writeups/mli/otw-advent-bonanza-19.md

   1 # OTW Advent Bonanza 2019
   2
   3 ## Time spent
   4
   5 In total I spent 2+4+3+1+1 for the challenges plus 1 hour for this writeup and also at least half a day to look through the challenges' solutions and writeups after the bonanza was over. __Total 16 hours__
   6
   7 ## day-01: `7110` (keylogger programming pwned!)
   8
   9 Description:
  10
  11 Santa is stranded on the Christmas Islands and is desperately trying to reach his trusty companion via cellphone. We've bugged the device with a primitive keylogger and have been able to decode some of the SMS, but couldn't make much sense of the last one. Can you give us a hand?
  12
  13 Download: f01d32e3f32957cf42f9672e78fcb415c6deac398fdacbd69531a322b08a39c8-7110.tar.gz
  14
  15 containing the files
  16
  17 * keys.h
  18 * sms1.csv
  19 * sms1.txt
  20 * sms2.csv
  21 * sms2.txt
  22 * sms3.csv
  23 * sms3.txt
  24 * sms4.csv
  25 * sms4.txt
  26
  27 ### Time spent
  28
  29 It took me 2 hours to write the script parsing the sms messages.
  30
  31 ### Overview
  32
  33 Basically we can use the logged keys incl. timestamps to reconstruct text (but we need to know which number how often resolves to which key - what we have in keys.h - and the timelimit/interval which we decide on change actual character/write next character - which we need to guess, I used a value of 900ms).
  34
  35 ### Solution/Exploit
  36
  37 Here is my script:
  38
  39 ```python
  40 #!/usr/bin/env python3
  41
  42 # mapping from keys.h
  43 N7110_KEYPAD_ZERO = 0,
  44 N7110_KEYPAD_ONE = 1,
  45 N7110_KEYPAD_TWO = 2,
  46 N7110_KEYPAD_THREE = 3,
  47 N7110_KEYPAD_FOUR = 4,
  48 N7110_KEYPAD_FIVE = 5,
  49 N7110_KEYPAD_SIX = 6,
  50 N7110_KEYPAD_SEVEN = 7,
  51 N7110_KEYPAD_EIGHT = 8,
  52 N7110_KEYPAD_NINE = 9,
  53 N7110_KEYPAD_STAR = 10,
  54 N7110_KEYPAD_HASH = 11,
  55 N7110_KEYPAD_MENU_LEFT = 100,
  56 N7110_KEYPAD_MENU_RIGHT = 101,
  57 N7110_KEYPAD_MENU_UP = 102,
  58 N7110_KEYPAD_MENU_DOWN = 103,
  59 N7110_KEYPAD_CALL_ACCEPT = 104,
  60 N7110_KEYPAD_CALL_REJECT = 105
  61
  62 N7110_IME_T9 = 0,
  63 N7110_IME_T9_CAPS = 1,
  64 N7110_IME_ABC = 2,
  65 N7110_IME_ABC_CAPS = 3
  66
  67 N7110_KEYPAD_ZERO_ABC_CHARS = " 0"
  68 N7110_KEYPAD_ONE_ABC_CHARS =  ".,'?!\"1-()@/:"
  69 N7110_KEYPAD_TWO_ABC_CHARS =  "abc2"
  70 N7110_KEYPAD_THREE_ABC_CHARS = "def3"
  71 N7110_KEYPAD_FOUR_ABC_CHARS = "ghi4"
  72 N7110_KEYPAD_FIVE_ABC_CHARS = "jkl5"
  73 N7110_KEYPAD_SIX_ABC_CHARS  = "mno6"
  74 N7110_KEYPAD_SEVEN_ABC_CHARS = "pqrs7"
  75 N7110_KEYPAD_EIGHT_ABC_CHARS = "tuv8"
  76 N7110_KEYPAD_NINE_ABC_CHARS = "wxyz9"
  77 N7110_KEYPAD_STAR_ABC_CHARS = "@/:_;+&%*[]{}"
  78
  79 mapping = {
  80     '0': " 0",
  81     '1': ".,'?!\"1-()@/:",
  82     '2': "abc2",
  83     '3': "def3",
  84     '4': "ghi4",
  85     '5': "jkl5",
  86     '6': "mno6",
  87     '7': "pqrs7",
  88     '8': "tuv8",
  89     '9': "wxyz9",
  90     '10': "@/:_;+&%*[]{}"
  91 }
  92
  93 def read_file(name):
  94     import csv
  95     # https://stackoverflow.com/a/38370569/1380748
  96     reader = csv.reader(open(name, 'r'))
  97     l = []
  98     for row in reader:
  99         time, key = row
 100         l.append((time, key))
 101     return l
 102
 103 def time(t):
 104     return t[0]
 105 def keyx(t):
 106     return t[1]
 107
 108 def key(l):
 109     timeout=900
 110     out=[]
 111     for i in range(len(l)):
 112         j = i+1
 113         if j < len(l) and keyx(l[j])==keyx(l[i]) and int(time(l[j]))-int(time(l[i])) < timeout:
 114             continue # next char may be the real
 115         key = keyx(l[i])
 116         keycount = 1
 117         counter = i - 1
 118         while counter > 0:
 119             if keyx(l[counter+1]) == keyx(l[counter]) and int(time(l[counter+1]))-int(time(l[counter])) < timeout:
 120                 keycount += 1
 121                 counter = counter - 1
 122             else:
 123                 counter = 0
 124         out.append((key, keycount))
 125     return out
 126
 127 def mapit(l):
 128     result=""
 129     for char, cnt in l:
 130         if int(char) > 10:
 131             if int(char) == 101: # N7110_KEYPAD_MENU_RIGHT looks like the deletion key
 132                 result = result[:-cnt]
 133             else:
 134                 result += repr((char,cnt))
 135         else:
 136             result += mapping[char][(cnt-1) % len(mapping[char])]
 137     return result
 138
 139
 140 if __name__ == "__main__":
 141     files = ["sms1.csv", "sms2.csv", "sms3.csv", "sms4.csv"]
 142     for f in files:
 143         print(mapit(key(read_file(f))))
 144 ```
 145
 146 script above prints following output:
 147
 148 ```output
 149 ('100', 3)('11', 2)rudolf where are you brrr('100', 1)('100', 1)0m, .l ,p('100', 1)
 150 ('100', 3)('11', 2)its too damn cold here and im out of eggnog lul('100', 2)0m.. .l ,p('100', 1)
 151 ('100', 3)('11', 2)sorri bout my last 2msg but i could realy need your help bud('102', 20)l('102', 36y('103', 56) :*('100', 2)0m, .l ,p('100', 1)
 152 ('100', 3)('11', 2)alright pal hers('102', 1)e('103', 1) ye flag good lucj enter('102', 7)('103', 1k('103', 6)ing it with those hooves lol its aotw{l3ts_dr1nk_s0m3_eggn0g_y0u_cr4zy_d33r}('100', 2)0m.. .l ,p('100', 1)
 153 ```
 154
 155 including the flag `aotw{l3ts_dr1nk_s0m3_eggn0g_y0u_cr4zy_d33r}` :D
 156
 157 ## day-02: `Summer ADVENTure` (crypto rev network misc pwned!)
 158
 159 Description:
 160
 161 An elf is tired of snow and wanted to visit summer... in an online RPG at least. Could you help him beat the game?
 162
 163 Service: <http://3.93.128.89:12020>
 164
 165 Server setup description: <https://docs.google.com/document/d/1wYlM2ideh5R5I7KDTLFTu_NLQmAJAmV-hVjNlmAOIEY/edit>
 166
 167 ### Time spent
 168
 169 I spent about 4 hours on this challenge.
 170
 171 ### Overview
 172
 173 I started by playing the game for some time. Navigation is by WASD, you can buy stuff and have to fight monsters (for which you get money). You can level up and have experience and Health points.
 174
 175 There is a scroll of secrets to buy which costs 10.000.000 money. Phew. Is the flag in there?
 176
 177 I notices the following things: When running a fake server, the only information I can receive (from the fake client on their server) is always something like 0x84f91202e7062ec4d1ca8e50a6b0a1aa - after I send "success" and some newlines in plaintext and after I log in in the web browser. This response varies depending on what I type as username/password in the browser. For example, for user:pw 0000:0000 I receive b'\x84\xf9\x12\x02\xe7\x06.\xc4\xd1\xca\x8eP\xa6\xb0\xa1\xaa', for 1111:1111 I get b'\x84\xf9\x12\x02\xe7\x06/\xc5\xd0\xcb\x8eP\xa7\xb1\xa0\xab'. I could not spot a real pattern here - the username/pw is not directly in this response. But indirectly it is, because the last 4 bytes XORed with the bits 10010110 10000000 10010001 10011010 are the password (I don't know what this pattern should mean, I extracted it from trying different passwords) and changing user/pw on only 1 character changes only one byte. Changing length of user/pw changes more bits, so maybe there is length encoded.
 178
 179 I cannot trigger any more messages, and I cannot manage the browser to come further than "loading the game" (it only displays "Loading..." in the right bottom corner after I send success).
 180
 181 We have to reverse-engineer the protocol server-client (they posted this as a hint:  ) but have nothing to start. I did not manage to guess anything noteworthy than "success", where you get the encoded (?) login data back. I did not try any fuzzer.
 182
 183 I also wanted to look at the websocket traffic to the browser, but the challenge makers write in a hint that this does not reveal any information we need (because only blazor protocol/HTML elements, important transmission is between server-client and server-server) so I did not try further.
 184
 185 ### Solution/Exploit
 186
 187 I did not manage to get anywhere near a solution here because I only spent a few hours on this.
 188
 189 Fellow w0yers managed to get the flag the weeks after the challenge started. The communication was encrypted using some cipher.
 190 The flag was splitted into client/server-side flag.
 191 Writeup: <https://github.com/nononovak/otwadvent2019-ctfwriteup/blob/master/day2_summer_adventure.md>
 192
 193 ## day-03: `northpole airwaves`
 194
 195 Description:
 196
 197 During our latest expedition to the north pole, one of our scientists tuned her radio to 88Mhz and captured a slice of 1MHz (samplerate = 1M/s) to a GNURadio file sink. Surprisingly, there was more than just silence. We need your help to figure out what's going on.
 198
 199 Download: d6d0f728ac3ff4848f849b8cf222fb38a14aee870184cc22f2efe01336b2ec17-northpole-airwaves.bin
 200
 201 ### Time spent
 202
 203 I spent (wasted) 3 hours for this challenge, most of the time downloading, converting and playing around/learning with GNU-Radio.
 204
 205 ### Overview
 206
 207 I downloaded the challenge file and found out that it was around 740MB in size. I always wanted to play around with GNURadio so I downloaded it and tried to find need information in gnuradio tutorials online. Although I spent a few hours with this because the conversions took so long and I did not really know what I am doing, I found out absolutely nothing.
 208
 209 ### Solution/Exploit
 210
 211 I did not manage to get ANY information for this challenge. Apparently a third of the flag was in the RDS data.
 212
 213 Writeup: <https://github.com/nononovak/otwadvent2019-ctfwriteup/blob/master/day3_northpole_airwaves.md>
 214
 215 ## day-04: `mooo` (web pwned!)
 216
 217 Description:
 218
 219 'Moo may represent an idea, but only the cow knows.' - Mason Cooley
 220
 221 Service: <http://3.93.128.89:1204>
 222
 223 ### Time spent
 224
 225 1 hour
 226
 227 ### Overview
 228
 229 We are provided with a web interface where we can type a message and choose a Cow type.
 230 I tried various special characters in the message field but there was no sign of some injection happening. When selecting different Cow types, the ascii output looked different. I tried to change the value of the combobox to some non-provided values but this also not worked.
 231
 232 By using the 'custom' Cow type, I got redirected to another page called cow designer (`/cow_designer`), where you could design your own cow including eyes and tongue. Okay, another input field for injection possibility. I played around but could not really do anything. Then I googled for some of the Cow type names and found out that those are from the `cowsay` program, which exists to print ASCII cows. :D
 233
 234 I looked at the sourcecode on Github (as <https://github.com/tnalpgge/rank-amateur-cowsay/blob/master/cows/TuxStab.pm> and <https://github.com/tnalpgge/rank-amateur-cowsay/blob/master/cows/stegosaurus.cow>), found out this was Perl code and the cow paintings always ended with `EOC`.
 235
 236 I typed this EOC into the custom cow designer and a basic perl print command. It worked, so command injection was here. I googled for perl system functions and found system() which worked out of the box.
 237
 238 ### Solution/Exploit
 239
 240 See above. Flag: `AOTW{th3_p3rl_c0w_s4ys_M0oO0o0O}`
 241
 242 Writeup with more technical details: <https://github.com/nononovak/otwadvent2019-ctfwriteup/blob/master/day4_mooo.md>
 243
 244 ## day-05: `Sudo Sudoku` (misc sudoku pwned)
 245
 246 Description:
 247
 248 Santa's little helpers are notoriously good at solving Sudoku puzzles, so they made a special variant...
 249
 250 Download: 2a3fad4ea8987eb63b5abdea1c8bdc75d4f2e6b087388c5e33cec99136b4257a-sudosudoku.tar.xz
 251
 252 Content:
 253
 254 * challenge.txt
 255
 256 which includes a Sudoku board as below as well as the additional rules:
 257
 258 ```rules
 259 In addition to the standard Sudoku puzzle above,
 260 the following equations must also hold:
 261
 262 B9 + B8 + C1 + H4 + H4 = 23
 263 A5 + D7 + I5 + G8 + B3 + A5 = 19
 264 I2 + I3 + F2 + E9 = 15
 265 I7 + H8 + C2 + D9 = 26
 266 I6 + A5 + I3 + B8 + C3 = 20
 267 I7 + D9 + B6 + A8 + A3 + C4 = 27
 268 C7 + H9 + I7 + B2 + H8 + G3 = 31
 269 D3 + I8 + A4 + I6 = 27
 270 F5 + B8 + F8 + I7 + F1 = 33
 271 A2 + A8 + D7 + E4 = 21
 272 C1 + I4 + C2 + I1 + A4 = 20
 273 F8 + C1 + F6 + D3 + B6 = 25
 274 ```
 275
 276 ```sudoku
 277     1 2 3   4 5 6   7 8 9
 278   +-------+-------+-------+
 279 A | . . . | . . . | . . 1 |
 280 B | . 1 2 | . . . | . . . |
 281 C | . . . | . . . | 2 . . |
 282   +-------+-------+-------+
 283 D | . . . | . . . | . . 2 |
 284 E | . 2 . | . . . | . . . |
 285 F | . . . | . . . | . . . |
 286   +-------+-------+-------+
 287 G | . . . | . . . | 1 2 . |
 288 H | 1 . . | . . 2 | . . . |
 289 I | . . . | 1 . . | . . . |
 290   +-------+-------+-------+
 291 ```
 292
 293 ### Time spent
 294
 295 I spent 1 hour for this challenge
 296
 297 ### Overview
 298
 299 We have to solve the sudoku. Best way would be an SMT/SAT solver.
 300
 301 ### Solution/Exploit
 302
 303 I tried customizing the Python Sudoku solver script at <http://norvig.com/sudoku.html> by extending the eliminate function with very naive if statements
 304
 305 ```python
 306 def eliminate(values, s, d):
 307     # ...
 308     if len(values['B9']) == 1 and len(values['B8']) == 1 and len(values['C1']) == 1 and len(values['H4']) == 1: # len 1 means only 1 value possible for those fields
 309         if int(values['B9'])+int(values['B8'])+int(values['C1'])+int(values['H4'])*2 != 23:
 310             return False # reject solution if B9 + B8 + C1 + H4 + H4 != 23
 311     if len(values['A5']) == 1 and len(values['D7']) == 1 and len(values['I5']) == 1 and len(values['G8']) == 1 and len(values['B3']) == 1:
 312         if int(values['D7'])+int(values['I5'])+int(values['G8'])+int(values['B3'])+int(values['A5'])*2 != 19:
 313             return False
 314     if len(values['I2']) == 1 and len(values['I3']) == 1 and len(values['F2']) == 1 and len(values['E9']) == 1:
 315         if int(values['I2'])+int(values['I3'])+int(values['F2'])+int(values['E9']) != 15:
 316             return False
 317     if len(values['I7']) == 1 and len(values['H8']) == 1 and len(values['C2']) == 1 and len(values['D9']) == 1:
 318         if int(values['I7'])+int(values['H8'])+int(values['C2'])+int(values['D9']) != 26:
 319             return False
 320     if len(values['I6']) == 1 and len(values['A5']) == 1 and len(values['I3']) == 1 and len(values['B8']) and len(values['C3']) == 1:
 321         if int(values['I6'])+int(values['A5'])+int(values['I3'])+int(values['B8'])+int(values['C3']) != 20:
 322             return False
 323     # ... + the other rules
 324     return values
 325 ```
 326
 327 But this was highly inefficient even with only the first if, although it works.
 328
 329 I then saw in Mattermost that we already solved this challege using Z3 and stopped trying improving this python script.
 330
 331 Writeup: <https://github.com/nononovak/otwadvent2019-ctfwriteup/blob/master/day5_sudo_sudoku.md>