Райтап на задачу «I feel fantastic»

🔴Дисклеймер: автор крайне не рекомендует запускать любые исполняемые файлы в основной рабочей среде, т. к. они могут нести в себе действующие malware или иные угрозы безопасности ваших данных

Начинаем решение задачи, как и всегда, с описания: «Что-то не так с этим ELF. Иногда кажется, что он… поёт». Можно предположить, что в ELF-файле будет поющий контент, но сперва проверим, чем вообще является файл и сколько он весит:

🔵file fantastic.elf fantastic.elf: ELF 64-bit LSB pie executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, BuildID[sha1]=ce5deed954707b3962fd1f2a60d05d174af25438, for GNU/Linux 4.4.0, not stripped

🔵stat fantastic.elf File: fantastic.elf Size: 59392112 Blocks: 116008 IO Block: 4096 regular file

Необычайно большой размер для ELF-файла, больше 50 МБ. ELF 64-bit LSB pie executable — значит можно попробовать запустить:

Не повезло, не повезло, придётся искать истинные чувства глубже, как и гласит хинт. Для первичного осмотра ELF используем утилиту 🔵readelf:

Сразу же бросается в глаза недефолтная секция 🟣video, которая как раз и раздувает ELF — её размер 0x38a0317 ~ 50+ МБ. Используя её офсет, прочитаем первую сотню байт этой секции:

Сразу видим читаемые сигнатуры, многие сразу поймут что это такое, но если нет — идём в Google:

Действительно, видео. Выгрузим содержимое секции в файл: 🔵objcopy --dump-section video=video.mp4 fantastic.elf

Посмотрим это прекрасное, совершенно не криповое видео. Уже в районе 4-й секунды можно заметить встроенный кадр — экран на мгновение темнеет. Это как минимум любопытно, поэтому либо смотрим видео покадрово в плеере, либо выгрузим кадры, а чтобы не выгружать всё, укажем временной промежуток: 🔵ffmpeg -ss 00:00:4 -i video.mp4 -t 1 frames/%06d.png

leet, но не похоже на формат флага. Внимательно смотрим всё видео полностью. Сам просмотр видео даст нам два кусочка флага (не буду портить вам удовольствие от их поиска) и важный хинт:

Второй кусочек оканчивается на «_», а значит, решение ещё не закончено. «Посмотреть с другой стороны». У этого видео есть ведь и аудиодорожка? Вспоминаем азы стеганографии в аудио и идём смотреть спектр привычным вам софтом. А вот и другая сторона:

Собираем все кусочки вместе и бежим сдавать :)