picoCTF 2024 — Writeup [Lao]

picoCTF 2024 — Writeup [Lao]

ສະບາຍດີ~ ພວກຂ້າພະເຈົ້າແມ່ນທີມ Cyberus Academy 🇱🇦 ເຊິ່ງເປັນໜຶ່ງໃນທີມທີ່ໄດ້ເຂົ້າຮ່ວມການແຂ່ງຂັນ picoCTF 2024 ທີ່ຫາກໍຈົບໄປ, ໂດຍບົດຄວາມນີ້ຈະເປັນບົດຄວາມທີ່ລວມວິທີຜ່ານແຕ່ລະໂຈດທີ່ທີມຂອງພວກຂ້າພະເຈົ້າສາມາດແກ້ໄດ້.

ໂດຍທີມຂອງພວກເຮົາປະກອບໄປດ້ວຍສະມາຊິກ 4 ຄົນຄື:
1. Jockky | (Mr. Vilaysone CHANTHAVONG)
2. momiji- | (Mr. Anouluck MANY)
3. xb0unnn | (Mr. Bounheuang SENKHAM)
4. chimoto01 | (Mr. Sitthisack KHAMPHILAVONG)

ກ່ອນອື່ນໝົດເຮົາມາທຳຄວາມຮູ້ຈັກກັບງານນີ້ນຳກັນກ່ອນ:

picoCTF ແມ່ນ platform ຮຽນຮູ້ທາງດ້ານ Computer Security ໂດຍການລົງມືປະຕິບັດໂຕຈິງຜ່ານການແກ້ໂຈດ CTF ໃນປະເພດຕ່າງໆໄດ້ຟີ, ນອກຈາກຈະເປັນ platform ໃຫ້ຮຽນຮູ້ແລ້ວ picoCTF ຍັງມີການແຂ່ງຂັນ CTF(Capture The Flag) ແບບ Online ທີ່ຈັດຂຶ້ນປະຈຳທຸກປີທີ່ທຸກຄົນສາມາດລົງທະບຽນເຂົ້າຮ່ວມານແຂ່ງຂັນໄດ້ຟີ ໂດຍຈະເປັນການແຂ່ງໃນຮູບແບບ Jeopardy ທີ່ມີເປົ້າໝາຍໃຫ້ນັກສຶກສາລະດັບມັດທະຍົມ ແລະ ມະຫາວິທະຍາໄລ ໃຫ້ມາສະແດງທັກສະຄວາມສາມາດທາງດ້ານ Computer Security ຄວບຄູ່ໄປກັບຄວາມສາມາດໃນການແກ້ໄຂບັນຫາ

Category Progress:

Binary Exploitation (7/10)
Cryptography (3/5)
Forensics (8/8)
General Skills (10/10)
Reverse Engineering (4/7)
Web Exploitation (6/7)

Total Team Score: 5725/9225

Web Exploitation

• Bookmarklet (50 points)

solved by: Jockky

ມາເລີ່ມໃນໂຈດເວັບຂໍ້ທຳອິດ ເຮົາມາເລີ່ມຈາກການສັງເກດຈາກໜ້າໂຈດເຊັ່ນ: ໃນ Tags ເຮົາຈະເຫັນຄຳວ່າ obfuscation ເຊິ່ງໝາຍຄວາມວ່າການເຮັດໃຫ້ code ອ່ານໄດ້ຍາກຂຶ້ນໂດຍວິທີບາງຢ່າງ ແລະ ໃນ description ບອກໃຫ້ເຮົາ print flag

ເມື່ອເຂົ້າມາໜ້າເວັບໂຈດເຮົາຈະເຫັນ code javascript ທີ່ພາຍໃນ code ຈະມີ text ແປກໆທີ່ອາດຈະຜ່ານການເຂົ້າລະຫັດທີ່ເຮົາບໍ່ສາມາດອ່ານເຂົ້າໃຈໄດ້ໃນ function encryptedFlag ແຕ່ຖ້າເຮົາອ່ານ code ຕໍ່ເຮົາຈະຮູ້ໄດ້ວ່າມັນເປັນ code ທີ່ໃຊ້ຖອດລະຫັດ text ດັ່ງກ່າວ, ເຊິ່ງສັນນິຖານວ່າຄວາມວ່າເຮົາສາມາດນຳເອົາ code ໄປ run ເພື່ອຖອດລະຫັດໄດ້

ໃຫ້ເອົາ code ທີ່ໄດ້ໄປ run ເຊິ່ງເຮົາສາມາດ run ໄດ້ຜ່ານເຄື່ອງເຮົາເອງ ຫຼື ຜ່ານ Console ໃນ browser ຕາມພາບດ້ານລຸ່ມ ແລະ ເຮົາກໍຈະໄດ້ flag ມາ.

• WebDecode (50 points)

solved by: Jockky

ໃນຂໍ້ນີ້ description ບອກໃຫ້ເຮົາໃຊ້ web inspector ໃນການຫາ flag

ຫຼັງຈາກເຂົ້າເວັບໂຈດມາແລ້ວໃຫ້ເຮົາ Inspect ຫຼື view-source ແຕ່ລະໜ້າເຊິ່ງເຮົາສາມາດເຫັນໃນ html code ວ່ານອກຈາກ index.html page ທີ່ເຮົາຢູ່ປັດຈຸບັນແລ້ວຍັງມີ about.html ແລະ contact.html

ໃນໜ້າ view-source about.html ເຮົາຈະເຫັນ base64 encoded

ນຳໄປ decode ແລ້ວເຮົາກໍຈະໄດ້ flag

• IntroToBurp (100 points)

solved by: Jockky

ເຂົ້າເວັບເປົ້າໝາຍມາເຮົາຈະເຫັນ Registration form ເປົ່າໆ

ໃຫ້ລອງປ້ອນຄ່າແລ້ວກົດ Register

ຫຼັງຈາກ Register ແລ້ວເຮົາຈະຖືກ redirect ໄປໜ້າ /dashboard ທີ່ບອກໃຫ້ເຮົາຢືນຢັນຕົວຕົນຜ່ານ 2fa authentication ເຊິ່ງເຮົາບໍ່ຮູ້ລະຫັດດັ່ງກ່າວ

ກັບມາໃນໜ້າໂຈດຈະມີຄຳໃບ້ໃຫ້ເຮົາລອງ mangling the request

ລອງໄປ research ຫາຂໍ້ມູນ

https://portswigger.net/research/http-desync-attacks-request-smuggling-reborn

ຫຼັງຈາກ research ເຮົາຈະຮູ້ໄດ້ວ່າ http request smuggling ເປັນເທັກນິກໜຶ່ງທີ່ໃຊ້ເພື່ອຫຼອກ ຫຼື security bypass ຂອງເວັບເປົ້າໝາຍໂດຍການໃຊ້ເທັກນິກໃນການລັກລອບສົ່ງ request ທີ່ບໍ່ເພິ່ງປະສົງຕິດໄປນຳ request ປົກກະຕິ ເຊິ່ງຜົນລັບອາດຈະເຮັດໃຫ້ສາມາດເຂົ້າເຖິງຂໍ້ມູນທີ່ລະອຽດອ່ອນໃນລະບົບເປົ້າໝາຍໄດ້ໂດຍບໍ່ໄດ້ຮັບອະນຸຍາດເປັນຕົ້ນ.

ລອງໃຊ້ເທັກນິກ http request smuggling ໃນການແກ້ໂຈດ ໂດຍການເພີ່ມ:

POST /dashboard HTTP1.1
Host: titan.picoctf.net:50872
otp=test

ເຂົ້າໄປໃນສ່ວນຂອງ http body ໃນ request, ເຊິ່ງໃນນີ້ໃຊ້ BurpSuite ໃນການດັກ ຫຼື intercept request ປົກກະຕິອອກມາແລ້ວແກ້ໄຂເພື່ອສົ່ງ request ກັບໄປແບບປົກກະຕິອີກເທື່ອໜຶ່ງ ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

• Unminify (100 points)

solved by: Jockky

ຫຼັງຈາກເຂົ້າເວັບໂຈດມາເຮົາຈະເຫັນເປັນໜ້າເວັບເປົ່າໆທີ່ບໍ່ມີຫຍັງ

ແຕ່ຫຼັງຈາກ inspect ຫຼື view-source ເບິ່ງເຮົາຈະເຫັນ code ແຖວດຽວແຕ່ໂຄດຍາວເຊິ່ງຖຶກ obfuscation ເຮັດໃຫ້ອ່ານຍາກ

ໃຫ້ copy code ທັງໝົດອອກມາໃສ່ Visual Studio Code ແລ້ວ Format Document ເພື່ອຈັດລຽງເຮັດໃຫ້ code ສາມາດອ່ານໄດ້ງ່າຍຂຶ້ນ

ແລ້ວເຮົາກໍຈະໄດ້ flag ມາ

• No Sql Injection (200 points)

solved by: xb0unnn

ຫຼັງຈາກກົດເຂົ້າເວັບແລ້ວກໍຈະເຫັນໜ້າ form ໃຫ້ເຮົາ login

ເຮົາມາເບິ່ງກັນກ່ອນວ່າ ການສົ່ງ request ຂອງໂຕເວັບນີ້ມັນເຮັດໃນຮູບແບບໃດ

ສັງເກດເຫັນວ່າ ມີການ request ໄປທີ່ route

/api/login

ໂດຍມີ request body ແມ່ນ

{
  "email": "asd",
  "password": "asd"
}

ຈາກຊື່ໂຈດທີ່ບອກຢູ່ວ່າເປັນ “No Sql Injection” ແລະ ເມື່ອກົດເບິ່ງ Hints ກໍຈະບອກວ່າ “Not only SQL injection exist but also NoSQL injection exists” ຈະເປັນຫຍັງໄປບໍ່ໄດ້ ນອກຈາກ NoSql Injection.

ຫຼັງຈາກທີ່ໄດ້ໄປສຶກສາມາ ກໍພົບກັບວິທີໜຶ່ງທີ່ໜ້າສົນໃຈ ນັ້ນກໍຄື “NoSQL operator injection” ໂດຍຕົວທີ່ເຮົາຈະນຳໃຊ້ກໍຈະເປັນ “$ne” ທີ່ໝາຍເຖິງ “ບໍ່ເທົ່າກັບ(not equal)”

ໂດຍ payload ທີ່ໄດ້ກໍຈະເປັນແບບນີ້

{"$ne": 1}

ນຳເອົາ payload ນີ້ໄປໃຊ້ ໃນໜ້າ login ໂດຍຈະໃສ່ທັງ email ແລະ password ແລ້ວກົດ sign in ຜົນລັບທີ່ໄດ້ກໍຈະເປັນແບບນີ້

Login success!!! ວ່າແຕ່ flag ຢູ່ໃສລະບາດນີ້…

ຈາກ Hints “Make sure you look at everything the server is sending back” ເຮົາກໍກັບໄປອ່ານເບິ່ງ source code ຂອງ project ກໍພົບວ່າ ໃນ model ໄດ້ທຳການນຳ flag ມາເປັນຄ່າ default ໃຫ້ແກ່ token

const UserSchema: Schema = new Schema({
  email: { type: String, required: true, unique: true },
  firstName: { type: String, required: true },
  lastName: { type: String, required: true },
  password: { type: String, required: true },
  token: { type: String, required: false ,default: "{{Flag}}"},
});

ເຊິ່ງຈາກ response ທີ່ເຮົາ login ສຳເລັດຈະມີ token ແນບມານຳ ໝາຍຄວາມວ່າ token ທີ່ສົ່ງມານັ້ນແລະຄື flag ທີ່ເຮົາຕາມຫາຢູ່ ແລະ ໜ້າຈະຖືກເຂົ້າລະຫັດໄວ້

ເຮົາພຽງແຕ່ນຳໄປຖອດລະຫັດ ກໍຈະໄດ້ flag ມາ

• Trickster (300 points)

solved by: xb0unnn

• elements (500 points)

Cryptography

• interencdec (50 points)

solved by: Jockky

ໂຫລດ file ໂຈດມາເປີດອ່ານເນື້ອຫາເຮົາຈະເຫັນ base64 encoded

ນຳໄປ decode ແລ້ວເຮົາຈະໄດ້ base64 encoded ມາອີກໂຕໜຶ່ງໃຫ້ decode ອີກຮອບໜຶ່ງຈະໄດ້ text ທີ່ຖືກເຂົ້າລະຫັດຊຸດໜຶ່ງມາ

ນຳໄປ decode ROT ແລ້ວເຮົາກໍຈະໄດ້ flag ມາໃນຕຳແໜ່ງ ROT ທີ່ 19

• Custom encryption (100 points)

solved by: xb0unnn

• C3 (200 points)

solved by: xb0unnn

Reverse Engineering

• WinAntiDbg0x100 (100 points)

solved by: Jockky

ໂຫລດ file ໂຈດມາແລ້ວນຳເອົາໄປເປີດໃນໂປຣແກຣມ x32dbg ເພື່ອ debug, ໃຫ້ທຳການ run ແລ້ວກົດ Step Over ຈົນກວ່າຈະເຈີ function IsDebuggerPresent ແລະ ແປງຄ່າ ret ຈາກ 00000001 ໃຫ້ເປັນ 00000000

ໃຫ້ກົດ step over ຕໍ່ແລ້ວເຮົາກໍຈະໄດ້ flag ມາ

• weirdSnake (300 points)

solved by: Jockky

ຫຼັງຈາກໂຫລດ file ມາແລ້ວອ່ານເບິ່ງເນື້ອຫາເຮົາຈະເຫັນເປັນ code ແປກໆເຊິ່ງໂຈດບອກເຮົາວ່ານີ້ແມ່ນ python bytecode ເຊິ່ງທາງຝັ່ງເບື້ອງຂວາຈະມີໂຕເລກບາງຢ່າງທີ່ເປັນ decimal

ລອງເອົາມາແປງເປັນ text ໂດຍໃຊ້ cyberchef ເຮົາຈະໄດ້ text ທີ່ບໍ່ສາມາດອ່ານໄດ້ມາ, ແຕ່ໃນເນື້ອຫາຂອງ file ແຖວທ້າຍໆເຮົາຈະເຫັນຄຳວ່າ XOR

ລອງນຳໄປ XOR ໂດຍໃຊ້ key: picoCTF ຕາມຊື່ການແຂ່ງເຮົາຈະເຫັນວ່າມີໂຕອັກສອນສ່ວນໜຶ່ງທີ່ປ່ຽນໄປ

ລອງນຳໂຕອັກສອນທີ່ໄດ້ມາໃສ່ເປັນ key ແທນ ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

Forensics

• Scan Surprise (50 points)

solved by: chimoto01

ເປີດມາຂໍ້ແລກ pico ແຈກຄະແນນກ່ອນເລີຍ, ຂໍ້ນີ້ບໍ່ມີຫຍັງຫຼາຍ ຫຼັງຈາກດາວໂຫລດໄຟລ໌ມາແລ້ວ , Unzip ໄຟລ໌ ແລ້ວເຂົ້າໄປສະແກນໄຟລ໌ໄດ້ເລີຍ ມັນເປັນ QR Code ສະແກນ.

“C:\challenge\home\ctf-player\drop-in\flag.png”

ສາມາດສະແກນຜ່ານ website ໄດ້ https://scanqr.org/

• Verify (50 points)

solved by: Jockky

login ເຂົ້າ server ໂຈດເຮົາຈະເຫັນ 2 files: checksum.txt, decrypt.sh ແລະ directory /files. ໃນ checksum.txt ເປັນ hash ຊຸດໜຶ່ງເຊິ່ງເປັນປະເພດ sha256, ໃນ decrypt.sh ເປັນ script ໃນການຖອດລະຫັດ

ໃນ directory /files ຈະມີ files ຊື່ແປກໆເຕັມເຊິ່ງຫຼັງຈາກລອງອ່ານເບິ່ງເຮົາຈະເຫັນເປັນ text ທີ່ຖືກເຂົ້າລະຫັດ

ຈາກຂໍ້ມູນທັງໝົດທີ່ເຮົາມີສັນນິຖານວ່າເຮົາຕ້ອງໃຊ້ decrypt.sh ຖອດລະຫັດໃຫ້ຖືກ file ເຊິ່ງເຮົາສາມາດຫາໄດ້ຈາກການ checksum ໂດຍໃຊ້ hash sha256 ທີ່ເຮົາມີຕາມພາບດ້ານລຸ່ມ ແລະ ສຸດທ້າຍເຮົາກໍຈະໄດ້ flag ມາ

• CanYouSee (100 points)

solved by: Jockky

ຫຼັງຈາກໂຫລດຮູບທີ່ເປັນໂຈດມາໃນຄຳໃບ້ບອກໃຫ້ເຮົາ view ເບິ່ງ information ຂອງຮູບ, ເຊິ່ງໃນນີ້ໃຊ້ເວັບ aperisolve ໃນການເບິ່ງ, ໃນຂໍ້ມູນ Strings ເຮົາຈະເຫັນ base64 encoded

ນຳໄປ decode ແລະ ເຮົາກໍຈະໄດ້ flag ມາ.

• Secret of the Polyglot (100 points)

solved by: chimoto01

Description:
ສູນກາງປະຕິບັດການທາງດ້ານເຄື່ອຂ່າຍ NOC ຂອງສະຖາບັນໃນພື້ນທີ່ຂອງເຈົ້າໄດ້ກວດພົບໄຟລ໌ທີ່ໜ້າສົງໃສ, ພວກເຂົາໄດ້ຮັບຂໍ້ມູນທີ່ມັນຂັດແຍ່ງກັນ ວ່າມັນເປັນໄຟລ໌ປະເພດໃດແທ້? ພວກເຂົານໍາເຈົ້າມາເປັນຜູ້ສ່ຽວຊານພາຍນອກເພື່ອກວດສອບໄຟລ໌.
ເຈົ້າສາມາດດຶງຂໍ້ມູນທັງໝົດຈາກໄຟລ໌ແປກໆນີ້ອອກມາໄດ້ບໍ່?

Hints: ບັນຫານີ້ສາມາດແກ້ໄຂໄດ້ ພຽງແຕ່ເປີດໄຟລ໌ດ້ວຍວິທີຕ່າງໆ.

Let Go:

ຈາກຄໍາອະທິບາຍ ແລະ ຄໍາໄບທີ່ໃຫ້ມາກໍພໍຈະຮູ້ແລ້ວວ່າຄວນເຮັດແນວໃດ ~~~~~

ຫຼັງຈາກດາວໂຫລດໄຟລ໌ມາເຮົາກໍ່ເປີດເລີຍ:

ສັງເກດວ່າຈະໄດ້ Flag ພຽງແຕ່ເຄີ່ງດຽວ, ອີກເຄິ່ງໜຶ່ງເດ ຈະຫາໄດ້ຢູ່ໃສ?

ຊື່ໄຟລ໌ທີ່ເຮົາໄດ້ມາແມ່ນ flag2of2-final.pdf

ແຕ່ເມື່ອເຮົາໃຊ້ຄໍາສັ່ງເພື່ອກວດເບີ່ງ ມັນຈະເປັນໄຟລ໌ຮູບ PNG . (ເປັນໄປໄດ້ວ່າ ອາດຈະມີໄຟລ໌ສອງໄຟລ໌ທີ່ທັບກັນຢູ່)

file flag2of2-final.pdf

ລອງໃຊ້ຄໍາສັ່ງ Copy ໄຟລ໌ ຈາກ pdf ປ່ຽນເປັນ png ແລ້ວລອງເປີດໄຟລ໌ເບີ່ງ.

cp flag2of2-final.pdf flag.png

ໃນທີ່ສຸດ ທ່ານກໍ່ໄດ້ສ່ວນທີ່ຫາຍໄປ ໝາຍເຖິງ “flag” ເດີ້ ບໍ່ແມ່ນແຟນ🤣.

• Mob psycho (200 points)

solved by: chimoto01

Description

ເຈົ້າສາມາດຈັດການໄຟລ໌ APKs ໄດ້ບໍ່?

Hints:

ເຈົ້າຮູ້ວິທີແຕກໄຟລ໌ APK ບໍ່? (unzip apk file)

ຕອນນີ້ເຈົ້າມີເຄື່ອງມືຫຼາຍເຄື່ອງມືສໍາຫຼັບການຄົ້ນຫາໄຟລ໌ເຫຼົ່ານີ້. (Now you have the whole host of shell tools for searching these files)

ມາເລີ່ມກັນເລີຍ:

ຫຼັງຈາກດາວໂຫລດໄຟລ໌ມາແລ້ວ ນໍາໃຊ້ຄໍາສັ່ງ file ເພື່ອກວດສອບເບີ່ງວ່າເປັນໄຟລ໌ປະເພດໃດ

file mobpsycho.apk

ເປັນແບບດຽວກັບຂໍ້ກ່ອນໜ້ານີ້ເລີຍ ເມື່ອເຮົາຮູ້ວ່າມັນເປັນໄຟລ໌ zip ເຮົາກໍ່ໃຊ້ຄໍາສັ່ງ cp ເພື່ອປ່ຽນມັນ ແລ້ວກໍນໍາໃຊ້ຄໍາສັ່ງ unzip.

cp mobpsycho.apk find.zip

unzip find.zip

ຫຼັງຈາກແຕກໄຟລ໌ແລ້ວ ນໍາໃຊ້ຄໍາສັ່ງ ls ເພື່ອເບີ່ງໄຟລ໌ທັງໝົດ.

ນໍາໃຊ້ຄໍາສັງ tree ເພື່ອກວດເບີ່ງ list ໄຟລ໌ທັງໝົດ, ຈະເຫັນວ່າມີ ໄຟລ໌ ແລະ Folders ຈໍານວນຫຼາຍ.

ຕໍ່ໄປເຮົາຈະໃຊ້ຄໍາສັ່ງ tree ບວກກັບ keyword ຄໍາວ່າ “flag” ເພື່ອຫາຄໍາຕອບ.

tree | grep flag

ແລ້ວກໍ່ພົບໄຟລ໌ flag (ຫາທີ່ຢູ່ຂອງໄຟລ໌ຈາກຄໍາສັ່ງ tree ແລ້ວອ່ານໄຟລ໌ດ້ວຍຄໍາສັ່ງ cat)

cat ./res/color/flag.txt

ຄ່າທີ່ໄດ້ແມ່ນ hex

ນໍາຄ່າ hex ທັງໝົດໄປ decode ດ້ວຍຄໍາສັ່ງ echo + xxd :

echo "7069636f4354467b6178386d433052553676655f4e5838356c346178386d436c5f37343664666133397d" | xxd -r -p

flag ທີ່ໄດ້.

• endianness-v2 (300 points)

solved by: chimoto01

Description

ນີ້ຄືໄຟລ໌ທີ່ຖືກກູ້ຄືນຈາກລະບົບ 32 ບິດ ທີ່ມີການຈັດລຽງ bytes ທີ່ແປກປະຫຼາດ, ເຮົາບໍ່ແນ່ໃຈເລີຍວ່າມັນແມ່ນໄຟລ໌ປະເພດໃດ?

ໄຟລ໌ຂອງຂໍ້ນີ້ແມ່ນ: challengefile

ຂັ້ນແລກ ເຮົາມາລອງກວດສອບໄຟລ໌ດ້ວຍຄໍາສັ່ງ file challengefile ພົບວ່າບໍ່ສາມາດລະບຸໄດ້ ວ່າມັນແມ່ນໄຟລ໌ປະເພດໃດການແທ້ ມັນບອກແຕ່ວ່າເປັນ data.

ຕໍ່ມາເຮົາໃຊ້ຄໍາສັ່ງ xxd ເພື່ອເບີ່ງຄ່າ hex ແລະ ຄ່າ ascii ແລ້ວວິເຄາະວ່າມັນແມ່ນໄຟລ໌ປະເພດກັນແທ້.

xxd challengefile

ຈາກທີ່ເບີ່ງແລ້ວມັນໜ້າຈະເປັນໄຟລ໌ຮູບ jpg , ໂດຍເຮົາສາມາດເອົາຄ່າ hex ຈາກໄຟລ໌ challengefile ໄປທຽບກັບຄ່າHex ຂອງໄຟລ໌ jpg ຮູບໃດກໍ່ໄດ້.

ເມື່ອທຽບກັບໄຟລ໌ອື່ນເຫັນໄດ້ເລີຍວ່າມີການສະຫຼັບຄ່າຂອງ hex ໝົດທັງໄຟລ໌ເລີຍ.

1. ສະຫຼັບເປັນຄູ່ “e0ff” ສະຫຼັບກັບ “d8ff” ເມື່ອສະຫຼັບກັບມາຈະໄດ້ d8ff e0ff
2. ສະຫຼັບຮອບສອງ “d8ff e0ff” ເມື່ອສະຫຼັບກັບມາຈະໄດ້ ff d8 ffe0.

Next ~~ ນໍາຄ່າ hex ທັງໝົດອອກມາກ່ອນແລ້ວ Copy ໄວ້.

xxd -ps challengefile | sed ':a;N;$!ba;s/\n//g'

ເມື່ອເຮົາຮູ້ວ່າມັນສະຫຼັບຄ່າຂອງຮູບແນວໃດແລ້ວ ເຮົາມາຂຽນໂປຣແກຣມແກ້ກັນ. ດ້ວຍພາສາ ງູ~~~

def switch_pairs(input_str1):
    pairs = [input_str1[i:i+2] for i in range(0, len(input_str1), 2)]    
    switched_pairs1 = [pairs[i+2] + pairs[i+3] + pairs[i] + pairs[i+1] for i in range(0, len(pairs)-2, 4)]
    output_str1 = ''.join(switched_pairs1)
    return output_str1

def switch_pairs2(input_str2):
    pairs = [input_str2[i:i+2] for i in range(0, len(input_str2), 2)]
    switched_pairs2 = [pairs[i+1] + pairs[i] for i in range(0, len(pairs), 2)]
    output_str2 = ''.join(switched_pairs2)
    return output_str2

input_str1 = "hexinput"

output_str1 = switch_pairs(input_str1)
input_str2 = output_str1
output_str2 = switch_pairs2(input_str2)
print("Output:", output_str2)

ເມື່ອ run ໂປຣແກຣມແແລ້ວໄດ້ຄ່າ hex ຕາມນີ້ ແລະ ເຫັນວ່າມັນແກ້ໄດ້ຖືກ.

Copy hex ທັງໝົດແລ້ວເອົາຄ່າ hex ໄປ render ເປັນຮູບຢູ່ CyberChef ຕາມລິ້ງ https://gchq.github.io/CyberChef/

Flag ທີ່ໄດ້ ~~~~

• Blast from the past (300 points)

solved by: chimoto01

ໂຈດຂໍ້ນີ້ມັນໃຫ້ແກ້ໄຂເວລາໃຫ້ເປັນ 1970:01:01 00:00:00.001+00:00 , ແກ້ໄຂສ່ວນໃດນັ້ນ ເຮົາສາມາດນໍາໃຊ້ exiftool ກວດສອບໄດ້.

exiftool original.jpg

ຈະເຫັນວ່າມີເວລາຢູ່ 7 ຂໍ້ມູນໃຫ້ເຮົາແກ້ໄຂ , ຂໍ້ມູນຕົວໃດຄືກັນເຮົາສາມາດແກ້ໄຂເວລາທັງໝົດໄດ້ດ້ວຍຄ່າ Hex ໄດ້ບາດດຽວພ້ອມກັນໄດ້ເລີຍ ດ້ວຍກັນໃຊ້ໂປຣແກຣມ https://hexed.it/ ຫຼື Hxd.

copy ໄຟລ໌ original.jpg ໄວ້ແລ້ວປ່ຽນຊື່ເປັນ original_modified.jpg ຫຼັງຈາກນັ້ນ ການແກ້ໄຂຂໍ້ມູນຕ່າງໆໃນໄຟລ໌ແມ່ນ ຈະແກ້ໄຂແຕ່ໄຟລ໌ original_modified.jpg ຢ່າງດຽວເລີຍ.

cp original.jpg original_modified.jpg

2023:11:20 15:46:23 = 323032333a31313a32302031353a34363a32330a0a

1970:01:01 00:00:00 = 313937303a30313a30312030303a30303a3030

ປ່ຽນຄ່າ “323032333a31313a32302031353a34363a32330a0a” ທັງໝົດເປັນ “313937303a30313a30312030303a30303a3030”

ແກ້ໄຂດ້ວຍການ Search ແລະ Replace ເຫັນວ່າແກ້ໄຂໄດ້ແຕ່ບາງສ່ວນເທົ່ານັ້ນ, ຕໍ່ໄປເຮົາກໍນໍາແກ້ສ່ວນທີ່ເຫຼືອ~~~

ປ່ຽນ 703 ໃຫ້ເປັນ 001 ດ້ວຍຄ່າ Hex ໃຊ້ວິທີ່ເກົ່າເລີຍມີແຕ່ປ່ຽນຄ່າ =>

ຫຼັງຈາກແກ້ໄຂແລ້ວ, ເຮົາຍັງເຫຼືອ Time Stamp ທີ່ຍັງບໍ່ທັນແກ້ໄຂ.

ເນື່ອງຈາກມັນເປັນ Time Stamp ຂໍ້ມູນເວລາຂອງມັນຈະເປັນວິນາທີ ໃນການຄົ້ນກາເຮົາກໍຄວນຫາເປັນວິນາທີ ດ້ວຍຄ່າ Hex.

ເມື່ອເຮົາຂອງເອົາ 1700513181420 ໄປປ່ຽນເປັນວັນເວລາ ຜ່ານເວັບ https://gchq.github.io/CyberChef/ ຈະເຫັນວ່າມັນມີຄ່າຕົງກັນເລີຍກັບເວລາທີ່ເຮົາຍັງບໍ່ທັນແກ້ “2023:11:20 20:46:21.420” .

ສ່ວນວັນເວລາ 1970:01:01 ມີຄ່າ Time Stamp ເທົ່າກັບ 0 ວິນາທີ

https://en.wikipedia.org/wiki/Unix_time

ເຊີ່ງເຮົາໄດ້ລອງແກ້ດ້ວຍຄ່າ Hex ໃຫ້ເປັນ 0 ແລ້ວ ແຕ່ກໍ່ຍັງບໍ່ໄດ້, ແລ້ວໄດ້ລອງແກ້ໃຫ້ເປັນ 0 ຕາມຈໍານວນຄ່າ Time Stamp ເກົ່າ ຄືມັນມີ 13 ຕົວ, ແຕ່ວ່າ ເວລາມັນເປັນ 0000:00:00 00:00:00:000

hmm, ສຸດທ້າຍເຮົາໄດ້ລອງປ່ຽນ 0 ຕົວສຸດທ້າຍໃຫ້ເປັນ 1 ແລ້ວຄ່າ Time Stamp ທີ່ໄດ້ກໍ່ຈະເປັນແບບນີ້ 0000000000001 ແລ້ວເວລາມັນຈະເປັນ 1970:01:01 00:00:00.001

ໃນທີ່ສຸດເຮົາກໍ່ແກ້ເວລາໄດ້ຄົບ =>

ຕໍ່ໄປແມ່ນເອົາໄຟລ໌ທີ່ເຮົາແກ້ໄປ submit ໄດ້ເລີຍ.

nc -w 2 mimas.picoctf.net 56676 < original_modified.jpg

ກວດສອບຂໍ້ມູນທີ່ເຮົາແກ້ ເພື່ອເອົາ Flag ໄດ້ເລີຍ ຖ້າເຮົາແກ້ໄຂໄດ້ຄົບໝົດແລ້ວ.

nc mimas.picoctf.net 62322

Flaggg ~~~~~~~~

• Dear Dairy (400 points)

solved by: chimoto01

General Skills

• Super SSH (25 points)

solved by: Jockky

login ເຂົ້າສູ່ລະບົບໂດຍໃຊ້ ssh ຕາມທີ່ໂຈດໃຫ້ມາ ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

• Commitment Issues (50 points)

solved by: Jockky

ໂຫລດ challenge.zip ຂອງໂຈດມາຫຼັງຈາກ unzip ເຮົາຈະເຫັນ directory .git ມາ

ໃນຄຳໃບ້ບອກໃຫ້ເຮົາໃຊ້ Version control ໃນການກູ້ຄືນ files ເຊິ່ງແນ່ນອນວ່າຕ້ອງແມ່ນ git

ໃຊ້ git log ເພື່ອເບິ່ງ log ຂອງ git ໃນ directory ນີ້

ໃຊ້ git show [commit hash] ເພື່ອເບິ່ງລາຍລະອຽດຂອງ git log ໂຕນັ້ນ ແລະ ເຮົາກໍຈະໄດ້ flag ຂອງຂໍ້ນີ້ມາ

• Time Machine (50 points)

solved by: Jockky

ເຮັດຄືຂໍ້ກ່ອນໜ້າໂຫລດ challenge.zip ຂອງໂຈດມາ unzip ແລ້ວເຂົ້າໄປໃຊ້ຄຳສັ່ງ git log ແລ້ວເຮົາກໍຈະໄດ້ flag ມາ

• Blame Game (75 points)

solved by: Jockky

ເຮັດຄືຂໍ້ກ່ອນໜ້າໂຫລດ challenge.zip ຂອງໂຈດມາ unzip, ແຕ່ພໍໃຊ້ຄຳສັ່ງ git log ຮອບນີ້ຈະມີຫຼາຍ log ຖືກ show ອອກມາ

ເຮົາສາມາດໃຊ້ git show [commit_hash] ເພື່ອນຳເບິ່ງປະຫວັດເທື່ອລະໂຕເພື່ອຫາ flag ກໍໄດ້, ແຕ່ເນື່ອງຈາກວ່າເຮົາຮູ້ flag format ຫຼື ກໍຄື picoCTF{.*} ໃນນີ້ໂຕຂ້າພະເຈົ້າເລີຍເລືອກໃຊ້ git log ຄູ່ກັບ grep ເພື່ອຫາ flag ຕາມພາບດ້ານລຸ່ມ

• Collaborative Development (75 points)

solved by: Jockky

ເຮັດຄືຂໍ້ກ່ອນໜ້າໂຫລດ challenge.zip ຂອງໂຈດມາ unzip ແຕ່ຮອບນີ້ໃນ git log ບໍ່ມີຂໍ້ມູນຫຍັງໃຫ້ເຮົາແຕ່ໃນຄຳໃບ້ບອກໃຫ້ເຮົາໃຊ້ git branch -a ເຮົາຈະເຫັນວ່າມີນອກຈາກ main ແລ້ວມີ 3 branchs ແຍກອອກມາ

ໃຊ້ຄຳສັ່ງ git show [branch_name] ເພື່ອສະແດງລາຍລະອຽດຂອງແຕ່ລະ branch, ເຊິ່ງ flag ຈະຖືກແຍກຢູ່ໃນທັງ 3 branchs ໃຫ້ເຮົານຳ flag ທີ່ໄດ້ທັງ 3 ສ່ວນມາລວມກັນ ແລະ ເຮົາກໍຈະໄດ້ flag ຂອງຂໍ້ນີ້ມາ ຕາມໂຕເອງພາບດ້ານລຸ່ມ

• binhexa (100 points)

solved by: Jockky

ຂໍ້ນີ້ໂຈດບອກໃຫ້ເຮົາແກ້ຄິດໄລ່ binary ໂດຍໃຊ້ operations ເຊິ່ງໃນນີ້ໃຊ້ RapidTables ອອນລາຍໃນການແກ້ໂດຍການນຳເອົາຄ່າ binary number 1 ແລະ binary number 2 ໄປໃສ່ແລ້ວເລືອກ operation ຕາມທີ່ໂຈດຕ້ອງການແລ້ວກົດ Calculate ເພື່ອຄິດໄລ່

ມາຮອດ Question ທີ່ 4 ແລະ 5 ປະກົດວ່າເຮົາບໍ່ສາມາດໃຊ້ຄືກັນກັບເວັບກ່ອນໜ້າໃນການຄິດໄລ່ໂດຍໃຊ້ Operation >> ແລະ << ໄດ້, ພໍລອງ research ຫາວິທີໃໝ່ປະກົດວ່າເຮົາສາມາດໃຊ້ໂປຣແກຣມ Calculator ທີ່ມີຕິດມານຳ Windows ໃນການຄິດໄລ່ໄດ້

ສຳຫຼັບ Question ທີ່ 6 ກັບມາໃຊ້ເວັບໃນການຄິດໄລ່ຄື Question 1–4, ເຊິ່ງປົກກະຕິເຮົາຈະຕ້ອງຕອບເປັນຄ່າ binary ແຕ່ສຸດທ້າຍລະບົບຈະໃຫ້ເຮົາຕອບຄ່າ Hexadecimal ເຊິ່ງໃນເວັບທີ່ເຮົາໃຊ້ແປງໃຫ້ເຮົາຢູ່ແລ້ວ, ໃຫ້ນຳມາຕອບ ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

• Binary Search (100 points)

solved by: Jockky

ຫຼັງຈາກ login ເຂົ້າ server ລະບົບຈະໃຫ້ເຮົາກອກໂຕເອງ 1–1000 ໂດຍໃນນີ້ຂ້ອຍເລີ່ມກອກຈາກ 500 ລະບົບ return ກັບມາວ່າ Lower!, ແຕ່ກອກ 300 ລະບົບພັດ return ກັບມາວ່າ Higher! ເຊິ່ງນັ້ນໝາຍຄວາມວ່າໃຫ້ເຮົາຫຍັບໂຕເລກເຂົ້າມາເລື້ອຍໆເພື່ອຫາຄ່າໂຕເລກທີ່ເປັນຄຳຕອບໃນ 300 ຫາ 500 ເທື່ອລະໜ້ອຍຕາມໂຕຢ່າງພາບດ້ານລຸ່ມ

ສຸດທ້າຍເຮົາກໍຈະໄດ້ຄຳຕອບມານັ້ນກໍຄື 334 ແລະ ເຮົາກໍຈະໄດ້ flag ມານັ້ນເອງ.

• endianness (200 points)

solved by: Jockky

connect ເຂົ້າ server ເປົ້າໝາຍເຮົາຈະໄດ້ word ແປກໆມາໂດຍໂຈດໃຫ້ເຮົາແປງ word ທີ່ໄດ້ໄປເປັນ little endian ແລະ big endian

ໃນຄຳໃບ້ຂອງໂຈດຈະບອກໃຫ້ເຮົາຫາບາງຢ່າງເຊັ່ນຄ່າ hexadecimal ກ່ອນຄ່ອຍຫາ endian

ລອງເອົາ word ທີ່ໄດ້ມາແປງເປັນ hexcadecimal ໂດຍໃຊ້ cyberchef

ຫຼັງຈາກ research(ສາມາດອ່ານເພີ່ມເຕີມກ່ຽວກັບ Endianness ໄດ້ທີ່ about how endianness) ຢູ່ໜ້ອຍໜຶ່ງເຮົາຈະຮູ້ໄດ້ວ່າ little endian ແມ່ນຈະເອົາ word ມາ reverse ກ່ອນຈັ່ງນຳເອົາໄປແປງເປັນ Hex, ສ່ວນ big endian ແມ່ນຈະເອົາ word ໄປແປງເປັນ Hex ເລີຍ:

Little Endian:

Big Endian:

ຫຼັງຈາກໄດ້ຄ່າ Hex ຂອງທັງ little endian ແລະ big endian ມາແລ້ວໃຫ້ລົບ space ອອກແລ້ວນຳໄປຕອບ ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

• dont-you-love-banners (300 points)

solved by: Jockky

ຫຼັງຈາກກົດ Launch Instance ເຮົາຈະໄດ້ server ເປົ້າໝາຍມາ 2 server ໃຫ້ connect

connect ເຂົ້າ server ທີ່ 1 ເຮົາຈະໄດ້ password ມາ

connect ເຂົ້າ server ທີ່ 2 ເຮົາຈະໄດ້ໃຊ້ password ທີ່ໄດ້ຈາກ server ທີ່ 1 ຫຼັງຈາກໃສ່ແລ້ວລະບົບຈະໃຫ້ເຮົາຕອບຄຳຖາມ ເຊິ່ງເຮົາສາມາດນຳເອົາຄຳຖາມໄປ search ຫາຄຳຕອບໃນ google ແບບປົກກະຕິໄດ້ ແລະ ສຸດທ້າຍເຮົາກໍຈະໄດ້ຄຳຕອບມາຕອບຕາມພາບດ້ານລຸ່ມ:

ຫຼັງຈາກຕອບຄຳຖາມຖືກເຮົາກໍຈະສາມາດເຂົ້າສູ່ລະບົບໄດ້ແຕ່ຫຼັງຈາກລອງຄົ້ນຫາ ແລະ ອ່ານ flag ປະກົດວ່າຕິດ Permission denied, ຍ້ອນວ່າ User ປັດຈຸບັນຂອງເຮົາບໍ່ມີສິດໃນການອ່ານ file ໃນ /root directroy

ຕັດມາໃນຄຳໃບ້ບອກໃຫ້ເຮົາເດົາ ຫຼື ຖອດລະຫັດ

ເຊິ່ງໃນ Linux ໂດຍທົ່ວໄປຖ້າເວົ້າເຖິງ password ແນ່ນອນວ່າເຮົາຕ້ອງນຶກຫາ file /etc/shadow ທີ່ເປັນບ່ອນເກັບ hash password ຂອງ user ໃນລະບົບ ແຕ່ປົກກະຕິເຮົາຈະບໍ່ສາມາດອ່ານໄດ້ດ້ວຍສິດ user ທົ່ວໄປແຕ່ກໍມີບາງກໍລະນີທີ່ຜູ້ດູແລລະບົບອາດຈະຫຼົງ config ບາງຢ່າງເຮັດໃຫ້ user ທົ່ວໄປສາມາດອ່ານໄດ້

ນຳເອົາ hash password ທີ່ໄດ້ໄປ crack

ນຳ password ທີ່ໄດ້ໄປ login ເປັນ root ແລ້ວເຮົາກໍຈະສາມາດເຂົ້າເຖິງ /root directory ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

• SansAlpha (400 points)

solved by: Jockky

ໃນ description ໂຈດບອກໃຫ້ເຮົາ shell escape ແລ້ວໄປອ່ານ flag ໃຫ້ໄດ້ໂດຍໃຊ້ໄດ້ສະເພາະ symbols ບາງໂຕ ແລະ ໂຕເລກເທົ່ານັ້ນ

login ເຂົ້າ server ເປົ້າໝາຍເຮົາຈະຮູ້ໄດ້ວ່າເຮົາບໍ່ສາມາດໃຊ້ຄຳສັ່ງຫຍັງຜ່ານການພິມ character ໄດ້ເລີຍ ແລະ ຈະໃຊ້ໄດ້ສະເພາະ symbols ບາງໂຕ ແລະ ໂຕເລກຕາມທີ່ໂຈດບອກເທົ່ານັ້ນ

ຫຼັງຈາກ research ເຮົາຈະຮູ້ວ່າມັນກ່ຽວຂ້ອງກັບ Linux Bash Wildcard(ອ່ານເພີ່ມເຕີມໄດ້ທີ່ Bash Wildcard) ເຊິ່ງຫຼັງຈາກລອງໃຊ້ສະຫຼຸບວ່າຖ້າໃຊ້ * ລະບົບຈະເອີ້ນ directory ທຳອິດທີ່ຖືກ list ມາໃຫ້ເຮົາເຊິ່ງນັ້ນກໍຄື /bin directory ໃນ directory root ແລະ ເຮົາຈະເຫັນ /blargh directory ທີ່ມີ flag.txt ຢູ່ພາຍໃນຢູ່ໃນ current directory ປັດຈຸບັນທີ່ເຮົາຢູ່

ນອກຈາກ * ແລ້ວເຮົາຍັງສາມາດໃຊ້ ? ເພື່ອແທນໂຕອັກສອນຕາມຈຳນວນເຄື່ອງໝາຍ ?ທີ່ໃຊ້ ຫຼືຊີ້ໄປຍັງ directory ຫຼື ຄຳສັ່ງທີ່ເຮົາຕ້ອງການ. ຕົວຢ່າງ /??? ຈະໝາຍເຖິງ /bin ແລະ ./?????? ຈະໝາຍເຖິງ ./blargh ແລະ ./*/????.??? ຈະໝາຍເຖິງ /blargh/flag.txt ເຖິງເຮົາຈະຮູ້ flag location ແລ້ວແຕ່ເຮົາຈະບໍ່ສາມາດອ່ານໄດ້ເພາະ ./ ໝາຍເຖິງການ execute file ບໍ່ແມ່ນການ read file

ຈາກຂໍ້ມູນທີ່ເຮົາໄດ້ມາທັງໝົດສັນນິຖານວ່າເຮົາຕ້ອງຫາວິທີໃຊ້ຄຳສັ່ງໃນ /bin directory ເພື່ອອ່ານ flag, ລອງງົມໃນລະບົບຕໍ່ເພື່ອຫາວິທີໃຊ້ຄຳສັ່ງ ເຮົາຈະເຫັນຄຳສັ່ງ awk ເຊິ່ງແທນດ້ວຍເຄື່ອງໝາຍ /*/??? ແຕ່ຫຼັງຈາກລອງໃຊ້ຢູ່ຫຼາຍວິທີປະກົດວ່າເຮົາບໍ່ສາມາດໃຊ້ຄຳສັ່ງນີ້ໄດ້ອາດຈະເພາະຖືກຕັ້ງຄ່າມາໃຫ້ບໍ່ສາມາດໃຊ້ງານໄດ້

ລອງງົມຕໍ່ເຮົາຈະເຫັນວ່າມີຄຳສັ່ງ base64

ລອງໃຊ້ /bin/base64 ເຊິ່ງແທນດ້ວຍ /*/????64 ເພື່ອອ່ານ flag ປະກົດວ່າມັນໄປ execute ອີກຄຳສັ່ງໜຶ່ງແທນ ຫຼື ກໍຄື /bin/x86_64 ທີ່ລົງທ້າຍດ້ວຍ 64 ຄືກັນກັບ base64…

ຫາວິທີ bypass ຫຼື ປະຕິເສດຄຳສັ່ງນັ້ນເພື່ອໃຫ້ລະບົບຫັນມາໃຊ້ /bin/base64 ຕາມທີ່ເຮົາຕ້ອງການ

ແລະ ສຸດທ້າຍເຮົາກໍໄດ້ຄຳສັ່ງທີ່ work:

/???/???[!_]64 ~/*/????.???

ເຊິ່ງ [!_] ໝາຍຄວາມວ່າປະຕິເສດເຄື່ອງໝາຍ _ ຫຼື ກໍຄືລະບົບຈະບໍ່ສັ່ງເຮັດວຽກຄຳສັ່ງທີ່ມີເຄື່ອງໝາຍນີ້ນັ້ນເອງ

ນຳເອົາ base64 ທີ່ໄດ້ໄປ decode ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

Binary Exploitation

• format string 0 (50 points)

solved by: momiji-

• heap 0 (50 points)

solved by: Jockky

• format string 1 (100 points)

solved by: momiji-

• heap 1 (100 points)

solved by: Jockky