セキュリティこねこね

セキュリティ関連技術やCTFなどのアウトプット

CTFで役立ちそうなツールの一覧 Windows編

CTFで問題を解くために使えるかもしれないツールとサービスを3回に分けて紹介します。第1回はWindows編です。自身で未導入のものを含み、不正確な部分もあるかもしれませんが、ご参考まで。

Network

  • Wireshark
    .pcapと.pcapngのネットワークパケットを解析
    • HTTPS通信の複合
      • 秘密鍵を[設定]-[Protocols]-[SSL]-[RSA keys list]から以下のとおり指定
        • IP address：サーバのIPアドレス
        • Port：サーバのポート番号
        • Protocol：http
        • Key File：秘密鍵ファイル
      • 右クリック→追跡→SSL Stream で暗号化された通信の中身を参照
    • 無線通信の複合
      • Aircrack-ngで無線のパケットからWEPキーを割り出す
        • > aircrack-ng victim.cap
      • Wiresharkで複合する
        • 1.[編集]-[設定]メニューを選択
        • 2.[Protocols]-[IEEE 802.11]を選択
        • 3.[Enable decryption]にチェックを入れ、[Decryption Keys]の[Edit…]をクリック
        • 4.[WEP and WPA Decryption Keys]画面でKey typeとKeyを設定
  • NetworkMiner
    .pcapを見やすく解析
    .pcapngは.pcapに変換してから開く必要あり
    FTPの通信からファイルを簡単に取り出せる
    Imageタブに通信に含まれる画像イメージが一覧表示される
    なお、ファイルの取り出しについては他のカービングツール(binwalkなど)を試すのもよい
  • TCPView
    TCPコネクションと利用アプリケーションを関連付けて表示する
    不審な通信を行うプロセスの発見に使える
  • MSGViewer
    Outlookの.msgメールファイルを開く

Web

Binary

Binary - バイナリエディタ

Binary - デバッガ

Binary - PEヘッダ解析

  • PEView
    PEヘッダの確認
  • Stud_PE
    PEヘッダの確認
  • PEstudio
    PEヘッダの確認
  • PE Tools
    実行中プロセスのPEヘッダを確認
  • FileAlyzer
    PEヘッダ、自動アンパックや諸々ファイル情報表示
  • CFF Explorer
    PEヘッダの確認とファイルの識別、アドレスの変換、依存関係のスキャン、インポートされた関数をPEに追加など
  • Exeinfo PE
    PEヘッダの確認およびパッカー識別(古いパッカーは対応していない)

Binary - デコンパイラ(C/C++)

Binary - デコンパイラ(Android)

Binary - デコンパイラ(.Net)

Binary - デコンパイラ(その他)

Binary - プロセス・メモリ

Forensic

  • FTK Imager Lite
    ディスクイメージを参照
    NTFSマスターファイルテーブル(＄MFT)を抽出したり、削除済みファイルを復元したり
  • MFTDump
    $MFTの情報を解析して表形式で出力
    • > mftdump.exe /o output.csv <MFTファイル/ディスクイメージ>
  • Autopsy
    ディスクイメージを解析して見やすく表示
    FTK Imagerにはない「ファイルタイプ別」「削除されたファイル」「EXIFメタデータ」「Eメールメッセージ」などの観点で一覧できる
  • autoruns
    システムで自動起動するように登録されたエントリを一覧できる
    FTK Imagerなどでマウントしたドライブを対象に解析することもできる
  • Log Parser Studio
    SQLでイベントログを参照し、テキスト出力できる
  • Bulk Extractor with Record Carving
    ディスクイメージからファイルをカービングする
  • KaniVola
    メモリダンプを解析する
  • OSForensics
    ディスクイメージを解析して見やすく表示※有償・30日トライアル可能
    日付を指定して操作履歴を確認できる
    削除ファイルを含めてファイルを検索できる
    メモリダンプの詳細が確認できる
    ブラウザのパスワード、Windowsパスワードなどを探索できる
  • Sleuthkit
    ディスクイメージのCUI解析ツール※未導入
  • PhotoRec/TestDisk
    ファイル復元ソフト※未導入
  • pyOLEScanner
    Office関連ファイルの解析で使えるツール※未導入
  • NTFS Log Tracker
    $LogFileからファイル操作記録を抽出(要SQLite)※未導入
  • ADS Manaager
    代替データストリームを表示※未導入

Forensic - レジストリ

Forensic - ステガノグラフィー/メディア

  • F6Exif
    jpgのEXIF情報を表示
  • Exif読取り君
    jpgのEXIF情報を表示
  • PNG_Analyzer
    pngのチャンクサイズを変更
    IHDRのEditorタブで縦横のサイズを増やし、左のIHDR項目をクリックするとCRCが更新され、画像の表示領域を増やせる
  • Stegsolve
    画像のビット要素を分解して様々なパターンで表示することができる
  • IrfanView
    画像のプロパティ表示
  • Steghide
    画像(JPG,BMP)や音声(WAV,AU)にパスフレーズを使用してデータを埋め込み・取り出し
    • データファイルの隠ぺい
      • > steghide.exe -cf <カバーファイル名> -ef <隠ぺいファイル名> -sf <ステゴファイル名>
    • 隠ぺいファイルの抽出
      • > steghide.exe extract [-xf <隠ぺいファイル名>] -sf <ステゴファイル名>
    • 隠ぺいファイル情報表示
      • > steghide.exe info <ステゴファイル名>
  • 初音
    PNGにファイルを埋め込み・取り出し
  • MP3Stego
    MP3にデータを埋め込み※未導入
  • OpenStego
    BMP,PNGにデータを埋め込み※未導入
  • StegoShare
    BMP, JPG, PNG, GIF, TIFFにデータを埋め込み※未導入
  • Gimp
    画像編集
  • Audacity
    音声ファイル操作
  • Sonic Visualiser
    音声ファイルの波形を視覚化する
  • VLC media player
    動画再生
  • GOM Player
    動画再生 コマの静止画キャプチャーが可能

Forensic - ファイル

Crypto

  • ophcrack
    WindowsパスワードをLMハッシュのレインボーテーブルを用いて解析する
    解析にはdictionalyのダウンロードが必要
  • CryptoCrack
    様々な暗号タイプに対応し、暗号に使われている鍵が不明な場合でも復号結果を推測する
  • AesCrypter
    AES 暗号/復号ツール
  • CrypTool
    様々なアルゴリズムでの暗号化・復号ツール※未導入

その他

参考ページ

参考書籍

セキュリティコンテストチャレンジブック -CTFで学ぼう! 情報を守るための戦い方-

セキュリティコンテストチャレンジブック -CTFで学ぼう! 情報を守るための戦い方-

セキュリティコンテストのためのCTF問題集

セキュリティコンテストのためのCTF問題集

連載一覧

  • CTFで役立ちそうなツールの一覧 Windows編
  • CTFで役立ちそうなツールの一覧 Linux編※未作成
  • CTFで役立ちそうなツールの一覧 サービス編※未作成