2019のwriteupです。チームNekochanNano!で参加し、2598ptsで3位でした。以下、私が(サポートをもらいつつ)解いた問題のwriteupです。forensicsforensics_persistence.arnというファイルが渡されます。fileコマンドを実行してみると、以下のような結果になりました。dataというのはサーモグラフィカメラのフォーマット(?)らしいですが、本問とは関係ありませんでした。調査の結果、本ファイルは「Autoruns」の膨大な情報から本当に怪しいヤツをあぶりだすテクで紹介されているAutorunsのファイルであることが分かりました。そこで、本ファイルをAutoruns.exeで調査したところ、Evilというキーに記録された不審なexeファイルのファイル名にフラグが記載されていました。misc接続すると、/binにlsしかないbashにつながります。lsすると以下のようになります。lib64/flagというファイルがありますが、catコマンドがないため中身を読むことができません。そこで、bashの組み込みコマンドを利用して読み出します。.Flagは172.17.0.5:3000に接続すれば得られるようです。そこで、linkを参考に以下のようにすると読めます。miscYoutubeのリンク、パスワード付きZIPファイル、wavファイルが渡されます。wavファイルは、Youtubeの動画の音声のみを抽出したもののようで、内容は電話のダイヤルの音声(DTMF)でした。動画からはどの番号がタップされているかわからないので、linkを参考にAudacityというツールと変換表を用いて番号を復元したところ、以下のようになりました。13素数列が並んでいますがこれだけではパスワードがわかりません。問題文からパスワードは英大文字であることがわかっていたため、各素数はアルファベットのインデックスになっているのではないかとエスパーをし、以下のスクリプトを書いたところパスワードが復元できました。#PLEASEREMEMBERDTMFこのパスワードを用いてZIPファイルを解凍したところ、Flagを取得できました。webBlogサービスのようなWebサイトが渡されます。Meをクリックし遷移すると、http://114.177.250.4:9999/cgi-bin/viewer.pl?text=aboutのようにtextクエリでファイルを指定しているように見えます。そこで、http://114.177.250.4:9999/cgi-bin/viewer.pl?text=viewer.plとすると、viewer.plを閲覧することができました。上記のソースを読み、以下のようにdirクエリやfolderクエリを上手く操作するとルートディレクトリを参照することができます。http://114.177.250.4:9999/cgi-bin/viewer.pl?dir=/&folder=../../../ここにflagというファイルがリストされていますが、以下のURLでは参照することができません。http://114.177.250.4:9999/cgi-bin/viewer.pl?dir=/&folder=../../../&text=flagURLの末尾に|を付加することでflagが取得できました。crypto暗号化されたPDF(flag.www)と暗号化スクリプト(encrypt.py)が渡されます。encrypt.pyは以下の通りです。os.remove('keys.txt')処理としては、大まかに以下のことがわかります。Cipherであるxは直前の暗号化された結果で上書きされるさて、暗号化ファイルの内容の先頭部分と平文のヘッダの内容から、以下のことがわかります。587424505しかし、これだけではa,b,xの初期値を割り出すことができません。そこで、ファイルの末尾にパディングが付加されている事実を利用します。(%EOF)であるため、平文ファイルの終端は以下のどれかで終わることがわかります。2**32の計算結果は以下のどれかになります。0x49dc9e63)よって、以下のような連立方程式が立てられます。x)の初期値は以下のどれかであるとわかります。10971156479)そこで、これらの全てのパラメータで複号を試みるソルバを書きました。8858370047)でメッセージが出現しました。PDFファイルを修復すれば良いようです。|C095488D8592BC><|あとはこのファイルを適当なPDF修復ツールにかければFlagが取得できます。Contrailの皆さま、お忙しい中ありがとうございました。2019のwriteupArchiveRankingはてなブログをはじめよう!Szarnyさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。