[네트워크 포렌식] DefCoN 21 #1

문제에서 round1.pcap 패킷 파일 하나를 제공합니다. 이 파일을 와이어샤크로 열어보겠습니다.

 

패킷을 확인해보면 17번 패킷이 IRC 프로토콜으로 통신한 것을 확인할 수 있습니다.

 

IRC 프로토콜 특성상 채팅 데이터가 기록될 확률이 높습니다.

 

자세한 내용 분석을 위하여 TCP Stream을 Follow 해보겠습니다.

 

Betty와 Gregory가 대화한 내용이 남아있습니다. 아래의 문자열들은 16진수 값으로 되어 있고 1바이트마다 특수문자를 사용한 점으로 보아 HTML 인코딩 방식을 사용했다고 생각됩니다.

 

아래 문자열들을 html decoder를 통해 복호화해보겠습니다.

 

복호화를 하니 추가적인 정보를 얻을 수 있습니다.