Osint on ./ircgod.com

Hero Ctf V5

Mon, 15 May 2023 18:53:37 +0200

Intro

Hello voici de courts writeup du HeroCTF v5, histoire de garder une trace !

Un premier merci à ma team, owalid, kibatche, Perle et Sawyerf !

Blockchain

Challenge 01 : Classic one tbh (489)

ERC20, bad guy has money in it, prevent him from getting his money back.
This is a standalone ERC20, not available on a swap.
Block all the sells to get the flag

 1pragma solidity 0.8.17;
 2
 3contract  hero2303
 4 {
 5    mapping (address => uint256) private userBalances;
 6
 7    uint256 public constant TOKEN_PRICE = 1 ether;
 8    string public constant name = "UNDIVTOK";
 9    string public constant symbol = "UDK";
10    
11    uint8 public constant decimals = 0;
12
13    uint256 public totalSupply;
14
15    function buy(uint256 _amount) external payable {
16        require(
17            msg.value == _amount * TOKEN_PRICE, 
18            "Ether submitted and Token amount to buy mismatch"
19        );
20
21        userBalances[msg.sender] += _amount;
22        totalSupply += _amount;
23    }
24
25    function sell(uint256 _amount) external {
26        require(userBalances[msg.sender] >= _amount, "Insufficient balance");
27
28        userBalances[msg.sender] -= _amount;
29        totalSupply -= _amount;
30
31        (bool success, ) = msg.sender.call{value: _amount * TOKEN_PRICE}("");
32        require(success, "Failed to send Ether");
33
34        assert(getEtherBalance() == totalSupply * TOKEN_PRICE);
35    }
36
37    function transfer(address _to, uint256 _amount) external {
38        require(_to != address(0), "_to address is not valid");
39        require(userBalances[msg.sender] >= _amount, "Insufficient balance");
40        
41        userBalances[msg.sender] -= _amount;
42        userBalances[_to] += _amount;
43    }
44
45    function getEtherBalance() public view returns (uint256) {
46        return address(this).balance;
47    }
48
49    function getUserBalance(address _user) external view returns (uint256) {
50        return userBalances[_user];
51    }
52}

Après avoir compris le concept d’ERC20 ainsi que le but du challenge (empêcher tout appelle de la fonction sell()), la façon de procéder venait d’elle même, faire en sorte qu’un des assert / require de la fonction sell() soit faux afin d’empêcher toute éxecution de ladite fonction.

Hunt APT42 2022

Fri, 10 Feb 2023 08:50:33 +0100

Ultimate Football Hunt

Vers Juin 2022, APT42, association de cybersécurité de 42 Paris commenca à réfléchir à la création d’un nouveau CTF OSINT.
Une partie de l’équipe de création ayant participé à la Hunt de l’AEGE, l’idée de proposer un format similaire nous est tout naturellement venu. (CTF OSINT + Course d’orientation/chasse au trésor)

Chacun des admins à préparé une petite histoire, un lore sur lequelle baser nos épreuves, nous nous sommes tourné vers le thème du football de par la proximité temporelle avec la coupe du monde.

Hunt Ege 2022

Mon, 06 Jun 2022 13:32:05 +0200

Le 21 mai 2022, nous avons participé à la Hunt de l’EGE, un CTF OSINT mêlant une traque sous la forme d’un escape game / course d’orientation dans Paris intra-muros.

Arrivés au 196 Rue de Grenelle dans le 15eme arrondissement de Paris, après avoir été acceuillis avec un petit déjeuner, la compétition commence !

Parti CTF OSINT

Nouveau dossier

Vous êtes un enquêteur faisant partie d’une entreprise très discrète qui gère des situations de crise, souvent liées à des activités illégales, pour des clients fortunés. Cependant, les moyens d’action à votre disposition demeurent uniquement légaux. Vous gérez ces situations sensibles avec discrétion et tact, ce qui participe à la confiance accordée par vos clients.

Nous Sommes Infiltrés !

Sun, 05 Jun 2022 20:19:51 +0200

info

Ce challenge fut proposé lors du 404ctf entre mai et juin 2022.

Description du challenge:

Photo en pièce jointe:

Root-me

L’énnoncé nous indique de trouver “les nouveaux membres du club” et nous link une photo d’un tableau blanc avec des pseudo root-me.
Nous allons donc regarder les comptes root-me et quelque chose nous sautera possiblement aux yeux.
Les profils root-me sont sous la forme:
https://www.root-me.org/ + username
Nous avons donc mh4ckt3mh4ckt1c4s, Artamis, Redhpm, Xx_Noel_Janvier_xX, Alternatif. Tous ces compte possèdent un certains nombre de points excepté Xx_Noel_Janvier_xX, de plus ce dernier annonce être nouveau dans sa description.

Nom D'une Nouvelle Recrue !

Sat, 04 Jun 2022 11:26:03 +0200

info

Ce challenge fut proposé lors du 404ctf entre mai et juin 2022.

Description du challenge:

Nom

Nous avons un nom, Edrabellah Chateaubrion (après 9h sur le challenge je me suis rendu compte que Edrabellah = Hallebarde à l’envers).
Une rapide recherche google de son nom ne nous apporte rien, nous sommes un peu plus chanceux avec Linkedin ou nous obtenons un profil qui match parfaitement le nom.

Le linkedin est plutot garni pour un ctf, une 30aine d’activités sur son compte.
On peut cliquer sur Afficher toute l'activité... afin d’afficher toute l’activité du compte.
Nous apprenons rapidement qu’il est imbu de lui même, grand fan de google, et possède un compte google.
Mais surtout en descendant tout en bas (ou en cliquant sur Documents) nous pouvons obtenir son CV. (tronqué ici)