Writeup Proyecto Mayhem 2 | HackOn 2021

Writeup Proyecto Mayhem 2 | HackOn 2021

Proyecto Mayhem 2

Este es el tercer y último reto de la categoría Osint del ctf de la HackOn 2021. El resto de soluciones de los retos Osint de esta competición los puedes ver en el tag “Osint” o “HackOn”.

Importante: esta serie de tres retos sigue estando activa, por lo que, si quieres intentar resolver los retos, no leas más alla del enunciado y ponte manos a la obra. También ten en cuenta que cualquier información posterior a Enero de 2021 no tiene que ver con el reto.

Nota: te recomendamos encarecidamente que hayas resuelto los dos retos anteriores para intentar este.

Enunciado

Proyecto Mayhem 2: Comunicaciones interceptadas hablan de la elaboración de una bomba. Tenemos que saber cuál va a ser el objetivo para poder evitar una catástrofe. Tal y como indica el mensaje anterior, el método de comunicación ha cambiado. (puntuación alta).

Nota: formato de flag habitual: HackOn{}


Planteamiento

Al ser el último reto, nos queda muy poca información con la que trabajar. Descartamos los tuits que ya hemos utilizado anteriormente, y nos quedamos con los dos restantes relevantes.

Nuestra primera pista es el siguiente tuit:

Esta pista se refiere claramente al tercer y último reto 💣, y habla de “reviews”.

Nuestra segunda pista es este tuit:

Este es un tweet genérico que se comparte cuando en keybase.io se verifica la identidad de alguien.


Solución

Al haber hecho los otros dos retos sabemos que no hemos usado el keybase en ningún momento, por lo que tiene que tener algo de información que nos interese. En el keybase sólo aparece una clave pgp. Esta clave nos da un correo (que se podía averiguar también), caradeangel1999@gmail.com.

pgp_key

Para la siguiente parte es importante entender cómo funcionan las cuentas de Google. Todas, por defecto, tienen asociado un userID, que da información que puede ser valiosa.

Entre esta información está poder ver todas las reseñas que publica el usuario.

Una vez sabemos esto, y teniendo en cuenta el tuit de “I like to put reviews on the sites I visit 💣”, la conexión entre las dos salta a la vista: ¡Tenemos que encontrar el userID de la cuenta de correo y revisar las reseñas del usuario!

Una vez encontramos el userID, lo ponemos en la siguiente url:

https://www.google.com/maps/contrib/{userID}

Nota: para encontrar el userID, podemos hacer uso de herramientas online como Epieos.

Y, finalmente, encontramos la reseña de la cuenta de correo:

review

Flag: HackOn{7h3_p3n7490n?}


Este artículo ha sido redactado con fines educativos. Cualquier acción derivada de este artículo que no tenga dicho fin entra en conflicto con nuestro propósito de hacer divulgación de contenido educativo, y es objeto de nuestra condena más enérgica.

caveeroo
comments powered by Disqus