Tôi nhớ là trong các phiên bản CHFI cũ hơn có mẫu này trong bài tập, còn CHFI v9 thì không thấy và trên CHFI v10 cũng bỏ luôn có lẽ do trình duyệt trong tình huống này cũ quá, nhưng ý nghĩa thì vẫn như nhau nên BQT đưa vào CHFI Plus. Tuy nhiên, theo như hint trên thì các bạn nên tìm kiếm tài liệu của CHFI v8 về tham khảo thêm, cho dù nó cũ hơn nhưng có nhiều cái hay mà trong CHFI v9 & 10 không có.

Đã chơi mãng này phải chịu khó, nền tải cả tool và lab của CHFI v10 và tầm 20 GB về máy tính để “xài” , ý là để làm bài tập.

Theo yêu cầu của học viên và thấy cũng tương ứng với chủ đề network forensic nên các bạn hãy tham khảo bài tập sau, làm qua và BQT sẽ tìm hiểu để có giải pháp riêng và gởi cho các bạn trong bài vào tuần sau.

Do bài này quá lâu nên không còn evidence trên trang gốc, các bạn tải ở đây

https://github.com/markofu/pcaps/tree/master/HoneyNet

Yêu cầu bài tập như sau …

Challenge 2 – browsers under attack – (provided by Nicolas Collery from the Singapore Chapter and Guillaume Arcas from the French Chapter) is to investigate a network attack but of a different kind.

Skill Level: Intermediate

The Challenge:

A network trace with attack data is provided. (Note that the IP address of the victim has been changed to hide the true location.) Analyze and answer the following questions:

1. List the protocols found in the capture. What protocol do you think the attack is/are based on? (2pts)
2. List IPs, hosts names / domain names. What can you tell about it – extrapolate? What to deduce from the setup? Does it look like real situations? (4pts)
3. List all the web pages. List those visited containing suspect and possibly malicious javascript and who’s is connecting to it? Briefly describe the nature of the malicious web pages (6pts)
4. Can you sketch an overview of the general actions performed by the attacker? (2pts)
5. What steps are taken to slow the analysis down? (2pts)
6. Provide the javascripts from the pages identified in the previous question. Decode/deobfuscate them too. (8pts)
7. On the malicious URLs at what do you think the variable ‘s’ refers to? List the differences. (2pts)
8. Which operating system was targeted by the attacks? Which software? And which vulnerabilities? Could the attacks been prevented? (4pts)
9. What actions does the shellcodes perform? Please list the shellcodes (+md5 of the binaries). What’s the difference between them? (8pts)
10. Was there malware involved? What is the purpose of the malware(s)? (We are not looking for a detailed malware analysis for this challenge) (4pts)

Ai đạt được 30/42 điểm là ngon rồi !