add task Cartography

Author: psviderski

Cartography/create/bootstrap.sh

@@ -0,0 +1,43 @@
+# Remove sudo
+rm -f /etc/sudoers.d/box
+
+# Greeting
+cat <<'EOF' > /.box/greeting
+Welcome to Linux Challenge on
+      _             _
+     | |           (_)
+  ___| |_ ___ _ __  _  ___   ___  _ __ __ _
+ / __| __/ _ \ '_ \| |/ __| / _ \| '__/ _` |
+ \__ \ ||  __/ |_) | | (__ | (_) | | | (_| |
+ |___/\__\___| .__/|_|\___(_)___/|_|  \__, |
+             | |                       __/ |
+             |_|                      |___/
+
+This box runs Ubuntu 14.04. You are logged in as user "box".
+
+Web terminal usage
+==================
+ * Click the titlebar to drag
+ * Double-click the titlebar to maximize
+ * Click and drag the lower-right corner to resize
+EOF
+
+# Create flag.txt
+echo "# this is the first line of flag.txt
+STCTF#WellDumped#
+# this is the last line of flag.txt" > /home/box/flag.txt
+chown box:box /home/box/flag.txt
+
+# Run process that reads flag.txt and sleeps forever
+echo "#!/usr/bin/env python3
+import os
+import time
+
+content = open('/home/box/flag.txt').read()
+os.remove('/home/box/flag.txt')
+os.remove('/home/box/flagd')
+while True:
+    time.sleep(1)" > /home/box/flagd
+
+cd /home/box
+su box -c "python3 flagd &"

Cartography/create/test_scenario.py

@@ -0,0 +1,15 @@
+FLAG_CONTENT = "# this is the first line of flag.txt\r\nSTCTF#WellDumped#\r\n# this is the last line of flag.txt"
+
+
+def test_connection(s):
+    assert s.run('true').succeeded, "Could not connect to server"
+
+
+def test_flag_exists(s):
+    cmd = 'test -f /home/box/flag.txt'
+    assert s.run(cmd).succeeded, "flag.txt not found"
+
+
+def test_flag_content(s):
+    flag_content = s.run('cat /home/box/flag.txt')
+    assert flag_content == FLAG_CONTENT, "Incorrect flag.txt content"

Cartography/solution/hints.html

@@ -0,0 +1 @@
+Hint 1: Городская Детская Больница вам обязательно поможет

Cartography/solution/solution.html

@@ -0,0 +1,44 @@
+В задании запускался python скрипт, который читает в память файл flag.txt, удаляет его, удаляет свой скрипт запуска и продолжает работать ничего не делая в системе:
+
+#!/usr/bin/env python3
+import os
+import time
+
+content = open('/home/box/flag.txt').read()
+os.remove('/home/box/flag.txt')
+os.remove('/home/box/flagd')
+while True:
+    time.sleep(1)
+
+Первым делом пробуем посмотреть список активных процессов:
+
+$ ps ax
+  PID TTY      STAT   TIME COMMAND
+    1 ?        Ss     0:00 /bin/sh -c /.box/start.sh
+    6 ?        S      0:00 /bin/bash /.box/start.sh
+   22 ?        Ss     0:00 /usr/sbin/sshd
+   35 ?        S      0:32 python3 flagd
+   39 ?        S      0:00 su box
+   40 ?        S      0:00 bash
+   58 ?        R+     0:00 ps ax
+
+Можно предположить, что процесс с PID 35 -- это то, на что и нужно обратить внимание. Смотрим список файловых дескрипторов, открытых этим процессом.
+
+$ ls /proc/35/fd
+0  1  2
+
+Видим, что у процесса открыты только стандартные файловые дескрипторы (0 standard input, 1 standard output, 2 standard error). Понимаем, что скорее всего прочитанный файл был закрыт, поэтому файлового дескриптора не осталось. Пробуем сдампить всю виртуальную память процесса. Для этого можно воспользоваться установленным отладчиком gdb:
+
+$ gdb --pid 35
+(gdb) dump memory /root/output START_ADDRESS END_ADDRESS
+
+Замапленные регионы памяти и права доступа к ним находятся в файле /proc/35/maps. Удобно воспользоваться предложенным скриптом http://serverfault.com/a/408929. Есть еще более простой способ сдампить всю память процесса -- воспользоваться утилитой gcore.
+
+После того, как сдампили все доступные регионы памяти, ищем в них известный шаблон флага:
+$ grep STCTF# *.dump
+
+обращаем внимание, что кроме флага в файле были записаны еще две строки, копируем все содержимое в файл /home/box/flag.txt:
+
+# this is the first line of flag.txt
+STCTF#WellDumped#
+# this is the last line of flag.txt

Cartography/summary.yml

@@ -0,0 +1,8 @@
+---
+answer_regex: STCTF#WellDumped#
+author: spy
+category: admin
+description: |
+  Восстановите случайно удаленный файл /home/box/flag.txt. Кажется, кто-то недавно его открывал и читал.
+name: Cartography
+price: 300