Fetch the Flag CTF 2022: solução do Treasure Trove

Obrigado por jogar Fetch com a gente! Parabéns às milhares de pessoas que participaram do Fetch the Flag CTF. E um agradecimento especial aos Snykers que criaram, testaram e escreveram as soluções dos desafios!

O Fetch the Flag deste ano foi incrível, mas também deu bastante trabalho! Com 16 desafios e pouco tempo, nem todas as equipes conseguiram concluir todos. Para quem não conseguiu vencer o relógio, vamos mostrar como nossa equipe resolveu o desafio Treasure Trove.

Passo a passo

O enunciado do desafio era: “a versão mais recente do Treasure Trove já saiu, mas onde coloquei minha chave de licença?”. Para começar, há uma tag que diz Engenharia reversa e um arquivo obfuscator.js fornecido.

Também há um link para um site com campos de entrada para caracteres em uma grade 5x5, um botão e uma arte incrível que me faz lembrar de quando eu jogava Curse of Monkey Island.

Ao analisar o código fornecido, você encontra uma ferramenta que transforma código legível por humanos em um monte de lixo.

Agora, vamos dar uma olhada no site. Há um endpoint swashbuckle.js com um método chamado validate. O código parece corresponder à saída que o obfuscator vai gerar. Hmm…

Observando mais de perto, vemos que o método validate está disponível no objeto window e é chamado quando o formulário é enviado. Uau, parece que fazer engenharia reversa de validate é o único caminho… Será que o navegador pode ajudar? Vamos chamar validate.toString() pelo console do navegador. Bingpot!

1function anonymous(
2) {
3
4const segementOne = document.getElementById('seg-1');
5const segementTwo = document.getElementById('seg-2');
6const segementThree = document.getElementById('seg-3');
7const segementFour = document.getElementById('seg-4');
8const segementFive = document.getElementById('seg-5');
9
10const setError = (message) => {
11  document.getElementById('error-msg').innerText = message;
12}
13
14setError('');
15const characters = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789';
16const key = segementOne.value + segementTwo.value + segementThree.value + segementFour.value + segementFive.value;
17if (key.length != 25) {
18  setError('Invalid redemtion code!')
19  return;
20}
21
22let val = 0;
23for (let i = 0; i < 25; i++) {
24  val += key.charCodeAt(i);
25  if (!characters.includes(key[i])) {
26    setError('invalid characters');
27    return;
28  }
29}
30
31if (val != 1800) {
32  setError('invalid code');
33  return;
34}
35
36fetch('/api/validatekey/' + key)
37.then(async res => {
38  const result = await res.json();
39  setError('Argg ye got it! ' + result.flag);
40});
41
42}

Parece que o código executa as seguintes etapas:

1. Busca os valores dos campos de entrada do HTML

2. Verifica se os caracteres estão no intervalo A-Z0-9

3. Percorre os caracteres, converte-os em charCode e soma esses valores. O método charCodeAt() retorna um número inteiro entre 0 e 65535 que representa a unidade de código UTF-16 no índice informado. Fonte

4. Gera um erro se o valor não for igual a 1800

5. Se o valor for igual a 1800, os valores de entrada originais serão enviados a um endpoint de API

A conclusão mais interessante é que, se o valor não for 1800, o código é inválido.

1. 1800 / 25 (o total de caracteres disponíveis)

2. 72

3.  String.fromCharCode(72)

4. Retorna H

Digite HHHHH em cada campo de entrada

Bingpot de novo!

Conseguimos resolver esse desafio sem precisar mexer no código do obfuscator. Assim, sobrou bastante tempo para começar o próximo desafio!

Quer saber como encontramos todas as outras flags? Confira a página soluções do Fetch the Flag para ver como fizemos.