Writeup labs.gf0s.com - HACKLAB #3 - Rastreando a un terrorista

Pasamos al HackLab #3, esta vez tenemos que cazar a una terrorista.

Escenario del juego:

Tu objetivo.... si decides aceptarlo, consiste en rastrear a un terrorista cibernético.
Es conocido en el bajo mundo como TOCHAMA.
Muchos gobiernos han intentado ubicarlo, pero hasta ahora todos han fallado.

Detalles del reto:

TOCHAMA: No se sabe el origen de esta terrorista, inteligencia ha informado que lo único que le importa es el dinero y que hará todo lo que sea por ello.

EL SECRETO: Tiene en su poder información confidencial que intentará vender al mejor postor. En manos equivocadas, esta información podría causar un caos global.

LA BÚSQUEDA: No será fácil rastrear a Tochama, en todo momento intentará engañarte....

Pista #1

Tenemos un código QR con lo que básicamente vamos a descargarlo desde la terminal.

Una vez descargado, subimos el código QR a una herramienta online.

Y lo descodificamos para obtener la siguiente pista.

Pista #2

A primera vista, podemos observar que "supuestamente" a viajado a Isla de Pascua (Chile), sería bastante "obvio" pero por si las moscas probamos abrir la url http://labs.gf0s.com/chile

Hubiera sido sencillo, pero todo lo malo tiene su lado bueno, y es que nos ha dado una nueva pista "Toda la información que requieres está en el boleto".

Descargamos y analizamos con exiftool la imagen y podemos ver que tiene metadatos interesantes, como por ejemplo "XP Title: labs.gf0s.com/canada" pero sigue siendo bastante sencillo....¡Pero un momento! también tiene datos de geolocalización. ¿Que tal si vemos a que punto del mundo nos marca los siguientes datos?

GPS Position: 22 deg 50' 13.01" N, 77 deg 41' 43.13" E

¡Está en la India! Abrimos el navegador con la siguiente url: http://labs.gf0s.com/india

Pista #3

Ahora nos encontramos con una web que dispone de un "área restringida" por una contraseña.

Después de probar las típicas claves "1234, admin, password, root...." no nos queda mas remedio que empezar a analizando el sitio y que tipo de programación está usando para poder vulnerar de alguna manera el acceso.

Abrimos con el navegador el código fuente de la página web.

Está usando un javascript para proteger el sitio, el problema es que el código está "ofuscado", copiamos el código y "des-ofuscamos" con una herramienta online.

Una vez con el código "limpio", podemos observar que la contraseña para acceder es "2657".

Pista #4

Hacemos clic en el botón "Download" y nos abrirá la siguiente web.

Allí nos podremos descargar un archivo .pcap donde encontraremos la siguiente pista.

Hay podemos observar que hay una foto con el nombre de "HackLab3-Pista4.JPG", probamos a visualizarla y.......

!Nuevamente nos ha vuelto a engañar! Tenemos que pensar...., vamos a pasar la foto por "NetworkMiner" haber que nos encuentra.

Efectivamente hay una foto escondida, la extraemos y la ampliamos.

Pista #5

Ya nos encontramos en la recta final, ahora tenemos un nuevo enlace, escribimos dicha url en nuestro navegador.

No nos deja acceder, el sitio web está capado sólo para el navegador de "TOCHAMA", por lo que tendremos que engañar al sitio reemplazando nuestro "User-Agent" por ese.