

726. A4

727. B2

728. 23

729. 16

730. 49

731. 54

732. C5

733. 7E

734. 92

735. D4

737.
00

738. 00

739. 00

740. 00

741. 00

742. 00

743. 00

744. 00
52

745. 53

746. 41

747. 31

748. ==

749. Magic

750. “RSA1”

751.
48

752. 00

753. 00

754. 00

755. ==

756. Key

757. Length

758.
00

759. 02

760. 00

761. 00

762. ==

763. Bit

764. Length

765.
3F

766. 00

767. 00

768. 00

769. ==

770. Data

771. Length

772.
01

773. 00

774. 01

775. 00

776. ==

777. Public

778. Exponents

779. 오예

780. 클라이언트

781. 암호화랜덤키잼
Encrypted

782. Client

783. Random

784. Key

786.
!
8C

787. 2F

788. 71

789. 93

790. A2

791. AB

792. E6

793. CE

794. 93

795. DE

796. 3A

797. D5

799.
1E

800. 9D

801. 4C

802. 95

803. 92

804. CB

805. 62

806. 0E

807. B7

808. AF

809. F3

810. 46

812.
99

813. 53

814. C2

815. E8

816. 3F

817. 25

818. 2F

819. 7D

820. B6

821. 8D

822. 17

823. D3

825.
AA

826. D0

827. 65

828. B6

829. 99

830. CA

831. 0D

832. 06

833. 55

834. C8

835. AE

836. 60

838.
C7

839. 11

840. 2A

841. BD

842. B9

843. 85

844. 44

845. 52

846. 8F

847. BE

848. B2

849. BC

851.
16

852. 73

853. 53

854. 01

855. 00

856. 00

857. 00

858. 00

859. 00

860. 00

861. 00

862. 00

863. 복호화는

864. 어떻게?
아

865. 귀찮아..

866. 근데

867. 문제에

868. 이미지

869. 파일도

870. 있네?

871. 키

872. 저장소

873. 찾음

874. 올ㅋ
http://msdn.microsoft.com/en-us/library/windows/desktop/bb204778(v=vs.85).aspx

875. 저장소로

876. 가봄
오예

877. 내키

878.
근데

879. 겁나

880. 짧다

881. 흑

882. 검색중..
social.msdn.microsoft.com/Forums/vstudio/en-US/a52df4b9-a716-483e-a827-923

884.
5f87400b0/please-help-explain-cryptorsa-files?forum=clr

886. 다시

887. 저장소로

888. 가봄
그래

889. 이름이

890. 키였다

891. 이제까지

892. 찾은건..?
Server

893. Random

894.
!
Modulus

895.
!
Exponents

896.
!
Encrypted

897. Client

898. Random

899.
!
Public

900. key,

901. Private

902. key

903. (아마..?)
이제

904. 우리도

905.
대칭키를

906. 찾을수

907. 있어!

908. 다음

909. 편에서

910. 계속..
물론

911. 언제가

912. 될진

913. 모름

914.
최대한

915. 빨리

916. 하겠습니다

917. 참고하면

918. 좋은

919. 사이트
http://wenku.baidu.com/view/
de0b887f27284b73f2425020.html?from_page=view

920.
!
바이두

921. 아이디

922. 있어야됨

923. ㄷㄷ

924. (사실

925. 짱깨인에게

926. 빌림)

927.
!
http://forensicinsight.org/wp-content/uploads/
2013/02/F-INSIGHT-Summary-of-RDP-replayer.pdf
Forensic

928. Insight

929. 잼

930. (출제자가

931. 한

932. 풀이)

933. -

934. 영어

935. 암걸림