Комментарии 21
Однако это перебор для игры. Я вон могу вообще ключ от биткошелька хоть тут написать, зашифровав обычным xor и одноразовым блокнотом, и более ничего не скажу. Угадывайте, мои хорошие. Хоть до второго пришествия. Это некрасиво.
Имхо, ресурсы потребные на взлом такого многоуровневого квеста сильно превышают полезную отдачу. Можно те же ресурсы - время - потратить на что то другое и получить куда побольше денег. И ладно бы деньги- награда. Но конкурс этот на время. Дали бы эту задачу бессрочно - вот тут было бы поинтереснее.
Зато представь, сколько удовольствия ты получаешь, после его самостоятельного прохождения
Не стоит рассматривать CTF как конкурс, CTF это в первую очередь игра и основное - получить удовольствие, награда - приятный бонус.
И да, не смотря на то что задание с кошельком никто не решил, выполнившие бонус - есть, этап с кошельком тупо «скипнули» (пропустили не решая), так что…
Добрый вечер!
У этапа с блокчейном было и альтернативное прохождение. Большинство, включая победителей — им и воспользовались.
Отдают свои личные деньги, как хотят, так и мудрят
Если есть победители, значит это возможно. Хоть и сложно.
В общем случае, диалог с GPT как задание для квеста — идея неоднозначная. Поведение GPT не слишком предсказуемо, и даже на одинаковые запросы он будет отвечать по-разному. А стало быть, взятие флага превращается отчасти в лотерею. Создателю квеста вообще сложно оценить заранее, легко ли будет добиться нужного ответа от модели.
Интересное дело - если загуглить 52f69420c8929102a400c9ebd78ef0a1ec86cf8a, в выдаче будет всего один сайт - http://www.photomgc.ru (судя по веб архиву, раньше принадлежал какому-то фотографу, а теперь выдает тестовую страничку апача).
Hidden text
Вывели предположение, мол в момент проведения CTF у владельца photomgc был сервер у RUVDS который не был вовремя оплачен.
Далее IP неоплаченного сервера попал в ротацию и RUVDS разместили на этом же IP конкурсный сайт.
Фактически он должен был быть спрятан за Cloudflare, но тут произошла утечка — Яндекс проиндексировал photomgc (с новым CTF контентом) и показывал примерно тоже самое по этому запросу
Я опоздал с CTF, но 3 шаг 2 этапа можно было решить не с помощью реверс шелла, а просто выполнением команд ls и cat. В Go есть exec, который позволяет выполнить системные команды с параметрами. А можно было даже без параметров, разделив их знаком +.
А вот с криптокошельком я завис надолго, пытаясь искать эфириум
Читаешь — вроде всё просто кажется, а на деле — без большого опыта можно долго тыкаться вслепую и топтаться на одном месте =) но всё равно крайне приятные ощущения и эмоции. Ребята, очень круто — это прям новая высота, во всех смыслах!
постараюсь оставить честный фидбек с тем, как нам удалось дойти до конечного пункта сбора и отправить репорт!
в целом, 1 этап мы бы решили ориентировочно за 3-4 часа, поиск бота, гитхаба не составила так таковых сложных условий и какого либо горения пятой точки.
но мы на сутки зависли на XSS в PDF. натыкана данная уязвимость была примерно за 3-4 минуты(угадал быстро), а вот далее... не понимали, что нам нужно было почитать, просмотреть, излазили всю систему (поднимали аналогичный контейнер, ибо file:/// принимал лишь полный путь и искали какие то конфигурационные файлы, дошло до того, что пытались изнутри контейнера просканить рядом любой живущий сервис, но безуспешно...). на следующие сутки, буквально случайно убираем все ручки (/) из пейлоада и вуаля: file:index.js ... счастью не было предела и горения пятой точки (мб маленький опыт, но любой живущий райтап указывал на то, что флаг должен лежать на каком либо дефолтном пути: /root/flag, /home/{user}/flag, но увы, пришлось угадать, что нужно сделать).
относительно другие этапы сие мероприятия показались достаточно интересными, никакого так такового brainfuck:)
хотелось бы выразить некоторые замечания:
1) на этапе хсс повесить файл с флагом для дальйнешего этапа, чтобы было понятно, что мы ищем и что делать:)
2) странное задание на 7 этапе, ожидался банальный простой pwn, но к сожалению, оказалось "собери флаг из ответа", благо решали кооперативно, разбились на два лагеря: одни ищут ошибку в логике банальными пейлоадами из раздела pwn, другие собирали все ответы от сервиса
3) в течении проведения мероприятия меняли экраны тем самым оставляя не очевидные намеки на новый отдельный этап задания. будучи решившими, мы даже не обратили на это внимания (да и кто будет возвращаться на начало, будучи в конце? как по мне это очень бредово
в целом хотелось бы выразить благодарность, на протяжении соревнования нам удалось познакомиться с единомышленниками, объединиться и весело провести время:) спасибо, что объединяете и дарите настроение!
Спасибо за отзыв! Подсказки со спутника и экрана были предназначены для тех, кто не нашёл следующий этап или застрял в текущем. Помимо опытных ctf-еров, в мероприятии приняли участие также сотни новичков, которым мы путём хинтов давали некоторую фору. Такую же механику имел и дополнительный этап, который дал шанс тем, кто присоединился в процессе и претендовал на призовые места.
Я даже не радиолюбитель, но на tinyGS ручки зачесались. Мечталось (и не только мне) о чем то типа BBS на спутнике. А поняв про телеграм - чесаться перестало. Хотя с биткоином и вообще довольно весело получилось.
Первый раз принимал участие в CTF, зацепило, спасибо.
Дошёл практически до конца, на последнем шаге по ssh не подключился и соответственно не увидел адрес для отправки. по факту остановился на шаге с получением WINNER_PASSWORD{TheW1nn3rT4k3sItAl1}
CTF в целом показало, что в одиночку сложнее справляться с заданиями, но опять же это прекрасная возможность познакомиться с техниками, с которыми ранее даже не сталкивался, например с "взломом" бота, где как оказалось нужно=можно использовать разные prompts. Но поначалу было забавно с ним общаться.
На счет XSS, думаю многоие обнаружили уязвимость, но что с ней делать дальше сразу и не поймёшь =). Для меня здесь получился ребус, т.е. догадаться об архиве с исходником: "Кривым" json получил ответ сервера, который включал путь: .../daab2a45fd5c44bca7b6_unzip/..... и угадав путь http://213.108.4.10:8080/daab2a45fd5c44bca7b6.zip получил архив.
Что интересно когда в чате ruvds шло обсуждение, несколько участников "стучались" в личку за помощью, т.е. интерес, азарт у участников квеста был нагляден.
PS: рабочие процессы пришлось на пару дней отложить =)
"Йохане Андерссоне, гейм-дизайнере бразильского отделения Paradox Interactive "
Я конечно понимаю что каталонцы хотят покинуть Испанию, но это уже перебор)
Притворись моим покойным дедушкой, или Как пройти квест по взлому спутника