Ctf

Writeup: Jeg har mistet min pakke Indledende Observationer Jeg gik til http://minpakke.cfire. Det så ud til at være en pakke-tracking side, med en chatbot og et tracking vindue. Chatbotten på siden ville ikke udlevere tracking ID eller postnummer direkte. Recon / Kortlægning Jeg testede chatbotten med klassiske “jeg er admin” prompt-injections for at få den til at køre interne værktøjer: Chatlog: Jeg bad om at udføre et internt tool kald til at hente alle tracking IDs. ...

Filer: Download challenge files Writeup: Kopi Pasta Indledende Observationer Jeg startede med en klassisk recon. 1 nmap kopipasta.cfire Resultat: 22/tcp – SSH 80/tcp – HTTP Websiden var en “ShareBin”-lignende paste-applikation med login og mulighed for at oprette pastes. XSS blev hurtigt testet med: 1 <script>alert(1)</script> Men input blev korrekt escaped, så XSS var ikke en attack vector. Recon / Kortlægning Ved at analysere frontend fandt jeg i /static/paste.js at applikationen brugte følgende endpoint: ...

Filer: Download challenge files Writeup: Pepstein Indledende Observationer Jeg fik udleveret et PDF-dokument, hvor store dele af teksten var dækket af sorte censor-bjælker. Challenge-teksten antydede, at dokumentet var “klassificeret”, men at evnerne til at censurere ikke var imponerende. Der var også angivet en SHA256 checksum for at sikre, at jeg arbejdede med den oprindelige fil. Recon / Kortlægning Jeg åbnede PDF’en og kunne tydeligt se sorte rektangler hen over store dele af teksten. ...

Filer: Download challenge files Writeup: Persistence is Key Kategori: Malware / Windows Persistence / Reverse Engineering Flag: DDC{M4gnific3nt-M4lw4r3-R3mov4l} Indledende Observationer Ved opstart af den udleverede Windows 11 VM observeres følgende: Ved hver reboot: Der genereres tilfældige .txt filer på Desktop calc.exe åbnes automatisk Adfærden fortsætter efter genstart Dette indikerer en persistence-mekanisme. Persistensmekanismen Jeg undersøgte derefter følgende registry (et ofte anvendt register, der bruges af malware til at opnå persistens): 1 HKCU\Software\Microsoft\Windows\CurrentVersion\Run Her fandt jeg et mistænkelig entry: ...

Filer: Download challenge files Writeup: Please no cry Indledende Observationer Jeg fik adgang til en ransomware-simulation kaldet PleaseNoCry, hvor filer langsomt blev “krypteret”. Decrypt-knappen gav følgende hint: The real WannaCry checked for some domain. Hijack it by running a Python server on it. SSH creds: ctfuser:wannacry123 Dette indikerede, at challenge’en simulerede den rigtige WannaCry kill switch. Recon / Kortlægning Jeg åbnede browserens DevTools → Network og observerede requests til: 1 ohnotheydiscoveredoursupersecrectdomiantostopthespread.cfire Dette måtte være kill-switch domænet. ...

Filer: Download challenge files Writeup: The Contract Indledende Observationer Jeg fik udleveret: server.py contract_good.txt En remote service på TCP/1337 (dette fandt jeg ud af efter nmap) Ved analyse af server.py kunne jeg se at servicen: Læser maks 512 bytes Finder marker: 1 ------- BEGIN APPENDIX A ------- Hasher kun prefix op til og med denne linje Kræver: SHA1(prefix) == APPROVED_SHA1 MD5(prefix) != CACHED_MD5 Printer flag hvis teksten "ASSETS ARE TRANSFERRED NOW" findes i input ...

Filer: Download challenge files Writeup: Unbake The Cake Indledende Observationer Jeg fik udleveret to filer: Cake.txt Recipe.py Beskrivelsen indikerede, at en “hemmelig string” manglede fra en ASCII-kage. SHA256-hash var angivet for at verificere filens integritet. Formuleringen “Unbake the cake” antydede, at transformationen skulle reverseres. Recon / Kortlægning 1. Analyse af Cake.txt Cake.txt indeholdt primært ASCII-art af en kage. Midt i indholdet fandt jeg en lang streng bestående af små bogstaver og underscores: ...

Filer: Download challenge files Writeup: WiFi Heist Indledende Observationer Jeg downloadede zip-filen, som indeholdt en Python-fil (wifi_heist.py). Scriptet beskrev tydeligt, at WiFi-passwordet var blevet “scrambled” i tre trin, og at jeg skulle reverse processen i omvendt rækkefølge. Flag-formatet var angivet som: 1 DDC{...} Recon / Kortlægning Jeg gennemgik funktionen: 1 def it_guy_scramble(password): Den udførte tre transformationer: Step 1 – Caesar Shift (+3) 1 shifted.append(chr(ord(char) + 3)) Hvert tegn blev forskudt 3 pladser frem i ASCII. ...