بسم الله الرحمن الرحيم
بداية هذا شرح لتحديات forensic الخاصة بجامعة الطفيلة (TTU CTF v1.5) وفيها اغلب الأسئلة وليست جميعها وهناك طرق حل كثيرة وهذه احدها
بداية هذا شرح لتحديات forensic الخاصة بجامعة الطفيلة (TTU CTF v1.5) وفيها اغلب الأسئلة وليست جميعها وهناك طرق حل كثيرة وهذه احدها
S3CR3T
أول سؤال بحكيلنا انه في سر بالصورة فأول اشي بنجربه strings وبطلع معنا flag بشكل مباشر
C0RR
السؤال بحكيلنا انه عبارة عن صورة لكنها مضروبة او بشكل اصح تم التعديل عليها في هيك احوال اول اشي بنتأكد منه هو hex الخاص بالصورة اذا كان مكتوب بشكل صحيح او لا
بنلاحظ انه head الخاص بالصورة مكتوب بشكل غير صحيح فبنحتاج نعدل عليه فأول اشي بنحتاج نشوف ايش header الخاص ب png
بنعدل header ليصبح هكذا وبنحفظه
وبطلع معنا flag
1 pcap
1- بده ip الخاص بالمهاجم ؟2- ip الي طلعته من أي مدينة ؟
بنلاحظ في عمليات إرسال كثير ففعليًا عنا bruteforce attack فلهيك بدنا نطلع الأكثر إرسالًا للطلبات (requests)
بالنسبة للسؤال الأول في اكثر من طريقة ومن أحد هاي الطرق نشوف احصائيات
بنروح على statistics بعديها conversations
بتروح على tcp مشان نشوف المحادثة ومن ببعث للثاني وتفاصيل كثير
منلاحظ اكثر ip ببعث هو 14.0.0.120
بالنسبة للسؤال الثاني بنسخدم أي موقع لفحص ip مثل iplocation وبنلاحظ طلعنا كل التفاصيل الخاصة ب ip ومنها المدينة
بنروح على statistics بعديها conversations
بتروح على tcp مشان نشوف المحادثة ومن ببعث للثاني وتفاصيل كثير
منلاحظ اكثر ip ببعث هو 14.0.0.120
بالنسبة للسؤال الثاني بنسخدم أي موقع لفحص ip مثل iplocation وبنلاحظ طلعنا كل التفاصيل الخاصة ب ip ومنها المدينة
2 pcap
1- ما هي الأداة التي استحدمها المهاجم للهجوم ؟2- ما هو port الذي استطاع بواسطته المهاجم الوصول ل admin panel ؟
بالنسبة للسؤال الأول فبشكل سريع يمكن نبحث عن packet الخاصة ب ip
بالنسبة للسؤال الثاني بنلاحظ انه port مكتوب تحت 8080
3 pcap
1- ما هي الصفحة المستخدم التي استخدمها المهاجم لرفع الملف ؟2- ما هو اسم المستخدم وكلمة السر الخاصة ب admin ؟
خلينا نبلش بالسؤال الثاني قبل الاول
طيب مشان يفوت اي مستخدم فعليا بده يعمل post او بمعنى اخر إرسال معلومات للموقع وبما انه بنحكي عن موقع فرح يكون http
بناءا على ما سبق يمكن نفلتر البحث على الإرسال فقط
اذا شفنا تفاصيل packet بنلاحظ كلمة السر وأسم المستخدم
بنرجع للسؤال الأول لو نتبع packet الي احنا فيه من خلال follow --> tcp stream 4 pcap
1- اسم الملف الي رفعه المهاجم؟2- ما هو الأمر الذي استعمله لجعله يعمل بشكل مستمر ؟
بالنسبة لأسم الملف بنلاحظ انه موجود في نفس stream الي حلينا عليه سابقا
بالنسبة للكوماند بنلاحظ انه موجود بالستريم الي بعديه
بالنسبة للكوماند بنلاحظ انه موجود بالستريم الي بعديه
H4X0R
1- ما هو product name ؟2- ما هو اسم المستخدم ؟
بنلاحظ لو بحثنا current version بتقدر نطلع جميع المعلومات .............
الأدوات المستخدمة :
wireshark , Registry Explorer
بتمنى الشرح يكون مفيد
wireshark , Registry Explorer
بتمنى الشرح يكون مفيد
المرفقات
التعديل الأخير:
