Open xINT CTF Writeup
AVTOKYO 2016の会場で行われた、Open xINT CTFに参加してきた。
http://xintctf.wpblog.jp/
SNSで情報収集したり、リアルでターゲットの人物に接触したりと珍しい内容。
終了直前のランキングでは確か700点・7位。
Challenge 6,7を解いた人は誰もいなかった。
Challenge 1
ハッカーが運営しているWebサイトは、http://pinja.xyz だ。
そこからハッカーのメールアドレスを探し、入力せよ。
ページには「闇」の一文字。ソースを見ても何もない。
pinja.xyzをwhoisしたら、ドメイン管理者情報にあった。
flag: yuuki.masaaki@gmail.com
Challenge 2
ハッカーはFacebookのアカウントを持っているようだ。
そのアカウントのアドレスを入手し、入力せよ。
アドレスは https:// を含む形で入力すること。
問1のメアドをFacebookで検索するだけ。
flag: https://www.facebook.com/profile.php?id=100013327635607
Challenge 3
ハッカーのFacebookを見ていると、食事の写真が投稿されている。どうやら誰かと食事をしているようだ。その人物から何か情報を引き出せるかもしれない。
まずは、その写真の飲食店を特定し、飲食店の座標を「Nxx xx xx:Exxx xx xx」の形式で入力せよ。
例. N35°41′35″E135°0′11″の場合、回答は「N35 41 35 E135 0 11」
画像のEXIFにはGPS情報はない。
リアルの投稿ではなくCTFなので、食べログあたりの拾い画かと思って画像検索したがヒットしない。
以降の問題に関係もなさそうなのであきらめ。
追記: 1位のSh1n0g1さんの解法
Challenge 4
どうやらハッカーと一緒に食事をしている人物は、私たちと同じくハッカーを調査しているようだ。その人物のFacebookアカウントを探し、アドレスを入手し、入力せよ。
アドレスは https:// を含む形で入力せよ。
問2のアカウントの友達が10人しかいなかったので、総当たりで入力したらヒット。想定解法じゃないと思う。
flag: https://www.facebook.com/profile.php?id=100013834444055
Challenge 5
Facebookに投稿された情報から推測される人物に接触し、うまく信用させて情報を引き出せ。
その情報を入力せよ。
信用させる、かぁ。とりあえずメッセージでも送ろうと友達申請。すぐ承認された。
すると、友達限定公開の投稿でこんなものが。
スマホで ３７５８４ を見せてね。いいこと教えちゃうちゃう。
なるほどそれなら確実だ。
では人物の特定。会場内にいるはず。
今日の日付の投稿で、チェック柄の布の写真。服装はこれか。
しかし画像が不鮮明だし、似たような服の人は何人もいる。
似た格好でスタッフっぽい人に声をかけてみるが外れ。
名字が高嶺、出身が姉ヶ崎高校。ラブプラスか。
会場を回ってみたが、キャラグッズを身につけてるような人はいない。
この時点で正解者0人。後から参加した人が追いつけるように、まだフロアに出てないとかだろうか。
しばらく講演を聞く。正解者が1人出た。来たか。
ん、誕生日が1965年6月7日。51才。会場は比較的若い人が多かったので、それなら絞り込める。
それらしい人がいた。声を掛ける。正解。
直球で聞いてしまったので、「スパイらしさ」加点はたぶん入ってない。もっとノリ良く演技するべきだったなぁ。
もらったカードに書いてある文字列を入力。
flag: 1D608C94-6285-4326-AE88-27F4E93FE88A
Challenge 6
もらった情報から推測される「モノ」を回収して調査、得られる適切な情報を入力せよ。
問5でもらったカードには、上記の文字列とbluetoothのアイコン。
とりあえずbluetoothデバイスをスキャンしてみる。それらしいデバイスは出てこない。
文字列はフォーマット的にUUIDっぽい。ググっても何もヒットしない。
bluetoothではプロトコルにUUIDが割り当てられているらしい。標準プロトコルのUUIDとは違うので、独自のプロトコル？
通信以前に、「モノ」のありかのヒントが見つからない。あきらめ。
追記: 会場の外に出てMAMORIOで探す問題だったらしい。マジか。
Challenge 7
「モノ」を調査した結果、闇サイト運営者のハッカーの正体が分かる。早速その「モノ」に罠ファイル（リンク貼る）を仕掛けろ。その後、ハッカーに接触して、不審に思われないよう「モノ」を渡せ。
その人物から渡された「ご褒美ワード」を入力せよ。
手つかず。これこそ面白そうなんだけどなぁ。