#InsanityRootedArena2014writeup!

InvisibleEvidence

(data.pcap)

Weneedtoanalyzethecapturedataandguessthepasswordshared.
Nosdanunficheroconunacapturadeltrficoydebemosanalizarloparaobtenerlacontrasea.
Paraelanlisis,procederemosconWireshark.
Ordenamoslosprotocolosparaunabsquedamssencilla.SianalizamoslospaquetesHTTP
vemosqueconexionesavariosdiariosonlineyaalgunaredsocial,nadadeelloparece
interesante.
NostopamosconvariospaquetesquemandanalgunosPOST,enelloshaymensajesdeparte
delusuario"gomezraul134"(quetendrsuprotagonismomsadelante)queseconectaagmail
ymandaunoscorreosalertandoaotrosusuariosparaquecifrensuscomunicacionesyotroque
ledice"Iloveyou"asuamorMariam.
Alfinalhayuncorreoquelemadanagangleader@pastebing.comenelcualhayunenlacea
pastebinconlaflag.
Enlace:http://pastebin.com/fir3C2kYFlag:wCgwZTEt5W3i:D

DoubleCross

(CCcam.pdf)

Thegangleaderhassentadocumentthathasbeenintercepted.
Canyouhelpus?
EnprincipionosdanunPDFcorrupto,perosiparamosaanalizarloconuneditorhexadecimal
podemosdescubrirquerealmentetienelaestructuradeunZIP.
Lasolucinmsrpida:renombramosaCCcam.zip,descomprimimosysorpresa!Un
readme.txt:knxjjP5SI7P3IH8cQd92th3fl4g!;D

Thedomain

(dominio.txt)

Wehaveadomainassociatedwiththepersonyouseek.Searchforinformationanywhere,
hisfamiliarenvironmentcanbringyouclosertohim.
Elficherocontena:
pastebing.com
Haciendounwhoisaldominio,podemosverqueestregistradoanombredeuntalRal
Gmez(queyaconocamos;D)queviveenIbiza.Comoladescripcinnoshablabadesu
entornofamiliar,nosfuimosdirectosaerfei$buFacebook.
ConesosparmetrosencontramosaunapersonaquecasualmenteStargateentresus
programasdeTVfavoritos.
Unanicafoto.Raro?:D
Eldichosoflageraelnombredesuamada...osacordaisdeella?

Mariam,Iloveyou<333

QRRecomposition

(QRCode.pdf)

WehaveapicturewithaQRcode,butapieceismissingandthefileseemscorrupt.
Couldyoutelluswhathidden?
NosdanunPDFquecontieneunaimagendeuncdigoQRalquelefaltaunaparte.Unavez
pasadoelStargateInfinity,accediendoalacarpetahomedelusuariopeter,podemosverun
archivoquecontieneunaURLaunaimagenalojadaentinypic,quecasualmenteresultabaser
lapartefaltanteanuestroqueridocdigo:

JuntandolasdospartesyhaciendousodeunlectorQR,obtenemos:Welcome2Rooted5;)

StargateInfinity

(etc_passwd.txt)

Youmustconnecttoarena2.rootedcon.es.Theinfoprovidedcanhelpyou.
Findout,andtellusthenameofthepersonwhoopensthedoor.
Lapruebaconsistaenconectarnosaarena2.rootedcon.esyunavezhechoencontrarel
nombrecompletodelapersonaqueabralapuerta.
peter:x:1001:1001:,,,:/home/peter:/bin/bash
charly:x:1002:1002:,,,:/home/charly:/bin/bash
paul:x:1003:1003:,,,:/home/paul:/bin/bash
steve:x:1004:1004:,,,:/home/steve:/bin/bash
marc:x:1005:1005:,,,:/home/marc:/bin/bash
jules:x:1006:1006:,,,:/home/jules:/bin/bash
thomas:x:1007:1007:,,,:/home/thomas:/bin/bash
Lapersonaquenosabrilapuerta(despuesdehacerunescaneodepuertosconnmapy
encontrarunosserviciossshcorriendo),fueelseorThomas.
Unavezloggeadossimplementehabiaquehaceruncatal/etc/passwdoriginal,obteniendoel
nombrecompleto:ThomasJefferson.

EsteretoeraunpasoclaveparapoderpasarlaspruebasRound,puestoqueeranbinarios
accesiblessolamentedesdeelssh,aligualquelapistaparapasarQRRecomposition.

Round[OR]
YouhavetothinkinBase64andtherearemanyapproximationstosolvethischallenge.
Estebinarioestabadentrodelacarpetadelusuariocharly.Acontinuacinsedetallasu
funcionamiento.
Elbinariocomienzainicializandounacadenaenbase64ycomprobandolalongituddela
clave,quehadeestarentre3y12.

Unavezpasadaesacomprobacin,llamaasub_40066D(check_it)pasndole
laclavepasadacomoparmetroalprogramaylacadenaenb64queinicializalprincipio
(zVQQURESU5HMDI0NDg=).


En40066Dconstruyeotracadenaenb64,usandolaanterior:

kJGXlV9yXzVQQURESU5HMDI0NDg=
Trasesto,vuelveacalcularlalongituddelaclave,estavezhadeserexctamente12para
poderseguir.

Laltimacadenaenb64decodificaa:
909197955f725f3550414444494e473032343438
........_r_5PADDING02448
Apartirdelaclavequehemosintroducido,hacelossiguientesclculos:

calc[0]=key[0]+0x24
calc[1]=key[1]+0x30
calc[2]=key[2]+0x34
calc[3]=key[3]+0x29
calc[4]=key[4]2
calc[5]=key[5]4
calc[6]=key[6]6
calc[7]=key[7]8
calc[8]='P'
calc[9]='A'

calc[10]='D'
calc[11]='D'
calc[12]='I'
calc[13]='N'
calc[14]='G'
calc[15]='0'
calc[16]=key[8]+1
calc[17]=key[9]+1
calc[18]=key[10]+1
calc[19]=key[11]+1

Parafinalmentecodificarcalcenb64ycompararconlacadena
kJGXlV9yXzVQQURESU5HMDI0NDg=

Aplicandolasoperacionesalainversasobreelresultadodedecodificar
esacadenaenb64,obtenemos:
laclave=PADDING01337
Eliminandoelpadding,laclavecorrectaes,finalmente:
laclave=1337

Round[XOR]
Similartotheotherone.Thereareseveralapproximations,althoughthechallenge
environmenthaschangedabit.
Estebinarioestenlacarpetahomedelusuariojules.
CogelaclavedelavariabledeentornoENV_KEY_VAR,peroalpunterodevueltopor
getenv()leaplicaunaextensinde32a64bits,conloquequedainvlidoyelprograma
revienta.Paraevitarlo,depurando,reestablecemossuvalororiginal.

Posteriormente,elbinarioponea0unbufferde0x800bytes,ycargaenellacadena
"mivozesmipasaporte"vasprintf.Finalmente,llamaanet4_remoting_impsi_,quees
bsicamentestrcmp,pasndolelacadena"mivozesmipasaporte"ylaclavequehemospuesto
enlavariabledeentorno.
Flag:mivozesmipasaporte

Round[AND]
Inlinewiththeabove,althoughtherearesomethingstocheckinstaticvariables.
Estebinarioseencuentraenlacarpetahomedelusuariomarc.
Comienzainicializandodatosycomprobandoquelaclavequelepasamoscomoprimer
parmetrotengaentre3y32caracteres.

Pasadaesacomprobacin,continamoviendobytesdeunladoaotro,construyendolaclave
correctaenmemoria.

Ensub_40098Bterminadeconstruirlaclave,llamandoasub_400740(check_it)con
argumentos[claveconstruida][clavepasadaporelusuario].
Esunacomparacindecadenas.

Laclavees:fe00f30fbebe0000aabbf1f2f3f4
Denuevo,noesnecesarioprofundizarenelbinarioparaconseguir
laclave,puestoqueescomparadatalcual.

MagicalTranslation

(rune.png)

Please,translatethetextprovided.Itisnotdifficult,butyouhavetoshowusyourskillsin
languages.
EnestaocasinnosfacilitabanunarchivoPNGquecontenaunaseriedesmbolosque
parecanformartrespalabras:

ConelnombredelarchivoysiendoconocedordelashistoriasdeJ.R.R.Tolkieneramsque
suficienteparasobreentenderquesetratabaderunasantiguas,asquelaresolucinfuetan
simplecomocogerunatabladeconversindelasmismasconnuestroalfabetoyvercomo
aparecaunacosatalque:youarewelcomequeextraamentewastheflag!;D

BlindDialing

(001.amr)

Downloadtheaudiofileandlistenittryingtofindthenumberhidden.CaptainCrunchwas
abletodothat:P
Unagrabacindeaudio,CaptainCrunch...Eravistoquesetrataradeunamarcacindetonos
telefnicosinclusoantesdereproducirla.
Larespuestaganadorasetrataradelnmeromarcado,asqueintuitivamentehiceusodemi
ododemsicoyfuisacandoalaprimeralosnmerosunoauno;D
Elnmeroquenospedanera0034668878045.

Parafinalizar,agradecemosalaorganizacindelaRootedConelesfuerzoenmontarelRiddle,
hasidodivertido;)
#Insanity2014
#ka0labs.net