2024 Hacktheon Sejong CTF— Writeup [ພາສາລາວ]

ສະບາຍດີ~ ພວກຂ້າພະເຈົ້າແມ່ນທີມ Overcooked 🇱🇦 ເຊິ່ງເປັນໜຶ່ງໃນທີມທີ່ໄດ້ຮັບເຊີນເຂົ້າຮ່ວມການແຂ່ງຂັນ 2024 Hacktheon Sejong, ໂດຍບົດຄວາມນີ້ຈະເປັນບົດຄວາມທີ່ລວມວິທີຜ່ານແຕ່ລະໂຈດທີ່ທີມຂອງພວກຂ້າພະເຈົ້າສາມາດແກ້ໄດ້.

ໂດຍທີມຂອງພວກເຮົາປະກອບໄປດ້ວຍສະມາຊິກ 4 ຄົນຄື:
1. 0xJ0cKkY| (Mr. Vilaysone CHANTHAVONG)
2. momiji- | (Mr. Anouluck MANY)
3. xb0unnn | (Mr. Bounheuang SENKHAM)
4. chimoto01 | (Mr. Sitthisack KHAMPHILAVONG)

Confidential

ຫຼັງຈາກ download ໄຟລ໌ມາ ແລະ ອ່ານເນື້ອຫາຂອງໄຟລ໌ດ້ວຍຄຳສັ່ງ cat ໃນ linux ເຮົາຈະເຫັນ JS hex data ທີ່ໜ້າສົງໃສຕາມພາບດ້ານລຸ່ມ

copy ແລ້ວນຳໄປ decode (From Hex) ໃນເວັບ cyberchef

ລົບ JS syntax ອອກທັງໝົດໃຫ້ເຫຼືອສະເພາະ data ພາຍໃນ variable ທີ່ຄາດວ່າໜ້າຈະເປັນ flag

ນຳຜົນລັບທີ່ໄດ້ມາ decode (From Base64) ເຮົາຈະເຫັນ header ຂອງໄຟລ໌ zip ໃນ Output ເຊິ່ງໝາຍຄວາມວ່າເຮົາສາມາດນຳຜົນລັບທີ່ໄດ້ໄປ zip ໂດຍເຮົາສາມາດໃຊ້ cyberchef ເພື່ອໃຫ້ໄດ້ໄຟລ໌ zip ທີ່ຖືກສ້າງຈາກຂໍ້ມູນ output ໄດ້.

unzip ໄຟລ໌ທີ່ໄດ້

cd ເຂົ້າໄປໃນ word directory

cat document.xml

ແລ້ວເຮົາກໍຈະໄດ້ secret message ມາ, ນຳໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

Decrypt Message 1

download ໄຟລ໌ໂຈດມາເຮົາຈະໄດ້ໄຟລ໌ encrypt.cpp ມາ, ຫຼັງຈາກອ່ານ source code ເຮົາຈະເຫັນ function ທີ່ໜ້າສົນໃຈທີ່ຖືກໃຊ້ໃນການ encryption, ໃຫ້ທຳການ compile ເປັນ binary file

ລອງ execute ໄຟລ໌ທີ່ໄດ້

Interesting… ນຳໄຟລ໌ທີ່ໄດ້ໄປ reverse engineering ຫາ process ການເຮັດວຽກຂອງ encryption ແລະ ລອງ re-implement ໃນ python, ແລ້ວ debugging ເຮົາຈະສັງເກດເຫັນໂປຣແກຣມຈະນຳເອົາ 2 bytes ໄປລວມເຂົ້າເປັນ 1 ຄຳ, ເຮົາສາມາດ brute force ເພື່ອຫາ encrypted message ໄດ້ເພາະທຸກໆ 2 bytes ຫຼື 2 characters ຈະຖືກລວມເຂົ້າເປັນ 1 ຄຳ ກ່ອນທີ່ຈະຖືກສົ່ງເຂົ້າ encryption function, ເຊິ່ງນັ້ນໝາຍຄວາມວ່າເຮົາສາມາດ brute force ເພື່ອຫາ output message ໃຫ້ມາ match ກັບ encrypted message ໄດ້

• Final exploit code:

ແລະ ສຸດທ້າຍເຮົາກໍຈະໄດ້ ​encrypted message ຄື GODGPT!!!!!!!

ນຳໄປ check flag ເທິງເວັບໂຈດ ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

DogGallery

ໃນໜ້າເວັບໂຈດເຮົາຈະເຫັນເປັນເວັບເປົ່າໆທີ່ມີແຕ່ຮູບໝາ

ລອງ inspect ເບິ່ງ source code ຂອງເວັບໄຊ້

ເຮົາຈະເຫັນ path ຂອງໄຟລ໌ js ແລະ css

ໃນໄຟລ໌ js ເຮົາຈະເຫັນ js code ທີ່ອ່ານຍາກ, ແຕ່ເຮົາສາມາດໃຊ້ JS Beautifier ໃນການຈັດ format ໃຫ້ເຮົາສາມາດອ່ານໄດ້ງ່າຍຂຶ້ນ

ລອງອ່ານ code ຈາກເທິງລົງລຸ່ມ ເຮົາຈະເຫັນ url ທີ່ໜ້າສົນໃຈຂອງ aws s3

ລອງເຂົ້າໄປໃນ url ທີ່ໄດ້

ປາກົດວ່າເຮົາສາມາດເຂົ້າເຖິງ file ໃນ aws s3 ໄດ້ໂດຍຕົງ, ເຮົາສາມາດ list all files ໄດ້ຕາມ guide:

ເນື່ອງຈາກວ່າ url ໂຈດມີຄຳວ່າ “website” ຢູ່ຄືກັນ, ໃຫ້ລົບຄຳວ່າ “website” ອອກ ແລ້ວລອງເຂົ້າໃໝ່

ສະຫຼຸບເຮົາສາມາດ file/directory listing ໄດ້ ແລະ ເຮົາກໍຈະເຫັນໄຟລ໌ທີ່ໜ້າສົນໃຈ OMG_SUPER_S3CR3T_PR0TECTED_F1LE.txt

ລອງເຂົ້າໄຟລ໌

ນຳໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

Findiff

ຈາກ tag ໃນ description ຂອງໂຈດເປັນ Pwnable

ຈາກ sixth sense ທີ່ໄດ້ຈາກການຫຼິ້ນ CTF ມາ, ແນ່ນອນວ່າທຳອິດເຮົາຕ້ອງລອງ netcat ເຂົ້າ server ຂອງໂຈດແລ້ວເຮັດ buffer overflow

ປະກົດວ່າເດົາຖືກ

ນຳ output ທີ່ໄດ້ໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

MS Office

download ໄຟລ໌ໂຈດ ແລະ unzip

ຫຼັງຈາກລອງເປີດໄຟລ໌ MS.xlsx ຈະຂຶ້ນ error ວ່າ format ຂອງ file ບໍ່ຖືກ

ເຮົາສາມາດໃຊ້ຄຳສັ່ງ file ໃນ linux ເພື່ອກວດເບິ່ງ file format ໄດ້

ແປງ file format ໃຫ້ເປັນ .pptx

ເປີດໄຟລ໌ MS.pptx ໂດຍໃຊ້ program powerpoint

ນຳ message ທີ່ໄດ້ໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

PNG

download ໄຟລ໌ໂຈດມາ ແລະ unzip

ກວດເບິ່ງ file format ໂດຍໃຊ້ຄຳສັ່ງ file ໃນ linux

ປະກົດວ່າເຫັນເປັນ file data

ອ່ານ sky.png ດ້ວຍຄຳສັ່ງ xxd ໃນ linux

ເຮົາຈະເຫັນວ່າ file format ບໍ່ຖືກ ເຊິ່ງເຮົາສາມາດ research ຫາ format ທີ່ຖືກຕ້ອງຂອງ png ໄດ້ຈາກ https://www.researchgate.net/figure/File-signature-of-PNG_fig3_261092606

ແກ້ໄຂ header ຂອງ file ໂດຍໃຊ້ຄຳສັ່ງ hexedit sky.png

ແລະ ເຮົາກໍຈະສາມາດເປີດໄຟລ໌ໄດ້

ໃນເບື້ອງລຸ່ມໃນຮູບເຮົາຈະເຫັນ message ບາງຢ່າງ

ນຳ message ໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

Revact

ເຂົ້າເບິ່ງໃນເວັບໂຈດເຮົາຈະເຫັນ web page ທີ່ໃຊ້ check flag ບາງຢ່າງ

view-source ເບິ່ງ html code ເຮົາຈະເຫັນ path ໄຟລ໌ js

ເຂົ້າໄປອ່ານໄຟລ໌ຕາມ path ດ້ານເທິງ

ນຳ code ໄປເຂົ້າເວັບ beautifier ເພື່ອໃຫ້ອ່ານງ່າຍຂຶ້ນ

ເຮົາຈະເຫັນບາງຢ່າງທີ່ໜ້າສົນໃຈໃນ code ເຊັ່ນ: ze(), Pe(t), _e(e) ແລະ Ne(e)

ທຳອິດເບິ່ງໃນ ze() ເຮົາຈະເຫັນ ‘s’ ເຊິ່ງອາດຈະເປັນເງື່ອນໄຂໃນການ check flag, ລອງອ່ານ code ຕໍ່ແລ້ວນຳໂຕອັກສອນທີ່ໄດ້ມາຕໍ່ກັນ ແລະ ສຸດທ້າຍເຮົາກໍຈະໄດ້ XG@@DzX ເຊິ່ງ ‘X’ ມາຈາກ Ne(e) ທີ່ endWith ແລະ startWith ‘X’

ນຳຜົນລັບທີ່ໄດ້ໄປກວດໃນເວັບໂຈດເຮົາຈະເຫັນຄຳວ່າ correct ຂຶ້ນມາເຊິ່ງນັ້ນໝາຍຄວາມວ່າຖືກ

ນຳໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

Rumor 1

ຈາກ description ໂຈດເຮົາສາມາດໃຊ້ໂປຣແກຣມ Event Log Explorer ໃນ windows ເພື່ອ analysis ໄຟລ໌ໂຈດໄດ້

ຫຼັງຈາກເປີດໄຟລ໌ໂຈດເຮົາຈະເຫັນ keyword ‘mail’ ແລະ ກັບມາເບິ່ງໂຈດວ່າມັນກ່ຽວຂ້ອງກັບ networking ແລະ ຄຳຕອບຕ້ອງເປັນ IP Address

ສະນັ້ນເຮົາສາມາດ search ຄຳວ່າ mail ແລະ ຫາເລກ IP ເພື່ອຫາຄຳຕອບໄດ້

ເລີ່ມຈາກ follow Event ID ສຳຫຼັບ sysmon log ຈາກ

ທຳອິດພໍລອງ search ຫາ keyword ‘mail’ ປາກົດວ່າບໍ່ເປັນ IP ຫຍັງເລີຍ

ລອງເທື່ອທີ່ສອງ, ເຮົາຈະເຫັນ IP 92.68.200.206

ນຳ IP ທີ່ໄດ້ໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ຂອງຂໍ້ນີ້ມາ

Rumor 2

ຕໍ່ເນື່ອງມາຈາກຂໍ້ Rumor 1, ສິ່ງທີ່ເຮົາຕ້ອງຫາໃນຂໍ້ນີ້ແມ່ນ PID ຂອງ malicious process ທີ່ attack executed ສຳຫຼັບ session connection ຫຼັງຈາກເຄື່ອງຄອມຖືກໂຈມຕີ

ຈາກການອ່ານ log ຈາກຂໍ້ກ່ອນໜ້າ ແລະ ດັ່ງທີ່ເຮົາຮູ້ວ່າຄຳສັ່ງພື້ນຖານທີ່ໃຊ້ໃນການ execute ສຳຫຼັບ session connection ມີບໍ່ຫຼາຍ ແລະ ເຮົາຕ້ອງຫາ PID

ເລີ່ມຈາກ search ຫາຄຳວ່າ nc64 ເຊິ່ງເປັນໜຶ່ງໃນຄຳສັ່ງທີ່ສາມາດໃຊ້ execute ສຳຫຼັບ session connection ໄດ້

ນຳ PID ທີ່ໄດ້ໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

Rumor 3

ຕໍ່ເນື່ອງມາຈາກຂໍ້ Rumor 1, 2. ຂໍ້ນີ້ໂຈດຕ້ອງການໃຫ້ເຮົາຫາ netband ທີ່ຖືກ scan ໂດຍ attacker ຕາມ format xxx.xxx.xxx.0/36

ລອງ search ຫາ IP address ທັງໝົດໃນໄຟລ໌ log ໂດຍໃຊ້ regex

ເຮົາຈະເຫັນ IP address ທີ່ເປັນ 192.168.100.1–255 ຈຳນວນຫຼາຍ, ເຊິ່ງຄຳຕອບຕ້ອງຢູ່ໃນນີ້ແນ່ນອນ

ແຕ່ພໍລອງນຳ IP ທີ່ໄດ້ມາ submit 192.168.100.0/36 ປາກົດວ່າຄຳຕອບບໍ່ຖືກ, ແຕ່ພໍເຮົາມາລອງຄິດໄລ່ subnet mask ເຮົາຈະໄດ້ 192.168.100.0/24

ນຳໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ມາ

Rumor 4

ຕໍ່ເນື່ອງມາຈາກຂໍ້ Rumor 1, 2, 3. ຂໍ້ນີ້ໂຈດຕ້ອງການໃຫ້ເຮົາຫາ payload ທີ່ attacker ໃຊ້ ເຊິ່ງເຮົາຮູ້ຢູ່ແລ້ວຈາກການອ່ານ log ຈາກຂໍ້ທີ່ຜ່ານມາເຊິ່ງຄຳສັ່ງທີ່ຖືກໃຊ້ມີບໍ່ຫຼາຍ

ເລີ່ມຈາກ search ຄຳສັ່ງ python

ເຮົາຈະເຫັນ base64 encoded

ນຳໄປ decode

ລອງນຳ output ໄປ check flag ປາກົດວ່າບໍ່ຖືກ

ເລີຍລອງນຳ base64 encoded ໄປ check flag ໂດຍທີ່ບໍ່ decode ປາກົດວ່າຖືກ ແລະ ເຮົາກໍຈະໄດ້ flag ຂອງຂໍ້ນີ້ມາ

Rumor 5

ຕໍ່ເນື່ອງມາຈາກຂໍ້ Rumor 1, 2, 3, 4. ຂໍ້ນີ້ໂຈດໃຫ້ເຮົາຫາຊື່ໄຟລ໌ທີ່ຖືກ attacker ດຶງອອກໄປ

ຈາກການອ່ານ log ເຮົາຈະເຫັນຄຳສັ່ງທີ່ສາມາດໃຊ້ເພື່ອດຶງໄຟລ໌ໄດ້ນັ້ນກໍຄື curl

search ຫາຄຳວ່າ curl ໃນ log

ເຮົາຈະເຫັນໄຟລ໌ຊື່ແປກໆຄື secret.tar.gz

ນຳໄປ check flag ແລະ ເຮົາກໍຈະໄດ້ flag ຂອງຂໍ້ນີ້ມາ