John Cena You can't see me! Attachments enc.png ...

Mình đã giải được cả 2 challenge từ các file bạn cung cấp.

1. John Cena — “You can't see me!”

Điểm mấu chốt là đây là steganography theo kiểu known-cover. Ảnh trong enc.png khớp với ảnh John Cena trên Wikimedia; đặc biệt Wikimedia có đúng preview kích thước 500×665, trùng với file challenge. (Wikimedia Commons)

Khi so sánh pixel enc.png với ảnh JPEG gốc:

• kênh R: giống 100%
• kênh G: giống 100%
• kênh B: chỉ có 215 pixel khác
• toàn bộ pixel bị sửa đều nằm ở cột đầu tiên x = 0
• các thay đổi chỉ là +1 hoặc -1, nên mắt thường hoàn toàn không nhận ra.

Ta tạo bit theo:

text
bit[y] = 1  nếu B_enc[y,0] != B_original[y,0]
         0  nếu giống nhau

Lấy 376 bit đầu tiên, chia từng nhóm 8 bit theo MSB-first:

text
01110011 -> s
01100011 -> c
01110010 -> r
...

Kết quả nguyên văn:

text
scriptCTF{y0u_c4nt_s33_m3_unl355_y0u_s33_m3???}

Flag 1:

text
scriptCTF{y0u_c4nt_s33_m3_unl355_y0u_s33_m3???}

Ba dấu ??? là ký tự thật của flag, không phải phần chưa giải.

---

2. Bruteforced

Trong log.pcap có đúng 10.000 HTTP request:

text
GET /flag_0
GET /flag_1
GET /flag_2
...
GET /flag_9999

Gần như toàn bộ response là:

text
HTTP/1.1 404 NOT FOUND
Content-Length: 0

Chỉ có một request duy nhất trả về 200 OK:

http
GET /flag_4919 HTTP/1.1
Host: ctf.scriptsorcerers.xyz

Response:

http
HTTP/1.1 200 OK
Content-Length: 0

Tức là dù body không chứa gì, attacker vẫn làm rò rỉ secret thông qua HTTP status-code oracle: candidate đúng là 4919.

Trong Wireshark chỉ cần filter:

text
http.response.code == 200

sau đó Follow TCP Stream sẽ thấy /flag_4919.

Một chi tiết cố ý khá đẹp:

text
4919 decimal = 0x1337

Flag 2:

text
scriptCTF{4919}

Kết quả

text
John Cena:
scriptCTF{y0u_c4nt_s33_m3_unl355_y0u_s33_m3???}

Bruteforced:
scriptCTF{4919}

Flag John Cena là chắc chắn vì chuỗi được giải trực tiếp từng bit. Với Bruteforced, 4919 là giá trị duy nhất được PCAP xác nhận qua response 200 OK.