Challenge CTF Richelieu de la DGSE

[JoeHell]

La DGSE a lancé un défi informatique sur ce site : https://www.challengecybersec.fr/

Vous avez aimé la 4e saison de la série "Le Bureau des Légendes" ? C'est un test pour entrer dans leur service

Les messages qu'on a déjà écrit dans le thread de flood :

https://www.challengecybersec.fr un défi lancé par la dgse j'ai pas compris mais peut être que vous si

Début de réponse ici.

Je suis pas spécialisé en technos web, du coup j'ai juste réussi à décoder une image du portait de Richelieu, avec des infos bizarres en fin du fichier jpeg (ça parle de mot de passe, de bash_history, de fichier zip, de fichier png).

Voir la pièce jointe 5851
C'est une réduction, l'image originale fait 7 Mo (2110x3508)

Alors si on mate la source de la page on voit qu'un fichier JSON est appelé : https://www.challengecybersec.fr/manifest.json
Il est fait mention de CTF, "capture the flag" donc.
Une recherche google sur CTF Challenge Richelieu, donne cette page, qui donne un peu plus d'indice sur ce challenge.

Bon, si on revient sur la source, on voit :

<script>
let login = "rien";
let password = "nothing";
if (login === password) {
document.location="./Richelieu.pdf";
}
</script>

Du coup on est tenté d'aller sur https://www.challengecybersec.fr/Richelieu.pdf
On arrive sur un document pdf de 364 pages (bizarre !), mais avec seulement un texte sur la première page :


Pour le reste, je sèche

Le PDF contient justement l'image que j'ai mise, il faut copier-coller le contenu des pages au texte qui est blanc, c'est un codage MIME (j'ai reconnu ça de quand je lisais mes mails dans un terminal texte en 1996 à la fac ^^)

Oh ça, ça me plaît !
Je suis aussi arrivé au gros PDF avec le MIME caché.

Comme je sens qu'on a vraiment un niveau très loin de ce qui est demandé, on peut essayer de mettre en commun ce qu'on trouve.

Ce soir je mettrai un lien vers l'image brute décodée dans le PDF, dans son code elle contient pas mal d'éléments exploitables, mais je ne sais pas comment...

 

[Kokuzoku]

Moi j'ai des bières au frais

 

[JoeHell]

Spoiler: HS

J'attends que Dorcel lance un fake concours qui pointera vers : https://www.challengecybersex.fr/
... oui, c'est ce que j'avais lu en premier !

je sors

 

[Dr Bob Kelso]

Super ce topic, merci !

Ce soir je mettrai un lien vers l'image brute décodée dans le PDF, dans son code elle contient pas mal d'éléments exploitables, mais je ne sais pas comment...

Je peux déjà la mettre si tu veux :

Spoiler

Je n'ai pas encore analysé le fichier en tant que tel, mais graphiquement il y a des éléments qui titillent mes yeux. Le chapeau n'a pas le même rendu que le reste et est très pixelisé. Et le décor à droite semble avoir des motifs étrange en modifiant le contraste.

 

[JoeHell]

Oui, il faudrait mettre un lien de drive cloud.

J'ai aussi essayé de triturer l'image, en faisant des inversions de palette de couleur, augmenter/baisser le contraste ou la luminosité, sans succès.

Dans le code de l'image, c'est les 3 ou 5 dernières lignes qui contiennent des indices. J'ai balayé manuellement les 7 Mo du code avec la touche Page Down, j'ai rien remarqué d'autre, mais c'est pas très fiable.

 

[Dr Bob Kelso]

Dans le code de l'image, c'est les 3 ou 5 dernières lignes qui contiennent des indices.

Ah oui effectivement je viens de voir ça. Mais j'ai du mal à tout déchiffrer en ouvrant avec Notepad++ (je vois juste « cette archive », « motdepassGPG.txt » et quelques bribes).
Il faut passer par quel type de logiciel pour lire quelque chose de propre ?

 

[Hitori]

ça me fait penser au logo de Haruhi pesant un pétaoctet de données

 

[panzerkampfwagenVItiger]

Content de voir que le défi intéresse quelqu'un .

Je suis nul en info alors je me contenterai de vous encourager au loin .
Fighto !!!

 

[JoeHell]

Il faut passer par quel type de logiciel pour lire quelque chose de propre ?

J'ai utilisé Notepad de base ^^

Après j'ai testé avec Notepad ++ aussi, il scrolle bien mizux dans le texte mais il rajoute des balises partout, du coup c'est pas plus clair...

 

[Dr Bob Kelso]

J'ai essayé avec un éditeur hexa : pas mieux.

 

[BüH]

Vous croyez que si on réussit le challenge ya moyen de se faire embaucher à la DGSE ?

 

[Dr Bob Kelso]

Ouép, je pense qu'on appellera notre groupe le pôle Nolife

 

[JoeHell]

Et tous ceux qui échouent devront être exécutés

 

[panzerkampfwagenVItiger]

Le SA va avoir du boulot alors... du coup entraînement pour eux ou pour nous ? ......

 

[JoeHell]

Le lien de l'image : http://dl.free.fr/iXKsYKvH2
Son nom, peut-être qu'il a un sens : decoded_20190522161027.jpeg (date de mise en ligne du concours ?)

J'ai lancé une recherche des termes "http" ou "ftp" dedans, aucun résultat.

Et la fin du fichier pour ceux qui veulent pas éditer, avec les indices potentiels en couleur :

PK ŠŠšN‡As B
¤ .bash_historyUT ³!Ã\ux è è Le mot de passePK
œƒN½ØW K ¤_ suite.zipUT '
Ç\ux è è de cette archivePK ®ƒNo[5Ç d 4 ¤ prime.txtUT G
Ç\ux è è est : DGSE{t.D=@Bx^A%n9FQB~_VL7Zn8z=:K^4ikE=j0EGHqI}PK ®ƒN
ï&¯ƒ
¤# public.keyUT G
Ç\ux è è PK
®ƒNÕu%j ¤ú motDePasseGPG.txt.encUT G
Ç\ux è è PK «ƒN‚°fG_ ŸC_ ¤e
lsb_RGB.png.encUT B
Ç\ux è è PK D $R_

 

[Guicheman]

Il y a aussi le "public.key" que tu peux coloriser.

Et j'ai l'impression que le garbage qui entoure la partie "compréhensible" peut servir de balise pour découper et regrouper ce qui nous intéresse. Je suis sur mobile là, je vais me pencher dessus ce soir.

Par exemple : les parties coloriées sont suivie par PK ou par UT. (oui, je pense que les ".enc" qui suivent les noms de fichiers sont à prendre en compte)

 

[JoeHell]

On trouve rien sur Twitter, à part ce message assez obscure :

https://twitter.com/i/web/status/1130963053070233601

 

[Guicheman]

De ce que j'ai pu regarder vite fait avant de partir du boulot, le premier js a l'air d'être dédié pour gérer le fond du site. Mais il y a à quand même l'air d'y avoir des fonctions qui n'ont rien à faire là. Mais je m'y connais pas trop en js.

 

[sylvain3564]

En mettant tous les "PK" ensemble, on obtient la phrase :
Le mot de passe de cette archive est : DGSE{t.D=@Bx^A%n9FQB~_VL7Zn8z=:K^4ikE=j0EGHqI}

Peut-être faut-il voir là le mot de passe du fichier "suite.zip" (ou de (.)bash_history(_ )suite.zip) ?

 

[Guicheman]

Ok, j'ai avancé.
Alors, j'ai utilisé un éditeur hexadécimal sur l'image, et j'ai cherché le magic number d'un fichier zip (pour ceux qui savent pas ce que c'est, c'est en gros ce qui identifie le type de fichier au tout début de celui ci).
Et je pense avoir retrouver 6 fichiers. je vais essayer de les extraire.