Snyk Fetch the Flag CTF 2023: Lösung zu Audiopolis

Danke, dass Sie mit uns Fetch gespielt haben! Glückwunsch an die Tausenden von Spielerinnen und Spielern, die bei Fetch the Flag CTF dabei waren. Waren Sie bei Snyk Fetch the Flag 2023 dabei und suchen Sie nach der Lösung für die Audiopolis-Challenge? Dann sind Sie hier richtig. Lassen Sie uns gemeinsam die Lösung durchgehen!

Audiopolis präsentiert den Spielerinnen und Spielern eine interessante Web-App, die angeblich Sprache in Text umwandeln kann. Laden Sie eine .wav-Datei hoch, und die App erstellt ein Transkript dieser .wav-Datei.

Zunächst wissen die Spielerinnen und Spieler nicht, dass der Text auf der Seite ausgegeben wird, indem der aus der .wav-Datei generierte Text mit echo ausgegeben wird. Diese Web-App ist also anfällig für Command Injection, wenn wir herausfinden, wie wir der App ein Sonderzeichen als Eingabe übergeben können.

Das Programm text2wave eignet sich gut, um Payloads für diese Challenge zu erstellen. Wir können damit nach einer Command Injection suchen, indem wir den Sleep-Test verwenden:

$ echo "hello, ampersand, sleep, one, zero" > payload && text2wave < payload > payload.mp4

Dadurch hängt die Seite 10 Sekunden lang – ein Beweis dafür, dass Befehle ausgeführt werden.

Von hier aus müssen wir nur noch herausfinden, was wir sagen müssen, um die Flag zu finden und auszugeben:

$ echo "hello, ampersand, cat space flag period txt" > catflag && text2wave < catflag > catflag.mp4

Danke, dass Sie Fetch möglich gemacht haben!

Ein riesiges Dankeschön an alle Teams bei Fetch the Flag 2023! Es war toll, Sie alle dort zu sehen. Sie finden mich jederzeit auf YouTube.

Hier finden Sie die Write-ups zu den anderen Challenges von 2023. Viel Spaß beim Stöbern!

• Honey Baked Messages

• I Do Math

• Off the SETUID

• Protect The Environment

• Silent Cartographer

• Write-ups aus der Community!