En ny Skill Assessment och den här gången så gäller det om just Javascript Deobfuscation.
Obfuscate är där man tar kod eller liknande och gör den oläsbar för mänskliga ögat, så med Deobfuscation så gör vi den alltså läsbar för oss!
Vi får våran IP och våra utmaningar där vi hittar våra flaggor.
Vi börjar enkelt med att gå in på våran http://IP och kollar source koden, vi letar efter script taggen med javascript i sig.
Man hittar oftast script taggar längst ner i HTML filer, så det är lättast att kolla längst ner på source koder först.
Vi trycker på api.min.js länken och kollar upp scriptet i våran debugger, sedan copy pastar vi in scripted i consolen på hemsidan och trycker enter.
Gör vi detta så får vi flagga nummer 2.
Själva koden är däremot fortfarande obfuscated, så för att kunna läsa koden bättre så öppnar vi en hemsida som heter https://matthewfl.com/unPacker.html.
Vi slänger in den långa koden i unpacker och får följande resultat:
Här ser vi nu att vi har en variable som heter flag så det blir vi naturligtvis intresserade på!
Vi kopierar hela flag variabeln och pastar den i console igen.
Efter att vi har lagt in variabeln i consolen så känner den igen flag, då kan vi console.log(flag) för att printa värdet vilket är våran flagga.
Vi kollar vidare på apiKeys() scriptet och kollar under flag variabeln, där har vi lite mer lustig kod. Man kan se att en variable xhr gör en ny XMLHttpRequest() vilket gör att man kan hämta data från server utan att refresha. så vi gör samma där att vi kopierar första linan och pastar den i console för att se ifall vi kan förstå vad den gör lite bättre.
Vi har alltså hittat en sida vi kan använda, så vi testar att curla hemsidan igen fast med /keys.php denna gång följt med en parameter.
IP/keys.php
Värdet vi fick tillbaka är alltså decodat, och vi tar reda på att det är en hex decode. Så för att decoda värdet så kör vi följade kod i våran CLI och får våran key.
Så vi kör våran sista request nu, vi curlar till hemsidan igen, IP/keys.php med parameter som är våran key vi precis fick efter att vi decodade hexen.
Så fort vi skickar iväg denna, så får vi våran flagga!
Rätt så rolig utmaning, kul att sitta och deobfuscatea och ganska så häftigt! Tack för denna gång så ses vi snart igen!
Lämna ett svar