Kernel/VM探検隊@北陸３「嘘つきはスパイ(Recon)の始まり」

Kernel/VM探検隊@北陸３でLTさせていただいた
「嘘つきはスパイ(Recon)の始まり」です。
https://connpass.com/event/65224/
https://twitter.com/hiww

Transcript

1. ӕ͖ͭ͸εύΠ(RECON)ͷ࢝·Γ Kernel/VM୳ݕୂ@๺཮3
2. ͜Ε͔Βൃද͢Δ಺༰ • Recon (ωτετྗ)ͱܰ͘Forensics • ਓΛ৴͡Δͳɺίʔυͱղੳ݁ՌΛ৴͡Ζɻ
3. ໨࣍ 1. Reconͱ͸ 2. ࣮ྫ 3. RECONͷεεϝ (Network ForensicsͳͲʹܨ͛Δҝʹ) 4. ·ͱΊ
4. RECON ͱ͸ • Reconnaissance (ఁ࡯) • Recon ≒ Esper ͬ͘͟Γݴ͏ͱɺ ʮReconྗ = εύΠͷೳྗʯ
5. ࣮ࡍͷCTFͰͷ࣮ྫ ͱ͋ΔࢀՃऀ͕໰୊ʹॻ͔Ε͍ͯΔυϝΠϯΛߪೖ͠ɺ ଞͷࢀՃऀΛ࿭Θͤͨɻ
6. ࣮ࡍͷαʔϏεͰͷ࣮ྫ ๭ࣾ: ʮશαʔόʔSSDಋೖࡁΈͰ͢ʂʯ ๭ࣾ: ʮશαʔόʔɺॱ࣍SSDಋೖதʂʯ ൃදޙ਺೔ܦա (IIS΋தʑ…)
7. RECONͷํ๏ TwitterΛར༻͍ͯ͠Δ૬खɺαʔϏεʹ͸ʮϩάΛऔΕʯ ૬खͷIPΛ୳͢΂͠ɻ(Wireshark͸ඞध඼)
8. RECONͷεεϝ • ΠϯγσϯτରԠͰ͸ͱͯ΋ศརɻ(ओʹωοτϫʔΫϑΥϨϯδοΫ) • τϥϒϧ(Ϛϧ΢ΣΞײછ΍ΦϯϥΠϯCTF)Ͱ͸೔ࠒͷ׳Ε͕ඞཁɻ
9. FORENSICS ͱ͸ • HDD΍USBɺRAM͔ΒશσʔλͷΠϝʔδΛऔಘ͠ɺத਎Λௐࠪ͢Δɻ • ܗࣜ͸ RAW, E01ͳͲɻ(ղੳ༻ͷ؀ڥͰϚ΢ϯτ͠ɺௐࠪɺ෮ݩ)
10. ωοτϫʔΫϑΥϨϯδοΫͱ͸ • PCAP౳ʹอଘ͞ΕͨϩάΛղੳͯ͠ɺൃੜͨ͠໰୊Λௐࠪ͢Δɻ • ࣄલʹϩάͳͲͷ৘ใऩू͕ඞਢɻ(ແ͍৔߹͸௑ใ׆ಈ͠ͳ͍ͱແཧ)
11. FORENSICS(NETWORK)ʹඞཁͳ৘ใ • ௨৴ઌͷର৅ͷݸਓ৘ใɻ • ෳ਺ͷ৘ใΛ݁ͼ෇͚Δҝͷ͔֬ͳ৘ใɻ
12. RECON্͕खͩͱԿ͕༗རʹͳΔʁ • Web্ʹެ։͞Ε͍ͯΔCMSͳͲͷઃఆϛε͕ݟ͚ͭ΍͘͢ͳΔɻ • URLͷެ։લʹURLΛ༧ଌ͍ͯͪ͠ૣ͘৘ใʹḷΓண͚Δʂʂ • ໰୊αʔόʔ͕ḉམ͍ͪͯͯ͠΋ɺҙ֎ͱͳΜͱ͔ͳΔɻ
 (ΦϯϥΠϯCTF౳)
13. ·ͱΊ • FTK-Imager΍WiresharkɺSNSΛۦ࢖ͯ͠Reconྗ΋஁͑ΒΕΔ
 ʢσΟεΫ΍USBϝϞϦ౳͸ݸਓ৘ใͷๅݿʣ • ਓ͸ӕΛ͚ͭ͘ͲɺForensicsͷղੳ݁Ռ͸ӕΛ͔ͭͳ͍ɻ