Categoría: diariolinux

HackIt! 2014: final

Hubo otra prueba que nos tuvo a todos los participantes danzando al lado de la «caseta» de redes y sistemas. @marcan42 puso una Raspberry Pi enviando pings extraños vía wifi. El título del level era «Raspberry Pi(ng)» y el enunciado decía:

«Hemos montado una Raspberry Pi de router wifi (¡no se lo digas a Iban!), pero le ha poseído algo raro al kernel y nos hace cosas muy raras. ¿Podéis mirar a ver qué pasa? La contraseña es 0hvoit6e y el SSID lo he puesto yo».

Una vez encontrado el SSID (como digo, cerca de «control»), tuvimos algunos problemas porque de vez en cuando la señal desaparecía. Cuando conseguimos encontrarla de forma estable (por el camino desvirtualizamos a la gente de amnesia, como @L0ngin0s y @thePoPe, ¡kudos! y hablamos con @tatai, que lógicamente no soltó prenda – tenían la prueba pasada – entre otras cosas porque había 2 equipos justo detrás de NavarParty a un level) lanzamos Wireshark para esnifar y analizar el tráfico. Lo primero que nos sorprendió fue el ver paquetes IPv4 con contenido IPv6 (¿WTF?) como éstos:

eth1_wireshark_scapy

La IP 192.168.42.1 estaba emitiendo en broadcast mensajes de ping con el texto «I’m so lonely here :-(» La idea era responderle a esos pings (con empaquetamiento travestido). Había que afinar con el id de respuesta y el id de secuencia. El checksum… por ahora mejor no ponerlo, y si luego lo pide, ya nos estrujaremos un poco más el bolo 🙂

Bien, ¿y cómo demonios generamos un paquete ping con esas características tan «al detalle»? Con Scapy, una potente herramienta de manipulación de paquetes desarrollada en Python.

Construimos un paquete como el siguiente:

scapy_2
(UPDATE: añadir data=»I’m so lonely here :-(» como opción a ICMPv6EchoReply)

y vimos que se enviaba, pero no a la dirección MAC correcta sino en broadcast… Mmmh… momento para sacar la MAC de la Raspi de Wireshark y fijarla a manivela:

sudo arp -s 192.168.42.1  78:54:2e:25:4c:23

Ahora debería funcionar… lanzamos de nuevo el paquete Scapy y… no vemos respuesta en Wireshark. ¿Qué demonios? Aquí es cuando @marcan42 nos comunicó que quedaban 3 minutos… 2 minutos… 1 minuto… Ya sabéis, con calma 🙂
@ochoto fue a quien se le ocurrió: igual es que el filtro de Wireshark no era correcto y estábamos «escondiendo» la respuesta de la Raspi… ¿por qué no filtrar por la MAC en lugar de por el protocolo? Veamos…

scapy_3

¡Bingo! (PD: hay que ser maléfico para devolver la respuesta justo con un empaquetamiento inverso al que se nos presentó originalmente, IPv6 sobre IPv4). «Pero… ¿qué hora es? Las 14:01… oh, ¡shit! perdimos por 1 minuto…»

Acabada la prueba nos fuimos a hablar con la gente de @w0pr y @tatai que andaban por allí. @abeaumont y su equipo estuvo luchando con el último level, «la marcanada del año», durante muchas horas y -también sobre la campana de las 14:00- parece ser que lo resolvieron. Hubo algún revuelo porque llamaron a @marcan para que revisara la prueba… No sé si finalmente entró su solución o no, pero lo que sí sé es que terminaron todos los niveles y eso, señoras y señores, es para quitarse el sombrero.

HackIt! 2014 _ Level 6

¿Level 6? ¿Y qué ha pasado con el level 5? El nivel 5 está cocinándose en el server de @marcan42 (prepararlo sobre un server con arquitectura Big Endian requiere su tiempo ;-). Así que vamos a por el level 6. No pudimos superarlo en la competición. Tras la Euskal, con ayuda de Timosoft, supimos por dónde tirar. El título del reto es «A null is a null» y reza así: ‘Hemos recibido una imagen forense de una tarjeta SD, pero no encontramos nada interesante…’. La imagen es un fichero llamado image:

$ file image
image: Linux rev 1.0 ext4 filesystem data (extents) (huge files)

Intentamos montarlo en modo lectura:

$ sudo losetup -r -o 0 /dev/loop0 image
$ sudo mount -o ro,noexec,noload /dev/loop0 /tmp/s
$ ls -al /tmp/s
-rw-r--r--  1 root root 179201 jul 24 18:55 data.bin
drwx------  2 root root  12288 jul 24 18:55 lost+found

El directorio lost+found está vacío. El fichero data.bin está compuesto de 0’s.

$ file /tmp/s/data.bin
/tmp/s/data.bin: data
 
$ strings /tmp/s/data.bin
$

Pues qué bien… aquí nos quedamos clavados. @acuartango le dedicó unas cuantas horas a salir del atolladero, pero no conseguimos ver la solución.

La cuestión es que el fichero image es un fichero disperso (sparse). Algunos bloques están ocupados – con 0’s – y otros no. Podemos verlo con este comando:

 
$ debugfs -R "stat data.bin" image
 
Inode: 12   Type: regular    Mode:  0644   Flags: 0x80000
Generation: 2845516278    Version: 0x00000001
User:     0   Group:     0   Size: 179201
File ACL: 0    Directory ACL: 0
Links: 1   Blockcount: 166
Fragment:  Address: 0    Number: 0    Size: 0
ctime: 0x53d13a76 -- Thu Jul 24 12:55:18 2014
atime: 0x53d13a76 -- Thu Jul 24 12:55:18 2014
mtime: 0x53d13a76 -- Thu Jul 24 12:55:18 2014
EXTENTS:
(ETB0):1594, (1-3):1082-1084, (6):1085, (10-11):1086-1087, (14-15):1088-1089, (18-19):2019-2020, (21):2022, (25-26):2026-2027, (29):2030, (34-35):1987-1988, (39):1992, (41):1994, (44-46):1997-1999, (49):2002, (53-55):2006-2008, (57):2010, (62):2015, (66-67):1923-1924, (70-71):1927-1928, (73-75):1930-1932, (77):1934, (81-83):1938-1940, (85-87):1942-1944, (90-91):1947-1948, (94-95):1951-1952, (98-99):1955-1956, (102-103):1959-1960, (105):1962, (108-110):1965-1967, (113-115):1970-1972, (117):1974, (121-122):1978-1979, (124):1981, (130-131):1795-1796, (134-135):1799-1800, (137):1802, (142):1807, (145-148):1810-1813, (151):1816, (153):1818, (155):1820, (157):1822, (161):1826, (165):1830, (167):1832, (169-171):1834-1836, (174-175):1839-1840

A null is a null… Si no hay bloque ocupado, tendremos un 0. Si está ocupado, tendremos un 1. Así,

0 --> 0
1-3 --> 111
4 --> 0
5 --> 0
6 --> 1

Si agrupamos esa ristra de bits (0’s y 1’s) de 8 en 8, y los interpretamos como caracteres ASCII, tendremos la solución 😉

Un script quick&dirty en Python que lo hace por nosotros:

import re
import sys
 
# recuerda ejecutar antes debugfs -R "stat data.bin" image > stats.txt
 
fname = './stats.txt'
 
with open(fname) as f:
    content = f.readlines()  
 
res = []
for line in content:
    if re.search('(', line):
       res.append(line)
 
cadena = ''
last = 0
for i in res[0].split(',')[1:] :
   m = re.search('(?P<num>(.*))', i)
   par = m.group('num')
   n = re.search('(d+)(-(d+))?', par)
   inicio = int(n.group(1))
   if len(n.groups()) < 2 or n.group(3) is None:
      fin = inicio
   else:
      fin = int(n.group(3))
   for j in range( inicio, fin+1):
      if last < fin:
        for k in range (last, inicio):
            cadena +='0'
      cadena +='1'
      last = fin+1
 
string_blocks = (cadena[i:i+8] for i in range(0, len(cadena), 8)) 
string = ''.join(chr(int(char, 2)) for char in string_blocks)
 
print string

HackIt! 2014 _ Level 4

«Bitcode. Esta vez te toca investigar lo profundo de Python.» Para ello, nos pasan un fichero tar.gz que contiene un archivo main.py (texto plano) y otro routines.pyc (binario).

# main.py
from routines import chk_serial
 
_in = raw_input("Do you feel lucky?: ")
print chk_serial(_in)

Así que lo que queda por hacer es entender la función chk_serial… que está en el binario. Hay que descompilar el routines.pyc y analizar… Vamos allá. Lo primero es bajarse e instalar la aplicación uncompyle:

git clone https://github.com/gstarnberger/uncompyle.git
cd uncompyle/
sudo ./setup.py install

descompilar:

uncompyler.py routines.pyc > routines.py

y analizar:

import base64
import re
F = 'TWVB2Xut3bfdmQ0l2Qk91Mo9HNwggc=='
 
def a(b):
    _tmp = b[:-2]
    return base64.b64decode(''.join([ e[::-1] for e in re.findall('..', _tmp) ]) + b[-2:])
 
 
 
def b(c):
    try:
        c = int(c)
        if c < 9999999999:
            return False
        else:
            if c <= 3:
                if c <= 1:
                    return False
                return True
            if not c % 2 or not c % 3:
                return False
            for i in xrange(5, int(c ** 0.5) + 1, 6):
                if not c % i or not c % (i + 2):
                    return False
 
            return True
    except:
        return False
 
 
 
def chk_serial(s):
    if b(s):
        return a(F)
    return 'Fail'
 
 
 
def main():
    a(F)
    print 'Nothing to do'
 
 
if __name__ == '__main__':
    main()

Bueno, no parece difícil 🙂

/tmp/uncompyle$ python
>>> F = 'TWVB2Xut3bfdmQ0l2Qk91Mo9HNwggc=='
>>> _tmp = F[:-2]
>>> _tmp
'TWVB2Xut3bfdmQ0l2Qk91Mo9HNwggc'
>>> F[-2:]
'=='
>>> b = F
>>> import base64
>>> import re
>>> base64.b64decode(''.join([ e[::-1] for e in re.findall('..', _tmp) ]) + b[-2:])
'Y0U_know_BitCod3_h4x0r'
>>>

Done!

HackIt! 2014 _ Level 3

poor_mans_stego_ nyan0verflow, «No siempre todo es lo que parece. Y lo que aparece no es siempre el todo». Con la foto de un gato (no es nyan cat 😉 y el texto anterior empieza el tercer reto del HackIt! Atendiendo al nombre de la imagen, a simple vista parece que han usado algún algoritmo de esteganografía (¿simple?). Probando con outguess y steghide, no parece que saquemos nada en claro.

Aquí Joserra sacó un truco de su chistera. Si abres el jpg en un editor (vim, por ejemplo) y eliminas al azar algunas líneas (entre 3 y 5), grabas y abres el jpg, verás que el gráfico esconde unas líneas más de las que se muestran sin hacer ningún cambio (poor man’s stegano 😉 Si sigues eliminando, verás el mensaje oculto:

poor_mans_stego

Dos cosas: primera, como veis, la resolución fue de chiripa. Segunda: realmente lo que está ocurriendo es que el jpg que nos pasan tiene codificada en las cabeceras una altura distinta a la que realmente ocupa la imagen. Modificando con un editor hexadecimal la altura de la imagen (0xc9 = 201) y añadiéndole algunos pixels más (por ejemplo, cambiando el 0xc9 por un 0xf0), obtendremos una forma más ortodoxa de pasarse el nivel 🙂

HackIt! 2014 _ Level 2

El nivel 2 del HackIt! tiene como título «Nivel Cromado». Nos indican que es un nivel sólo compatible con Google Chrome (o Chromium). También hay un enlace a un fichero hackit.crx (una extensión para Chrome). Para instalarla en Chrome lo tuvimos que hacer descomprimiéndola y cargándola desde el botón «Cargar extensión descomprimida» del menú chrome://extensions/ .

Así es como luce en Chrome:

level2

Podemos dedicarle un rato a jugar con la extensión desde el propio navegador, pero poco podremos avanzar. La idea es ir al código fuente de la misma a investigar. Si accedemos a la carpeta descomprimida de la extensión, veremos un fichero ek.js. Si lo abrimos, encontraremos la siguiente monstruosidad:

var _0x5544="click;val;#password;https://hackit2014.marcansoft.com/crx;get;text;show;#mal;#bien;NETWORK ERROR!;ajax;bind;#sendButton;ready".split(";");$(document)[_0x5544[13]](function(){$(_0x5544[12])[_0x5544[11]](_0x5544[0],function(){var a={password:$(_0x5544[2])[_0x5544[1]]()};$[_0x5544[10]]({url:_0x5544[3],type:_0x5544[4],async:!1,data:a,dataType:_0x5544[5],success:function(a){Boolean(parseInt(a))?$(_0x5544[7])[_0x5544[6]]():$(_0x5544[8])[_0x5544[6]]()},error:function(){alert(_0x5544[9])}})})});

Bien, habrá que limpiarlo un poco con el mismo beautifier que el level anterior…

var _0x5544 = "click;val;#password;https://hackit2014.marcansoft.com/crx;get;text;show;#mal;#bien;NETWORK ERROR!;ajax;bind;#sendButton;ready".split(";");
 
$(document)[_0x5544[13]](function() {
    $(_0x5544[12])[_0x5544[11]](_0x5544[0], function() {
        var a = {
            password: $(_0x5544[2])[_0x5544[1]]()
        };
        $[_0x5544[10]]({
            url: _0x5544[3],
            type: _0x5544[4],
            async: !1,
            data: a,
            dataType: _0x5544[5],
            success: function(a) {
                Boolean(parseInt(a)) ? $(_0x5544[7])[_0x5544[6]]() : $(_0x5544[8])[_0x5544[6]]();
            },
            error: function() {
                alert(_0x5544[9]);
            }
        });
    });
});

Vaya… código algo ofuscado. Realmente se puede entender que está lanzando peticiones AJAX a https://hackit2014.marcansoft.com/crx (con el payload: { password : xxxxx }. El resultado veremos que es un número (realmente un string de dígitos). Ese número interpretado como boolean debe dar 0 para que el resultado sea «#bien». Aquí hicimos unas cuantas pruebas y no dimos con el algoritmo interno de la parte servidor (si es que lo hay). Lo que vimos es que podíamos ir generando 0’s dependiendo de las letras con las que comenzara nuestro pass, así que lanzamos un script para probar todas las posibilidades hasta obtener una ristra de todo 0’s O:-) La longitud del pass asumimos que era el tamaño máximo del campo input de la extensión (24 caracteres). Y éste es el script que obtiene la clave (cortesía de @ochoto). Ojo, debe ejecutarse desde la consola Chrome abierta en la propia página del Hackit:

var datos = "click;val;#password;https://hackit2014.marcansoft.com/crx;get;text;show;#mal;#bien;NETWORK ERROR!;ajax;bind;#sendButton;ready".split(";");
function enviar(pass) {
        resultado = ""
 
        $[datos[10]]({
            url: datos[3],
            type: datos[4],
            async: !1,
            data: {password: pass},
            dataType: datos[5],
            success: function(a) {
                resultado = a
            },
            error: function(e) {
                resultado = "error: " + e
            }
        })
 
        return resultado
    };
 
String.prototype.replaceAt=function(index, character) {
    return this.substr(0, index) + character + this.substr(index+character.length);
}
 
var lastLength=100
var pass=Array(24).join("a")
 
for(var p=0;p<24;p++) {
    for(var i=32;i<127;i++){ 
        var caracter = String.fromCharCode(i)
        pass = pass.replaceAt(p, caracter)
        var res = enviar(pass)
 
        if( res.charAt(p)==0) {
            console.log(res + ": Encontrada posicion:" + p + ", caracter:" + caracter + ", codigo:" + i)
            break
        }
    }
}