BlackHat Asia CTF - Writeup

# はじめに
シンガポールで開催されたBlackHat Asia 2024の中で行われてたCTFのWriteupです。
[Bugcrowd](https://www.bugcrowd.com/)さんによる運営です。ありがとうございました。
Writeup書いて良いみたいだったので、備忘録です。
※ほぼForensicの内容です。
※問題文はキャプチャ忘れました。

![スクリーンショット 2024-04-19 21.37.29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/e837cc8a-7f40-809e-be7a-0c2ba1d2d723.png)

# Web
## Easy Web
とりあえずソースを洗ったらフラグがコメントにありました。
![2024-04-18_13.49.26.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/d948dbbd-09ee-1448-e71f-af477b2ae1f4.png)

# Forensic
## Look closer and you will see
画像が渡されるのでとりあえず以下に叩き込みます。

https://www.aperisolve.com/

普通にStringsで見つけました。
![2024-04-18_13.32.05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/3b1eee60-a117-5e31-a3a2-7dd29189708d.png)

## Unk
よくわからないファイルを渡されるので`file`でみます。
![スクリーンショット 2024-04-19 22.18.43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/6cf27a7e-9b30-e3ed-51fa-e2e97a005a51.png)
なんかよくわからんので`walk`します。
![スクリーンショット 2024-04-19 22.20.32.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/9e19eb97-d356-9831-3fd4-9a454ddda9ac.png)
OfficeのXMLかな？
`binwalk -Me`で抽出してもらいます。`unzip`とかでも良いです。
すると、サムネイルにフラグが見えました。
![スクリーンショット 2024-04-19 22.24.29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/63952f3c-ea5a-3c59-ca96-a69e582888c6.png)
適当にOCRか何かに突っ込めばフラグが手に入ります。

## Ramp Cat
何か猫の写真を渡されます。この猫の居場所を答える問題のよう。
![スクリーンショット 2024-04-19 22.27.07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/7b06b0f5-4d61-cabc-2482-0ed8d024dcd9.png)
exif回します。
![スクリーンショット 2024-04-19 22.29.02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/d1c26fd9-884e-9ba1-2223-264ba7062776.png)
GPS情報が見えるのでここら辺の地図でそれっぽい地名や店名を片っ端から解答しました。
多分以下のこれで引っかかったはず。

https://www.google.com/maps/place/%E5%AD%90%E7%8C%AB/@40.7209817,-73.9842518,409m/data=!3m1!1e3!4m6!3m5!1s0x89c25981f43bf645:0xa07e80dfd33a154b!8m2!3d40.7204578!4d-73.9841387!16s%2Fg%2F11bwflk68s?entry=ttu

## PDFcrypt
暗号化されたPDFを渡されました。
とりあえず`pdf2john`します。
![スクリーンショット 2024-04-19 22.38.16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/19373bec-96d4-1af7-6470-411726a3ded0.png)
そのままPDFをこのパスワードで開いてみます。
![スクリーンショット 2024-04-19 22.40.29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/3cfdcc9d-eeb5-a86f-bc7b-70c9133f4f45.png)
フラグが見えました。

## Lost Flash Drive
よくわからないDriveファイルを渡されるので`file`します。
![スクリーンショット 2024-04-19 22.42.43.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/da7168bf-55f8-c4db-4e30-6bb2155b3d9f.png)
よくわからないので`walk`します。
![スクリーンショット 2024-04-19 22.44.27.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/146c4098-ca2c-a1ab-69fc-3b68e3be2d23.png)
なんか色々ありますが、passwordのtxtがあるのでそこら辺を収集したいです。
`binwalk -Me`します。
抽出したPassword.txtにフラグがありました。
![スクリーンショット 2024-04-19 22.46.14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/7c8ff24c-5cda-b8ec-be36-f05e897f57c8.png)

## A Friend
何やらzipファイルが渡されます。中身はMSのOfficeファイルのよう。
`unzip`でうまくいかなかったので以下のコマンドで解凍します。
```bash
┌──(kali㉿kali)-[~/Downloads]
└─$ jar xvf a_friend.zip                                 
Picked up _JAVA_OPTIONS: -Dawt.useSystemAAFontSettings=on -Dswing.aatext=true
 inflated: a friend.docx
```

開くと以下の文字が見えます。
![スクリーンショット 2024-04-19 22.55.02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/78d00408-440f-8f8f-1a92-48c093eb6a29.png)
白塗りの可能性を考えて赤くします。
![スクリーンショット 2024-04-19 22.55.51.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/fb8494cc-01c6-2789-8801-6226ec68aebb.png)
何か仕込んでいるみたいです。
docファイルをとりあえず探ってみましたが良いものがありませんでした。
unzipできなかった元のファイルが怪しいと思い、`binwalk`してみます。
![スクリーンショット 2024-04-19 22.58.12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/3b4e2804-c167-8d43-0676-80e40519b214.png)
PNGが見えるのでそこが怪しそう。
![スクリーンショット 2024-04-19 23.00.09.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/43432adf-5400-08a4-a4af-92be8c55b829.png)
最後に`IEND.B`が見えるので最後までPNGとして扱ってしまってよさそう。前半部分をバイナリエディタなどで削除します。
![スクリーンショット 2024-04-19 0.44.57.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/47bd3f0a-acdf-3f75-558c-bb8ded47afe8.png)
※Macのバイナリエディタ使った。
整形したファイルを開きます。
![スクリーンショット 2024-04-19 23.05.23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/dcd3ba39-9696-2e88-19a0-538f2965811c.png)
フラグが見えました。

# 最後に
BlackHat Asia 2024。
いい経験になりました。
![スクリーンショット 2024-04-19 21.33.28.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2036848/b0e122b5-db17-eeef-8fe0-54ba1d3b5df6.png)