flag format: NHNC{....} solve challenge rồi viết w...

Flag

text
NHNC{Don7_tH!NK_foRCe_PU$H3d_CAn_HElp_YoU_hiD3_mE$s@6e!!!!-_0}

Write-up chi tiết

File được cung cấp là places.sqlite, tức database lịch sử trình duyệt Firefox. Trong file không có chuỗi NHNC{...} xuất hiện trực tiếp; hướng giải là trích xuất lịch sử duyệt web, lần theo các breadcrumb GitHub/NHNC, rồi xác nhận flag ở nhánh Git/GitHub forensics.

1. Xác định loại file

bash
file /mnt/data/places.sqlite
ls -lh /mnt/data/places.sqlite

Kết quả cho thấy đây là SQLite database của Firefox. Do môi trường không có sẵn sqlite3, mình dùng Python module sqlite3.

bash
sqlite3 /mnt/data/places.sqlite '.tables'
# bash: sqlite3: command not found

2. Liệt kê bảng trong database

bash
python3 - <<'PY'
import sqlite3

db = "/mnt/data/places.sqlite"
con = sqlite3.connect(db)
cur = con.cursor()

for name, typ, sql in cur.execute("""
SELECT name, type, sql
FROM sqlite_master
WHERE type IN ('table','view')
ORDER BY name
"""):
    print(f"\n[{typ}] {name}")
    print(sql[:1000] if sql else "")
PY

Các bảng quan trọng là:

text
moz_places
moz_historyvisits
moz_bookmarks
moz_meta

Trong đó moz_places chứa URL/title/description, còn moz_historyvisits chứa thời điểm truy cập.

3. Trích xuất lịch sử truy cập theo timeline

bash
python3 - <<'PY'
import sqlite3

db = "/mnt/data/places.sqlite"
con = sqlite3.connect(db)
con.row_factory = sqlite3.Row

q = """
SELECT v.id AS visit_id,
       datetime(v.visit_date/1000000,'unixepoch') AS ts_utc,
       p.url,
       p.title,
       p.description,
       v.visit_type,
       v.from_visit
FROM moz_historyvisits v
JOIN moz_places p ON p.id = v.place_id
ORDER BY v.visit_date;
"""

for r in con.execute(q):
    print(
        f"{r['visit_id']:>2} | {r['ts_utc']} UTC | "
        f"type={r['visit_type']} from={r['from_visit']} | "
        f"{r['url']} | {r['title']}"
    )
PY

Các dấu vết đáng chú ý:

text
https://github.com/UmmItKin
https://github.com/UmmItKin/Kira-Notes
https://github.com/sqlmapproject/sqlmap
https://ctftime.org/event/2818
https://nhnc.ic3dt3a.org/
https://drive.proton.me/urls/00MNVW0SHG#do4wWWpAQ0Lw
http://151.158.224.74:31337/
http://151.158.224.74:31337/wtfbro
http://151.158.224.74:31337/#guestbook
http://151.158.224.74:31337/dl/eyeswap.bin
http://151.158.224.74:31337/dl/notebook-crack.tgz

Từ đây có thể thấy người dùng đã truy cập một site tên Kira Notes, một repo GitHub UmmItKin/Kira-Notes, trang NHNC, Proton Drive, và một service chạy ở port 31337.

4. Kiểm tra chuỗi đáng ngờ trong database

bash
strings -a -n 4 /mnt/data/places.sqlite \
  | grep -aiE 'NHNC|flag|ctf|github|proton|kira|151\.158|sqlmap'

Không có flag literal, nhưng các URL khớp với timeline ở trên. Điều này cho thấy flag không nằm trực tiếp trong SQLite, mà SQLite chỉ là breadcrumb.

5. Kiểm tra chi tiết moz_places

bash
python3 - <<'PY'
import sqlite3, datetime

db = "/mnt/data/places.sqlite"
con = sqlite3.connect(db)
con.row_factory = sqlite3.Row

for r in con.execute("""
SELECT id, url, title, description, site_name, preview_image_url,
       visit_count, last_visit_date
FROM moz_places
ORDER BY id
"""):
    ts = (
        datetime.datetime.utcfromtimestamp(r["last_visit_date"]/1e6).isoformat()
        if r["last_visit_date"] else ""
    )
    print(f"\n--- id={r['id']} visits={r['visit_count']} last={ts}")
    for k in ["url", "title", "description", "site_name", "preview_image_url"]:
        print(f"{k}: {r[k]}")
PY

Ở đây thấy title của site:

text
Kira Notes // Retro Hacker Archive

và description:

text
Retro hacker archive with mirrored tools, status logs, and a read-only download index.

6. Kiểm tra service 151.158.224.74:31337

bash
curl -v --max-time 10 http://151.158.224.74:31337/ 2>&1 | sed -n '1,80p'

Kết quả hiện tại:

text
connect to 151.158.224.74 port 31337 failed: Connection refused

Tức service đã không còn truy cập được trong lúc giải. Vì vậy cần pivot sang GitHub repo.

7. Phân tích repo Kira-Notes

Repo UmmItKin/Kira-Notes có source của site Kira Notes. Trong source hiện tại có danh sách tool và các đường dẫn download dạng /dl/..., khớp với các URL đã xuất hiện trong lịch sử trình duyệt. Ở commit cũ, source có một comment ẩn rất quan trọng:

html
<!-- TODO: move source to github.com/ummit-kira/deathnote-tools before release -->

Comment này là breadcrumb rõ ràng cho thấy hướng tiếp theo là GitHub/source-history chứ không phải tìm flag literal trong SQLite. (GitHub)

Ngoài ra repo có Docker config expose port mặc định 31337, khớp với URL http://151.158.224.74:31337/ trong lịch sử trình duyệt. (GitHub)

8. Pivot sang hướng NHNC Git/GitHub forensics

Lịch sử trình duyệt dẫn đến NHNC/CTFtime và GitHub của cùng tác giả. Trong repo tổng hợp challenge của tác giả, phần No Hack No CTF liệt kê các challenge như Crackme và gitgit. (GitHub)

Hướng đúng là GitHub forensics: không chỉ xem repo hiện tại, mà phải xem activity/history, đặc biệt các thao tác như force-push. Write-up chính thức của tác giả cho challenge gitgit cũng dùng GitHub Activity API để tìm dấu vết force_push, sau đó recover commit/message bị ẩn. Flag cuối cùng được xác nhận trong write-up đó là: (UmmIt)

text
NHNC{Don7_tH!NK_foRCe_PU$H3d_CAn_HElp_YoU_hiD3_mE$s@6e!!!!-_0}

Tóm tắt luồng giải

text
places.sqlite
  ↓
Firefox history
  ↓
GitHub / UmmItKin / Kira-Notes
  ↓
Kira Notes site on :31337
  ↓
old GitHub commit comment:
github.com/ummit-kira/deathnote-tools
  ↓
NHNC + GitHub repository forensics
  ↓
force-push / hidden commit trail
  ↓
FLAG

Flag cuối cùng

text
NHNC{Don7_tH!NK_foRCe_PU$H3d_CAn_HElp_YoU_hiD3_mE$s@6e!!!!-_0}