1. SECCON2014オンライン予選（日本語）
Write-UP
ke1ju
2014/07/19

2. このパケットを解析せよ
pcapngファイルを読み取る問題です。
Wiresharkで中身を見ると、192.168.0.6から192.168.0.9へ
FTPでflag.txtを転送しています。
通信の中を見ると、
RkxBR3tGN1AgMTUgTjA3IDUzQ1VSM30=
が送られてます。
見たとおり、base64エンコードなのでデコードすると
FLAG{F7P 15 N07 53CUR3}答えが出てきます。
ジャンル ネットワーク
点数 100
問題文 Find the flag.
seccon2014.pcapng
FTP送信データ
RkxBR3tGN1AgMTUgTjA3IDUzQ1VSM30=
FTP通信内容
220 pyftpdlib 1.4.0 ready.
USER seccon2014
331 Username ok, send password.
PASS w31c0m3
230 Login successful.
SYST
215 UNIX Type: L8
PORT 192,168,0,9,211,172
200 Active data connection established.
LIST
125 Data connection already open. Transfer starting.
226 Transfer complete.
TYPE I
200 Type set to: Binary.
PORT 192,168,0,9,213,145
200 Active data connection established.
RETR flag.txt
125 Data connection already open. Transfer starting.
226 Transfer complete.
QUIT
221 Goodbye.

3. ソーシャルハック？
なんと，話題のLlNEの乗っ取りをイメージした問題です。
会話を送信すると、反応が帰ってきます。
意外としっかりと作りこまれていて、天安門事件と入れると退出するネタまで実
装されてます。
ソースを見てみると、会話に使うような文字が入っていたのですが、packされて
おり簡単にはわからなそう。
ジャンル ネットワーク
点数 300
問題文 犯人を追い詰めろ！
http://chat.quals.seccon.jp/

4. ソーシャルハック？
いろいろ言われているURLにアクセスさせてIPから割り出す方法を試そうかと思い、適当なURLを送ってみると、そ
れまでの会話は1秒ぐらいで応答があったのに、その時だけ10秒ぐらい時間がかかり、「見ました」との返事が。
これは、実際にアクセスしていると思い、サーバでキャプチャしながらサーバのURLを渡してみると、パケットが届
きました。
Webサーバのポートを開けて、通信させると、メッセージ中に「MyVNCPasswordISVNCpass123」とわかりやすい
メッセージがあります。
apacheのログ
153.120.82.112 - - [22/Jul/2014:03:01:18 +0900] "HEAD /pic.gif HTTP/1.1" 404 - "-"
"MyVNCpasswordIsVNCpass123"

5. ソーシャルハック？
パケットログ
# tcpdump -X port 80
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on venet0, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
03:01:18.606934 IP 153.120.82.112.39468 > **********.http: Flags [S], seq 1454238122, win 29200, options [mss 1460,sackOK,TS val 87849141 ecr
0,nop,wscale 7], length 0
0x0000: 4500 003c 911f 4000 3306 49e4 9978 5270 E..<..@.3.I..xRp
0x0010: 1b78 6558 9a2c 0050 56ad e9aa 0000 0000 .xeX.,.PV.......
0x0020: a002 7210 1071 0000 0204 05b4 0402 080a ..r..q..........
0x0030: 053c 78b5 0000 0000 0103 0307 .<x.........
03:01:18.607008 IP **********.http > 153.120.82.112.39468: Flags [S.], seq 1273118567, ack 1454238123, win 14480, options [mss 1460,sackOK,TS val
3218125122 ecr 87849141,nop,wscale 7], length 0
0x0000: 4500 003c 0000 4000 4006 ce03 1b78 6558 E..<..@.@....xeX
0x0010: 9978 5270 0050 9a2c 4be2 3f67 56ad e9ab .xRp.P.,K.?gV...
0x0020: a012 3890 4d83 0000 0204 05b4 0402 080a ..8.M...........
0x0030: bfd0 b142 053c 78b5 0103 0307 ...B.<x.....
03:01:18.625151 IP 153.120.82.112.39468 > **********.http: Flags [.], ack 1, win 229, options [nop,nop,TS val 87849146 ecr 3218125122], length 0
0x0000: 4500 0034 9120 4000 3306 49eb 9978 5270 E..4..@.3.I..xRp
0x0010: 1b78 6558 9a2c 0050 56ad e9ab 4be2 3f68 .xeX.,.PV...K.?h
0x0020: 8010 00e5 b3f5 0000 0101 080a 053c 78ba .............<x.
0x0030: bfd0 b142 ...B

6. ソーシャルハック？
03:01:18.625712 IP 153.120.82.112.39468 > **********.http: Flags [P.], seq 1:214, ack 1, win 229, options [nop,nop,TS val 87849146 ecr 3218125122],
length 213
0x0000: 4500 0109 9121 4000 3306 4915 9978 5270 E....!@.3.I..xRp
0x0010: 1b78 6558 9a2c 0050 56ad e9ab 4be2 3f68 .xeX.,.PV...K.?h
0x0020: 8018 00e5 bbcb 0000 0101 080a 053c 78ba .............<x.
0x0030: bfd0 b142 4845 4144 202f 7069 632e 6769 ...BHEAD./pic.gi
0x0040: 6620 4854 5450 2f31 2e31 0d0a 5573 6572 f.HTTP/1.1..User
0x0050: 2d41 6765 6e74 3a20 4d79 564e 4370 6173 -Agent:.MyVNCpas
0x0060: 7377 6f72 6449 7356 4e43 7061 7373 3132 swordIsVNCpass12
0x0070: 330d 0a41 6363 6570 743a 202a 2f2a 0d0a 3..Accept:.*/*..
0x0080: 486f 7374 3a20 3237 2e31 3230 2e31 3031 Host:.27.120.101
0x0090: 2e38 380d 0a56 6961 3a20 312e 3120 3d20 .88..Via:.1.1.=.
0x00a0: 2873 7175 6964 2f33 2e33 2e38 290d 0a58 (squid/3.3.8)..X
0x00b0: 2d46 6f72 7761 7264 6564 2d46 6f72 3a20 -Forwarded-For:.
0x00c0: 3135 332e 3132 302e 3832 2e31 3234 0d0a 153.120.82.124..
0x00d0: 4361 6368 652d 436f 6e74 726f 6c3a 206d Cache-Control:.m
0x00e0: 6178 2d61 6765 3d32 3539 3230 300d 0a43 ax-age=259200..C
0x00f0: 6f6e 6e65 6374 696f 6e3a 206b 6565 702d onnection:.keep-
0x0100: 616c 6976 650d 0a0d 0a alive....
03:01:18.625758 IP **********.http > 153.120.82.112.39468: Flags [.], ack 214, win 122, options [nop,nop,TS val 3218125141 ecr 87849146], length 0
0x0000: 4500 0034 8e3d 4000 4006 3fce 1b78 6558 E..4.=@.@.?..xeX
0x0010: 9978 5270 0050 9a2c 4be2 3f68 56ad ea80 .xRp.P.,K.?hV...
0x0020: 8010 007a b378 0000 0101 080a bfd0 b155 ...z.x.........U
0x0030: 053c 78ba .<x.

7. ソーシャルハック？
03:01:18.627700 IP **********.http > 153.120.82.112.39468: Flags [P.], seq 1:160, ack 214, win 122, options [nop,nop,TS val 3218125142 ecr 87849146],
length 159
0x0000: 4500 00d3 8e3e 4000 4006 3f2e 1b78 6558 E....>@.@.?..xeX
0x0010: 9978 5270 0050 9a2c 4be2 3f68 56ad ea80 .xRp.P.,K.?hV...
0x0020: 8018 007a deae 0000 0101 080a bfd0 b156 ...z...........V
0x0030: 053c 78ba 4854 5450 2f31 2e31 2034 3034 .<x.HTTP/1.1.404
0x0040: 204e 6f74 2046 6f75 6e64 0d0a 4461 7465 .Not.Found..Date
0x0050: 3a20 4d6f 6e2c 2032 3120 4a75 6c20 3230 :.Mon,.21.Jul.20
0x0060: 3134 2031 383a 3031 3a31 3820 474d 540d 14.18:01:18.GMT.
0x0070: 0a53 6572 7665 723a 2041 7061 6368 652f .Server:.Apache/
0x0080: 322e 322e 3135 2028 4365 6e74 4f53 290d 2.2.15.(CentOS).
0x0090: 0a43 6f6e 6e65 6374 696f 6e3a 2063 6c6f .Connection:.clo
0x00a0: 7365 0d0a 436f 6e74 656e 742d 5479 7065 se..Content-Type
0x00b0: 3a20 7465 7874 2f68 746d 6c3b 2063 6861 :.text/html;.cha
0x00c0: 7273 6574 3d69 736f 2d38 3835 392d 310d rset=iso-8859-1.
0x00d0: 0a0d 0a ...
03:01:18.627853 IP **********.http > 153.120.82.112.39468: Flags [F.], seq 160, ack 214, win 122, options [nop,nop,TS val 3218125143 ecr 87849146],
length 0
0x0000: 4500 0034 8e3f 4000 4006 3fcc 1b78 6558 E..4.?@.@.?..xeX
0x0010: 9978 5270 0050 9a2c 4be2 4007 56ad ea80 .xRp.P.,K.@.V...
0x0020: 8011 007a b2d6 0000 0101 080a bfd0 b157 ...z...........W
0x0030: 053c 78ba .<x.

8. ソーシャルハック？
03:01:18.646018 IP 153.120.82.112.39468 > **********.http: Flags [.], ack 160, win 237, options [nop,nop,TS val 87849151 ecr 3218125142], length 0
0x0000: 4500 0034 9122 4000 3306 49e9 9978 5270 E..4."@.3.I..xRp
0x0010: 1b78 6558 9a2c 0050 56ad ea80 4be2 4007 .xeX.,.PV...K.@.
0x0020: 8010 00ed b260 0000 0101 080a 053c 78bf .....`.......<x.
0x0030: bfd0 b156 ...V
03:01:18.646286 IP 153.120.82.112.39468 > **********.http: Flags [F.], seq 214, ack 161, win 237, options [nop,nop,TS val 87849151 ecr 3218125143],
length 0
0x0000: 4500 0034 9123 4000 3306 49e8 9978 5270 E..4.#@.3.I..xRp
0x0010: 1b78 6558 9a2c 0050 56ad ea80 4be2 4008 .xeX.,.PV...K.@.
0x0020: 8011 00ed b25d 0000 0101 080a 053c 78bf .....].......<x.
0x0030: bfd0 b157 ...W
03:01:18.646314 IP **********.http > 153.120.82.112.39468: Flags [.], ack 215, win 122, options [nop,nop,TS val 3218125161 ecr 87849151], length 0
0x0000: 4500 0034 8e40 4000 4006 3fcb 1b78 6558 E..4.@@.@.?..xeX
0x0010: 9978 5270 0050 9a2c 4be2 4008 56ad ea81 .xRp.P.,K.@.V...
0x0020: 8010 007a b2be 0000 0101 080a bfd0 b169 ...z...........i
0x0030: 053c 78bf .<x.
03:01:46.657287 IP 111-248-118-39.dynamic.hinet.net.12200 > **********.http: Flags [S], seq 3697382557, win 8192, length 0
0x0000: 4500 0028 0100 4000 7306 9fe0 6ff8 7627 E..(..@.s...o.v'
0x0010: 1b78 6558 2fa8 0050 dc61 949d 0000 0000 .xeX/..P.a......
0x0020: 5002 2000 87fb 0000 P.......

9. ソーシャルハック？
03:01:46.657547 IP **********.http > 111-248-118-39.dynamic.hinet.net.12200: Flags [S.], seq 863688256, ack 3697382558, win 14600, options [mss
1460], length 0
0x0000: 4500 002c 0000 4000 4006 d3dc 1b78 6558 E..,..@.@....xeX
0x0010: 6ff8 7627 0050 2fa8 337a d640 dc61 949e o.v'.P/.3z.@.a..
0x0020: 6012 3908 4d6b 0000 0204 05b4 `.9.Mk......
03:01:46.702888 IP 111-248-118-39.dynamic.hinet.net.12200 > **********.http: Flags [R], seq 3697382558, win 0, length 0
0x0000: 4500 0028 30ca 0000 7306 b016 6ff8 7627 E..(0...s...o.v'
0x0010: 1b78 6558 2fa8 0050 dc61 949e dc61 949e .xeX/..P.a...a..
0x0020: 5004 0000 36f8 0000 P...6...
VNCで5901ポートにつないでパスワードを入れると、画面上にFLAG{giveMeYourWebM0n3y}の表示がありました。

10. decode me
テキストエディタで開いてみると、FRPPBA 2014の文字があり
ます。その下にはebg13/47の文字が。
13といえばシーザー暗号、ROT13。
変換のスクリプトを組んで見たのですが、13文字の部分を作っ
たところでnkfのオプションでできることに気がつき、実行。
見事、FLAG{Have fun SECCON2014}がでて来ました。
ジャンル 暗号
点数 100
問題文 encoded.txt
FRPPBA 2014 囹裃癇圄唹囮噪哢嘯喞囹嚼圉侑
ebg13/47 囹簷・嘲囓圉・錙囑嚠侑
區匱匏壟坏堋奚囑笙鰰囹奐壟倬奚囑嘴喙嘯囓囹啌簷・嘴哢嚀嚴噐俟
囓嗷嗾喟噫囑佰噎啣囑囓嗾噬嚆嗷哢嚠俎
圖垪壥圉・癶燿酖奣衙囹褜竏嚀囎噐唳・・嚀囎嘲囂噪嗷侑
咐咬咒咆弌哇匆卩匐佩匏卞區佩劼咄咀咀咨哈听吽呀吼丐
SECCON 2014 に参加のみなさまこんにちは。
rot13/47 に気付くとは流石です。
ｎｋｆコマンドで簡単にデコードできることにも気付きましたか？
というわけで、おめでとうございます！
フラグは半角英数文字に変換してから入力してください。
ＦＬＡＧ｛Ｈａｖｅ ｆｕｎ ＳＥＣＣＯＮ２０１４｝

11. 879,394bytes
ジャンル フォレンジック
点数 100
問題文 Filesystem001.bin ファイルを確認し、ファイル
サイズが 879,394bytesのファイル名を答えてく
ださい。

12. 重ねてみよう
ジャンル プログラミング
点数 100
問題文 afterimage.gif

13. 箱庭SQLiチャレンジ
ジャンル Web
点数 100
問題文 hakoSQLi.zip

14. タイトル ジャンル 点数
練習問題 練習問題 100
このパケットを解析せよ ネットワーク 100
ソーシャルハック？ ネットワーク 300
decode me 暗号 100
Decrypt it! 暗号 300
879,394bytes フォレンジック 100
捏造された契約書を暴け フォレンジック 300
x86アセンブラを読もう バイナリ 100
ダンプを追え！ バイナリ 300
重ねてみよう プログラミング 100
あみだくじ プログラミング 300
箱庭SQLiチャレンジ Web 100
箱庭XSSリターンズ Web 300
詰将棋？ Unknown 100
Print it！ Unknown 300