ऑनलाइन टूर NeoQUEST-2014 के कार्यों के परिणाम और विश्लेषण

यह निक्वेस्ट 2014 ऑनलाइन टूर का जायजा लेने का समय है, जिसमें शामिल हैं:
- सभी 7 खोज कार्यों को पार करें (सप्ताह के हर दिन के लिए!);
- विजेताओं और उनके पुरस्कारों के बारे में बताएं;
- हमें बताएं कि नियोक्वेस्ट -2014 के इन-पर्सन टूर में प्रतिभागियों और इवेंट के मेहमानों का क्या इंतजार है, जो पॉलिटेक्निक यूनिवर्सिटी के सेंट पीटर्सबर्ग में 3 जुलाई को होगा।

विजेताओं के बारे में

ऑनलाइन टूर के "गोल्ड", "सिल्वर" और "ब्रॉन्ज" को क्रमशः AV1ct0r, n0n3m4 और Dor1s मिले। पहली जगह के लिए लड़ाई बहुत गर्म थी, तीन दिनों के लिए नेता लगातार बदल रहा था - AV1ct0r और n0n3m4 ने एक दूसरे को पहले स्थान से बाहर निकाला, और उनके बीच का अंतर केवल कुछ बिंदुओं का था। लेकिन तब AV1ct0r ने "नकली साइट्रस" मिशन पूरा किया और 113 अंकों से अपने नेतृत्व को मजबूत किया! हम जीतने के लिए और उसकी निस्संदेह प्रतिभा को देखने के लिए n0n3m4 की इच्छा को नोट नहीं कर सकते हैं (वह खोज में खोज को पूरा करने वाले पहले व्यक्ति थे)। "कांस्य" पदक विजेता डोर 1 एस दूसरे स्थान से बहुत पीछे नहीं है, लेकिन उसने निम्नलिखित प्रतिभागियों से एक बड़े अंतर का एहसास किया।

विजेताओं को बधाई, मुख्य पुरस्कार और आमने-सामने का दौरा उनका इंतजार करता है, एक जीत जिसमें विजेता को अंतरराष्ट्रीय हैकिंग सम्मेलनों में से एक की यात्रा मिलेगी! AV1ct0r और n0n3m4 को क्रमशः सैमसंग और सोनी की स्मार्ट घड़ियों से सम्मानित किया गया है (और यहाँ हैबे पर एक और दिलचस्प समीक्षा), और Dor1s को लगभग तीन किलोग्राम का रोबोट मिलता है , जो किसी भी तरह से बेवकूफ नहीं है! वैसे, हर कोई जो कम से कम एक नियोक्वेस्ट -2014 मिशन पूरा कर चुका है, उसे भी एक छोटा पुरस्कार मिलेगा। चूंकि यादगार स्मृति चिन्ह (कप, नोटबुक, फ्लैश ड्राइव, पेन, चॉकलेट, आदि) के मानक विचारों ने पहले ही खुद को समाप्त कर लिया है, हमारी स्मारिका प्रतिभागियों को बहुत आश्चर्यचकित करेगी, लेकिन उनमें से ज्यादातर जल्द या बाद में इसका उपयोग करेंगे! हम सभी विजेताओं से संपर्क करते हैं। प्रिय प्रतिभागियों, info@neoquest.ru के पत्रों के लिए अपने मेल की जाँच करें!

कार्यों का विश्लेषण

नियोक्वेस्ट -2014 में साइबर स्पेस के विभिन्न क्षेत्रों से 7 कार्य शामिल थे:
1) "मेरी तुम्हारी समझ में नहीं" - रिवर्स इंजीनियरिंग अनुप्रयोगों में सी #;
2) "हस्ता ला विस्टा" - रिवर्स इंजीनियरिंग एंड्रॉइड-एप्लिकेशन;
3) “TimeShift2। बदला "- आरएसए पर एक अस्थायी हमला;
4) "जमे हुए कंप्यूटर" - रैम डंप से एक आभासी मशीन की वीडियो मेमोरी प्राप्त करना;
5) "एक अज्ञात धूम्रपान डिवाइस का पता चला था" - एक कंप्यूटर के साथ एंड्रॉइड फोन के यूएसबी के माध्यम से सिंक डंप का विश्लेषण;
6) "इग्रोड्रोम" - पीएसी-मैन खेलने के लिए बंदरगाह खटखटाने का उपयोग;
7) "क्या खट्टे दक्षिण के घने इलाकों में रहेंगे?" हां, लेकिन एक नकली प्रति! ”- रिवर्स इंजीनियरिंग के लिए एक कार्य, डीईपी और एएसएलआर के ज्ञान को बायपास प्रौद्योगिकियों, क्रिप्टोग्राफी की मूल बातें और द्विआधारी कमजोरियों का फायदा उठाने की क्षमता।

कार्य "एक अज्ञात धूम्रपान उपकरण की खोज की गई थी", "इग्रोड्रोम", "क्या साइट्रस दक्षिण की मोटी दीवारों में रहेंगे?" हैकर पत्रिका के मई अंक में विस्तार से जांच की जाएगी। इसके अलावा, हमारे प्रतिभागियों ने पर्याप्त संख्या में राइटअप लिखे, जिसमें आप पढ़ सकते हैं कि उन्होंने इस या उस कार्य को कैसे पूरा किया। यहाँ राइटअप AV1ct0r से है, यहाँ n0n3m4 से है और डोर 1 से है।

1 - मेरा तुम्हारा है समझने के लिए नहीं है

कार्य प्रौद्योगिकी पर आधारित था जो आपको इंटरनेट साइटों में सी # में लिखे गए एप्लिकेशन को एम्बेड करने की अनुमति देता है। शायद यह तभी है जब साइट asp.NET में लिखी गई हो। सच है, कुछ सीमाएँ हैं। केवल इंटरनेट एक्सप्लोरर एप्लेट के ग्राफिकल शेल को प्रदर्शित कर सकता है, अन्य ब्राउज़र केवल उन कार्यों का उपयोग कर सकते हैं जो इसे निर्यात करते हैं।
सभी स्रोत डेटा से खोज के भागीदार को साइट का केवल आईपी पता प्राप्त हुआ, जब आपने उस पर क्लिक किया, तो ऐसा पृष्ठ लोड किया गया था:



पृष्ठ ने उस उपयोगकर्ता का पता प्रदर्शित किया जो साइट पर गया था, और अभी भी समझ से बाहर नहीं है। पता सफेद संकेतों में उजागर हुआ कि साइट उस स्थान के प्रति उदासीन नहीं है जहां से उपयोगकर्ता इसे एक्सेस करता है।
यदि आप साइट द्वारा प्रदर्शित hieroglyphs को Translate.google.com सेवा में दर्ज करते हैं, तो आपको यह मिलता है:



सेवा ने स्वचालित रूप से भाषा को वियतनामी के रूप में पहचाना, इससे खोज प्रतिभागी को यह विचार करना चाहिए कि यह वियतनामी प्रॉक्सी सर्वर के माध्यम से साइट पर जाने के लिए लायक है। प्रॉक्सी सर्वर की सूची कई साइटों पर स्वतंत्र रूप से उपलब्ध है, उदाहरण के लिए, यहाँ ।
वियतनामी प्रॉक्सी सर्वर का उपयोग वांछित परिणाम की ओर जाता है। प्रतिभागी को कार्य के साथ साइट का एक अलग संस्करण दिखाया गया है:



उपयोगकर्ता को डेटा दर्ज करने के लिए एक फ़ॉर्म के साथ प्रस्तुत किया जाता है, लेकिन वहां प्रवेश करने की क्या आवश्यकता है? यही सवाल है। ऐसा करने के लिए, आपको पृष्ठ के स्रोत कोड में तल्लीन करने की आवश्यकता है, फिर इस तरह के एक उत्सुक टुकड़े की खोज की जाती है:



पृष्ठ का स्रोत कोड स्पष्ट रूप से C # एप्लेट का पथ दर्शाता है। लेकिन, जैसा कि ऊपर बताया गया है, यह इंटरनेट एक्सप्लोरर के अलावा किसी भी ब्राउज़र में दिखाई नहीं देता है। प्रॉक्सी सर्वर का उपयोग करते समय IE में साइट कैसी दिखती है:



हालांकि, एप्लेट के ग्राफिक भाग का प्रदर्शन कार्य की प्रगति को प्रभावित नहीं करता है। इसके इंटरफेस में बटन कोई पेलोड नहीं है।
प्रतिभागी का अगला कार्य एप्लेट के स्रोत कोड का अध्ययन करना है। C # में लिखे गए एप्लिकेशन डिकंपाइल करने में काफी आसान हैं। उदाहरण के लिए, आप .NET रिफलेक्टर एप्लिकेशन का उपयोग कर सकते हैं। हमें एप्लेट का सोर्स कोड मिलता है:



एक विघटित आवेदन में, एक बोलने वाले नाम KeyStore के साथ एक वर्ग खोजना आसान है। यह कुंजी को संग्रहीत करता है, जिसे साइट पर फ़ॉर्म में दर्ज किया जाना चाहिए।
वैसे, कुंजी सत्यापन फ़ंक्शन को एप्लेट में भी लागू किया जाता है। Asp.NET के माध्यम से यह कहा जाता है और शुद्धता के लिए इनपुट जानकारी की जाँच करता है। यह कार्यक्षमता किसी भी ब्राउज़र में काम करती है। काम पूरा!

2 - हस्ता ला विस्टा

असाइनमेंट में, प्रतिभागियों को एक निश्चित फ़ाइल MyGreenManController.zip प्राप्त हुई, जिसे खोलने पर यह स्पष्ट हो गया कि यह एक Android एप्लिकेशन से अधिक कुछ नहीं था (हाँ, वास्तव में, फ़ाइल का नाम संकेत दिया गया है):



प्रतिभागियों को इस फ़ाइल को उलटने की आवश्यकता थी। ऐसा करने के लिए, आपको यह जानना होगा कि Android ऑपरेटिंग सिस्टम के लिए एक एप्लिकेशन क्या है। यह एक ज़िप के साथ पैक और एक्सटेंशन ".apk" होने से ज्यादा कुछ नहीं है। इस संग्रह में एप्लिकेशन संसाधन, AndroidManifest.xml फ़ाइल है, जो एप्लिकेशन के अधिकार, उसके नाम, आदि और classes.dex फ़ाइल को निर्धारित करती है। उत्तरार्द्ध Android में इस्तेमाल होने वाली Dalvik वर्चुअल मशीन के लिए संकलित कार्यक्रम का बाईटेकोड है। इससे जावा स्रोत कोड प्राप्त करना केवल काम नहीं करता है, लेकिन आप वर्चुअल मशीन के लिए आदेशों का एक सेट प्राप्त कर सकते हैं - dalvik opcodes। यह विधि अनुप्रयोगों के विश्लेषण के लिए विशेष रूप से उपयुक्त नहीं है, क्योंकि एक और, सरल और अधिक सुविधाजनक है, जिसमें डेक्स फ़ाइल को जार में परिवर्तित करना शामिल है, जो विघटित हो सकता है और जावा में काफी पठनीय कोड प्राप्त कर सकता है।

Apk Manager उपयोगिता या एक साधारण अभिलेखागार का उपयोग करके, classes.dex फ़ाइल प्राप्त करने के लिए उल्टा कम किया जाता है। फिर, dex2jar उपयोगिता का उपयोग करके, हम classes.dex.dex2jar.jar फ़ाइल प्राप्त करते हैं, जो कि jd-gui प्रोग्राम का उपयोग करके सीखना बहुत सुविधाजनक है।
प्रवेश बिंदु कोड वर्ग है:

public class Code extends Activity { public static String aA = ""; public void onCreate(Bundle paramBundle) { super.onCreate(paramBundle); setContentView(2130837504); TextView localTextView = (TextView)findViewById(2130968577); ((Button)findViewById(2130968578)).setOnClickListener(new View.OnClickListener(localTextView) { public void onClick(View paramView) { Code.aA = Code.this.getApplicationContext().getFilesDir().getAbsolutePath(); String str = new AA().a(this.val$aaa.getText().toString(), Code.aA); if (str == null) Toast.makeText(Code.this.getApplicationContext(), "Error", 0).show(); do return; while (!str.equals("Correct command")); Toast.makeText(Code.this.getApplicationContext(), "Correct command", 0).show(); A localA = new A(); try { localA.a((TelephonyManager)Code.this.getSystemService("phone")); return; } catch (Exception localException) { localException.printStackTrace(); } } }); } } 

कोड वर्ग क्या करता है? जब आप चर एए में बटन पर क्लिक करते हैं, तो दिए गए आवेदन का पथ लिखा जाता है (और हां, उसी प्रकार के तरीकों और कक्षाओं के नाम केवल खोज के प्रतिभागियों को भ्रमित करने के लिए बनाए गए थे):

 Code.aA = Code.this.getApplicationContext().getFilesDir().getAbsolutePath(); 

फिर, क्लास एए से विधि के निष्पादन का परिणाम चर स्ट्रिंग को लिखा जाता है।
विधि असंभव के लिए सरल है:

 public String a(String paramString1, String paramString2) { if (!paramString1.equals("download_image")) return null; aa("http://10.0.31.111/index.php", "neoquest_2014", paramString2 + File.separator + "neoquest_2014"); return "Correct command"; } 

यदि "download_image" के अलावा कोई कमांड पाठ क्षेत्र में दर्ज किया गया है, तो शून्य वापस कर दिया जाता है, अन्यथा निम्न मापदंडों के साथ आ विधि को बुलाया जाता है:

 aa("http://hastalavistababy.ru/index.php", "neoquest_2014", paramString2 + File.separator + "neoquest_2014"); 

आ विधि विधि की एक पंक्ति बनाती है:

 «cmd=1&time=xxx&command_name=download_image&path=neoquest_2014» 

और फिर यह getExampleInFile विधि को कॉल करता है, जो सर्वर से प्रतिक्रिया को एक फ़ाइल में बचाता है:

 getExampleInFile("http://hastalavistababy.ru/index.php", cmd=1&time=xxx&command_name=download_image&path=neoquest_2014, /data/data/com.example.NeoQUEST2014/files/neoquest_2014); 

नतीजतन, सर्वर से डाउनलोड की गई फ़ाइल हमारे एप्लिकेशन के फ़ाइल फ़ोल्डर में दिखाई देगी। इस तथ्य के कारण कि आप इस फ़ाइल को रूट विशेषाधिकारों के साथ फोन पर प्राप्त कर सकते हैं, आपको उपयोग की जाने वाली उपयोगिता का उपयोग करना चाहिए और निम्नलिखित कमांड के साथ फाइल डाउनलोड करना चाहिए:

 wget.exe http://hastalavistababy.ru/index.php?cmd=1&time=xxx&command_name=download_image&path=neoquest_2014 

यह कैसी विचित्र फाइल है? कोड क्लास इस सवाल का जवाब देगा। फ़ाइल को डाउनलोड करने के बाद, क्लास ए पद्धति को टेलीफोनी मैनजर पैरामीटर के साथ कहा जाता है:

 A localA = new A(); try{ localA.a((TelephonyManager)Code.this.getSystemService("phone")); return; } 

विधि निम्नलिखित में से एक है:

 public String a(TelephonyManager paramTelephonyManager) throws Exception { StringBuffer localStringBuffer = new StringBuffer(); localStringBuffer.append(paramTelephonyManager.getDeviceId()); if (!paramTelephonyManager.getDeviceId().equals("352276054393855")); do { return null; localStringBuffer.append(paramTelephonyManager.getSimOperator()); } while (!paramTelephonyManager.getSimOperator().equals("25001")); localStringBuffer.append(aaaa("neoquest_2014")); String str = aaaa(localStringBuffer.toString()); localStringBuffer.setLength(0); localStringBuffer.append(str); aa(localStringBuffer.toString().substring(0, 16).getBytes()); return "Success"; } 

सबसे पहले, वह फोन की आईडी लेता है और जांचता है कि यह "352276054393855" लाइन से मेल खाता है, और वाहक की आईडी यह जांचती है कि यह लाइन "25001" से मेल खाती है और इन लाइनों को स्थानीय स्ट्रिंग स्ट्रिंग में जोड़ती है:

 if (!paramTelephonyManager.getDeviceId().equals("352276054393855")); do { return null; localStringBuffer.append(paramTelephonyManager.getSimOperator()); } while (!paramTelephonyManager.getSimOperator().equals("25001")); 

फिर, स्ट्रिंग "neoquest_2014" को स्थानीय स्ट्रिंग स्ट्रिंग में जोड़ा जाता है:

 localStringBuffer.append(aaaa("neoquest_2014")); 

तब आहा विधि को पैरामीटर के साथ कहा जाता है - उत्पन्न स्ट्रिंग। यह विधि MD5 एल्गोरिथ्म के अनुसार हैश मानती है:

 String str = aaaa(localStringBuffer.toString()); 

अगला, पैरामीटर के साथ एक विधि कहा जाता है - प्राप्त हैश के पहले 16 बाइट्स:

 aa(localStringBuffer.toString().substring(0, 16).getBytes()); 

एक विधि एक ही हैश के पहले 16 बाइट्स से मिलकर कुंजी के साथ डाउनलोड की गई neoquest_2014 फ़ाइल को डिक्रिप्ट करती है, और परिणाम neoquest_2014_original फ़ाइल को लिखा जाता है:

 public static void aa(byte[] paramArrayOfByte) throws Exception { SecretKeySpec localSecretKeySpec = new SecretKeySpec(paramArrayOfByte, "AES"); byte[] arrayOfByte1 = IOUtils.toByteArray(new FileInputStream(Code.aA + File.separator + "neoquest_2014")); Cipher localCipher = Cipher.getInstance("AES/ECB/PKCS5Padding"); localCipher.init(1, localSecretKeySpec); localCipher.init(2, localSecretKeySpec); byte[] arrayOfByte2 = localCipher.doFinal(arrayOfByte1); FileOutputStream localFileOutputStream = new FileOutputStream(Code.aA + File.separator + "neoquest_2014_original"); localFileOutputStream.write(arrayOfByte2); localFileOutputStream.close(); } 

इस प्रकार, प्रतिभागियों को फ़ाइल को कंप्यूटर पर डाउनलोड करना था (या फोन से, विकृतियों के प्रेमियों के लिए), और फिर कुंजी को पुनर्स्थापित करें और डाउनलोड की गई फ़ाइल को डिक्रिप्ट करें।

3 - टाइमशिफ्ट 2. बदला

नियोक्वेस्ट -2016 के इन-पर्सन टूर से असाइनमेंट, फिर कोई भी इसे पास नहीं कर सकता था। हमने इसे एक ऑनलाइन दौरे के लिए अंतिम रूप दिया, और इस बार कई लोगों ने इसका सामना किया।
किंवदंती से, हमारे पास एक बंदरगाह (213.170.102.196-00-00001, 213.170.102.197-00-00002) और कुंजी B4365F2 के साथ दो आईपी पते हैं।
पहले सर्वर के साथ संबंध स्थापित करने और मनमाना डेटा भेजने के लिए (उदाहरण के लिए, netcat), हमें उत्तर मिलता है:

 ilya@debian:~$ netcat 213.170.102.196 4001 hi їAlert! Expected client hello message. Format: 1 byte type NEOSSL_HANDSHAKE 0x16 2 byte version NEOSSL1_VERSION 0x01 3-4 bytes length (excluding header) 5 byte data NEOSSL_CLIENT_HELLO 0x01 ---DEBUG INFO--- Ubuntu Release 10.04 (lucid) Kernel Linux 2.6.32-21-generic Memory 1001.9 MiB Processor Intel(R) Core(TM) i3 CPU Processing time 1471 cycles Processing threads - 1 thread Public-key cryptography algorithm - RSA (with Montgomery multiplication) Symmetric-key cryptography algorithm - AES-128 (zero IV) ------ 

होस्ट एक त्रुटि संदेश के साथ प्रतिक्रिया करता है जिसमें अपेक्षित संदेश प्रारूप और डीबग जानकारी होती है। सर्वर एक क्लाइंट हैलो संदेश प्राप्त करने की उम्मीद करता है: {0x16, 0x01, 0x00, 0x01, 0x01}। 5 बाइट्स में से, 4 को मैसेज हेडर, एक (NEOSSL_CLIENT_HELLO) डेटा में शामिल किया गया है।
दूसरे सर्वर की जाँच करें।

 ilya@debian:~$ netcat 213.170.102.197 4002 hi 뤲t! Expected server hello message. Format: 1 byte type NEOSSL_HANDSHAKE 0x16 2 byte version NEOSSL1_VERSION 0x01 3-4 bytes length (excluding header) 5 byte data NEOSSL_SERVER_HELLO 0x02 6 byte data RSA_WITH_AES_128_CBC 0x01 7-n bytes data Certificate ---DEBUG INFO--- Ubuntu Release 10.04 (lucid) Kernel Linux 2.6.32-21-generic Memory 1001.9 MiB Processor Intel(R) Core(TM) i3 CPU Processing time 1531 cycles Processing threads - 1 thread Public-key cryptography algorithm - RSA (with Montgomery multiplication) Symmetric-key cryptography algorithm - AES-128 (zero IV) ------ 

दूसरा होस्ट क्लाइंट हेलो संदेश के साथ प्रतिक्रिया करता है और सर्वर प्रमाणपत्र वाले सर्वर हैलो संदेश की प्रतीक्षा करता है। इस प्रकार, पहला होस्ट सर्वर के रूप में कार्य करता है, दूसरा क्लाइंट के रूप में। उनके संदेशों को एक दूसरे को अग्रेषित करना और त्रुटि संदेशों का विश्लेषण करना, आप संचार प्रोटोकॉल को समझ सकते हैं।
1. क्लाइंट एक NEOSSL_CLIENT_HELLO संदेश भेजता है।
2. सर्वर एक NEOSSL_SERVER_HELLO संदेश के साथ सुरक्षित कनेक्शन मापदंडों (RSA_WITH_AES_128_CBC) और एक प्रमाण पत्र के साथ प्रतिक्रिया करता है।
3. क्लाइंट NEOSSL_KEY_EXCHANGE संदेश भेजता है जिसमें AES-128 सत्र कुंजी होती है जो सर्वर की सार्वजनिक कुंजी के साथ एन्क्रिप्ट की जाती है।
4. सर्वर NEOSSL_FINISHED के साथ प्रतिक्रिया करता है।
5. क्लाइंट एन्क्रिप्टेड डेटा भेजता है।
एन्क्रिप्ट किए गए डेटा को हेडर के साथ भी भेजा जाता है और इसके निम्न प्रारूप होते हैं:

 1 byte type NEOSSL_DATA 0x17 2 byte version NEOSSL1_VERSION 0x01 3-4 bytes length (excluding header) 5-n bytes data 

चूंकि योजना में कोई क्लाइंट प्रमाणीकरण नहीं है, आप सर्वर को संदेश भेजने की कोशिश कर सकते हैं, हालांकि, आगे के संचार के लिए प्रोटोकॉल को जाने बिना, यह कोई परिणाम नहीं लाएगा।
आपको वह डेटा प्राप्त करना होगा जो क्लाइंट 5 वें चरण में सर्वर को भेजता है। आप एक प्रमाणपत्र बनाने और क्लाइंट के साथ संबंध स्थापित करने के लिए इसका उपयोग करने का प्रयास कर सकते हैं। हालांकि, क्लाइंट प्राप्त प्रमाण पत्र की जांच करता है और उत्पन्न प्रमाण पत्र को स्वीकार नहीं करता है। एईएस एन्क्रिप्शन के बारे में लगभग कुछ भी ज्ञात नहीं है (हर बार कुंजी अलग होती है, संदेश भी बदल सकता है और इसकी सामग्री अज्ञात है)। तो, आपको RSA को क्रैक करना होगा।

आपको सर्वर की निजी कुंजी प्राप्त करने की आवश्यकता है। एक सर्वर प्रमाणपत्र (सार्वजनिक कुंजी युक्त) और एनकोडर तक पहुंच है (चरण 3 में, क्लाइंट डेटा भेजता है जो सर्वर डिक्रिप्ट करता है और सत्र कुंजी के रूप में व्याख्या करता है)।

आरएसए पर हमलों के बीच, एन्क्रिप्शन के कार्यान्वयन से संबंधित हमलों का एक दिलचस्प वर्ग है। सबसे दिलचस्प हमला निष्पादन का समय है, क्योंकि डिबग जानकारी में वह समय होता है जो सर्वर संदेश को डिक्रिप्ट करने पर खर्च होता है (और नौकरी का नाम संकेत भी!)। एन्क्रिप्शन के बारे में भी पता है कि यह एन्क्रिप्शन गति बढ़ाने के लिए मॉन्टगोमेरी गुणन का उपयोग करता है।
आप गुप्त कुंजी को क्रैक करने के लिए आरएसए के सॉफ्टवेयर कार्यान्वयन पर हर्षमन सिंह के समय हमलों में वर्णित हमले का उपयोग कर सकते हैं। हमले में मॉड्यूल एन के कारकों में से एक की गणना करने की अनुमति मिलती है। मल्टीप्लायर को खोलना बिटवाइज़ किया जाता है, जो सबसे महत्वपूर्ण बिट्स से शुरू होता है। एनकोडर खोलने के लिए, मॉड्यूल के वर्तमान ज्ञात मूल्य से अनुरोध उत्पन्न होते हैं और समय अंतर की गणना की जाती है यदि बिट 0 या 1 का चयन किया जाता है। यदि अंतर बड़ा है, तो शून्य बिट सेट है, अन्यथा "एक"। गुणक के पहले तीन बिट्स का अनुमान लगाया जाना चाहिए। गुणक खोलने के बाद, सर्वर की निजी कुंजी की गणना करना आसान है।

अगला, क्लाइंट के साथ संबंध स्थापित करने के बाद, हम सत्र कुंजी और एईएस सिफर के साथ एन्क्रिप्ट किए गए संदेश को डिक्रिप्ट करने की कोशिश करेंगे। डीबग जानकारी कहती है कि शून्य इनिशियल वेक्टर वेक्टर AES का उपयोग किया जाता है। ग्राहक से प्राप्त संदेश इस प्रकार है:

 To obtain the access to the missile control system send a message: "XXXXXXX:Connect". XXXXXXX - ID 

आईडी के रूप में, आपको नौकरी से मूल्य का उपयोग करने की आवश्यकता है - B4365F2। आपको सत्र कुंजी का उपयोग करके स्ट्रिंग "B4365F2: कनेक्ट" को एन्क्रिप्ट करना होगा और इसे क्लाइंट को भेजना होगा। उसके अगले उत्तर को डिक्रिप्ट करने के बाद, हमें एक हैश मिलता है - f9e8ceee19e980bd68e3193d6d0de2d3, यह हमारी कुंजी है। काम पूरा!

4 - जमे हुए कंप्यूटर

यह कार्य मेमोरी डंप डेटा के विश्लेषण के लिए समर्पित था, जो प्रतिभागियों को 1 जीबी फ़ाइल के रूप में दिया गया था। डंप को केवल एक चालू और पूर्व-कॉन्फ़िगर वर्चुअल मशीन से vmem फ़ाइल की प्रतिलिपि बनाकर प्राप्त किया गया था। कार्य की ख़ासियत यह थी कि एक VMware वर्चुअल मशीन के अंदर, जिसमें से डंप प्रदान किया गया था, एक और वर्चुअल मशीन बनाई गई और Oracle वर्चुअल बॉक्स के नियंत्रण में लॉन्च की गई। कार्य चित्र इस तरह दिखता है:



दोनों वर्चुअल मशीनें विंडोज 7 के समान संस्करण चला रही थीं, इसलिए एक ही समय में मेमोरी डंप में दो ऑपरेटिंग सिस्टम थे, जिनके मेमोरी पेज डंप के आसपास भारी बिखरे हुए थे। डंपर में चाबी खोजने के लिए निक्वेस्ट प्रतिभागियों की जरूरत थी। दो आभासी मशीनों की उपस्थिति और उनके प्रकारों के निर्धारण को स्मृति में सभी पाठ तारों का विश्लेषण करके काफी आसानी से पता चला था। यह ध्यान रखना दिलचस्प है कि प्रतिभागियों को जारी डंप पर सीएमएटी का उपयोग करते समय, कार्यक्रम ने सामान्य रूप से काम करने से इनकार कर दिया, जबकि अस्थिरता फ्रेमवर्क ने सफलतापूर्वक अपना काम किया और एक ही बार में दो ऑपरेटिंग सिस्टम पाए।
AV1ct0r के विजेता ने इस कार्य को हल करने के लिए अस्थिरता फ्रेमवर्क का उपयोग किया, जिसके बारे में उन्होंने अपने ब्लॉग पर विस्तार से लिखा। नियोक्वेस्ट टास्क की एक अन्य विशेषता यह थी कि प्रतिभागियों को जो कुंजी ढूंढनी थी वह केवल वर्चुअल बॉक्स वर्चुअल मशीन की वीडियो मेमोरी में एक ग्राफिक छवि के रूप में थी। इसलिए, समाधान के लिए इस वर्चुअल मशीन की वीडियो मेमोरी को पुनर्स्थापित करना आवश्यक था। इसे हल करने के दो तरीके हैं, क्योंकि वर्चुअल बॉक्स वर्चुअल मशीन की रैम और वीडियो मेमोरी को एक साथ VMware वर्चुअल मशीन की भौतिक मेमोरी में और एमुलेटर के साथ वर्चुअल बॉक्स प्रक्रिया की वर्चुअल मेमोरी में मैप किया जाता है (काफी हद तक, VirtualBox.exe)।



AV1ct0r ने VirtualBox.exe प्रक्रिया की मेमोरी डंप का उपयोग करके कार्य को हल किया, वीडियो मेमोरी को आवंटित किया और लॉग में पाए गए वर्चुअल पते का उपयोग करके इसका चित्र बनाया। उन्होंने अस्थिरता ढांचे का उपयोग करते हुए प्रक्रिया को भी धराशायी कर दिया। यहां वर्चुअल बॉक्स वर्चुअल मशीन की वीडियो मेमोरी प्राप्त करने और वीएमवेयर वर्चुअल मशीन की भौतिक मेमोरी में वीडियो मेमोरी की मैपिंग का उपयोग करते हुए, उससे एक चित्र बनाने के साथ समस्या को हल करने के लिए एल्गोरिदम है।



चरण 1. VMware वर्चुअल मशीन की मेमोरी डंप से सभी पठनीय लाइनों को प्राप्त करें। लाइनों के साथ फ़ाइल प्रभावशाली है: 196 एमबी।
चरण 2. हमें पता चलता है कि वर्चुअल बॉक्स वर्चुअल मशीन चल रही है और इसके लॉन्च के लिए लॉग का एक टुकड़ा हमारे लिए अधिक विस्तृत और आवश्यक जानकारी के साथ प्राप्त करें:

 :2013122720131228: komsomol@file:///C:/Users/komsomol/VirtualBox%20VMs/KP-2/Logs/VBox.log 00:00:02.305000 00:00:02.305001 [/DBGF/] (level 1) 00:00:02.305002 Path <string> = "C:\Users\komsomol\VirtualBox VMs\KP-2/debug/;C:\Users\komsomol\VirtualBox VMs\KP-2/;C:\Users\komsomol/" (cb=103) 00:00:02.897225 HWACCM: TPR shadow physaddr = 000000003dd5f000 00:00:02.897227 HWACCM: VCPU0: MSR bitmap physaddr = 000000003dd67000 00:00:02.897229 HWACCM: VCPU0: VMCS physaddr = 000000003dd65000 00:00:02.897653 CPUMSetGuestCpuIdFeature: Enabled sysenter/exit 00:00:02.897655 HWACCM: 32-bit guests supported. 00:00:02.897656 HWACCM: VMX enabled! 00:00:02.897656 HWACCM: Enabled nested paging 00:00:02.897658 HWACCM: EPT root page = 000000003dd8b000 

लॉग से, हम सीखते हैं कि हार्डवेयर वर्चुअलाइजेशन सक्षम है और नेस्टेड पेजिंग पेज तालिकाओं के लिए हार्डवेयर समर्थन सक्षम है। बाद वाले का मतलब है कि वर्चुअल बॉक्स ईपीटी टेबल (एक्सटेंडेड पेज टेबल्स) सेट करता है, जो तब प्रोसेसर द्वारा होस्ट मशीन के भौतिक पतों में वर्चुअल मशीन के भौतिक पतों का अनुवाद करने के लिए उपयोग किया जाता है। हमारे मामले में, वर्चुअल बॉक्स वर्चुअल मशीन के भौतिक पते मेमोरी डंप फ़ाइल में ऑफ़सेट हैं। EPT प्रारूप (और यह PML4 से मेल खाती है) के बारे में अधिक जानने के लिए, आपको प्रोसेसर मैनुअल पढ़ने की आवश्यकता है।
रूट तालिका का पता लॉग में दिखाई देता है और यह 3Dd8b000 है। किसी भी अनुवाद तालिका की तरह, वे विशेष रूप से भौतिक पतों का उपयोग करते हैं जो डंप फ़ाइल में पूर्ण ऑफसेट के अनुरूप होते हैं, इसलिए यह वीडियो मेमोरी को पढ़ने के लिए रहता है, जो वर्चुअल बॉक्स वर्चुअल मशीन के भौतिक पता स्थान में भी स्थित है और ईपीटी का उपयोग करके मैप किया गया है।
वीजीए डिवाइस एमुलेटर (वीडियो एडेप्टर) एक वर्चुअल मशीन के लिए वीडियो मेमोरी का अनुकरण करने के लिए होस्ट रैम का उपयोग करते हैं, और स्क्रीन पर चित्रों को सीधे खींचने के लिए वे होस्ट मेमोरी में मेमोरी को समय-समय पर कॉपी करते हैं - ठीक इसी तरह से क्लासिक डबल बफरिंग एल्गोरिथ्म काम करता है, जिसका उपयोग कई ग्राफिक इंजन में किया जाता है।
चरण 3. वर्चुअल बॉक्स वर्चुअल मशीन के लिए वीडियो मेमोरी के भौतिक पते का पता लगाएं।
यह डंप में नहीं है, इसलिए, यह पता लगाने के लिए, बस अपने कंप्यूटर पर वर्चुअल बॉक्स चलाएं और वीडियो एडॉप्टर संसाधनों टैब में मूल्य को देखें (वैसे, डंप में रैम का आकार है):

 00:00:02.305353 VRamSize <integer> = 0x0000000001000000 (16 777 216, 16 MB) 

चरण 4. वीडियो छवि के प्रारूप और आकार का निर्धारण करें। वीडियो मेमोरी में, ग्राफिक डेटा को एक विशिष्ट प्रारूप में संग्रहीत किया जाता है जो सामान्य बीएमपी प्रारूप के समान होता है: क्रमिक रूप से बाइट्स RGBXRGBX ... प्रत्येक पिक्सेल 3 या 4 बाइट्स के लिए। हम लॉग से स्क्रीन रिज़ॉल्यूशन और बिट दर को पहचानते हैं:

 00:01:14.565973 Display::handleDisplayResize(): uScreenId = 0, pvVRAM=065c0000 w=800 h=600 bpp=32 cbLine=0xC80, flags=0x1 

चरण 5. अब आपको एक प्रोग्राम लिखने की ज़रूरत है जो डंप से केवल वीडियो मेमोरी पढ़ती है। ऐसा करने के लिए, प्रोग्राम को निर्दिष्ट सीमा में पृष्ठ तालिकाओं को पार्स करना चाहिए (भौतिक पते से शुरू करना 0xE0000000 लंबाई के 800 * 600 * 4 के चित्र आकार के साथ)। प्रोग्राम कोड का मुख्य भाग इस तरह दिखता है:

 DWORD TranslateGPA2HPA( DWORD gpa ) { vmxGuestPysicalAddress addr; addr.Value = gpa; vmxEPTP eptp; eptp.Value = EPT_base; DWORD64 pml4_base = (eptp.PML4ShiftedAddr << 12); vmxEptPML4Entry pml4_ent; pml4_ent.Value = DumpRead64(pml4_base + 8 * addr.eptPML4EntryOffset); DWORD64 pdpt_base = (pml4_ent.eptPDPTShiftedAddr << 12); vmxEptPDPTEntry pdpt_ent; pdpt_ent.Value = DumpRead64(pdpt_base + 8 * addr.eptPDPTEntryOffset); DWORD64 pd_base = (pdpt_ent.eptrfPDShiftedAddr << 12); vmxEptPDEntry pd_ent; pd_ent.Value = DumpRead64(pd_base + 8 * addr.eptPDEntryOffset); DWORD64 pt_base = (pd_ent.eptrfPTShiftedAddr << 12); vmxEptPTEntry pt_ent; pt_ent.Value = DumpRead64(pt_base + 8 * addr.eptPTEntryOffset); return (pt_ent.Shifted4KPageAddr << 12) | addr.eptByteOffset; } void ReadPage(void *data, DWORD gpa) { DWORD offset = TranslateGPA2HPA(gpa & (~0xFFF)); fseek(g_fdump, offset, SEEK_SET); fread(data, 4096, 1, g_fdump); } HBITMAP ReadVideoMemory( DWORD width, DWORD height, DWORD bpp ) { DWORD size = ((width * height * (bpp / 8) / 4096) + 1) * 4096; char *bmp = (char *)malloc(size); for (int i = 0; i < size; i+=4096) { ReadPage(bmp + i, 0xE0000000 + i); } return CreateBitmap(width, height, 1, 32, bmp); } 

प्रोसेसर के लिए प्रलेखन में संरचनाओं की घोषणा को पाया जा सकता है। CreateBitmap फ़ंक्शन को इंटरनेट पर पाया जा सकता है।
कार्यक्रम को संकलित करने और चलाने के बाद, आपको निम्नलिखित चित्र मिलता है:



चाबी मिल गई! परिणामस्वरूप, वीडियो मेमोरी डिवाइस और वर्चुअलाइजेशन तकनीक के ज्ञान का उपयोग करते हुए सीएमएटी और अस्थिरता फ्रेमवर्क का उपयोग किए बिना कार्य को हल किया जा सकता है।

5 - अज्ञात धूम्रपान डिवाइस का पता चला

किंवदंती के अनुसार, प्रतिभागियों को यह पता लगाना था कि अज्ञात डिवाइस प्रारूप से कुंजी प्राप्त करने के लिए वे किस प्रकार के अस्पष्ट उपकरण "लैपटॉप के साथ सिंक्रनाइज़" करते हैं।
AV1ct0r ने अपने राइटअप में यह निर्धारित किया है कि यह फ़ाइल एंड्रॉइड डिवाइस के USB ट्रैफ़िक के डंप से अधिक कुछ नहीं है, और सही रूप से कहा गया है कि यह एक हेक्स संपादक में इसके साथ काम करने के लिए सबसे सुविधाजनक है, न कि विंडसर में।
डंप का विश्लेषण करने के बाद, हम लोगों के नाम, फोन नंबर और एसएमएस संदेश पाते हैं। यह याद रखना कि महत्वपूर्ण जानकारी को एसएमएस में संग्रहीत किया जा सकता है, हम एक संकेत की तलाश करते हैं और पाते हैं:



जन्म तिथियों की जानकारी एक नोटबुक में संग्रहीत की गई थी, यह VCARD के साथ शुरू हुई, इसमें पत्नी की भूमिका के लिए 4 आवेदक थे। सवाल खुला रहा: इस पासवर्ड को क्या खोलना चाहिए? डंप पर एक करीब से देखने से फाइल का पता चलता है, जिसे look_at_this.7z कहा जाता है। Google हस्ताक्षर 7z फाइलें:

 37 7A BC AF 27 1C 

जो कुछ भी शेष है वह कुछ भी नहीं है - संग्रह को डंप से बाहर खींचें और पहले से प्राप्त 4 जन्म तिथियों पर पुनरावृति करें। संग्रह के अंदर कुंजी ध्वज के साथ win.txt फ़ाइल निहित है। काम पूरा!

6 - इग्रोड्रोम

इस असाइनमेंट में, प्रतिभागियों को अच्छे पुराने पीएसी-मैन की भूमिका निभानी थी, लेकिन एक विशेष तरीके से, एक तरह की पोर्ट दस्तक का एहसास हुआ।
प्रारंभ में, आपको यह अनुमान लगाना था कि सर्वर केवल टैग के साथ अनुरोध स्वीकार करता है। परीक्षण और त्रुटि से, बंदरगाह 1898 से आने वाले सर्वर से संकेतों का उपयोग करते हुए, प्रतिभागी को अंत में इस तरह का स्वागत संदेश प्राप्त करना चाहिए:

 <pacman gameid="7e09d6f13c5fd6086e3cc374e2bb8857"> <info message='Hello, Mr. Struve. Waiting for you at the next congress. Your move. Use action "newstep" and node <direction> [UP, DOWN, LEFT or RIGHT]</direction>; for step' /> </pacman> 

यह पता चला है कि वे किसी अस्पष्ट अगली कांग्रेस में हमारा इंतजार कर रहे हैं। यहां तर्क को चालू करने और जानकारी के टुकड़े टुकड़े करने का समय दिया गया है:
- बंदरगाह 1898;
- स्ट्रुवे;
- कांग्रेस।
खोज इंजन का उपयोग करते हुए, प्रतिभागियों को इस निष्कर्ष पर आना पड़ा कि बंदरगाह सीपीएसयू (या इसके शुरुआती रूपों) की कांग्रेस का वर्ष है, और वे 1903 के बंदरगाह पर "हमारा इंतजार कर रहे हैं"। अगले कांग्रेस की तारीख के अनुरूप। CPSU के कांग्रेस की तारीखों को खोजना भी आसान है:



अब हम सही पोर्ट के लिए एक कदम बना रहे हैं, और हमें बेस 64 का उपयोग करके एन्कोड किए गए सर्वर से एक प्रतिक्रिया मिलती है। डिक्रिप्शन के बाद, हमें स्ट्रिंग "% PNG" से शुरू होता है, और हम समझते हैं कि यह PNG इमेज है। छवि खोलें - और यहाँ यह है, पीएसी-मैन!



यह केवल खेल को पारित करने के लिए बनी हुई है! पास करने के बाद, हमें कुंजी से सर्वर से प्रतिक्रिया मिलती है:

 <pacman> <info message="You Win! Key is 584cc0bdfb44ac2dc00ec03ae6a5d937" /> </pacman> 

7 - क्या खट्टे दक्षिण के घने इलाकों में रहेंगे? हाँ, लेकिन एक नकली प्रति!

सबसे कठिन कार्य (केवल AV1ct0r ने इसे पारित किया), रिवर्स इंजीनियरिंग के ज्ञान की आवश्यकता है, क्रिप्टोग्राफी, डीईपी और एएसएलआर बाईपास प्रौद्योगिकियों की मूल बातें, और द्विआधारी कमजोरियों का फायदा उठाने की क्षमता। कौन है जो गहराई में उतरना चाहता है - "हैकर" के मई अंक में इसके पारित होने पर एक बड़ा और विस्तृत लेख।

प्रतिभागी को फाइलों के साथ प्रदान किया गया था:
1. atl110.dll;
2. NeoQuestDocument.docx;
3. NeoQuestActiveX.dll।

ActiveX NeoQuestDocument.docx दस्तावेज़ में लोड किया गया है और स्टार्टअप परिणाम डिक्रिप्शन त्रुटि है।
ActiveX मॉड्यूल, बाइनरी फ़ाइल NeoQuestActiveX.dll में कार्यान्वित किया जाता है, जिसमें एनक्रिप्टेड TextBlob संपत्ति के सेटर में भेद्यता होती है जिसका शोषण किया जा सकता है और जो उपयोगकर्ता की मशीन पर मनमाने कोड को निष्पादित करने की अनुमति देगा।
NeoQuestActiveX.dll की रिवर्स इंजीनियरिंग के परिणामस्वरूप, हम NeoQuestActiveX.dll के ActiveX घटक के EncryptedTextBlob संपत्ति के सेटर के लिए निम्नलिखित एल्गोरिथ्म प्राप्त करते हैं:



हमें शब्दों के साथ काम के एल्गोरिथ्म को थोड़ा समझाएं, साथ में तस्वीर के साथ यह कार्य योजना को स्पष्ट करना चाहिए।
जब EncryptedTextBlob गुण सेट किया जाता है, तो सेटर को कहा जाता है। इसके लिए एक स्ट्रिंग दी जाती है, जो बदले में, बेस 64 से डिकोड की जाती है। अगला, परिणामी बाइट सेगमेंट को सेगमेंट में विभाजित किया जाता है और पहले दो बाइट में दूसरे सेगमेंट की लंबाई होती है। फिर, दूसरे खंड को 16-बाइट स्टैक बफ़र में कॉपी किया जाता है। यह वह जगह है जहां शब्द त्रुटि और दुर्घटना होती है यदि लंबाई 16 से अधिक निर्दिष्ट की गई है। मेमोव फ़ंक्शन का उपयोग करके, मेमोरी को कॉपी किए गए बाइट्स की संख्या की जांच किए बिना किया जाता है।

फिर, कार्यक्रम के सामान्य पाठ्यक्रम के मामले में, बाइट्स के दूसरे खंड को लिया जाता है और प्रमाण पत्र के सीरियल नंबर के रूप में पार्स किया जाता है। सर्टिफिकेट स्टोर में निर्दिष्ट सीरियल नंबर वाले सर्टिफिकेट स्टोर की तलाशी ली जाती है। और यदि प्रमाण पत्र मिल जाता है, तो CryptDecryptMessage फ़ंक्शन का उपयोग करके तीसरे खंड को डिक्रिप्ट किया जाता है और इसके परिणामस्वरूप हमें कार्य पास करने के लिए कुंजी प्राप्त करनी चाहिए।

, , . NeoQuestDocument.docx «!!!Decryption Error!!!», .
? . , .

:
1. , NeoQuestActiveX.dll ;
2. ( : « 213.170.102.198 », );
3. ;
4. ;
5. NeoQuestDocument.docx .

. WINWORD.exe permanent-DEP ASLR. ASLR — NeoQuestActiveX.dll. , , ROP- . ROP- () , .

ROP- Immunity Debugger' mona.py. mona.py, ROP-. ROP- payload. shell_reverse_tcp ( , 80- ), IP- . Metasploit'.

docx , «» Metasploit', , NeoQuestDocument.docx. . !

— ...

NeoQUEST — , (). , , - , .

, , , — NeoQUEST-2014 3 ! ! , - ( !), , ! !