Network #7-DefCoN#21 #7

<문제>

 

 

round7.pacp 파일을 가지고 허위 웹페이지를 찾는 문제이다.

round.pcap를 NetworkMiner를 사용하여 열어보았다.

 

- NetworkMiner 다운로드 사이트

https://www.netresec.com/index.ashx?page=NetworkMiner

NetworkMiner - The NSM and Network Forensics Analysis Tool ⛏

문제가 허위 웹사이트를 찾는 것이니까

Files 부분에서 URL을 찾아본 결과,

 

 

 

왠지 실제로 있을법한 사이트를 발견하였다.

그리고 실제로 해당 사이트가 있었다!

 

www.bankofamerica.com  

Bank of America - Banking, Credit Cards, Loans and Merrill Investing

아마 해당 사이트와 비슷하거나 관련된 허위 URL이 있을 것 같아

NetworkMiner로 더 찾아보기로 하였다.

 

- NetworkMiner를 사용하는 방법

https://blog.naver.com/stop2y/221033954685

NetworkMiner 개요 / 사용법

위의 블로그를 참고하여,

[Parameters]부분에서 HTTP의 GET 또는 POST에 삽입된 파라미터에 대해 다룬다는 것을 보고

[Parameters]부분에 들어가 URL을 찾아보았다.

 

 

 

bankofamerica.tt.omtrdc.net에 접속한 흔적이 있어

더 자세히 보기 위해 이를 Wireshark로 확인해보았다.

 

 

 

도메인으로 검색하기 위해

http.host==bankofamerica.tt.omtrdc.net 로 검색하고

이를 TCP STREAM으로 열어보았다.

 

 

 

구글에 접속한 흔적이 보였다.

구글에서 무엇을 하였는지 알아내기 위해

구글 URL 뒤의 영어들을 읽어보면,

why is my bankofamerica account not working

이라고 써져있는 것을 발견할 수 있다.

 

이를 보고 추측해보면,

구글에다가 자신의 계좌가 작동하지 않는 이유를 질문한 것 같았다.

 

그러므로, 허위 사이트는

bankofamerica.tt.omtrdc.net

 

bankofamerica.tt.omtrdc.net를 치니까 틀렸다고 떠서

http를 붙여서 치니까 정답이라고 떴다!

 

FLAG=http://bankofamerica.tt.omtrdc.net

 

 

문제 해결!