06.12.2016

EKOPARTY CTF 2016 Write-up часть 1

С 26 по 28 октября 2016 проходило международное CTF-событие EKOPARTY CTF 2016, в котором участвовала наша команда Swampers. Среди 721 участника Swampers заняли 44 место.

Мы решили выложить на сайте решения заданий конкурса (write-ups). Сегодняшняя часть посвящена заданиям разделов FBI и Forensics.

EKO fbi 25 Welcome to the dark side

Задача: At Silk Road, every precaution is made to ensure your anonymity and security, from connecting to the site, to making your transactions, to receiving your items.

https://silkroadzpvwzxxv.onion

Решение: Заходим на указанный сайт через Tor-браузер. В исходном коде страницы записан флаг.

EKO for 50 Certified Excel Hacker

Задача: Can you wait for the answer?

Решение: Скачиваем приложенный excel-файл и видим, что на базе макросов реализована какая-то работа. Код макросов посмотреть нельзя без пароля. Выполняем манипуляции по смене пароля (в бинарном файле меняем сигнатуру DPB на DPx) и получаем доступ к макросам. В коде макроса, который отвечает за вывод кода на основной странице excel’я много предупреждений, что это не ответ. Значит, надо смотреть в другую сторону. Видим страницу данных, которая называется answer. Разблокируем ее и видим флаг.

r2C +17 d17

rF0 r2C -17 u17

r33 +0B d0B

r43 +0C d0C

rF0 r33 -0B u0B

rF0 r43 -0C u0C

r1B +16 d16

rF0 r1B -16 u16 r29 +2C d2C

r43 +0C d0C rF0 r29 -2C u2C

rF0 r43 -0C u0C r1B +16 d16

rF0 r1B -16 u16 r29 +2C d2C

rF0 r29 -2C u2C

r35 +1C d1C

rF0 r35 -1C u1C r44 +12 d12

r3C +18 d18

rF0 r44 -12 u12

rF0 r3C -18 u18 r2D +15 d15

r29 +2C d2C rF0 r2D -15 u15

rF0 r29 -2C u2C r2B +09 d09

rF0 r2B -09 u09 r4B +0F d0F

rF0 r4B -0F u0F r1C +04 d04

r34 +0A d0A rF0 r1C -04 u04

rF0 r34 -0A u0A

r29 +2C d2C

rF0 r29 -2C u2C

r59 +E5 dE5

r24 +08 d08

rF0 r24 -08 u08

r42 +0E d0E

r44 +12 d12 rF0 r42 -0E u0E

rF0 r44 -12 u12

rF0 r59 -E5 uE5

r12 +E1 dE1

r54 +2F d2F

rF0 r54 -2F u2F

rF0 r12 -E1 uE1

r33 +0B d0B

r44 +12 d12 rF0 r33 -0B u0B

rF0 r44 -12 u12

r4B +0F d0F

rF0 r4B -0F u0F r1C +04 d04

rF0 r1C -04 u04

r4D +13 d13

r43 +0C d0C

rF0 r4D -13 u13 rF0 r43 -0C u0C r1C +04 d04

rF0 r1C -04 u04 r31 +11 d11 r44 +12 d12

rF0 r31 -11 u11 rF0 r44 -12 u12

r4B +0F d0F

r1C +04 d04 rF0 r4B -0F u0F

rF0 r1C -04 u04

r12 +E1 dE1

r5B +30 d30

rF0 r5B -30 u30

rF0 r12 -E1 uE1

r11 +E0 dE0

r21 +06 d06

1. What is it? We can find a part of the file in Google.

2. But after a while, we found it.

3. Okay, this is a log file of an HID Keyboard.

4. We open USB HID usage table USB HID.

5. The flag format EKO{} encoded, looks like this: +08 +0e +12 +2f +30.

6. We later quickly find encoded text. Get the flag: EKO{HOLAPIANOLA}

EKO for 125 Knock Knock

What are they talking about?

Extract an archive. View file "nanunanu".

;Rate: 1000000

;Channels: 5

0000000a@0

00000008@5

0000000a@17

00000008@23

0000000a@29

00000008@35

0000000a@41

00000009@48

0000000b@54

..........

1. We can see a dump. Let's go deeper. First, we can see that every moment we send/receive 1-byte. Using this we can propose possible protocols: it could be RS-232 (UART), USB, 1-Wire, CAN, I2C.

2. Open this file in protocol analyser. I've used Logic Sniffer

3. Possibly it can be I2C.

4. I2C interface uses 2 bus: SDA and SCL. If you watch more properly, you can see that Channel 1 is SCL and Channel 0 is SDA.

5. Decode a message from ASCII. Get the flag: EKO{oh..icu2}

Рекомендуемые статьи