-20% z kodem swieta-2021 -> Książka sekuraka o bezpieczeństwie aplikacji webowych (idealna również dla początkujących).

Zwycięzcy hackme HP

31 stycznia 2014, 10:38 | W biegu | komentarzy 26

Tym razem mogliście się zmierzyć z taką tematyką jak: różne rodzaje kodowania, postscript, aplikacja androidowa czy inne 'niespodzianki’ ;-)

Lista zwycięzców, którzy poprawnie podali w pełni poprawne odpowiedzi:

  • PL (RaspberryPi)
  • Jarosław Pukacki (RaspberryPi)
  • Anita Łukowska (RaspberryPi)
  • Tomasz Danielewski (książka)
  • Bartłomiej Balcerek (książka)
  • Łukasz Jankowski (książka)
  • Marcin Piosek (gratulacje)
  • Paweł Sroczyński (gratulacje)

Dla wszystkich – gratulacje!

UPDATE: całość webinara można oglądnąć tutaj (po wcześniejszej rejestracji). Dostępna jest też powiązana z całością animacja.

Jeśli ktoś chciałby się podzielić wrażeniami z tego hackme – to chyba jest dobre miejsce :) Do następnej zabawy.

PS

Dziękujemy też za pomoc w przygotowaniu tego hackme naszym czytelnikom. Wsparli nas: Michał Bentkowski (plik png) oraz Karol Zygmunt (przygotowanie .apk).

–ms

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. b

    Co to za adres www zamazany był na obrazku base.png?
    Za pierona nie mogłem tego odczytać :) mniej więcej było to http://sekurak.pl/sXXtrrX57X gdzie X to niewiadoma. Blisko byłem?

    Odpowiedz
  2. pl

    Good times! :)

    Odpowiedz
  3. Lukasz

    @b nie wiem czy nie zmoderuja tego ale to bylo: [moderacja]
    tam nie bylo w ogole 's’.

    Odpowiedz
    • polecam pobawić się smartdeblur na przykład (był kiedyś o tym art na sekuraku);

      Odpowiedz
  4. propozycja

    Można liczyć na jakąś serię profesjonalnych (z tego co czytałam na sekuraku to chyba tylko takie wchodzą w grę ;)) artykułów o łamaniu systemów wbudowanych/instalowaniu linuxa/BSD na staaarym telefonie (pełno tego ma chyba każdy), konsolach i czym tylko się da/zmianie firmware urządzeń sieciowych/aparatów cyfrowych/co tylko przyjdzie do głowy i tego typu tematy?

    Może też coś o transmisjach radiowych na różnych częstotliwościach przeróżnych urządzonek?

    Do wszystkich tych tematów przydałyby się dobre rady, informacje o potrzebnym „warsztacie pracy”, przykłady od początku do końca na jakimś testowym sprzęcie…

    Odpowiedz
  5. k

    też jestem ciekaw jak należało się zabrać do tego base.png ? ;)

    Odpowiedz
  6. pl

    @k & @b:
    tak jak napisał Sekurak: SmartDeblur + trochę bruteforce’a do pomocy.

    Odpowiedz
  7. b

    Dzięki o taką podpowiedź mi chodziło :) Pobiawię się programikiem. Zdolnosci photoshopowych mi niestety zabrakło ;)

    Odpowiedz
  8. Tomasz

    ludzie, martwicie sie jakims base.png, a wielu (w tym ja) zatrzymalo sie juz na ONSXC4TBOFYXCX3TORQXE33EMF3W46JABUFC6YTBONSS44DOM4====== ;))

    Odpowiedz
  9. Jak postępy w Q&A?

    Odpowiedz
  10. pl
    Odpowiedz
  11. Mariola

    @Tomasz:
    Przecież od razu widać, że to AES :)

    Odpowiedz
  12. k

    Ten hash w komentarzu, to sól + md5, gdzie sól to pocz. flagi?

    Odpowiedz
  13. Miya

    Mhm, etap z odczytaniem linku z obrazka zajął mi najwięcej czasu. Pomimo dosyć szybkiego znalezienia narzędzia (Smart Deblur), dopiero po kilkudziesięciu (!) próbach udało się uzyskać odpowiedni link.
    Najwięcej zabawy sprawiła mi analiza szyfru podstawieniowego, chociaż nie była ona jakoś specjalnie skomplikowana.

    Przede wszystkim należy pogratulować wszystkim zwycięzcom, podziękować firmie HP za ufundowanie nagród oraz podziękować Sekurakowi za organizację całego hackme i zapewnienie sporej dawki zabawy i rywalizacji ;) Dobra robota Panowie!

    Odpowiedz
  14. Pajak

    To może chociaz ktoś poda przy jakich ustawieniach odczytywał link z SmartDeblur? Albo jestem ślepy albo moje kojarzenie jakoś zawodzi. Poza tym link udało mi się odczytać, ale w sumie to przypadkiem wpadłem na odpowiedni algorytm. Czy jest jakiś dobry sposób żeby odkodować (ONSXC4TBOFYXCX3TORQXE33EMF3W46JABUFC6YTBONSS44DOM4======) i nie musieć po omacku szukać prawidłowego algorytmu? Jeżeli ktoś na odpowiedzi na moje pytania to można śmiało pisać pajakos@gmail.com bo pewnie sekurak nie pozwoli ich opublikować.

    Odpowiedz
  15. Lukasz

    @k tak

    @pajak: AFAIK nie ma. Musisz z grubsze wiedziec do czego ten hash jest podobny i szukac po dziwnych algorytmach. Ta strona duzo pomaga: https://hashcat.net/wiki/doku.php?id=example_hashes
    sa tez online skanery co dadza ci liste mozliwosci.

    @pl a ja myslalem ze to moje umiejetnosc (a raczej ich brak) SmartDeblur’a i musialem sie wspomoc malym brute-forcem :) Dobrze wiedziec ze nie bylem jedyny.

    Odpowiedz
  16. k

    @Pajak: „====” kojarzy się z base64, prawda? Nie pasuje tu jednak wielkość liter.. cóż to może być :)

    Odpowiedz
  17. jp

    @k rodzina […] jest trochę większa :)

    Odpowiedz
  18. propozycja

    Witam wszystkich ponownie,

    idąc trochę na przekór moderowaniu informacji pomocnych w rozwiązaniu tego hackme, nieśmiało chciałam zaproponować, żeby może któryś ze zwycięzców (lub cała grupa razem, w połączeniu na przykład z ekipą sekuraka) przygotował poradnik jak przejść wszystkie kroki. Mógłby być on nie tyle całkiem szczegółowy – zrób tak tak i tak, a dostaniesz pierwszą flagę, co opisywał gdzie, w jaki sposób coś jest ukryte, jaki to algorytm, hash, itp. Czym można to rozpoznać, jak, gdzie, jakiego programu użyć, żeby się pomęczyć z odtworzeniem flagi.

    Od razu napiszę, że nie chodzi o pójście na łatwiznę, ale jest na pewno wiele osób, których takie coś baaaardzo interesuje (w tym nie będę ukrywała, że i ja do nich należę ;-)) ale jeszcze kompletnie nie miały z tym do czynienia i nawet nie wiedzą, z której strony podejść.

    Skoro jest już po konkursie, to na pewno nikt się nie obrazi za linka do osobnej strony, wyraźnie opisanego, że znajduje się tam rozwiązanie i jeśli chcesz się bawić sam – nie zaglądaj. Chcesz się uczyć na tym przykładzie – zapraszamy do odwiedzenia, click i dajemy się pochłonąć pasjonującym zagadkom, które jednak z taką pomocą stają się rozwiązywalne i edukują na przyszłość :-)

    Odpowiedz
  19. MateuszM

    Gratulacje dla zwycięzców i wyrazy uznania dla ich wiedzy. Podziękowania dla organizatorów za fajną zabawę. Mam nadzieję, że będą następne konkursy.

    P.S. To *nie* jest autopromocja :-)

    P.S.2. Nawiązując do art. o ISO może jakieś hackme i nagrody za przejęcie czyjegoś konta? /// Oczywiście to żart :-/

    Odpowiedz
  20. env

    Możecie podać jakie znaki występują w linku na obrazku base.png ? Czy jest to słowo czy przypadkowy ciąg znaków i ile łącznie jest tych znaków ?
    Ewentualnie czy można uzyskać lepszą jakość obrazu niż przy następujących parametrach:
    Defect type: Gaussian Blur
    Radius: 4
    Smooth: 40%
    ???

    Odpowiedz
    • Spróbujcie powalczyć na wycinku obrazu – nie na całym

      Odpowiedz
  21. env

    @sekurak
    Działanie na wycinku obrazu nie ma wpływu na poprawę jakości uzyskanego obrazu, jednie filtr działa nieco szybciej.
    Panowie zlitujcie się bo zamiast kolejnej flagi można nabawić się wady wzroku.

    Odpowiedz
  22. pl

    @env:
    określenie ilości znaków jest trywialne, natomiast miałem problem z rozróżnieniem niektórych litrer, bo różne znaki są do siebie podobne w tej czcionce, więc zastosowałem bruteforce z małym zbiorem wejściowym dla każdego z tych trudnych do odczytania znaków, więc i zbiór wyjściowy był względnie mały (zaledwie 625 elementów ;)

    Odpowiedz
  23. env

    Wygląda na to, że jest 10 znaków (plus-minus 1 znak). Przydałaby się bardziej konkretna podpowiedź, odnośnie znaków występujących w tym linku, bo na skutecznego brute force to zdecydowanie za dużo kombinacji.

    Odpowiedz
  24. env

    W zależności od tego jak bardzo pokręci się suwakami w Smart Deblur w każdym znaku można dostrzec przynajmniej połowę alfabetu, więc to trochę wróżenie z fusów. Jedyne co wydaje się „w miarę pewne” w linku to cyfry 5 i 7, ale to też tak na 70%. Napis mam dość ostry, wygląda jak „zactrre57a” ale nawet wykorzystując zbiór znaków podobnych do każdego ze znaków żaden link nie jest prawidłowy.

    Odpowiedz

Odpowiedz