Merhaba arkadaşlar yine 3,4 hafta MR. ROBOT walktrough’tan sonra hiç birşey yazmadım onun telafisi ve google botlarına ayıp olmasın diye ctf.canyoupwn.me’nin hazırladığı çözdüğüm tüm ctf sorularının nasıl çözüldüğünü anlatan bir blog olacak bu.
Şuan 8.’yim ctf leader board’ında.
Toplam’da 58 soru çözdüm diğer soruları çözersem eklemeye devam edeceğim.
ilk olarak bize 10 puan veren ve flaglerin nasıl yazılacağını gösteren bir forum var.
Soruların çözümüne geçmeden önce canyoupwn.me ekibinin eline sağlık böyle güzel bir capture the flag projesini bize sundukları için.Bazı sorular bizi dertlendirdi(Gerçek anlamda kayahan şarkısı felan 😃) bazı sorularda eğlendirdi şarkılarıyla.Çok güzel bir yarışma olmuş.Grafikleri ayrıca beğendim.
Şimdi sorularımıza geçme zamanı Alttan üste doğru tüm çözümleri anlatmayı planlıyorum.
Başlayalım.
İlk sorumuz : There is not exist easier than this
Bize bir google drive linki vermiş ekibimiz ben başta bir çok şekil şukul denesemde sonunda kendimi paintte resim dosyası ile parlaklık ayarlarını yaparken buldum parlaklığı en az’a çekip kontrastları yüksek yapınca flag gözüküyordu.
1.sorumuz’un cevabı : cypwn_{cok_gizli}
2.sorumuza geçelim : Ava Giden Avlanır
Sorumuz bize bir analiz.rar dosyası veriyor.
unrar aracılığıyla dosyanın içini açtığımızda karşımıza “skype stelaeri” diye bir dosya çıkıyor bu dosyayı strings ile incelediğimde ise bir kaç flage benzeyen yazı buldum tek tek hepsini deneyince.
2.sorumuz’un cevabını : cypwn_{capkin_hacker} olarak buluyoruz
3.sorumuza geçelim : Bir türüjan yazmışım moruk
Bu sorumuzda ekibimiz bize bir “server.rar” dosyası veriyor indirmeye çalıştığımızda ise “chrome” arkadaşımız bize bas bas zararlı bu dosya diye bağırıyor zaten sorumuzun adındanda anlamıştık ne olduğunu 😃
Bu dosyaya online “sandbox” yolu göründü baştan.İndirip “unrar” ile açtığımızda karşımıza “server.exe” isimli bir dosya geliyor.Bu dosyası “file” komutu ile incelediğimize “PE32 executable” dosya olduğunu söylüyor.Bunu hemen vazgeçilmezimiz “virustotal.com”a atıyoruz ve inceliyoruz.İncelerken bu dosyanın daha önceden tarandığını ve bakabileceğimizi söylüyor.
Daha önceden taranan “server.exe” dosyamızın ne olduğuna bakmaya çalışırken yorumlarada kaydı gözüm ve flagimiz oradaydı.
3.Sorumuz’un cevabı : cypwn_{capkinhacker.zapto.org}
4.Sorumuza geçelim : TV?
Bu soruda baya kafa yordum ben.Sebebini az sonra öğrenicez zaten 😃
Öncelikle sorumuz : Hacı geçen canyoupwnme diye bir kanal gördüm onion pi den bahsediyordu, “bin”li bişeler vardı sanki..
Sorudan dolayı ben hemen “canyoupwn.me” sitesine gittim ve arama bölümüne onion yazdım.Soruda “onion pi ile ilgili bahsediyordu” diyince ilk aklıma sitelerinde aramak geldi.
Yazıyı baya inceledik’ten sonra sayfanın en altında değişik bir yazı gördüm ilk önce bunun “hash” olabileceğini düşündüm ama değildi.
Pastebin ile arkadaş grubumuzda birşeyler paylaşırken pastebin urlsinin son yazıları çok tanıdık geldi.
TV? sorusunu tam bırakacakken bu pastebin urlsi yüzünden geri döndüm “onion pi kurulum” yazısına ve o yazıyı pastebinin yanina
pastebin.com/xvtMaBkU
olarak yerleştirdim ve flag karşımdaydı.Yazıda çok kolaymış gibi görünüyor ama belkide o pastebini o grupta paylaşmasam bu soruyu çözemeyip yerlerde sürünecektim 😃 şans işte.
4.Sorumuz’un cevabı : cypwn_{h4ckm3}
5.Sorumuz’a geçelim : This is Anonymous job!
Bu soruda merak sınırlarımı iyicebi zorladım hiç bitmeyen merakımı.
5,6 kişi hariç bu soruyu çözen hiç kimse yok leaderboard’ta.
İpucu : Selwyn Jamison`ın şirketi saldırıya uğramış parolalar leak olmuş..
Baya bir uğraştım bu soru için sonunda Sorunun başlığını görünce google’de şöyle bir araştırma sergiledim.
Bu soruda cidden terledim 1 saat ne yemek yedim ne birşey birde şişman adamım ben kalamıyorum öyle 😃. Tam bayılıcam derken oradaki hashlere rastladım ve hash-identifier’e attım ama hiçbirşey çıkaramadım.Sonunda aceba hash’lardan birimi lan cevap dayanç ? diye sordum kendime ve yolumu ilk işaretlediğim hash ile buldum 😃.
5.Sorumuz’un cevabı : cypwn_{2dad125c0c244a8cad69951515ecdeb75b0b1daa}
6.Sorumuz’a geçelim : Social Media
Bu soruda gerçek bir stalker olduğum kanısına vardım 😃
İlk aracımız tabiki google oldu ismi googlede araştırdığımızda ilk 3 linkte garip geliyor.Hepsini ben tek tek inceledim.
2.ve 3. linkte bir “QR CODE” vardı.Yeni sekmede resim’i açıp online bir “QR CODE DECODER” ile flagimizi bulmuş olduk.
Adımları ve hangi online decoder sitesini kullandığımı tek tek fotoraflar’dan görebilirsiniz.
6.Sorumuz’un cevabı : cypwn{Are_you_a_hacker?}
7.Sorumuz’a geçelim : Nerd
İpucu’muz : I need a source code for a domain. But I don’t know what is the domain name! search “ canyoupwn.me “
Bu soruya anlam veremedim ben ve yine google’ye sarıldım.
İpucumuz’da “canyoupwn.me” domainimiz için kaynak kodu aramamız gerekiyor.İpucumuzdaki keywordleri birleştirerek bir google araştırması sergiledim ve 1. URL’mizin açıklamasında source code arayabileceğimiz yazıyordu.
Siteye girdiğimizde bizi böyle bir ekran karşıladı.
Hemen arama bölümüne “canyoupwn.me” yazdım ve bu seferde farklı bir domain çıktı başlık olarak.
Aceba flag’imiz bu domain olabilirmi diye bir deneme yaptıııııık yapış o yapış.
7.Sorumuz’un cevabı : cypwn_{erdemoflaz.com}
8.Sorumuz’a geçelim : Secret
İpucumuz : secret.canyoupwn.me
İpucunda verilen web siteye girdiğimizde hiçbir türlü cevap gelmiyor server’den.Dns adresi bulunamadı diyor.Bizde hemen bir “DNS KAYIT” lookup’u yapıyoruz.
Ve işte flag karşımızda.
8.Sorumuz’un cevabı : cypwn_{kks271723jjjasd9asd771239}
9.Sorumuz’a geçelim : xCyberx
İpucumuz uzun olduğu için buraya yazmıyorum resimden bakabilirsiniz.
Bu soruda biraz zorlandım bir kaç pdf okumak zorunda bile kaldım 😃
sonunda bir ctf’te uygulanan “steghide” tekniğine baktım uzun araştırmalar sonucu.
ctf’te resim dosyasının içinden dosya çıkartabiliyorlardı ama bizim dosyamızda biraz farklı oldu çıkarttığımız dosya bizden bir şifre istedi.
Şifre olarak soru başlığımız olabileceğini düşündüm ve “xcyberx” olarak girdim şifreyi ama başarısız oldum.Farklı kombinasyonlar denerken “xcyberx” ile ilgili şifrenin “cyberx” olduğunu buldum ve resim dosyamızı “steghide” ile açtıktan sonra içinden “hint.txt” diye bir dosya çıktı ve onun içindende bir “yandex dosya” url’si çıktı.
Bu urlye gittiğimizde içinden bir “QR CODE” gördük ve yine decoder’imize sarıldık.
Bu “QR CODE”u decode ettiğimizde karşımıza böyle birşey geldi.
İşaretlediğim yerlerdeki hashlere baktığınızda base64 olduğunu görebilirsiniz bunu base64decoder ile decode ettiğimizde.Karşımıza böyle bir hash geliyor.
Bunun bir “ROT” olduğunu kolaylıkla anladık tabi hemen “ROT DECODER”imize sarılıp.Karşımıza bu karmaşık yazıları dizdik.
Değerler flag’e benzediği için bizim flag başlangıç türümüzü “CTRL + F” ile aradım “cypwn_{}”.
Ve flagimizi bu şekilde bulduk.
9.Sorumuz’un cevabı : cypwn{g00d_j0B_Br0y0u@r3@_h@ck3R}
10.Sorumuz’a geçelim : Mail
İpucu : Bu canyoupwn.me mailleri nerede barındırıyor acaba?
Bu soruyu görünce aklımıza “dig” gelmiyor değil online bir web sitedende yapabiliriz ama biz “dig” ile ilerleyelim.
“dig” ile mx taraması yaptığımız’da mail server olarak karşımıza “mx.yandex.net” çıkıyor.Bu olabilirmi diye deniyoruz cevabımızı ve bu soruyuda böylelikle geçmiş oluyoruz.
10.Sorumuz’un cevabı : cypwn_{mx.yandex.net}
11.Sorumuz’a geçelim : NS
İpucu : canyoupwn.me ‘nin nameserverlarından birisi?
İpucumuz açık açık belirtti ne istediğini bizede online veya toollardan birini kullanarak çıkan nameserverleri denemek düşüyor.
Online herhangi bir nameserver checker’den bu işlemi yapınca 2 tane “cloudflare” nameserver’i geliyor 1.’si flagimizin cevabı çıktı.
11.Sorumuz’un cevabı : cypwn_{ada.ns.cloudflare.com}
12.Sorumuz’a geçelim : Cyrpto Die
İpucumu : Rardaki dosyayı açarak dosyayı incelememize yardımcı olmalısın.
Bu soru biraz değişik geçti benim için.
Sorumuz’un açıklamasında verilen link’ten bir “ctf_canyoupwnme.rar” dosyası indiriyoruz.
bu dosya’yı açtığımız’da içinden “canyoupwnme.rar” ve bir “password.txt” dosyası çıkıyordu.
Hash’imiz “MD5” çıkıyor online bir “MD5 Decrypter” ile bu hash’i çözdüğümüzde karşımıza “eHh4eHh4” isimli bir yazı geliyor.
Bu çıkan sonuçtaki yazı base64 çıkıyor ve bu base64 hash’ini online bir web sitede decode ettiğimizde karşımıza “xxxxxx” isimli bir yazı geliyor.
Aceba bu “password.txt”den önce gelen rar’ın şifresi olabilirmi diye bir deniyoruz.
Veee flag karşımızda.
12.Sorumuz’un cevabı : cypwn_{ctf_akiyo_mansallah}
13.Sorumuz’a geçelim : Memory Dump
İpucumuz : Ram Imajından flag ı çıkart.
Sorun’un ipucundanda bize gelen “rar” dosyasının bir ram imajı olduğunu açık açık belirtiyor herhangi bir ram imaj analizi yapan bir tool ile bu işi kolayca halledebiliriz.Ben “volatility” kullanıyorum bunu çözmek için.
Unrar ile rar dosyamızın içinden çıkardığımız “canyoupwnme.mem” dosyasını resimde gördüğünüz parametreler ile açtığımızda karşımıza “FLG : Y3lwd25fe21lbW9fZmxhZ19idWx1bmR1fQ==” isimli base64lü bir hash geliyor.Online bir web sitede decode ettiğimizde flage ulaşıyoruz.
13.Sorumuz’un cevabı : cypwn_{memo_flag_bulundu}
14.Sorumuz’a geçelim : L-P
İpucumuz : Parolayı bul
Bu soru benim için biraz karmaşık oldu.Öncelikle verilen “rar” linkinden dosyamızı indiriyoruz.
Herzamanki gibi “unrar e findpassword.rar” yazarak dosyamızı açıyoruz.
İndirdikten sonra “file” komutumuz ile dosyamızın ne olduğunu inceliyoruz ve bize “MİNİDUMP Crash Report Data” olduğunu söylüyor.Daha önceden “mimikatz” kullanan varsa aranızda anlamıştır olayı zaten 😃
Windows için “mimikatz” indirmek için : https://github.com/gentilkiwi/mimikatz/releases/tag/2.1.1-20170508
“findpassword” dosyamızı mimikatz’ın içine atıyoruz.
Attıktan sonra mimikatz’ı çalıştırıp “findpassword” dosyamızı seçip tüm password’leri dump etmesini şu parametreler ile sağlıyoruz :
“findpassword MİNİ DUMP” dosyamızın içindeki “login passwordleri” çıkardığımızda ahmet gürel kullanıcısı için bir çok password türü çıkıyor deneyip yanıldıktan sonra asıl “flag” cevabımızın ahmet gürel kullanıcısının şifresi olan “canyoupwnmectf” olduğunu buluyoruz.
14.Sorumuz’un cevabı : cypwn_{canyoupwnmectf}
15.Sorumuz’a geçelim : Attack Type
İpucumuz : Pcap dosyasında bir saldırı gerçekleşmektedir.Hangi zafiyet exploit edilmeye çalışılmıştır?
İndirdiğimiz “rar” dosyasından bir adet .pcap dosyası çıktı ve gözümüz wireshark’a kaydı başlayalım incelemeye.
Çoğu paket’ten smb portları gözüktü microsoft-ds portları gözüktü azıcık bir gözümüz açıldı.
Ama wireshark ile birşey bulamadık biz birde “NetworkMiner” aracı ile göz atalım ama bir sorunumuz var “NetworkMiner” sadece .pcap dosyalarını kabul ediyor bize gelen dosya .pcapng bunu .pcap yapmamız gerek yada para verip”NetworkMiner”in sürümünü yükseltmemiz gerek.
http://pcapng.com/ ile pcapng dosyamızı .pcap’e çevirdik ve network miner ile dosyamızı açtık.
Sorumuzu kavradığımız için bizden zaafiyet tipini istiyor. netbios-ssn için vuln sürümlerine bakıp deneyip yanıldığımızda.Bunun MS08-067 olduğunu buluyoruz.
Devamı için tıklayınız
