Flag

text
1940{0M4N1_N3TW0RK_H1DD3N_M3SS4G3}

Dưới đây là writeup hoàn chỉnh:

:::writing{variant="document" id="68421"}

Echoes of Oman — Writeup

Tổng quan

Challenge cung cấp một file network capture chứa hàng nghìn packet nhiễu. Dữ liệu thật được chia thành nhiều giai đoạn:

1. Chỉ dẫn ban đầu được phân mảnh trong ICMP.
2. HTTP cung cấp manifest và checksum.
3. Một ảnh JPEG được chia thành chín TCP stream.
4. Passphrase được giấu trong bốn giao thức khác nhau.
5. Flag nằm trong file được nhúng vào JPEG bằng steghide.

1. Triage capture

Capture có tổng cộng 3665 packet. Mặc dù tên file có phần mở rộng .pcapng, nội dung thực tế sử dụng định dạng classic PCAP.

Phần lớn traffic là nhiễu. Endpoint đáng chú ý xuất hiện gần cuối capture:

text
10.40.19.77 -> 10.40.19.200

Có thể dùng Wireshark filter:

text
ip.addr == 10.40.19.200

Các giao thức liên quan gồm ICMP, HTTP, DNS và TCP.

2. Ghép các ICMP fragment

Một nhóm ICMP payload có cấu trúc:

text
M:77474dac|D:<base64_fragment>|<2-byte index>

Trong đó:

• 77474dac là marker cố định.
• Phần sau D: là fragment Base64.
• Hai byte cuối là index theo big-endian.

Sau khi sắp xếp các fragment theo index, nối chúng lại và Base64-decode, ta thu được:

text
protocol=http
stream_hint=x-oman-session
stream_value=MUSCAT-1940
object=/heritage/manifest.dat

Thông tin này chỉ ra rằng cần tìm một HTTP request đến:

text
/heritage/manifest.dat

với session header:

text
X-Oman-Session: MUSCAT-1940

3. Phân tích HTTP manifest

Request tương ứng:

http
GET /heritage/manifest.dat HTTP/1.1
Host: archive.oman-lab.local
User-Agent: OmanExhibitClient/1.0
X-Oman-Session: MUSCAT-1940

Body của response là một chuỗi hex:

text
4f424a4543543d6f6d616e5f617263686976652e6a70670a...

Hex-decode cho kết quả:

text
OBJECT=oman_archive.jpg
TRANSFER=TCP
CHANNEL=4919
CHECK=SHA256

Như vậy:

• Artifact cần phục hồi là oman_archive.jpg.
• Dữ liệu được truyền qua TCP port 4919.
• File hoàn chỉnh phải được xác minh bằng SHA-256.

Một response khác chứa checksum:

text
X-Artifact-SHA256: c2414ac003839cc226b4300affb34c696a59cd487ee267a118767068920d3587

4. Reassemble TCP stream trên port 4919

Có chín TCP connection truyền dữ liệu đến port 4919.

Sau khi reassemble từng connection theo TCP sequence number, mỗi stream bắt đầu bằng custom header dài 9 byte:

text
Offset  Size  Description
0       3     Magic "OMN"
3       1     Chunk index
4       1     Total chunks
5       4     Payload length, big-endian
9       n     Chunk data

Các chunk thu được:

Source port	Index	Total	Length
8981	0	9	38784
33111	1	9	38784
39809	2	9	38784
14807	3	9	38784
8758	4	9	38784
64147	5	9	38784
54543	6	9	38784
21359	7	9	38784
31026	8	9	38780

Cần bỏ header OMN, sắp xếp theo chunk index từ 0 đến 8, sau đó nối payload.

File kết quả có thông tin:

text
File:   oman_archive.jpg
Size:   349052 bytes
Magic:  ff d8 ff
SHA256: c2414ac003839cc226b4300affb34c696a59cd487ee267a118767068920d3587

Checksum khớp hoàn toàn với giá trị trong HTTP response, xác nhận ảnh đã được khôi phục đúng.

5. Tìm passphrase đa giao thức

Gần cuối capture xuất hiện bốn key fragment. Mỗi fragment sử dụng một phép biến đổi khác nhau.

Fragment 1 — DNS TXT

text
1:776540

Hex-decode:

text
776540 -> we@

Fragment 2 — ICMP

text
KEYFRAG:2:YXJlQA==

Base64-decode:

text
YXJlQA== -> are@

Fragment 3 — HTTP Cookie

text
keyfrag=3:bznav@

ROT13:

text
bznav@ -> omani@

Fragment 4 — TCP control

text
CTRL:4:maet

Đảo ngược chuỗi:

text
maet -> team

Ghép các fragment theo thứ tự:

text
we@ + are@ + omani@ + team

Passphrase hoàn chỉnh:

text
we@are@omani@team

6. Trích payload bằng steghide

Dùng passphrase vừa khôi phục để kiểm tra ảnh:

bash
steghide info oman_archive.jpg -p 'we@are@omani@team'

Ảnh chứa file:

text
final_identity.txt

Payload được nén và mã hóa bằng Rijndael-128 CBC.

Trích file:

bash
steghide extract \
  -sf oman_archive.jpg \
  -p 'we@are@omani@team' \
  -xf final_identity.txt \
  -f

Nội dung file:

text
Congratulations. You recovered the hidden Omani transmission.

Flag: 1940{0M4N1_N3TW0RK_H1DD3N_M3SS4G3}

Flag

text
1940{0M4N1_N3TW0RK_H1DD3N_M3SS4G3}

:::

Tệp kết quả

• Writeup Markdown
• Solver Python
• Ảnh JPEG đã khôi phục
• Payload final_identity.txt