Esta semana, mientras veía cómo habíamos sido ¿barrapunteados?, me dí cuenta de que en Nops ‘R Us habían añadido información sobre el CTF. Pese a que según ellos seguimos siendo “Alemanes”, al menos se han dignado a poner una foto del scoreboard del viernes, eso sí, de cuando ya iban primeros (pero prácticamente empatados con nosotros) por lo que yo ya me doy por satisfecho.

También me ha hecho ilusión ver la solución de Sk3wlm4st3r al reversing 500, más que nada porque estábamos en el camino correcto. El truco estaba en las 4 primeras funciones a las que llamaba, dos de modificación (la 1ª y la 3ª) y dos de comprobación (la 2ª y la 4ª). Se podía ver que en las decomprobación se operaba sobre las posiciones 0, 3, 6, 9, 12, 15, 18 y 21 en la primera, y 1, 4, 7, 10, 13, 16, 19 y 22 en la segunda. Teniendo en cuenta que las funciones de modificación eran del tipo key[i] = key[i] <sum/xor> key[(i + 1) % 24], se reducía el bruteforcing a sólo (ejem) las posiciones 2, 5, 8, 11, 14, 17,
20 y 23. Nos faltó ponernos en serio con las últimas dos funciones…

Y hablando de soluciones, estamos preparando un texto con la solución a uno de los servicios que sólo explotamos los Sexy Pandas (hoooo!). Se está retrasando porque queremos aprovechar para usarlo de tutorial de perl+netcat^H^H^H metasploit.

Dicho esto sólo nos queda felicitar a sk3wlm4st3r & friends por la currada que se pegaron.

PD: Todavía estoy esperando a que alguien nos ownee el blog, ¿voluntarios?

Este post es simplemente para mostrar una imagen que ha retocado nuestro diseñador :* Aquí teneis al equipo al completo al más puro estilo El hombre que ríe (The Laughing man):

Qué le vamos a hacer, a mí me ha hecho mucha “gracia” xDD

Escribo estas lineas una semana despues de que terminara el Capture The Flag (CTF) en la Defcon-15. El CTF es un concurso en equipo en el que se valoran habilidades como descubrir vulnerabilidades, saber cómo parchearlas y por suspuesto, explotarlas.

¿Y porqué escribo acerca del CTF? Pues porque este año algunos amigos cometimos la locura de participar. Al igual que el año pasado, para acceder a la fase final era necesario pasar una fase previa cuyo objetivo no era otro sino seleccionar a los 7 mejores equipos que,junto al actual campeón, deberían reunirse en Las Vegas para disputar la parte final del concurso.
(more…)