M4ndU의 만두만두한 블로그

Obligatory Shark

 

---

Every Breath You Take

---

Height and width are empty.

But we have a CRC.

1200 x 675

 

hmm

found something

 

she is queen mary

 

why it is not working?

HASH Cracking

Hash 1

hashcat.exe -a 0 -m 0 hash.txt rockyou.txt

phantomlover

 

---

Hash 2

-m 100

fishchips

 

---

Hash 3

-m 1700

mommadobbins

---

Hash 4

sha2-256 -> nothing

ghost -> -m 6900

happyfamily

---

Hash 5

-m 3200

cowabunga

 

---

Hash 6

-m 500

scottiebanks

---

Hash 7

-m 1800

igetmoney

---

Steganography

A cornucopia of numbers

bin to ascii

base64 decode

DO{C0nVeR510n_m4Dn355}

---

The Detective

---

Queen's gambit

base64 decode

---

Not exactly Nestene's Autons

---

Phreak File

cellphone keypad sound

 

use dtmf

decoded value가 부정확하게 나와서 직접 debug해서 값을 선별했다.

numbers to alphabet

---

OSINT: Tour de Japan

1 - Dare enter the mirror world

google image search

Tokyu_Plaza

---

2 - The land of culture

AKIBA

 

Akihabara

bic_camera_akiba

 

 

---

3 - A childhood favourite

sunshine_city

---

4 - One of the classics

"Inside Tokyo’s dedicated Nintendo, Pokémon, and Capcom Stores | Solid State Now"

 

SHIBUYA_PARCO

---

5.a - The Central Hub

tokyo_station

---

5.b - This way, Emperor Naruhito

Gyoko-Dori

 

---

6

 

구글 이미지 검색에서 비슷한 위치가 나온다.

(왜 문제 풀 당시에는 못찾았었지.. 구글 이미지검색을 안했었던가..)

오나기 강에서 같은 나무 난간을 찾을 수 있다.

---

7

거대한 환풍구처럼 보인다. 하지만 저것만 가지고 위치를 판단하기 어렵다.

오른쪽 뒷쪽을 보면 돌 벽이 있다.

이전 문제들이 도쿄에 있었으므로 이번 문제도 도쿄에 있을 것이라고 예상하고 dokyo stone wallls를 검색해본다.

tokyo castle

 

근처 로드뷰를 확인해보면,

 

문제의 사진에 나온 가로드의 형태와 비슷한 것을 확인할 수 있다.

이 것으로 이 주변이 맞음을 확인할 수 있다.

주변 영국 대사관 앞에서 같은 구조물을 찾을 수 있다.

---

8 - A staple drink of Japan

melon_soda

---

9

울창한 나무들, 연못, 기와지붕, 노란 건물, 하얀 건물이 보인다.

 

역시나 tokyo로 키워드를 두고 이미지 검색을 하면 tokyo garden이라는 키워드를 뽑아낼 수 있다.

tokyo garden들로 검색을 해보면 그 중에 happo-en에서 사진들 중에 한얀 건물과 연못 사진을 확인할 수 있다.

---

10

(아니 이건 히라가나 가타카나 한자 읽을 줄 알아야 풀 수 있는 문제 아닐까..)

참고한 롸업에 따르면, 선거 포스터처럼 보이는 곳에 荒川西日三글자를 통해서 아라카와구 니시닛포리 3초메 인 것을 알 수 있다고 한다.

(문제 풀 때 구글 이미지 번역으로 사람이름 알아내서 지역구가 도쿄도 인 것 까지밖에 못알아 냈다.)

 

이어서 오른쪽 상단 간판에 '테루'가 써져 있는데 호텔의 호'테루'다.

荒川 西日暮里 3丁目 おんぼろホテル을 검색해서  谷中 富士見ホテル임을 알아내고 (못찾겠는데요)

문제 사진 오른쪽 간판 밑에 <-30m 가 써있으므로 호텔 반경 30m 내 사진과 같은 장소를 로드뷰로 찾아낸다.찾은 장소는 谷中 大島酒店인데, 이 곳이 夕焼けだんだん라고 하는 유명한 장소라고 한다.

 

 

谷中 Yanaka답은 Yanaka

 

근데 사진 장소는 아라카와구인데 정답은 다이토구 야나카야? 뭐지

 

---

11 - An island of mascots

amami

 

일본어 대충 읽을 줄 알아서 품 ㅋㅋ

 

---

12

---

13 - The river of Sakura

meguro river

---

Log Analysis

Part 1 - Ingress

search "cmd"

---

 

 

Forensics

A challenge.gif file is given.

When you open the file, it looks like a parts of the QR code images.

 

To split the images.

https://ezgif.com/split/

 

Split animated GIF image in frames (free online tool)

This online tool is designed to convert an animated GIF (and WebM, APNG, MNG, AVIF) image into individual frames for editing or viewing them separately.

ezgif.com

 

Then you can get 12 piece images of 10 QR code images divided by color.

 

I wrote a python code to concat images and read 5.jpg % 7.jpg.

decode base64

get flag

---

4기가짜리 메모리 덤프 파일이 주어진다.

멀웨어 이름, 멀웨어 지속 메커니즘의 이름, 감염 경로 폴더를 찾아야 한다.

 

Win7SP1x64

 

수상해보이는 notsuspicious.exe 실행 기록이 있다.

 

filescan으로 해당 파일 찾아서 dumpfiles로 덤프하니까 윈도우 디펜더가 반응한다.

 

파일명 notsuspicious.exe

폴더명 PJxhJQ9yUDoBF1188y

 

virustotal 돌렸는데, 원본 파일명은 BitcoinBlackmailer.exe 이었다.

혀튼 레지스트리 키 추가하고, 프로세스 생성해서 돌리는데

플래그를 어떻게 작성해야 되는거지..