404ctf on ./ircgod.com

GoGOLFplex

Thu, 09 Jun 2022 12:14:59 +0200

Une pyjail like lors du 404ctf entre mai et juin 2022.

Description du challenge:

Je ne suis pas un grand fan du python mais j’adore les jail / jail like (ainsi que les grands nombres)

Je trouve l’énnoncé du challenge juste EXCELLENT. Ce challenge est vraiment prenant !

En pièce jointe du challenge, un fichier .py, ci-dessous commenté et agrémenté afin de simplifier la compréhension

 1print('Bienvenue sur le goGOLFplex, le plus grand parcours de golf de l\'univers!')
 2print('Il comporte 10^16 trous mais le meilleur score que quelqu\'un ait fait dans \
 3       l\'histoire est 10^25')
 4print('Si tu arrives à battre ou égaliser ce score tu rentreras dans l\'histoire !')
 5print('En revanche on a décidé de te mettre un petit handicap, ne t\'inquiète pas, \
 6       ce n\'est pas gênant ;)')
 7
 8# Lis stdin et retire tous les whitespace du debut et de la fin de la string
 9a = input('En combien de coups essayez-vous de faire le parcours?\n').strip()
10
11try:
12	# si le premier character de notre input est -, +, ou 0
13	# alors exit
14    if a[0] in '-+0':
15        print('Opération interdite! Je ne vais pas me faire avoir comme ça! \
16		Je ne suis pas un débutant!')
17        exit()
18
19	# f-string notre input et ajoute des 0 de sorte
20    # à avoir une string de taille >= à 51
21    # puis, converti notre string en int
22    nb = int(f'{a:<051}')
23    print(f'vous réussissez à finir le parcours en {nb} coups')
24
25	# si le nbr retourné par int est < à 10^25, print le flag
26	if nb <= 10**25:
27        with open('flag.txt', 'r') as f:
28            print(f.readline())
29        exit()
30except Exception as e:
31    print('Vous avez tout cassé....')
32    # print(e)
33	exit()
34
35print('Perdu! Mais vous pouvez retenter votre chance!')

Notre but est donc de terminer le parcours en 10^25 coups ou moins, malheureusement, la f-string nous ajoute automatiquement des ‘0’ pour que notre input fasse au minimun 10^50

Un Agent Compromis

Tue, 07 Jun 2022 23:36:07 +0200

Un agent compromis [1/3]

Nous avons surpris un de nos agents en train d'envoyer des fichiers confidentiels depuis son ordinateur dans nos locaux vers Hallebarde. Malheureusement, il a eu le temps de finir l'exfiltration et de supprimer les fichiers en question avant que nous l'arrêtions.
Heureusement, nous surveillons ce qu'il se passe sur notre réseau et nous avons donc une capture réseau de l'activité de son ordinateur. Retrouvez le fichier qu'il a téléchargé pour exfiltrer nos fichiers confidentiels.
Auteur : Typhlos#9037
Pièce jointe: capture-reseau.pcapng

Première étape de la série Un Agent Compromis dans la catégorie forensique du 404CTF

Nous Sommes Infiltrés !

Sun, 05 Jun 2022 20:19:51 +0200

info

Ce challenge fut proposé lors du 404ctf entre mai et juin 2022.

Description du challenge:

Photo en pièce jointe:

Root-me

L’énnoncé nous indique de trouver “les nouveaux membres du club” et nous link une photo d’un tableau blanc avec des pseudo root-me.
Nous allons donc regarder les comptes root-me et quelque chose nous sautera possiblement aux yeux.
Les profils root-me sont sous la forme:
https://www.root-me.org/ + username
Nous avons donc mh4ckt3mh4ckt1c4s, Artamis, Redhpm, Xx_Noel_Janvier_xX, Alternatif. Tous ces compte possèdent un certains nombre de points excepté Xx_Noel_Janvier_xX, de plus ce dernier annonce être nouveau dans sa description.

Nom D'une Nouvelle Recrue !

Sat, 04 Jun 2022 11:26:03 +0200

info

Ce challenge fut proposé lors du 404ctf entre mai et juin 2022.

Description du challenge:

Nom

Nous avons un nom, Edrabellah Chateaubrion (après 9h sur le challenge je me suis rendu compte que Edrabellah = Hallebarde à l’envers).
Une rapide recherche google de son nom ne nous apporte rien, nous sommes un peu plus chanceux avec Linkedin ou nous obtenons un profil qui match parfaitement le nom.

Le linkedin est plutot garni pour un ctf, une 30aine d’activités sur son compte.
On peut cliquer sur Afficher toute l'activité... afin d’afficher toute l’activité du compte.
Nous apprenons rapidement qu’il est imbu de lui même, grand fan de google, et possède un compte google.
Mais surtout en descendant tout en bas (ou en cliquant sur Documents) nous pouvons obtenir son CV. (tronqué ici)