Solución Reto SPYDERSEC Pues nada, aquí estoy de nuevo con otro reto. La máquina se llama SpyderSec y parece ser que hay que encontrar dos flasgs, uno mediante una descarga y el otro es un fichero de texto, según nos cuenta su autor en la web de VulnHub. Además comenta que hay cosillas de forense, así que creo que va a ser entretenida. Veremos con qué nuevos retos me topo, que nuevas cosas aprendo y si soy capaz de sacarlo. Comenzamos lanzando un nmap para localizar la máquina a atacar.

Bien, tenemos el puerto 22 cerrado pero el 80 abierto, vamos a ver la web.

Voy a revisar el código.

En seguida veo la parte de script con el eval(function(p,a,c,k,e,d) . Esto me suena del trabajo xD, asi que me voy a http://matthewfl.com/unPacker.html para ver que me devuelve.

El resultado claramente es hexadecimal, así que veamos que esconde. 61:6c:65:72:74:28:27:6d:75:6c:64:65:72:2e:66:62:69:27:29:3b ­> alert('mulder.fbi'); Revisando con firebug la web, en la parte de las cookies me encuentro con esto.

La cookie se llama “URI” y tiene como valor: /v/81JHPbvyEQ8729161jd6aKQ0N4/. Con ese nombre y la construcción de la misma, solo puede ser una cosa.

Pues si, solo podía ser una cosa, pero no me esperaba ese resultado xD. Pues nada, vamos a fuzzear un poquito. No saco nada y me da por pensar… Si un XSS te saca un alert con mulder.fbi eso puede ser un fichero? Lo primero que nos decían es que había que descargar un fichero, pero parece un poco raro no? Tras un primer intento no lo consigo.

Pero, y si hay que añadirle /v/81JHPbvyEQ8729161jd6aKQ0N4/mulder.fbi

Pues sí, un poco rebuscado, pero ahí está xD. Ya tengo un fichero de video para revisar, a ver con que nos sale el creador de la máquina. Visto lo visto con las anteriores máquinas, me descargo por si acaso las imagenes de la web y les paso exiftool. Con las dos primeras no tengo suerte, pero con Chalenge.png me aparece otro chorizo de caracteres presuntamente en hexadecimal.

35:31:3a:35:33:3a:34:36:3a:35:37:3a:36:34:3a:35:38:3a:33:35:3a:37:31:3a:36:34:3a:34:35:3a:36:37:3a:36:61:3a:34:65:3a:37:61:3a:34:39:3a:33:35:3a:36:33:3a:33:30:3a:37:38:3a:34:32:3a:34:66:3a:33:32:3a:36:37:3a:33:30:3a:34:61:3a:35:31:3a:33:64:3a:33:64 Bueno, pues ese código hexadecimal devuelve otro. 51:53:46:57:64:58:35:71:64:45:67:6a:4e:7a:49:35:63:30:78:42:4f:32:67:30:4a:51:3d:3d Ese código me devuelve otro código, pero esta vez en base64. QSFWdX5qdEgjNzI5c0xBO2g0JQ== Y este por fin nos devuelve lo que parece una contraseña (en condiciones xD) A!Vu~jtH#729sLA;h4%

Vale, es hora de analizar el vídeo.

Al abrirlo solo se ve eso y aparentemente no hay código morse ni otras fumadas varias xD. Así que me pongo a buscar cómo ocultar ficheros cifrados en videos y doy con un par de webs que me dan la idea de que sea una unidad de TrueCrypt. Pues nada, a instalar TrueCrypt en una máquina virtual (que por supuesto luego destruiré). Una vez que hemos instalado el programa solo hay que abrir el fichero, nos pide la contraseña A!Vu~jtH#729sLA;h4% le damos a montar en la unidad que más rabia nos de y acto seguido le damos a open.

Una vez que está abierto nos encontramos el fichero flag.txt y al abrirlo nos dan la enhorabuena por haber pasado el reto.

La verdad que esta máquina se me ha hecho corta, a pesar de que indican en la web que el nivel es intermedio yo creo que no lo es, bueno eso, o que me estoy haciendo un experto jajaja, más bien lo primero. En este caso solo agradecer al creador de la máquina @SpyderSec porque no he necesitado ayuda de nadie xD. Recursos : TrueCrypt ASCII to Hex

Solución creada por Roberto García Amoriz (@1GbDeInfo)