Digital Forensics Case Studies
Skenario 1
Ann Skips Bail
Setelah dibebaskan dengan syarat dari penjara, Ann Dercover melarikan diri entah pergi kemana. Untungnya, ada peneliti yang memonitor aktivitas jaringan sebelum dia pergi melarikan diri.
"Kami percaya Ann mungkin telah berkomunikasi dengan kekasih rahasianya, sebut saja Mr. X, " kata kepala polisi. "hasil capture paket mungkin berisi petunjuk untuk menemukannya."
Anda adalah penyidik forensik. Misi Anda adalah untuk mencari tahu apa Ann diemail, di mana ia pergi, dan memulihkan bukti termasuk:
Soal:
1. Apakah alamat email Anna?
2. Apa sandi email Anna?
3. Apakah alamat email rahasia kekasih Ann?
4. Apakah dua barang yang Ann beritahu secara rahasia kepada kekasihnya untuk dibawa?5. Apa nama file Anna yang dikirimkan ke kekasih rahasianya?
6. Apa md5sum dari file Ann yang dikirimkan ke kekasih rahasianya?
Jawabannya:
1. Apakah alamat email Anna?
Jawaban 1: sneakyg33k@aol.com
2. Apa sandi email anna?
Jawaban 2: 558r00lz
3. Apakah alamat email kekasih rahasia Anna?
Jawaban 3: mistersecretx@aol.com
4. Apakah dua barang yang Ann beritahu secara rahasia kepada kekasihnya untuk dibawa?Jawaban 4: Sebuah paspor palsu dan baju renang
5. Apa nama file Anna yang dikirimkan ke kekasih rahasianya?
Jawaban 5: secretrendezvous.docx
6. Apa md5sum dari file Ann yang dikirimkan ke kekasih rahasianya?
Jawaban 6: 9e423e11db88f01bbff81172839e1923
7. Dalam apa KOTA dan NEGARA adalah titik rendez-vous mereka?
Jawaban 7: Playa del Carmen, Meksiko
8. Apa md5sum gambar tertanam dalam dokumen?
Jawaban 8: aadeace50997b1ba24b09ac2ef1940b7
Berikut adalah capture paket yang berisi aktivitas Mr. X. Sebagai jaringan penyidik forensik, misi Anda adalah untuk menjawab pertanyaan-pertanyaan berikut:
1. Apa alamat IP dari scanner Mr. X?
2. Pada port pertama yang discan Mr X, apa jenis port scan itu? (Catatan: scan terdiri dari ribuan paket.) Pilih salah satu:
TCP SYN
TCP ACK
UDP
TCP Connect
TCP XMAS
TCP RST
3. Apa alamat IP dari target Mr X ditemukan?
4. Apa alamat MAC dari sistem Apple yang ia temukan?
5. Apa alamat IP dari sistem Windows yang ia temukan?
6. Apa port TCP yang terbuka pada sistem Windows? (Sebutkan angka desimal dari terendah hingga tertinggi.)
pertanyaan bonus:
Apa nama alat Mr X yang digunakan untuk port scan?
Bagaimana Anda bisa tahu?
Dapatkah Anda merekonstruksi output dari alat tersebut, yang sekiranya Mr. X dapat terlihat?
Jawabannya:
Jawaban 1: 10.42.42.253
Jawaban 2: TCP Connect
Jawaban 3: 10.42.42.50, 10.42.42.56, & 10.42.42.25
Jawaban 4: 00: 16: cb: 92: 6e: dc
Jawaban 5: 10.42.42.50
Jawaban 6: 135, 139
X-TRA KREDIT: Alat yang digunakan adalah nmap. Ada banyak cara untuk mencoba untuk sidik jari alat, tetapi salah satu cara cepat untuk melihat ukuran jendela TCP yang berasal dari sistem scanning. Dalam kasus nmap, beberapa hal menonjol, termasuk paket SYN dengan ukuran jendela 31337. Sebuah pencarian google pada yang muncul permohonan paten Fyodor. :-)
Scan pertama, dijalankan dengan "nmap 10.42.42.1/24" hasil akan menghasilkan yang tampak seperti ini:
Mulai Nmap 4.76 (http://nmap.org) di 2009/11/02 18:33 EST
Semua port scan pada 1000 10.42.42.25 ditutup
Port menarik pada 10.42.42.50:
Tidak ditampilkan: 998 port tertutup
PORT STATE SERVICE
135 / tcp terbuka MSRPC
139 / tcp terbuka netbios-SSN
Semua port scan pada 1000 10.42.42.56 ditutup
Port menarik pada 10.42.42.253:
Tidak ditampilkan: 999 port tertutup
PORT STATE SERVICE
3128 / tcp terbuka cumi-http
Nmap dilakukan: 256 alamat IP (4 host up) discan dalam 468,46 detik
(Meskipun tentu saja Anda tidak bisa tahu tentang 10.42.42.253, yang scanner itu sendiri, seperti yang akan menggunakan antarmuka loopback untuk itu, sehingga packet sniffer eksternal tidak akan melihat mereka bit.)
Scan kedua, menggunakan Nmap "-A" pilihan akan membuahkan hasil seperti ini:
Mulai Nmap 4.76 (http://nmap.org) di 2009/11/02 18:42 EST
Semua port scan pada 1000 10.42.42.25 ditutup
MAC Address: 00: 16: CB: 92: 6E: DC (Apple Computer)
Jenis perangkat: ponsel | perangkat media | tujuan umum | web proxy | khusus
Menjalankan Apple tertanam, Apple iPhone OS 1.x, Apple Mac OS X 10.2.X | 10.3.x | 10.4.X | 10.5.x, Blue Coat SGOS 5.x, FreeBSD 4.x, VMware ESX Server 3.0.x
Terlalu banyak sidik jari cocok host ini untuk memberikan rincian spesifik OS
Jaringan Jarak: 1 hop
Port menarik pada 10.42.42.50:
Tidak ditampilkan: 998 port tertutup
PORT STATE SERVICE VERSION
135 / tcp MSRPC terbuka Microsoft Windows RPC
139 / tcp terbuka netbios-SSN
MAC Address: 70: 5A: B6: 51: D7: B2 (Tidak dikenal)
Jenis perangkat: tujuan umum
Menjalankan: Microsoft Windows XP
Rincian OS: Microsoft Windows 2000 SP4, Windows XP SP2 atau SP3, atau Windows Server 2003
Jaringan Jarak: 1 hop
Layanan Info: OS: Windows
Semua port scan pada 1000 10.42.42.56 ditutup
MAC Address: 00: 26: 22: CB: 1E: 79 (Tidak dikenal)
Terlalu banyak sidik jari cocok host ini untuk memberikan rincian spesifik OS
Jaringan Jarak: 1 hop
Port menarik pada 10.42.42.253:
Tidak ditampilkan: 999 port tertutup
PORT STATE SERVICE VERSION
3128 / tcp terbuka http proxy Squid 2.7.STABLE3 webproxy
Jenis perangkat: tujuan umum
Menjalankan: Linux 2.6.x
Rincian OS: Linux 2.6.17 - 2.6.25
Jaringan Jarak: 0 hop
OS dan layanan deteksi dilakukan. Silakan laporkan hasil yang salah di http://nmap.org/submit/.
Nmap dilakukan: 256 alamat IP (4 host up) discan dalam 78,42 detik
(Sekali lagi, Anda tidak akan melihat nmap memeriksa host itu berjalan, tapi hasilnya dimasukkan untuk kelengkapan.)
Skenario 3
HackMe, Inc.
Inter0ptik adalah buronan dan ditembaki. Daerah ini merangkak dengan polisi, sehingga ia harus tinggal diam. Tapi dia juga sangat dibutuhkan untuk bisa mendapatkan pesan keluar untuk Ann dan Mr. X. Untung dia mendeteksi satu titik wireless akses (WAP) di gedung sebelah yang ia mungkin dapat digunakan, tetapi menggunakan enkripsi dan tidak ada peluang lain yang tersedia. Apa Inter0ptik lakukan?
Sementara itu, sebelah ...
Joe adalah sysadmin di HackMe, Inc Ia menjalankan infrastruktur teknis untuk perusahaan kecil, termasuk WAP yang ia gunakan, cukup banyak eksklusif, dan juga sangat jarang. Dia mencoba untuk menggunakannya sekarang dan telah menemukan hubungannya menurun secara konsisten. Dia menangkap beberapa lalu lintas, tapi dia benar-benar tidak tahu bagaimana untuk menafsirkannya. Tiba-tiba ia menemukan ia bahkan tidak bisa login untuk mengelola WAP nya sama sekali!
Anda adalah penyidik forensik. Tim Anda punya tip yang Inter0ptik mungkin jongkok di daerah dan menghubungi admin lokal mengenai aktivitas jaringan yang mencurigakan. Joe telah memberikan Anda dengan menangkap paket dan membantu Anda melihat bahwa alamat MAC sendiri adalah 00: 11: 22: 33: 44: 55. Dapatkah Anda mencari tahu apa yang terjadi dan melacak aktivitas penyerang?
Anda telah diberi capture paket petualangan Inter0pt1k itu, dan telah diminta untuk menentukan berikut:
1) Joe WAP beaconing. Berdasarkan isi dari penangkapan paket,
apa:
a. SSID titik akses nya?
b. BSSID dari jalur akses nya?
2) Berapa lama capture paket, dari awal sampai akhir (dalam DETIK -
silahkan bulat untuk terdekat kedua penuh)?
3) Berapa banyak data frame WEP-dienkripsi ada total penangkapan paket?
4) Berapa banyak * vektor inisialisasi * WEP yang unik (IV) yang ada di TOTAL
penangkapan yang berkaitan dengan jalur akses Joe paket?
5) Apa alamat MAC dari stasiun melaksanakan Layer 2 serangan?
6) Berapa banyak * unik infus * yang dihasilkan (yang berhubungan dengan jalur akses Joe):
a. Oleh stasiun penyerang?
b. Dengan segala * * stasiun lainnya digabungkan?
7) Apa kunci WEP dari Joe WAP?
8) Apa username dan password administrasi dari target
titik akses nirkabel?
9) Apa passphrase administrasi WAP berubah ke?
Jawabannya :
1) Joe WAP beaconing. Berdasarkan isi capture paket, apa SSID dan BSSID dari jalur akses nya?
SSID: Ment0rNet
BSSID: 00: 23: 69: 61: 00: d0
2) Berapa lama capture paket, dari awal sampai akhir (dalam DETIK - silakan bulat untuk terdekat kedua penuh)?
414s
3) Berapa banyak data frame WEP-dienkripsi ada total penangkapan paket?
59.274
4) Berapa banyak * unik * vektor inisialisasi WEP (infus) yang ada TOTAL di capture paket yang berhubungan dengan jalur akses Joe?
29.719
5) Apa alamat MAC dari stasiun melaksanakan Layer 2 serangan?
1c: 4b: d6: 69: cd: 07
6) Berapa banyak * unik infus * yang dihasilkan (yang berhubungan dengan jalur akses Joe):
a) Dengan stasiun penyerang?
14.133
(Kami juga menerima 14.132, sebagai salah satu infus yang dihasilkan * * oleh stasiun lain, dan hanya diputar * * oleh stasiun penyerang. Lihat komentar saya # 4 di bawah ini.)
b) Dengan segala * * stasiun lainnya digabungkan?
15.587
7) Apa kunci WEP dari Joe WAP?
D0: E5: 9E: B9: 04
8.) Apa username dan password administrasi dari titik akses nirkabel yang ditargetkan?
admin: admin
9) Apa passphrase administrasi WAP berubah ke?
hahp0wnedJ00
Ann Skips Bail
Setelah dibebaskan dengan syarat dari penjara, Ann Dercover melarikan diri entah pergi kemana. Untungnya, ada peneliti yang memonitor aktivitas jaringan sebelum dia pergi melarikan diri.
"Kami percaya Ann mungkin telah berkomunikasi dengan kekasih rahasianya, sebut saja Mr. X, " kata kepala polisi. "hasil capture paket mungkin berisi petunjuk untuk menemukannya."
Anda adalah penyidik forensik. Misi Anda adalah untuk mencari tahu apa Ann diemail, di mana ia pergi, dan memulihkan bukti termasuk:
Soal:
1. Apakah alamat email Anna?
2. Apa sandi email Anna?
3. Apakah alamat email rahasia kekasih Ann?
4. Apakah dua barang yang Ann beritahu secara rahasia kepada kekasihnya untuk dibawa?5. Apa nama file Anna yang dikirimkan ke kekasih rahasianya?
6. Apa md5sum dari file Ann yang dikirimkan ke kekasih rahasianya?
Jawabannya:
1. Apakah alamat email Anna?
Jawaban 1: sneakyg33k@aol.com
2. Apa sandi email anna?
Jawaban 2: 558r00lz
3. Apakah alamat email kekasih rahasia Anna?
Jawaban 3: mistersecretx@aol.com
4. Apakah dua barang yang Ann beritahu secara rahasia kepada kekasihnya untuk dibawa?Jawaban 4: Sebuah paspor palsu dan baju renang
5. Apa nama file Anna yang dikirimkan ke kekasih rahasianya?
Jawaban 5: secretrendezvous.docx
6. Apa md5sum dari file Ann yang dikirimkan ke kekasih rahasianya?
Jawaban 6: 9e423e11db88f01bbff81172839e1923
7. Dalam apa KOTA dan NEGARA adalah titik rendez-vous mereka?
Jawaban 7: Playa del Carmen, Meksiko
8. Apa md5sum gambar tertanam dalam dokumen?
Jawaban 8: aadeace50997b1ba24b09ac2ef1940b7
Skenario 2
The Curious Mr. X
Seorang buronan dari Meksiko, Mr. X melakukan remote pada the Arctic Nuclear Fusion Research Facility (ANFRF) lab subnet atas Interwebs. Hampir dalam fasilitas tersebut, ia melakukan beberapa pengintaian aktifitas jaringan. Sayangnya untuk Mr X, jaringan laboratorium tersebut dapat ditangkap semua lalu lintas (full teks).Berikut adalah capture paket yang berisi aktivitas Mr. X. Sebagai jaringan penyidik forensik, misi Anda adalah untuk menjawab pertanyaan-pertanyaan berikut:
1. Apa alamat IP dari scanner Mr. X?
2. Pada port pertama yang discan Mr X, apa jenis port scan itu? (Catatan: scan terdiri dari ribuan paket.) Pilih salah satu:
TCP SYN
TCP ACK
UDP
TCP Connect
TCP XMAS
TCP RST
3. Apa alamat IP dari target Mr X ditemukan?
4. Apa alamat MAC dari sistem Apple yang ia temukan?
5. Apa alamat IP dari sistem Windows yang ia temukan?
6. Apa port TCP yang terbuka pada sistem Windows? (Sebutkan angka desimal dari terendah hingga tertinggi.)
pertanyaan bonus:
Apa nama alat Mr X yang digunakan untuk port scan?
Bagaimana Anda bisa tahu?
Dapatkah Anda merekonstruksi output dari alat tersebut, yang sekiranya Mr. X dapat terlihat?
Jawabannya:
Jawaban 1: 10.42.42.253
Jawaban 2: TCP Connect
Jawaban 3: 10.42.42.50, 10.42.42.56, & 10.42.42.25
Jawaban 4: 00: 16: cb: 92: 6e: dc
Jawaban 5: 10.42.42.50
Jawaban 6: 135, 139
X-TRA KREDIT: Alat yang digunakan adalah nmap. Ada banyak cara untuk mencoba untuk sidik jari alat, tetapi salah satu cara cepat untuk melihat ukuran jendela TCP yang berasal dari sistem scanning. Dalam kasus nmap, beberapa hal menonjol, termasuk paket SYN dengan ukuran jendela 31337. Sebuah pencarian google pada yang muncul permohonan paten Fyodor. :-)
Scan pertama, dijalankan dengan "nmap 10.42.42.1/24" hasil akan menghasilkan yang tampak seperti ini:
Mulai Nmap 4.76 (http://nmap.org) di 2009/11/02 18:33 EST
Semua port scan pada 1000 10.42.42.25 ditutup
Port menarik pada 10.42.42.50:
Tidak ditampilkan: 998 port tertutup
PORT STATE SERVICE
135 / tcp terbuka MSRPC
139 / tcp terbuka netbios-SSN
Semua port scan pada 1000 10.42.42.56 ditutup
Port menarik pada 10.42.42.253:
Tidak ditampilkan: 999 port tertutup
PORT STATE SERVICE
3128 / tcp terbuka cumi-http
Nmap dilakukan: 256 alamat IP (4 host up) discan dalam 468,46 detik
(Meskipun tentu saja Anda tidak bisa tahu tentang 10.42.42.253, yang scanner itu sendiri, seperti yang akan menggunakan antarmuka loopback untuk itu, sehingga packet sniffer eksternal tidak akan melihat mereka bit.)
Scan kedua, menggunakan Nmap "-A" pilihan akan membuahkan hasil seperti ini:
Mulai Nmap 4.76 (http://nmap.org) di 2009/11/02 18:42 EST
Semua port scan pada 1000 10.42.42.25 ditutup
MAC Address: 00: 16: CB: 92: 6E: DC (Apple Computer)
Jenis perangkat: ponsel | perangkat media | tujuan umum | web proxy | khusus
Menjalankan Apple tertanam, Apple iPhone OS 1.x, Apple Mac OS X 10.2.X | 10.3.x | 10.4.X | 10.5.x, Blue Coat SGOS 5.x, FreeBSD 4.x, VMware ESX Server 3.0.x
Terlalu banyak sidik jari cocok host ini untuk memberikan rincian spesifik OS
Jaringan Jarak: 1 hop
Port menarik pada 10.42.42.50:
Tidak ditampilkan: 998 port tertutup
PORT STATE SERVICE VERSION
135 / tcp MSRPC terbuka Microsoft Windows RPC
139 / tcp terbuka netbios-SSN
MAC Address: 70: 5A: B6: 51: D7: B2 (Tidak dikenal)
Jenis perangkat: tujuan umum
Menjalankan: Microsoft Windows XP
Rincian OS: Microsoft Windows 2000 SP4, Windows XP SP2 atau SP3, atau Windows Server 2003
Jaringan Jarak: 1 hop
Layanan Info: OS: Windows
Semua port scan pada 1000 10.42.42.56 ditutup
MAC Address: 00: 26: 22: CB: 1E: 79 (Tidak dikenal)
Terlalu banyak sidik jari cocok host ini untuk memberikan rincian spesifik OS
Jaringan Jarak: 1 hop
Port menarik pada 10.42.42.253:
Tidak ditampilkan: 999 port tertutup
PORT STATE SERVICE VERSION
3128 / tcp terbuka http proxy Squid 2.7.STABLE3 webproxy
Jenis perangkat: tujuan umum
Menjalankan: Linux 2.6.x
Rincian OS: Linux 2.6.17 - 2.6.25
Jaringan Jarak: 0 hop
OS dan layanan deteksi dilakukan. Silakan laporkan hasil yang salah di http://nmap.org/submit/.
Nmap dilakukan: 256 alamat IP (4 host up) discan dalam 78,42 detik
(Sekali lagi, Anda tidak akan melihat nmap memeriksa host itu berjalan, tapi hasilnya dimasukkan untuk kelengkapan.)
Skenario 3
HackMe, Inc.
Inter0ptik adalah buronan dan ditembaki. Daerah ini merangkak dengan polisi, sehingga ia harus tinggal diam. Tapi dia juga sangat dibutuhkan untuk bisa mendapatkan pesan keluar untuk Ann dan Mr. X. Untung dia mendeteksi satu titik wireless akses (WAP) di gedung sebelah yang ia mungkin dapat digunakan, tetapi menggunakan enkripsi dan tidak ada peluang lain yang tersedia. Apa Inter0ptik lakukan?
Sementara itu, sebelah ...
Joe adalah sysadmin di HackMe, Inc Ia menjalankan infrastruktur teknis untuk perusahaan kecil, termasuk WAP yang ia gunakan, cukup banyak eksklusif, dan juga sangat jarang. Dia mencoba untuk menggunakannya sekarang dan telah menemukan hubungannya menurun secara konsisten. Dia menangkap beberapa lalu lintas, tapi dia benar-benar tidak tahu bagaimana untuk menafsirkannya. Tiba-tiba ia menemukan ia bahkan tidak bisa login untuk mengelola WAP nya sama sekali!
Anda adalah penyidik forensik. Tim Anda punya tip yang Inter0ptik mungkin jongkok di daerah dan menghubungi admin lokal mengenai aktivitas jaringan yang mencurigakan. Joe telah memberikan Anda dengan menangkap paket dan membantu Anda melihat bahwa alamat MAC sendiri adalah 00: 11: 22: 33: 44: 55. Dapatkah Anda mencari tahu apa yang terjadi dan melacak aktivitas penyerang?
Anda telah diberi capture paket petualangan Inter0pt1k itu, dan telah diminta untuk menentukan berikut:
1) Joe WAP beaconing. Berdasarkan isi dari penangkapan paket,
apa:
a. SSID titik akses nya?
b. BSSID dari jalur akses nya?
2) Berapa lama capture paket, dari awal sampai akhir (dalam DETIK -
silahkan bulat untuk terdekat kedua penuh)?
3) Berapa banyak data frame WEP-dienkripsi ada total penangkapan paket?
4) Berapa banyak * vektor inisialisasi * WEP yang unik (IV) yang ada di TOTAL
penangkapan yang berkaitan dengan jalur akses Joe paket?
5) Apa alamat MAC dari stasiun melaksanakan Layer 2 serangan?
6) Berapa banyak * unik infus * yang dihasilkan (yang berhubungan dengan jalur akses Joe):
a. Oleh stasiun penyerang?
b. Dengan segala * * stasiun lainnya digabungkan?
7) Apa kunci WEP dari Joe WAP?
8) Apa username dan password administrasi dari target
titik akses nirkabel?
9) Apa passphrase administrasi WAP berubah ke?
Jawabannya :
1) Joe WAP beaconing. Berdasarkan isi capture paket, apa SSID dan BSSID dari jalur akses nya?
SSID: Ment0rNet
BSSID: 00: 23: 69: 61: 00: d0
2) Berapa lama capture paket, dari awal sampai akhir (dalam DETIK - silakan bulat untuk terdekat kedua penuh)?
414s
3) Berapa banyak data frame WEP-dienkripsi ada total penangkapan paket?
59.274
4) Berapa banyak * unik * vektor inisialisasi WEP (infus) yang ada TOTAL di capture paket yang berhubungan dengan jalur akses Joe?
29.719
5) Apa alamat MAC dari stasiun melaksanakan Layer 2 serangan?
1c: 4b: d6: 69: cd: 07
6) Berapa banyak * unik infus * yang dihasilkan (yang berhubungan dengan jalur akses Joe):
a) Dengan stasiun penyerang?
14.133
(Kami juga menerima 14.132, sebagai salah satu infus yang dihasilkan * * oleh stasiun lain, dan hanya diputar * * oleh stasiun penyerang. Lihat komentar saya # 4 di bawah ini.)
b) Dengan segala * * stasiun lainnya digabungkan?
15.587
7) Apa kunci WEP dari Joe WAP?
D0: E5: 9E: B9: 04
8.) Apa username dan password administrasi dari titik akses nirkabel yang ditargetkan?
admin: admin
9) Apa passphrase administrasi WAP berubah ke?
hahp0wnedJ00
Komentar
Posting Komentar