flag

Write-Up: Reto #12 (#CPCO5)

Para este reto nos entregaron un archivo llamado “data2”. Lo primero que vemos es que no tiene extensión, para lograr saber qué tipo de archivo es hacemos uso de Trid de la siguiente forma:

Trid data2

trid data2

Vemos que “data2” es de extensión .aff, así que lo siguiente es establecer dicha extensión al archivo, saber qué es y un buscar algún programa que lo abra.

Algo aquí del tipo de archivo: AFF

The AFF file extension is associated with Advanced Forensics Format, an open and extensible file format designed to store disk images and associated metadata. The Advanced Forensics Format (AFF) isan extensible open format forthe storage of disk images and related forensic metadata. It was developed by Simson Garfinkel and Basis Technology.

Luego de conocer un poco sobre AFF se hace uso del software OSFMount.

OSFMount

Vemos que la unidad ahora aparece.

unidad montada
Y vemos lo que hay dentro.

Archivos dentro
Después de ver los archivos dentro nos damos cuenta que no hay nada en ellos.

README.txt
isc.pdf

Entonces hay que buscar de otra manera para lograr encontrar alguna información, lo que se ocurre es usar algún software que recupere información borrada de los discos,  para este caso “Recuva”.

Recuva
Y vemos 3 archivos para recuperar:

Recuva recuperar
Los guardamos en cualquier otra carpeta distinta a la del disco virtual creado para evitar que los archivos sean modificados (cuestiones legales :P)

Carpeta recuperar
Abrimos “test.pdf” y nos aparece un error, así que volvemos a usar Trid para comprobar la verdadera extensión del archivo.

trid test.pdf
Dándonos cuenta que es un archivo de texto normal, le cambiamos la extensión y lo abrimos, y nos sale el siguiente mensaje:

test.txt
Nos queda las imágenes “gif” y ahora al saber que son dos imágenes del mismo tamaño las comparamos pixel a pixel con imagemagick usando la opción compare:

compare
Y obtenemos un archivo final el cual le damos el nombre res.gif donde se hará la comparación. Saliendo la respuesta de esta flag la cual es:

archivo de flag
Aquí la apreciamos mejor:

flag
La flag es: crypto|stego

Me gustan los wargames, Programar en PHP con mysql y sql server, Trabajar en : Electricidad, Electronica, Informatica, Programador de Pic’s..

Artículos Relacionados

¡Se acerca el ACK Security Conference!

¡Se acerca el ACK Security Conference!

WriteUp: Reto navideño

WriteUp: Reto navideño

Mi primer error en un CTF (Humor)

Mi primer error en un CTF (Humor)

Resultados del capture of the flag para HackXCO

Resultados del capture of the flag para HackXCO

5 Comentarios

  1. M1ndcr4ck - julio 4, 2012, 1:14 pm Responder

    Excelente parcero muy buena guía de la solución del reto
    salu2

  2. Skull04 - julio 4, 2012, 2:09 pm Responder

    buen reto Zarek Zama

  3. v1c0_h4ck - julio 4, 2012, 2:24 pm Responder

    Saludos mi brother, muy buena explicacion a la solucion del reto y pues gracias por compartirlo.

  4. UrbaN77 - julio 4, 2012, 6:08 pm Responder

    Buen reto, ojalá podamos ir todos el próximo año. Como agregado dejo un código de comparación de imagenes por pixeles, eso de usar imagemagick no es tan bonito xDDD

    < ?php $original = imagecreatefromgif('1.gif'); $modified = imagecreatefromgif('2.gif'); $size = getimagesize('1.gif'); $output = imagecreate($size[0], $size[1]); imagecolorallocate($output, 255, 255, 255); $cblack = imagecolorexact($output, 0, 0, 0); for ($a = 0; $a < $size[0]; $a++) { for ($b = 0; $b < $size[1]; $b++) { $colororiginal = imagecolorat($original, $a, $b); $colormodified = imagecolorat($modified, $a, $b); if ($colororiginal != $colormodified) imagesetpixel($output, $a, $b, $cblack); } } imagegif($output, 'resultado.gif'); ?>

    Lo adapté para gif pero en teoria debería funcionar bien.

  5. kagure - julio 4, 2012, 11:27 pm Responder

    Estubo bueno masta hay se van incentivando para los proximos.

Deja un comentario

Tu email no será publicado.

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*