Background Image

BLOG

DKHOS - Cyber Intelligence 100 - Zazdarovje
15 Şubat 2018 CTF

DKHOS - Cyber Intelligence 100 - Zazdarovje


Soru Açıklaması:


Pelinsu Volle de Vohermem Facebook'tan ayrılmış onun yerine alternatif arkadaşlık sitelerinde üyelikler açmıştı. Acaba Mahmut Pelinsu'nun hesaplarını araştırarak sevgilisinin nerede olduğuna dair bir bilgiye ulaşabilecek miydi ?...

Sorunun Çözümü:


Footprinting yeteneklerinin sınandığı bu soruda, yarışmacılardan öncelikle beklenen, sorudaki ipucunu kullanarak "Pelinsu Volle de Vohermem" adına açılmış alternatif arkadaşlık sitesinde ki profile ulaşmalarıydı. Biraz düşünüldüğünde Facebook'tan sonra en büyük arkadaşlık sitesinin VK olduğu akla gelmeliydi. Fakat oluşturmuş olduğumuz VK hesabı üzerinden arama motorlarına linkleme yapma özelliği deaktif edildiği için, Pelinsu'nun VK hesabı herhangi bir arama motoru tarafından tespit edilemeyecekti. VK'ya giriş yapılıp ilgili profil araştırılmalıydı. Pelinsu'nun VK profiline ulaşıldığında aşağıdaki ekran görüntüsüyle karşılaşıyorduk.

 

Bazı yarışmacılar bu adıma kadar sıkıntısız ulaştı hatta onlardan aldığım mesaj örneklerine aşağıda yer vermek istiyorum. :)

        

Pelinsu'nun VK profili incelendiğinde tek bir mesajın yer aldığı ve o mesajında "QWFhaGgsIGFhaGgsIMOHb3J1bWx1IEthcmFjZW1hbCBidXJkYSBvbHNheWTEsSBoZXLFn2V5IGRhaGEgZ8O8emVsIG9sdXJkdS4u" olduğu görülüyor.

String incelendiğinde popüler encoding algoritmalarından biriyle encode edildiği tahmin edilip buna göre decode işlemi yapılmalıydı. En popüler encoding algoritmalarından olan BASE-64, algortiması ile string decode edildiğinde; "Aaahh, aahh, Çorumlu Karacemal burda olsaydı herşey daha güzel olurdu.." mesajına ulaşıyorduk. Mesajda, Pelinsu'nun Çorumlu Karacemal isimli bir şahıs için iç geçirdiği açıkca görülmekteydi. Yarışmacıların bu aşamadan sonra Çorumlu Karacemal'e odaklanıp onun üzerine araştırmalarına devam etmeleri gerekiyordu. Fakat bu aşamada VK hesabına ulaşan arkadaşlar ilerlemek yerine hesabı VK'ya şikayet etmeyi seçtiler, CTF başladıktan 24 saat sonra VK, hesabı yayından kaldırdı.  Yarışmacıların bu tutumunun nedeni, mesajlarını görüp cevap vermemem de olabilir burada kendime de pay biçiyorum :) CTF'lerde bu tarz durumlar işin doğasında olduğu için yadırgamadan hızlıca alternatif bir hesabı hemen yayına aldık. :) ("VK Profil: https://vk.com/pelinsu_volle_de_vohermem")

Bu noktada yarışmacılar tarafından Çorumlu Karacemal'in Facebook, Twitter, Instagram gibi platformlarda profilinin araştırıldığını tahmin ediyorum, fakat akla pastebin, justebin, ghostbin vb. gibi sitelerinde gelmesi gerekmekteydi. Google üzerinden "Çorumlu Karacemal" şeklinde arama yapıldığında aşağıda yer alan görselde ki sonuçlar ile karşılaşılacaktı. Sonuçlarda gelen adreslere doğrudan girildiğinde yarışmacılardan bulmasını beklediğimiz Çorumlu Karacemal'e ait loga ulaşılamıyordu. Fakat Google sonuçlarından herhangi birinin cacheine bakıldığında Çorumlu Karacemal'e ait logun orada olduğu ve erişilebilir halde bizleri beklediği görülecekti.

Bazen ulaşmak istediğimiz bilgiler, hedef sitelerden kaldırılmış olabilir ama Google caching sistemi o noktada bize bambaşka kapılar açabilir. :)

Yarışma başladıktan 24 saat geçmesinin ardından soruyu çözen bir grubun olmaması, sorunun 100 puan değerinde olması ve orjinal VK hesabının yayından kaldırılması nedenleriyle soruya yeni bir ipucu ekleme ihtiyacı hissettik. Eklediğimiz ipucu Çorumlu Karacemal'e ait pastebin logları içerisinde yer alan "Ç.K.: HAHAHAH... onunla bir daha asla iletişime geçmeyeceğim olurda bir şekilde bu yazışmaya ulaşırsa, gitmesi gereken yer (52.37396088582039,4.896380603313446) burasıdır. Sezar'ın hakkını Sezar'a verirse belkide herşey senin istediğin gibi olur...Unutmadan, eğer oraya ulaşabilirse 3'lü oturanlara selam söylesin." mesajının bir benzeri idi.

Mesajda herşey çok açık bir şekilde görülmekteydi, sizlere verilen (52.37396088582039,4.896380603313446) şeklinde bir koordinat vardı. "https://www.gps-coordinates.net/" adresi üzerinden ilgili koordinatlara gidildiğinde "kwadro" isimli bir mekana işaret ettiği karşımıza çıkıyordu. Fakat Flag'e ulaşmak için bu bilgi hala yeterli değildi, sizinle paylaştığımız Çorumlu Karacemal'e ait mesaj daha dikkatli okunduğunda 3 rakamı ve Sezar ile ilgili kısımlar dikkat çekmeliydi. "kwadro" isimli mekan adı Sezar şifreleme algoritması üzerinden 3 anahtarı ile şifrelendiğinde karşımıza "nzdgur" kelimesi çıkıyordu. İlgili kelimeyi DKHOS{nzdgur} şeklinde girdiğimizde sorunun cevabına ulaşmış oluyorduk.

NOT: Mekan adı blog postunun yayınlandığı tarih itibariyle, Google maps üzerinde "kuwadro" olarak değişmiş durumda, fakat yarışma süresi dahilinde mekan adı Google maps üzerinde "kwadro" olarak karşımıza çıkmaktaydı.