Comments 4
UFO just landed and posted this here
UFO just landed and posted this here
Классный детектив, но во многих случаях в реальности пользователь вряд ли оставит такие дыры, так что опасения по поводу лёгкости хака iot имхо преувеличены:
> 1.1. Nobody at the company of greatiot.phdays.com could even say what his first and last name is. Maybe you can find it?
Здесь всё норм, правдоподобно, думаю мало кто параноит настолько, что вычищает метаданные из картинок
> 1.2. Most excellent. We have logs from his fitness tracker and we need to know where he’s spent his evenings after work. (Name in uppercase)
No comments… Условный противник сам всё всему миру рассказал в foursquare, а также слил логи с геоданными. Задача не на взлом, а на примитивный дата майнинг.
> 2.1. We have only a photo of his wife from his desktop background: yadi.sk/i/wIMhX59h3J5ufA. Find the IP address of the developer's personal server.
Использование вебсервиса для сужения поиска по геоданным в фото — прикольно (хотя скорее всего vk api такие штуки тоже позволяет делать), а дальше ВНЕЗАПНО — IP и пароль в публичном файле на pastebin…
> 2.2 Apparently the developers used team chat but often head to discuss things via VoIP. Get the address of the VoIP gateway.
До использования logdate в POST иначе как телепатией имхо не додуматься o_O
В любом случае, в жизни именно такая халява с запросом логов через POST вряд ли встретится.
Ну и открытая группа в скайпе — ССЗБ.
> 2.3 Not bad. Maybe you can also find out the last person he called?
Вот здесь клёвый хак, хотя описание взлома — из разряда «как нарисовать сову».
> 3.1. All we could find is his email address: digitalmane@yandex.com. But information about his router is stored somewhere… Uncover its URL! (Format: hostname.com/page/)
«Любимый исполнитель» вместо 2-факторной авторизации + профиль на ластфм = автоpwn электронной почты, дальше можно делать уже всё что угодно.
> 3.2. Find the IP address of the router, will you?
Классный приём с NTFS метаданными, респект.
> 3.3. Interesting… He doesn’t look much like a hipster, especially with a name like that. Find out
his first and last name.
«Перед нами роутер со стандартными логином и паролем» (с внешним IP) — удобно, но бывает только в сказках. =) Дальше опять идёт как нарисовать сову;
> 4.1. We could find only part of a phone number, but her e-mail is brintet@protonmail.com. Have any ideas on how to find the full version? +7985134****
Без телепатии (с paypal) имхо нерешаемо…
> 4.2. Surely it won’t be hard for you to find out her first and last name?
Шокирующие новости: использовать мессенджер, где логином является телефон == сообщить всему миру привязку имя-телефон. Всё ожидаемо.
> 5.1. He has a secret related to this wallet LMksJQ3GrHXDSMjwEvPAEJsaXS7agq6DaQ. Find out where he transferred all this money to.
Тупо изучить кошелёк, взлома как такового не производится.
> 5.2. Find out where he is.
«По номеру кошелька, найденному в предыдущем задании, в Google находим счет на оплату» — шли-шли по сказочному миру и нашли счёт в публичном доступе…
> 6.1. All we could find is the developer's account and a CloudPets recording: yadi.sk/d/qTNjZYj63J5vHB. Overhear his secret.
Интересно, но это всё равно дата майнинг, а не взлом.
> 7.1. Get the developer's Twitter login. There's a web service here: devsecure-srv139.phdays.com
Клёво, нетривиально.
> 8.1. We found the token d91496dfcaad93f974a715fb58abeeb0 and VDS 188.226.148.233. Try to find the sysadmin's github account.
Клёво, не знал что можно перебором искать валидные урлы.
> 8.2. Looks like a home router… See if you dig up something interesting.
Что такое «something interesting»? Задача нечёткая. Про камеру интересно, сам недавно выкапывал из веб-админки китайской камеры прямую ссылку на rtsp.
> 1.1. Nobody at the company of greatiot.phdays.com could even say what his first and last name is. Maybe you can find it?
Здесь всё норм, правдоподобно, думаю мало кто параноит настолько, что вычищает метаданные из картинок
> 1.2. Most excellent. We have logs from his fitness tracker and we need to know where he’s spent his evenings after work. (Name in uppercase)
No comments… Условный противник сам всё всему миру рассказал в foursquare, а также слил логи с геоданными. Задача не на взлом, а на примитивный дата майнинг.
> 2.1. We have only a photo of his wife from his desktop background: yadi.sk/i/wIMhX59h3J5ufA. Find the IP address of the developer's personal server.
Использование вебсервиса для сужения поиска по геоданным в фото — прикольно (хотя скорее всего vk api такие штуки тоже позволяет делать), а дальше ВНЕЗАПНО — IP и пароль в публичном файле на pastebin…
> 2.2 Apparently the developers used team chat but often head to discuss things via VoIP. Get the address of the VoIP gateway.
До использования logdate в POST иначе как телепатией имхо не додуматься o_O
В любом случае, в жизни именно такая халява с запросом логов через POST вряд ли встретится.
Ну и открытая группа в скайпе — ССЗБ.
> 2.3 Not bad. Maybe you can also find out the last person he called?
Вот здесь клёвый хак, хотя описание взлома — из разряда «как нарисовать сову».
> 3.1. All we could find is his email address: digitalmane@yandex.com. But information about his router is stored somewhere… Uncover its URL! (Format: hostname.com/page/)
«Любимый исполнитель» вместо 2-факторной авторизации + профиль на ластфм = автоpwn электронной почты, дальше можно делать уже всё что угодно.
> 3.2. Find the IP address of the router, will you?
Классный приём с NTFS метаданными, респект.
> 3.3. Interesting… He doesn’t look much like a hipster, especially with a name like that. Find out
his first and last name.
«Перед нами роутер со стандартными логином и паролем» (с внешним IP) — удобно, но бывает только в сказках. =) Дальше опять идёт как нарисовать сову;
> 4.1. We could find only part of a phone number, but her e-mail is brintet@protonmail.com. Have any ideas on how to find the full version? +7985134****
Без телепатии (с paypal) имхо нерешаемо…
> 4.2. Surely it won’t be hard for you to find out her first and last name?
Шокирующие новости: использовать мессенджер, где логином является телефон == сообщить всему миру привязку имя-телефон. Всё ожидаемо.
> 5.1. He has a secret related to this wallet LMksJQ3GrHXDSMjwEvPAEJsaXS7agq6DaQ. Find out where he transferred all this money to.
Тупо изучить кошелёк, взлома как такового не производится.
> 5.2. Find out where he is.
«По номеру кошелька, найденному в предыдущем задании, в Google находим счет на оплату» — шли-шли по сказочному миру и нашли счёт в публичном доступе…
> 6.1. All we could find is the developer's account and a CloudPets recording: yadi.sk/d/qTNjZYj63J5vHB. Overhear his secret.
Интересно, но это всё равно дата майнинг, а не взлом.
> 7.1. Get the developer's Twitter login. There's a web service here: devsecure-srv139.phdays.com
Клёво, нетривиально.
> 8.1. We found the token d91496dfcaad93f974a715fb58abeeb0 and VDS 188.226.148.233. Try to find the sysadmin's github account.
Клёво, не знал что можно перебором искать валидные урлы.
> 8.2. Looks like a home router… See if you dig up something interesting.
Что такое «something interesting»? Задача нечёткая. Про камеру интересно, сам недавно выкапывал из веб-админки китайской камеры прямую ссылку на rtsp.
В задании 2.1 можно было использовать поиск копий изображений ВКонтакте. Для этого нужно было загрузить эту фотографию к себе в профиль, зайти в Новости -> Фотографии -> Поиск по фотографиям и вставить там copy:photo********_********* (вместо звездочек идентификатор загруженной фотографии). Единственным результатом выдавало фотографию с нужного профиля ВК.
Sign up to leave a comment.
Конкурентная разведка на PHDays: шпионим через Интернет вещей