USB stick gevonden, hulp nodig!

quote:

Op maandag 31 maart 2014 10:26 schreef Ai_KaRaMBa het volgende:

[..]

Je bedoeld dat je add5txx hebt gemailt om te starten? Als het goed is krijg je een mega.co.nz link van 'm om het bestand te downloaden.

Edit: mooi, succes! Ik ben ook geen pro (maar ken wel wat basisprincipes), en hoofdstuk 1 was met wat googlen voor mij wel te doen, en zat wel leuk in elkaar. Hoofdstuk 2 lijkt qua plot ook wel interessant ter gaan worden, maar daar zit ik qua hacken nog even vast

Bedankt, dat was het tweede mailtje. Beetje vaag dat 't bestand alleen een bestand is, en je 't moet veranderen in een zip Alsof dat je skills test.

quote:

Op maandag 31 maart 2014 10:29 schreef darkmond het volgende:

[..]

Bedankt, dat was het tweede mailtje. Beetje vaag dat 't bestand alleen een bestand is, en je 't moet veranderen in een zip Alsof dat je skills test.

Ach, als je niet weet dat 't een ZIP is, is het wel een leuk inkomertje om dat uit te vinden (file open in hex-editor en de PK header herkennen)...

quote:

Op maandag 31 maart 2014 10:32 schreef Ai_KaRaMBa het volgende:

[..]

Ach, als je niet weet dat 't een ZIP is, is het wel een leuk inkomertje om dat uit te vinden (file open in hex-editor en de PK header herkennen)...

Alleen een vraagje, geen zin om het hele topic door te nemen...Zal brute-force wat uithalen? Anders is 't verspilde tijd .

Met een beetje snelle cracker: ja.

quote:

Op maandag 31 maart 2014 09:51 schreef Ai_KaRaMBa het volgende:
Ik denk eigenlijk in dezelfde richting als waarin kree denkt: eens zien of ik uit die hashes een private key file kan bouwen voor inloggen op de server

Op dit moment lijk ik hier niet veel verder mee te komen. De 3 hash strings zijn iig geen binary dump van een private key (ze voldoen iig niet aan het ASN.1 DER formaat). De 3 hashes zijn volgens mij ook geen onderdelen van een private key (geen van de 3 hashes is priem, en voor een private key heb je tenminste de 2 primgetallen nodig, waarvan ik er 1 zou uitrekenen als de andere en de RSA modulus bekend zou zijn).

Als het daadwerkelijk hashes van een password zouden zijn, zijn ze neem ik aan gesalt, en dan schieten we er ook niks mee op...

Ah kijk wat meer info. Ik heb trouwens die ssh geprobeerd met een pasword list te kraken. En dan maar met usern. Root. Maar die locked volgens mij een tijdje als je teveel pogingen doet.
Of het wad me eigen internet maar zag daar weinig hoop in dus mee gestopt.

Met die hashes kwam ik ook niet verder. Heb geprobeerd uit te vinden waarvan of van wat voor type ze zijn. Maar niks.

Die pcap heb ik nog wel. Tenminste als die hetzelfde is van ronde 1.

Eens kijken of daar nog wat instaat dan.

@Kree, Ai_Karamba: Hoe gaat het bij jullie? Komen jullie er al uit?

Een aantal statistieken! Want statisteken zijn geweldig.

Tot op dit moment heb ik 90 spelers voorbij zien komen. Vanuit de 90 spelers zijn er 21 spelers die het eerste hoofdstuk hebben afgerond. En van de 21 spelers zijn er slechts 7 spelers die voorbij hoofdstuk 2 zijn gekomen.

Het laatste en derde hoofdstuk komt er snel aan!

Ik zit nog steeds hartstikke vast waar ik van de week was gestrand.

... en heb ook nog geen idee hoe ik verder moet eigenlijk. Conventioneel inbreken op een SSH server lijkt me kansloos, en ik heb geen idee wat ik met die hashes moet (of hoe ik die kan 'misbruiken' voor inloggen op de server)

Ik ben er de laatste dagen niet meer mee bezig geweest. (mooi weertje enzo )

Dus nog op hetzelfde punt als begin van de week.
Dat bruteforcen van de SSH login heb ik wel opgegeven want dat is volgens mij niet de manier.

Verder werd er nog gehint naar die pcap log, daar heb ik nog niet in gekeken.

Ik ben er zelf niet meer mee bezig geweest, dit komt vooral omdat er nu meerder contactpersonen/bots zijn en ik geen zin heb in zoveel mailtjes.
Ik had liever gewoon 1 contactpersoon/bot gehad, ik vind dat dit de challenge minder leuk maakt.

quote:

Op vrijdag 21 maart 2014 20:34 schreef Snowballed het volgende:

[..]

Uit mijn reactie blijkt dat ik op mijn hoede ben...
Verder kun je er weinig uit opmaken...
Als ik wil kom ik ver genoeg.. maar dat kost tijd, en dient vergoed te worden...
Ik doe niet aan "spelletjes" van bedrijven mee zodat ze met de kennis en winst zichzelf kunnen verbeteren...

Dit is namelijk ideaal om te voor nop te kunnen testen en er zelf beter van te worden...
Duw me eerst maar een contract met een aantal voorwaarden onder mn neus.. dan praten we verder...
^{(ik beweer nergens dat ik zelf de skills heb, maar ik heb meer contacten dan TS..)}

quote:

Op vrijdag 4 april 2014 00:55 schreef leolinedance het volgende:

[..]

Jij dacht laat ik eens een post van twee week terug quoten en een neerzetten..?

quote:

Op vrijdag 4 april 2014 01:15 schreef Snowballed het volgende:

[..]

Jij dacht laat ik eens een post van twee week terug quoten en een neerzetten..?

Ik las het, en daar paste alleen dit als reactie op.

Laat me eens raden, 15 april wordt bekend gemaakt wie er achter zit...

Nope. Speel alle delen uit, en met een beetje mazzel krijg je te horen wie de opdrachtgever is.

quote:

Op woensdag 9 april 2014 22:26 schreef Thralas het volgende:
Nope.

Ik heb geen ideen meer op de ssh server.


ik kan uiteraard een grotere password list gebruiken, en nog meer gebruiksnamen verzinnen, maar over het algemeen is dat geen goed idee.

Een van de beste manieren om bedrijfsspionage te doen is op de parkeerplaats van het te bespioneren bedrijf een usb stick te leggen met een trojan erop. 90% van de mensen steekt een gevonden usb stick in hun computer.
Nooit gevonden usb sticks zomaar in je computer steken. Ik neem ook geen usb sticks aan van vreemden op beurzen of zo

Iemand al verder gekomen met de hashes? Ik heb nu wel zo een beetje alles geprobeerd, en ik kom er niet uit... Iemand tips?

Loopt niet echt hier he?

met alleen de hashes kom je er niet natuurlijk, je hebt nog iets nodig

Naar mijn idee is dit project gewoon geflopt, ik denk zelf dat dit komt omdat er nu gemaild moet worden met meerdere bots waarvan je geen of slecht antwoord terug krijgt.
Ik ben door deze spelfunctie daarom ook afgehaakt.
Als ik gewoon 1 bot had om mee te communiceren was het voor mij leuker om er mee door te gaan.

Mocht dit veranderd worden dan denk ik dat ik de draad weer oppak.

Dat is onderdeel van het verhaal, de adventure, om het 'echter' te maken. Dat zullen ze echt niet gaan veranderen.
Deze bots spelen een bepaald karakter een ook verderop in het verhaal geeft dat een leuk bijeffect.
Ik geef toe dat ik de antwoorden ook wat te summier vond om echt goed verder te kunnen met de hashes.

Het probleem is met de hashes is dat er niet echt gericht op een skill gestuurd wordt.
Je bent dus een beetje in het diepe gegooid en dan moet je meerdere verschillende
dingen proberen.
Zo'n verhaal als van ai_karamba geeft prima aan dat hij genoeg skills heeft, maar toch kan hij niet verder.
Meestal is het ook zo dat zoals bij thtc challenge dat de moeilijkheidsgraad steeds hoger wordt.
In deze 'challenge' is dat niet zo, het wisselt steeds tussen simpel en lastig en alles er tussenin.
Kortom, ik ga hier geen spoilers geven maar als je denkt dat je de hashes nodig hebt om de ftp server binnen te komen, dan denk je te moeilijk...

De maker van de challenge heeft bij hoofdstuk 2 er expres voor gekozen om je zowel hashes als een server tegelijkertijd te geven. Simpelweg om te zien hoe je meerdere sets van data kan interpreteren om tot een oplossing te komen.

Toch maar een tip dan:
Focus je eerst op de server voor je op de hashes te richten.