SECCON Beginners 2019で使ったコマンド
Team 283rd place 260 points
個人 483rd place
結局1問しか解けなかった。
.bash_historyからコマンドがなくなってしまわないうちに記録しておく。
基本的に使うコマンド
file
なんのファイルか教えてくれる
$ file flag
flag: POSIX tar archive
strings
バイナリファイルの中のASCIIコードを表示してくれる
$ strings secconpass
/lib64/ld-linux-x86-64.so.2
libstdc++.so.6
__gmon_start__
_ITM_deregisterTMCloneTable
_ITM_registerTMCloneTable
base64
base64で暗号化されているものを復号化する
$ base64 -d file1 > file2
Revrsing 「seccompare」
時間内には解けてない
ltrace
ダイナミックリンクライブラリの呼び出しを追跡するプログラムらしい。
似たようなものにstraceというのがあるらしい。
失敗したら出てきた。
$ ltrace ./seccompare 1
strcmp("ctf4b{5tr1ngs_1s_n0t_en0ugh}", "1") = 50
puts("wrong"wrong
) = 6
+++ exited (status 0) +++
objdump
16進ダンプする
リダイレクトして、テキストにしたら、"}"を検索すれば近くに出力されているのがわかる。
$ objdump -s seccompare
400630 c645d063 c645d174 c645d266 c645d334 .E.c.E.t.E.f.E.4
400640 c645d462 c645d57b c645d635 c645d774 .E.b.E.{.E.5.E.t
400650 c645d872 c645d931 c645da6e c645db67 .E.r.E.1.E.n.E.g
400660 c645dc73 c645dd5f c645de31 c645df73 .E.s.E._.E.1.E.s
400670 c645e05f c645e16e c645e230 c645e374 .E._.E.n.E.0.E.t
400680 c645e45f c645e565 c645e66e c645e730 .E._.E.e.E.n.E.0
400690 c645e875 c645e967 c645ea68 c645eb7d .E.u.E.g.E.h.E.}
4006a0 c645ec00 488b45c0 4883c008 488b1048 .E..H.E.H...H..H
ghex
GUIのバイナリエディタ
objdumpと同じように検索で"}"を見つけることができる。
container
これも自分では解けてない
foremost
バイナリデータから画像等を抜き出す
$ foremost -i containers -T
dump
これだけ自力で解けた
流れ
- Wiresharkでpcapデータからファイルを抽出
- 抽出したデータおよびファイル名から8進数表記のデータ部分を切り取る （データ部分だけ見ても8進数だとわかるが、ファイル名にhttpでgetしたときの コマンド cmd=hexdumpなんとか が出ていて、%20等を戻してあげると fileを8進数にして取得していることがわかる）
- excel または LibleCalcで 8進数から16進数に変換（OCT2HEX関数）
- 変換した16進数をテキストに保存（file1として保存）
- xxdコマンドを使用して、16進数のテキストファイルをバイナリに変換（xxd -r ./file1 file2）
- fileコマンドでファイル形式を確認するとzipファイル（$ file ./file2）
- ファイル名をflag.zipに変更（$mv file2 flag.zip）
- unzipするとflag.jpgが出てくる
- jpgファイルを閲覧するとflagが書いてある
wireshark
言わずとしれたpcapファイルを解析するためのツール
pcapファイルから受信したファイルを取り出すことができる。
file-オブジェクトをエクスポート-http-ファイルを選択。
（今回、http通信だったのでhttpを選択した）
xxd
16進数を書いたtxtからバイナリファイルにする
$ xxd -r ./hexdump hexdump2
LibreCalc
Oct2Hex という関数を使いたかったので使用