[네트워크 포렌식] DefCoN 22 #1

DatSecrets.pcap 이라는 패킷 파일이 제공됩니다. 와이어샤크로 패킷 파일을 열어보겠습니다.

 

SNMP 프로토콜이 많이 보이므로 SMB Object 기능으로 파일을 확인해 보겠습니다.

 

파일 목록을 보면 Documents.zip 폴더가 의심됩니다.

 

Documents.zip 압축 파일의 압축을 풀면 위와 같이 나옵니다. 

 

안에 docx 파일을 보면 base64로 암호화되어 있습니다. 

 

파일의 내용을 하나하나 복호화하다 보면 사용자 이름 목록을 확인할 수 있습니다.

 

이와 같은 방법으로 목록의 두 번째 이름을 구할 수 있습니다.