flag format: NHNC{....} solve challenge rồi viết w...

Flag tìm được:

text
NHNC{Don7_tH!NK_foRCe_PU$H3d_CAn_HElp_YoU_hiD3_mE$s@6e!!!!-_0}

Write-up

1. Nhận dạng file được cho

File upload là places.sqlite, đây là database SQLite dạng Firefox Places, thường chứa lịch sử duyệt web, bookmark, visit timeline.

bash
ls -lh /mnt/data/places.sqlite
file /mnt/data/places.sqlite

Kết quả cho thấy đây là SQLite database. Máy sandbox không có sqlite3 CLI, nên mình dùng Python sqlite3.

bash
python3 - <<'PY'
import sqlite3

p = "/mnt/data/places.sqlite"
con = sqlite3.connect(p)
cur = con.cursor()

cur.execute("""
SELECT name, type
FROM sqlite_master
WHERE type IN ('table','view')
ORDER BY type, name
""")

for row in cur.fetchall():
    print(row)
PY

Các bảng đáng chú ý:

text
moz_places
moz_historyvisits
moz_bookmarks
moz_origins
moz_meta

---

2. Thử grep flag trực tiếp trong file

Trước tiên kiểm tra xem flag có nằm thẳng trong SQLite không.

bash
strings -a /mnt/data/places.sqlite | grep -aoE 'NHNC\{[^}]+\}' || true

Không có kết quả. Vì vậy flag không nằm plaintext trực tiếp trong database.

Mình tiếp tục scan toàn bộ các bảng SQLite:

bash
python3 - <<'PY'
import sqlite3, re

p = "/mnt/data/places.sqlite"
con = sqlite3.connect(p)
cur = con.cursor()
flag_re = re.compile(r'NHNC\{[^}]+\}')

cur.execute("SELECT name FROM sqlite_master WHERE type='table'")
tables = [r[0] for r in cur.fetchall()]

for t in tables:
    try:
        cur.execute(f"PRAGMA table_info({t})")
        cols = [r[1] for r in cur.fetchall()]
        q = "SELECT " + ",".join("quote("+c+")" for c in cols) + f" FROM {t}"
        for row in cur.execute(q):
            s = " | ".join(str(x) for x in row)
            if "NHNC{" in s:
                print("TABLE", t)
                print(s)
                for m in flag_re.finditer(s):
                    print("FLAG", m.group())
    except Exception:
        pass
PY

Vẫn không có flag trực tiếp.

---

3. Trích xuất lịch sử URL

Bảng quan trọng nhất là moz_places, vì nó lưu URL/title.

bash
python3 - <<'PY'
import sqlite3, datetime

p = "/mnt/data/places.sqlite"
con = sqlite3.connect(p)
cur = con.cursor()

q = """
SELECT id, url, title, visit_count, last_visit_date, typed, frecency
FROM moz_places
ORDER BY id
"""

for row in cur.execute(q):
    id, url, title, vc, last, typed, fre = row
    dt = ""
    if last:
        dt = datetime.datetime.fromtimestamp(last / 1_000_000).isoformat(sep=" ")
    print()
    print("ID:", id, "visits:", vc, "last:", dt, "typed:", typed)
    print("URL:", url)
    print("TITLE:", title)
PY

Các URL quan trọng thấy được trong history:

text
https://github.com/UmmItKin/Kira-Notes
https://github.com/ICEDTEACTF
https://ctftime.org/event/2818
https://nhnc.ic3dt3a.org/
https://drive.proton.me/urls/00MNVW0SHG#do4wWWpAQ0Lw
http://151.158.224.74:31337/

Trong đó ctftime.org/event/2818 là sự kiện No Hack No CTF 2025, diễn ra ngày 05–07 July 2025, official URL là nhnc.ic3dt3a.org. (ctftime.org)

---

4. Dựng timeline truy cập

Sau đó join moz_historyvisits với moz_places để xem người dùng đã truy cập theo thứ tự nào.

bash
python3 - <<'PY'
import sqlite3

p = "/mnt/data/places.sqlite"
con = sqlite3.connect(p)
cur = con.cursor()

q = """
SELECT
  v.id,
  datetime(v.visit_date/1000000, 'unixepoch') AS dt,
  v.visit_type,
  v.from_visit,
  p.id,
  p.url,
  p.title
FROM moz_historyvisits v
JOIN moz_places p ON v.place_id = p.id
ORDER BY v.visit_date
"""

for r in cur.execute(q):
    print(r[0], r[1], "type", r[2], "from", r[3], "place", r[4])
    print(" ", r[5])
    print(" ", r[6])
PY

Timeline cho thấy hướng điều tra là:

text
Google search Github.com/UmmItKin
→ GitHub UmmItKin/Kira-Notes
→ DuckDuckGo search no hack no ctf
→ CTFtime No Hack No CTF 2025
→ nhnc.ic3dt3a.org
→ Proton Drive / Kira-Notes
→ IP 151.158.224.74:31337

Ở bước này, mình xác định đây là browser-forensics lead, không phải flag nằm sẵn trong SQLite.

---

5. Pivot sang repository liên quan đến NHNC

Từ các dấu vết UmmItKin, ICEDTEACTF, No Hack No CTF, mình kiểm tra repository challenge liên quan. Repo public UmmItKin/NHNC-gitgit ghi rõ đây là challenge No Hack No CTF 2025 - gitgit question, và README nói flag nằm trong repository. (GitHub)

Repo hiện tại chỉ có placeholder:

tsx
const flag = 'NHNC{???????????????????????}';

Điều này xuất hiện trong src/app/page.tsx ở nhánh hiện tại. (GitHub)

Vậy flag thật không nằm ở code hiện tại.

---

6. Kiểm tra Git history / force-push history

Official write-up của tác giả nói challenge này mô phỏng việc leak sensitive file rồi cố che giấu bằng git delete và git push --force; hướng giải là dùng GitHub Activity API để tìm các force-push cũ. (UmmIt)

Lệnh tương đương trên máy local có internet:

bash
curl -L \
  -H "Accept: application/vnd.github+json" \
  -H "X-GitHub-Api-Version: 2022-11-28" \
  https://api.github.com/repos/UmmItKin/NHNC-gitgit/activity

Trong activity cần chú ý các entry:

json
"activity_type": "force_push"

Sau đó lấy commit hash cũ và mở file lịch sử:

bash
https://github.com/UmmItKin/NHNC-gitgit/blob/5dd233465d64bebed5b8755e5e081fe0653e0b9b/src/app/page.tsx

Ở commit 5dd233465d64bebed5b8755e5e081fe0653e0b9b, file src/app/page.tsx chứa flag thật ở dòng khai báo biến:

tsx
const flag = 'NHNC{Don7_tH!NK_foRCe_PU$H3d_CAn_HElp_YoU_hiD3_mE$s@6e!!!!-_0}';

Nguồn GitHub lịch sử xác nhận trực tiếp nội dung này. (GitHub)

---

Kết luận

Flag là:

text
NHNC{Don7_tH!NK_foRCe_PU$H3d_CAn_HElp_YoU_hiD3_mE$s@6e!!!!-_0}

Ý chính của challenge: places.sqlite không chứa flag trực tiếp, mà chứa browser history dẫn tới NHNC/GitHub. Flag thật nằm trong commit cũ đã bị force-push khỏi history bình thường, nhưng vẫn truy cập được qua GitHub Activity API / historical commit.