[TryHackMe] OhSINT - WalkThrough/Writeup

本記事は [TryHackMe](https://tryhackme.com/) の [OhSINT](https://tryhackme.com/room/ohsint) ルームに関する Walkthrough/Writeup です。

## 概要

1枚の写真(画像ファイル)からどのような情報が得られるのか、さまざまな質問があり、調査をしながら攻略していきます。

## 環境

* Kali Linux(2021.1.0)
* exiftool(12.16)
    * [Vagrant Box](https://app.vagrantup.com/kalilinux/boxes/rolling)を使用して構築するとデフォルトでインストールされていないため、`apt install -y libimage-exiftool-perl`でインストールが必要です。

## 攻略

> What is this users avatar of?

ユーザのアバターを問われています。手がかりが画像ファイルしかないため、`exiftool`でメタデータの確認をします。

```console
┌──(vagrant㉿kali)-[~]
└─$ exiftool WindowsXP.jpg
ExifTool Version Number         : 12.16
File Name                       : WindowsXP.jpg
Directory                       : .
File Size                       : 229 KiB
File Modification Date/Time     : 2021:04:14 08:51:58-04:00
File Access Date/Time           : 2021:04:14 08:52:54-04:00
File Inode Change Date/Time     : 2021:04:18 02:47:11-04:00
File Permissions                : rw-r--r--
File Type                       : JPEG
File Type Extension             : jpg
MIME Type                       : image/jpeg
XMP Toolkit                     : Image::ExifTool 11.27
GPS Latitude                    : 54 deg 17' 41.27" N
GPS Longitude                   : 2 deg 15' 1.33" W
Copyright                       : OWoodflint
Image Width                     : 1920
Image Height                    : 1080
Encoding Process                : Baseline DCT, Huffman coding
Bits Per Sample                 : 8
Color Components                : 3
Y Cb Cr Sub Sampling            : YCbCr4:2:0 (2 2)
Image Size                      : 1920x1080
Megapixels                      : 2.1
GPS Latitude Ref                : North
GPS Longitude Ref               : West
GPS Position                    : 54 deg 17' 41.27" N, 2 deg 15' 1.33" W
```

`Copyright`や`GPS Position`などに痕跡がありました。

`Copyright`に残された、`OWoodflint`でGoogle検索をすると以下の通りTwitter・Worepress・Githubにアカウントがあることがわかりました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1344050/67e46b1b-8471-a917-a4de-934fe076b2db.png)

[Twitterのアカウント](https://twitter.com/owoodflint)を確認するとアバターが設定されていました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1344050/4e32bc27-efad-1b1c-a3d3-ebd76726c909.png)

答えは、`cat`です。

> What city is this person in?

次はこの人物がどこの都市にいるかを問われます。

Tweetを見ると、以下の通り家からFree WiFiにより接続をしているようで、BSSID情報がありました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1344050/1ee80316-42d2-51f0-2726-8d50bc7c5223.png)

https://wigle.net で対象のBSSIDを検索します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1344050/a8232f82-770f-16ec-5822-b8d23b7c37ee.png)

答えは、`London`です。

> Whats the SSID of the WAP he connected to?

先程の、 https://wigle.net を拡大していくとSSIDがわかります。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1344050/abc867da-7fd4-c16c-85ab-35d1b5773836.png)

答えは、`UnileverWiFi`です。

> What is his personal email address?

Twitterからは情報が取得できなさそうなので、[Github](https://github.com/OWoodfl1nt/people_finder)を確認すると以下の通り連絡先としてメールアドレスが掲載されていました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1344050/474898ff-0673-4b2c-28e8-0d9f321fb7a1.png)

答えは、`OWoodflint@gmail.com`です。

> What site did you find his email address on?

どこのサイトでメールアドレスを見つけたかを、聞かれています。

答えは、`Github`です。

> Where has he gone on holiday?

休日にどこにいるか聞かれています。Twitterにはすでに情報がなく、Githubにも情報がなさそうなので、まだ調査をしていない[WordPress](https://oliverwoodflint.wordpress.com/author/owoodflint/)を調査すると、以下の通り所在地が特定できました。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1344050/9c7c4c9a-a098-1434-b12e-cdfa0deb4cce.png)

答えは、`New York`です。

> What is this persons password?

WebサイトのHTML上にパスワードが埋め込まれていることがあるので、[WordPress](https://oliverwoodflint.wordpress.com/author/owoodflint/)の投稿記事のHTMLを眺めていると、記事のすぐ下に表示は隠蔽された文字列(白背景に白文字の文字列)を見つけました。

```html
<p>Im in New York right now, so I will update this site right away with new photos!</p>



<p style="color:#ffffff;" class="has-text-color">pennYDr0pper.!</p>
```

答えは、`pennYDr0pper.!`です。