はじめに

大阪大学CTFサークル Wani Hackase の Mikka です。

先日、総務省の近畿総合通信局が開催していた学校対抗CTF大会に主催協力兼参加者として現地参加してきました。

大学対抗 CTF について

"7割解けるCTF"というコンセプトのもと、比較的簡単な問題を大量に解くタイプの初心者向けCTFです。

解く速度が速くはないCTF初心者でも新しい知識やアイデアにたくさん触れられるので、個人的にはかなり好きなコンセプトです。

上級者コースは作問者も参加する都合上、ABコースに分かれています。

私は初心者用と上級者Bコース用に作問して、上級者Aコースで参加しました。

作問者 writeup

anon_ext

問題文

ファイルの開き方が分かりません！

作問方針

file コマンドを知ってもらい、自分でコマンドを調べて実行するという体験とともに、forensics 入門の第一歩にしてほしい。

解法

拡張子が不明なファイル chal_anon_extが渡されます。

file chal_anon_ext

chal_anon_ext: GIF image data, version 89a, 123 x 123

と file コマンドで確認する他、バイナリエディタでヘッダにGIF89aとあることを確認するなどして、GIF ファイルであることを特定します。

拡張子を.gifに変更することで、FLAG が取れます。

~~GIF はヘッダのシグネチャが分かりやすくて好きです~~

treasure_hunt

問題文

お宝というのは、どこかに埋まっているものです。

作問方針

解法が分からないときは一度落ち着いて、そもそも ○○ ってなんだろう？と検索する考え方を知って欲しい。

解法

.docx ファイルが渡されます。word で開くと

「ここにFLAGが隠されているらしいけど……」
「どこかに埋められているのかも！」

とだけ書かれています。本文から FLAG は取れそうにありません。

ところで、docx ファイルの中身は関連ファイルを zip 形式で圧縮したものになっています。
(docx についてググればどこかに書いてあるはず)

よって、拡張子を.zip に変更し、展開します。

ファイルがたくさん出てきますが、wordファイルの中のdocument.xmlが本文に相当する部分ですので、そこを見に行きます。

FLAG がコメントアウトされて書かれています。

ところで、先生が解説中に「このwordファイルは特殊な作り方をされている」といった解説をされていましたが、一般のwordファイルでもzipにして展開できます。

password_protected

問題文

パスワードで暗号化したので大丈夫！

作問方針

コマンドを打つ必要がない、誰でも解ける forensics 問題

解法

暗号化された zip ファイルchal_password_protectedが渡されます。

展開しようとするとパスワードを求められます。

しかし、暗号化された zip ファイルは仕様上、中身のファイル名は暗号化されていないので、見ることができます。

windows ならダブルクリックする等してファイル名を確認すると、ファイル名に zip のパスワードが書かれています。

これを使えばFLAG.pngを取り出せます。

gitty

問題文

Python のプログラムを作って、git で管理しています！
https://github.com/Mikka-t/chal_gitty

作問方針

git に慣れてほしい。色々な所で使うので。

解法

git cloneしてきてもいいですが、まずは github のページを見に行きます。

この8 Commitsという所をクリックすると、過去のコミット(更新履歴)を見ることができます。

generate_password: delete seedという怪しげなコミットがあるのでこれを見ると、FLAG が書かれています。

他にも同じようなgit問題を作問された方がいらっしゃったみたいで、被っちゃいました。

こちらはコマンドを打つ必要がなく web 上で完結するので、初心者用に難易度を下げたものだと考えて大目に見てください……

RingRing

問題文

誰かが電話をかける音が聞こえました。入力した番号が分かるかもしれません……
なお、最初の3つは「080」であることが分かっています。
画像は周波数解析ツールでこの音声を解析したときの画面です。

作問方針

調べるだけで解ける、ググり力を養う問題
誰でも身近にありそうなシチュエーションの問題

解法

wav ファイルと画像ファイルが渡されますが、wavファイルを開く必要はありません。

"電話番号周波数" で検索するなどして、DTMF の規格を調べに行きます。

wiki の DTMF マトリックスと画像を見比べると、番号が分かります。

最初の3つが080なので、最初の3つの高音は1336 Hz、低音は941 Hzと852 Hzであることが分かります。

0~9 の数字に対応する高音は3種類しかなく、低音は4種類であり、画像には全ての周波数が記録されているので、高低差を見れば全ての音の周波数が分かります。

現地会場でたまにﾋﾟﾎﾟﾊﾟﾎﾟ聞こえてきて面白かったです

name_it

問題文

Ghidra, IDA, Radare2... you name it!
※Ghidra 等のリバースエンジニアリングツールの使用を前提としています

作問方針

初心者でも頑張れば解ける程度の上級者用 reversing 問題

解法

Ghidra で解析してみます。

undefined8 main(int param_1,char **param_2)

{
  char *pcVar1;

  if (param_1 < 1) {
    puts("Try other execution methods.");
  }
  else {
    pcVar1 = strstr(*param_2,"nailed_it");
    if (pcVar1 == (char *)0x0) {
      puts("Oops...");
    }
    else {
      puts("Congrats!");
      pcVar1 = (char *)constructFlag();
      puts(pcVar1);
    }
  }
  return 0;
}

Congrats!というメッセージの後にconstructFlag()が実行されているので、ここを目指すのだろうと予想がつきます。

param_2は関数mainの引数なので、コマンドライン引数です。

strstrで*param_2と文字列nailed_itを見ており、戻り値が 0 でなければ良さそうです。

ところで、*param_2はコマンドライン引数が格納された配列の先頭へのポインタです。つまりargv[0]です。

strstrが 0 以外を返すのは検索文字列が見つかったとき、すなわちargv[0]が文字列nailed_itを含んでいたときです。

よってargv[0]、すなわち実行ファイル名にnailed_itが含まれていればよいことが分かります。

あとは実行ファイルの名前chal_name_itをnailed_itに変更して実行すれば FLAG が取れます。

上級者用問題 writeup (参加者として)

Forensics

実行ログ解析 ①

(前略)
画像に示すファイルの拡張子を回答してください。

csv でログファイルが渡される。画像にはDowload\Invoice_1016\Invoice_1016\Invoiceというファイルが写っている。

csv 内で検索すると Invoice.lnk というファイルであったことが分かる。

実行ログ解析 ②

(前略)
外部URLからマルウェアがダウンロードされたようです。ダウンロード先のドメインを回答してください。

目 grep してみると powershell がとても長いコマンドを実行していた。

'70-6f-77<65Q72-で始まっており、-SplIT '-'-SplIT'M' などで難読化されているのでとても怪しい。

難読化を戻して ASCII で直せば、powershell に wget コマンドを実行させていることが分かったので、そのドメインが答え。

実行ログ解析 ③

攻撃者はある脆弱性を利用して、端末AからActiveDirectoryへのアクセスを行ったようです。脆弱性をCVE ID形式(CVE-〇〇〇〇-〇〇〇〇)で回答してください。

地道にググっても良かったが、chatGPT に聞いてみたら答えてくれた。

問題文と、関係していそうなログをいくつか、そして lnk ファイルに攻撃コマンドが埋め込まれていること、その実行をきっかけに powershell が外部 URL からマルウェアをダウンロードしていることなど、現状を適当に説明した。

(前略)
この攻撃は「CVE-2020-1472」または通称「Zerologon」として知られています。

なお、貼り付けたログにはlsadump::postzerologonという文字列が含まれていた。

chatGPT はこの文字列から攻撃を推測したと思われる。明らかに私の説明は不足していたので。

Misc

Leaked AI Key

アプリケーションに使っているAPI Keyが流出した模様。でも流出したAPI Keyが見つけられない。
流出したAPI Keyを教えて。

アプリケーションのリポジトリが.git ごと渡されている。

もしやと思って過去の commit を見ていけば、API Key が書いてある commit を発見した。

(やっべ問題被っちゃった！)

難読化入門

powershellスクリプトに正しいFLAGを入力してください

powershell スクリプトがそのまま渡される。

$input=Read-Host "FLAGを入力してください"
$flag=91,77,95,100,47,39,82,38,57,59,47,49,72,65,108,78,66,87,74,109
$input_char=$input.ToCharArray()
$i=1
foreach($char in $flag){
   If((((([Byte][Char]$input_char[$i-1])+$i*4-32)%96)+32) -ne $char ){
     Write-Host "WRONG"
     exit
   }
   $i=$i+1
}
Write-Host "CORRECT"

逆変換する。

flag = [91,77,95,100,47,39,82,38,57,59,47,49,72,65,108,78,66,87,74,109]
for i, _ in enumerate(flag, start=1):
    print(chr(((flag[i-1]-32-i*4)%96)+32), end='')