[Defcon DFIR CTF 2019] Memory 05

5. tcpip settings

RAM 덤프가 된 시간대의 접속되어 있는 IP 주소를 구하는 문제입니다.

 

netscan: 시스템명, 운영체제명, 버전명 등 네트워크 정보 확인. 네트워크 스캐너 중 설치없이 간단하게 사용 가능.

명령어는 vol.exe -f 파일이름 netscan --profile=프로파일이름 형식으로 쓰면 됩니다.

 

vol.exe -f defcon.mem netscan --profile=Win7SP1x64 > netscan.txt

1) cmd 열기

2) netsacn 이용.

저는 txt 파일로 저장해서 확인했습니다. 명령어 뒤 '> netscan.txt'는 빼셔도 됩니다.

IP를 보면 10.0.0.101, 127.0.0.1, 0.0.0.0 3가지가 있습니다. 이 중 0.0.0.0은 모든 ip 주소를, 127.0.0.1은 루프백 주소를 의미합니다. 그래서 10.0.0.101이 정답입니다.

정답: 10.0.0.101