OpenCycom 2023 - 17500 Hz - 300 pts Énoncé Ma chanson préférée ! +1 fichier attaché caramelldansen.wav Ce challenge a été résolu par 4,2% des équipes. Solution C’est un fichier .wav, qui est un format audio, le premier réflexe est donc de tenter de le lire avec un lecteur classique type VLC. Lorsqu’on écoute le fichier, on ne remarque pas grand-chose d’anormal, juste un super titre musical des Caramella Girls.

OpenCycom 2023 - 19.5:9 - 200 pts Énoncé VIDE +1 fichier attaché Screenshot_20230331-123804.png Ce challenge a été résolu par 4.2% des équipes. Solution Dans ce challenge, on part avec très peu d’information: un screenshot avec une date, ainsi que le mot 19.5:9. Lorsqu’on tente d’ouvrir l’image avec TweakPNG, on a un message intéressant qui nous dit que l’image contient de la donnée invalide, cela veut dire que, soit le fichier est corrompu, soit il comporte de la donnée qui ne devrait pas figurer dans le fichier initialement.

OpenCycom 2023 - Beep Boop Gallery - 300 pts Énoncé Je suis tombé sur ce site au hasard, j’ai bien fait mes recherches et je n’ai pas trouvé de fonctionnalité cachée. Pourtant je pense qu’il reste quelque chose d’autre à découvrir, mais tout ça me donne mal à la tête. Tu peux enquêter pour moi ? Ce challenge est fortement inspiré du wargame de leHack 2022. Ce challenge a été résolu par 0% des équipes.

OpenCycom 2023 - Big blue whale - 100 pts Challenge Un accès à un repository interne d’image docker a été obtenu. Quelles données peuvent être extraites. Ce challenge a été résolu par 70,8% des équipes. Vulnérabilités Les développeurs ont supposé que les métadonnées de l’image du conteneur docker, dont les étapes de constructions, étaient secrètes ou illisibles. Or ce n’est pas le cas. Si des variables d’environnement sont assignées dans le Dockerfile même temporairement, elles sont visibles en tant qu’étape.

OpenCycom 2023 - CaCCool - 400 pts Énoncé Un petit exercice de reverse, à vos Ghidra ! Solution Deux solutions pour ce chall, une statique et une dynamique. Ce challenge a été résolu par 16,6% des équipes. Solution dynamique C’est clairement la plus simple des deux, car il suffit d’utiliser ltrace pour voir tout appel vers des bibliothèques externes lors de l’exécution. Et donc le flag, lorsqu’il est traité par ces dernières.

OpenCycom 2023 - Chaudière as a service - 200 pts Challenge La page du challenge représente une page de statistiques d’une chaudière. Ces données sont stockées sur une base de données externe, l’objectif est d’extraire des informations sensibles de cette même base de données avec comme seul point d’entrée, cette page et son paramètre ID. Ce challenge a été résolu par 0% des équipes. Vulnérabilités La vulnérabilité présente est une injection SQL.

OpenCycom 2023 - GLPIAgain - 200 pts Challenge La cible dispose d’une plateforme GLPI exposée sur internet. GLPI comprend une importante dette technique et a souvent été impacté par de nombreuses vulnérabilités. Ici l’énoncé indiquait que l’objectif était de récupérer la clef API du compte glpi, comment l’obtenir sans identifiants, en blackbox ? Ce challenge a été résolu par 12,5% des équipes. Vulnérabilités Une vulnérabilité relativement récente est présente sur la plateforme si l’API est activée et exposée.

OpenCycom 2023 - IA Gallery - 100 pts Énoncé Je viens de développer mon site gallery, un ami m’a conseillé de mettre à jour mon serveur, mais tout fonctionne chez moi.. Ce challenge a été résolu par 54,1% des équipes. Solution La clé de ce challenge est de ne pas se laisser emporter par toutes les images qu’on voit dans la galerie, elles ne servent à rien, car on est bien sûr un challenge web.

OpenCycom 2023 - Inception - 300 pts Challenge Les exigences modernes en manière de sécurité, flexibilité et robustesse ont conduit les infrastructures informatiques à se complexifier. En effet, un simple serveur web n’est souvent pas accessible directement et passe par des intermédiaires. Ce que l’on appelle de reverse-proxy. Ce site web en cours de développement n’est pas situé directement là où il semble être, et une authentification est utilisée sur le chemin réseau jusqu’au serveur web final.

OpenCycom 2023 - Industrial Secrets (Partie 1) - 200 pts Challenge Le challenge simule un logiciel industriel rudimentaire sous la forme d’une console interactive d’administration. L’objectif est d’élever nos privilèges pour obtenir des données sensibles. Ce challenge a été résolu par 66,6% des équipes. Vulnérabilités On remarque qu’une taille limite est spécifiée pour le message de commentaire. Comme c’est une restriction, il est intéressant de vérifier qu’elle est correctement imposée. Ici ce n’est pas le cas, le code ne vérifie pas que la longueur est respectée et copie l’intégralité des données fournies.

OpenCycom 2023 - Industrial Secrets (Partie 2) - 200 pts Challenge Un accès à un serveur FTP a été obtenu, est-il possible d’extraite de cet accès des informations sensibles ? Ce challenge a été résolu par 41.6% des équipes. Vulnérabilités L’utilisation du FTP n’est pas sécurité de par son fonctionnement de base. L’ouverture de port est brute-forcable, et il est possible (selon le mode de fonctionnement actuel) de voler le fichier ou interchanger le fichier téléchargé.

OpenCycom 2023 - JaPy OCR - 300 pts Énoncé On m’a montré cette app géniale qui permet de transformer une image en texte, essaye ! Attention, toutes vos entrées sont loggées Le flag est stocké dans une variable d’environnement. Ce challenge a été résolu par 4,2% des équipes. Solution On est en face d’une application d’OCR plutôt très sommaire : On peut submit une image avec du texte, le programme lit l’image et nous donne le résultat.

OpenCycom 2023 - JSSandbox - 300 pts Énoncé J’ai codé un super outil pour que les débutants puissent apprendre à utiliser NodeJS facilement sur Internet, en plus j’ai sandboxé l’exécution pour pas que des petits filous essayent de faire n’importe quoi :) Je doute quand même de la robustesse de la méthode que j’ai employée, tu peux y jeter un coup d’oeil ? le flag se trouve dans le fichier /flag

OpenCycom 2023 - JWTielles - 300 pts Enoncé mmmmmmmmmmm les bonnes tielles...... 🤤 Ce challenge a été résolu par 8,3% des équipes. Solution Le challenge commence sur un super site de tielles miam. On remarque en haut à droite une fonction API qui nous redirige vers un endpoint GET /api/tielles, qui nous renvoie une image aléatoire de tielle. Si l’on observe les requêtes qui passent avec un proxy (type Burp Suite), on peut remarquer que l’API nous attribue un jeton d’authentification lors de la première visite de la page.

OpenCycom 2023 - Le Secret de la Tielle - 200 pts Challenge Le challenge est sous la forme d’une image disque. L’objectif est de récupérer le contenu d’un fichier sensible contenu sur ce disque. Ce challenge a été résolu par 83,3% des équipes. Solution Dans un premier temps, l’image doit être extraite du zip. Testdisk peut ensuite être utilisé sur l’image. Ceci nous permet de voir que l’image contient un système de fichier ext4.

OpenCycom 2023 - Minuit - 300 pts Énoncé Mon pote Thomas s'est récemment lancé dans la composition et la prod. Il m'a fait parvenir un extrait d'une mélodie qu'il utilisera pour son prochain album et me demande mon avis. Je trouve qu'elle sonne bizarre... pas vous ? +1 fichier attaché minuit.mid Ce challenge a été résolu par 16,6% des équipes. Solution On est ici en face d’un fichier .mid, une inspection rapide avec file nous permet de voir qu’il s’agit d’un fichier MIDI, un format de description musicale qui comporte entres autres des notes avec leurs octaves, ainsi qu’une donnée temporelle, pour savoir quand elles sont jouées et à quelle vitesse.

OpenCycom 2023 - Usurpception - 500 pts Challenge Le challenge Usurpception se présente sous la forme d’un accès SSH à ce qui est une reproduction d’un serveur sous alpine Linux dans un conteneur docker. Plusieurs services (apache2 httpd, mariadb, fail2ba, ssh…) sont donc en cours de fonctionnement. L’objectif est d’élever les privilèges de l’utilisateur fourni (devensept) et de lire le flag contenu dans un fichier à la racine du disque. Ce fichier n’est lisible que par root.

OpenCycom 2023 - XtraSuperSecure - 200 pts Énoncé Donnez votre avis sur l’évènement (et essayez de voler les cookies de l’administrateur) ! Ce challenge a été résolu par 8,3% des équipes. Solution Bon, je dois voler les cookies de l’admin, donc on est surement face à des attaques côté client (XSS ou CSRF). Le titre du chall nous donne également un indice sur la vulnérabilité à exploiter (XtraSuperSecure => XSS).