Lâu lắm mình mới làm CTF và viết write up, nên lần này chúng ta sẽ cùng thử thách với một thể loại rất là thú vị trong CTF nhé. Mục tiêu lần này của chúng ta là thể loại OSINT tại trang OSINT playground do Cyber Space tổ chức.

Giới thiệu

Cyber Space

Cyber Space là một nhóm hoạt động trong lĩnh vực an toàn thông tin, họ có một fanpage tại https://www.facebook.com/cyberg0100 (trên này cũng thường xuyên đăng memes về Cyber Sec). Đúng như mô tả trên fanpage của họ: "Cybersecurity, OSINT, Threat Intelligence". Cyber Space bắt đầu nổi lên với những bài viết, thử thách cộng đồng, dự án,… liên quan tới các kỹ thuật OSINT. Thời điểm Cyber Space dấn thân vào “Secbiz” thì những nội dung về OSINT tại Việt Nam chưa xuất hiện nhiều. Phải nói thật rằng nhờ có các bài viết của Cyber Space mà mình mới biết về OSINT.

Dưới đây là một số bài viết rất hay của Cyber Space mà các bạn nên đọc:

OSINT

OSINT là từ viết tắt của Open-source intelligence. OSINT là kỹ thuật thu thập thông tin từ các nguồn tin tức công khai trên Internet, trên mạng xã hội,… Bất cứ nguồn tin công khai nào đều có thể được sử dụng, từ bài viết trên các trang web, bài đăng trạng thái trên mạng xã hội, bài báo nghiên cứu khoa học,… cho tới những tấm ảnh check-in khi đi chơi.

Các dữ liệu trên sau khi thu thập về sẽ được chắt lọc, phân tích để lấy được thông tin cần thiết. Kết quả của quá trình OSINT có thể định hướng cho các hoạt động sau này. Có thể hình dung quá trình OSINT giống như việc Cảnh sát hình sự tiến hành điều tra phá án vậy (còn anh bạn Digital Forensics thì giống như quá trình pháp y – phân tích sau khi một sự kiện đã diễn ra).

Write up OSINT playground

Write up của mình sẽ hạn chế đề cập đến những hình ảnh hoặc tư liệu có trong đề bài mà có thể bị google bot tìm được. Tránh việc khi người chơi làm bài thì lại vô tình tìm thấy write up do mình viết.

Do Cyber Space vẫn tiếp tục cập nhật thêm các thử thách, và mình thì cũng không tự tin có thể giải được toàn bộ thử thách, nên bài viết này sẽ còn được cập nhật tiếp tục theo thời gian. Các bạn nhớ check bài viết của mình thường xuyên nhé, chừng nào mình còn làm được thì sẽ còn cập nhật.

Investigating

Contract – 50

Mục tiêu: theo tài liệu DECC của bộ phim Skyfall, nguồn điện trên nóc toà nhà có cường độ bao nhiêu Ampe?

Đọc đề bài mình cũng chẳng hiểu DECC là cái tài liệu gì, cứ search Google đại cái đã. Thế mà nó lại ra luôn 1 trang trông rất là xịn sò.

Trong trang này có khá nhiều thông tin về bộ phim Skyfall. Khi cuộn xuống cuối bài viết thì chúng ta có thể thấy 1 đường link cho phép tải tài liệu về.

Sau khi giải nén ra chúng ta có được 5 file pdf, nhưng chúng ta chỉ cần tập trung vào file Location contract thôi (ok tên bài là contract mà). File cũng khá dài, để tìm được thông tin thì dù đọc lướt qua chúng ta vẫn nên đọc hết từ đầu đến cuối để tránh bỏ sót thông tin.

Ở phần phụ lục gần cuối hợp đồng, trong mục Lighting Requirement, chúng ta sẽ tìm được thông tin về nguồn điện sử dụng trên nóc nhà.

Trên nóc nhà được sử dụng nguồn điện 13A. Như vậy đáp án là 13.

Robbery – 50

Mục tiêu: tìm ra trang web của cửa hàng từng xảy ra vụ cướp hài hước mà kẻ cướp đã làm rơi súng của mình.

Đây có vẻ là một vụ cướp khá nổi tiếng, chỉ cần tìm kiếm cơ bản là có rất nhiều bài báo và video xuất hiện. Tất cả đều coi đây là một trò đùa, một vụ cướp hài nhất từng xảy ra. Trong đó một bài báo phỏng vấn chủ cửa hàng, trong bài có đề cập đến địa chỉ của cửa hàng bị cướp lúc đó,

Sử dụng Google Maps để kiểm tra địa chỉ trên, chúng ta dễ dàng tìm thấy tên cửa hàng, kèm trang web của cửa hàng.

Boats – 50

Mục tiêu: tìm trang chủ của tổ chức chịu trách nhiệm đăng kiểm cho chiếc thuyền trong ảnh.
Link ảnh: https://1drv.ms/u/s!ArPnIPrcTV7XcePAz7Rx9bjuFL0?e=K6Vijq

Chú ý thấy ở phần mạn chiếc thuyền có mã số PA 7340 BP, đây có thể là điểm đột phá của bài này.

Tìm kiếm cái đã ra luôn kết quả rồi, PA trong mã trên thuyền là chỉ địa phận Pennsylvania, trang cá và thuyền kia là của đơn vị xử lý định danh tàu thuyền tại Pennsylvania, và đó chính là đáp án.

Historical – 200

Mục tiêu: tìm email của chủ sở hữu domain nhabaoviet.com hồi năm 2011

Các công cụ kiểu như whois có thể cung cấp cho chúng ta thông tin về tên miền. Tuy nhiên đa số các công cụ này chỉ cung cấp thông tin tại thời điểm hiện tại. Để tìm thông tin của tên miền từ năm 2011 chúng ta cần một công cụ cho phép tra cứu lịch sử đăng ký tên miền.

Trong bài này, chúng ta có thể sử dụng công cụ reverse whois search.

Đây là một công cụ miễn phí, chỉ cần đăng ký tài khoản là có thể sử dụng được. Sau khi nhập tên miền vào thì các thông tin sẽ được hiện ra. Chúng ta cũng có thể chọn xem loại thông tin nào.

Chúng ta sẽ chọn mục Build Historic WHOIS report để xem thông tin đăng ký tên miền trong lịch sử. Chờ một chút thôi là các thông tin đã được thống kê và liệt kê đầy đủ theo thời gian gần nhất tới xa nhất.

Khi kéo xuống cuối thì có 2 bản ghi vào năm 2011, chúng ta có thể mở bản ghi bất kỳ để xem thông tin cụ thể như nào.

Trang này lưu thông tin đăng ký tên miền khá kỹ. Thông tin về email đăng ký tên miền mà chúng ta cần tìm cũng được ghi lại luôn. Và đáp án chính là manhtoan70@gmail.com

Hashes – 300

Mục tiêu: tìm giá trị gravatar hash từ email của người này.

Với những thông tin về nơi ở, nơi làm việc, trường từng học và nơi làm việc thì tìm kiếm trên Linkedin là bước đầu tiên mình thực hiện. Linkedin là một mạng xã hội về việc làm rất lớn. Thậm chí, đối với lĩnh vực công nghệ thông tin thì Linkedin còn được trêu là “Tinder ngược”. Đầu tiên, chúng ta sẽ tìm thông tin về công ty Sid Lee.

Nếu người này cập nhật đầy đủ thông tin lên Linkedin thì chúng ta có thể lọc ra được tài khoản của người này nhanh thôi. Chúng ta sẽ lọc thêm về trường học và nơi sống.

Đờ heo??? Không cái nào luôn???

Có thể cái trường Positivo kia có tên viết khác, chúng ta chỉ cần search lại là được.

Chỉ còn 1 kết quả khớp. Nhưng tài khoản này bị hạn chế xem thông tin. Thử tìm kiếm trực tiếp cũng không xem được thông tin tài khoản.

Đường này tạm thời tắc, tuy nhiên chúng ta vẫn có được hình ảnh của người này. Tiếp theo thử tìm trên Google với những thông tin đã có.

Giờ chúng ta có thêm tên của người này là Jessica Carmona.

Tiếp tục tìm kiếm với cái tên Jessica, vì profile Linkedin vẫn chưa xem được địa chỉ email. Giờ đã có tên rồi thì thông tin tìm kiếm được sẽ cụ thể hơn nhiều.