[SKS!/Forensics] 2주차 | Tuesday 문제 1 evidence03

Puzzle #3: Ann’s AppleTV

AppleTV static IP : 192.168.1.10

 

1. What is the MAC address of Ann’s AppleTV?

간단하게 Statistics - Conversations 에 들어가면  Ann’s AppleTV MAC 주소를 확인할 수 있다.

 

확인 차 IP 필터링으로 검색해 패킷의 상세 정보를 통해 확인해 보면 동일한 것으로 확인이 된다. 

 

: 00:25:00:fe:07:c4

2. What User-Agent string did Ann’s AppleTV use in HTTP requests?

"ip.addr == 192.168.1.10 && http" 필터링으로 User-Agent을 찾을 수 있다.

 

: AppleTV/2.4 

3. What were Ann’s first four search terms on the AppleTV (all incremental searches count)?

 Ann의 처음 4개의 검색어...?

 

두번 째 tcp.stream eq 2에서 단서를 찾을 수 있었다. 

GET /WebObjects/MZSearch.woa/wa/incrementalSearch?media=movie&q=h HTTP/1.1

GET /WebObjects/MZSearch.woa/wa/incrementalSearch?media=movie&q=ha HTTP/1.1

GET /WebObjects/MZSearch.woa/wa/incrementalSearch?media=movie&q=hac HTTP/1.1

GET /WebObjects/MZSearch.woa/wa/incrementalSearch?media=movie&q=hack HTTP/1.1

 

확인된 패킷을 보면, h, ha, hac, hack 순서로 검색을 하지 않을까 추측을 해본다. 

 

4. What was the title of the first movie Ann clicked on?

 

Statistics - Conversations에서 하나씩 살펴 보면 tcp.stream eq 6에서 찾을 수 있었다. Hackers? 아닐까 추측해본다.

 

: Hackers  

5. What was the full URL to the movie trailer (defined by “preview-url”)?

 

문제에서 주어진 힌트를 이용해 풀어 보았다. 

 

"preview-url" 검색해 URL 찾을 수 있었다.

 

http://a227.v.phobos.apple.com/us/r1000/008/Video/62/bd/1b/mzm.plqacyqb..640x278.h264lc.d2.p.m4v

6. What was the title of the second movie Ann clicked on?

 

두 번째로 클릭한 영화를 찾기 위해 다시 하나씩 살펴 보았다. 

 

tcp.stream eq 12에서 찾을 수 있었다. 

 

: Sneakers

7. What was the price to buy it (defined by “price-display”)?

앞서 같은 방법으로 답을 찾아 보았다. 

 

여러 개의 가격들이 존재하지만, 구입한 가격은 $9.99이다.

8. What was the last full term Ann searched for?

 

또 하나씩 살펴보면 tcp.stream eq 18에서 찾을 수 있었다.

 

GET /WebObjects/MZSearch.woa/wa/incrementalSearch?media=movie&q=iknowyourewatchingme HTTP/1.1

 

: iknowyourewatchingme