Qui a arrêté le shredder ou comment il fallait passer la quête de destruction du serveur

Il y a quelques jours, nous avons terminé l'un des événements les plus chargés émotionnellement que nous avons eu la chance d'organiser dans le cadre de notre blog — un jeu en ligne de hacking avec destruction de serveur.

Les résultats ont dépassé toutes nos attentes : les participants ne se sont pas seulement inscrits, mais se sont rapidement organisés en une communauté soudée de 620 personnes sur Discord, qui a littéralement pris d'assaut la quête en deux jours sans interruption pour dormir.

Et voici comment cela s'est terminé :

Comment tout a commencé et de quoi s'agit-il ?

Le jeu a commencé le 12 août, lorsque nous avons publié sur le blog post une vidéo où un hacker déguisé en crâne propose de jouer à un jeu, de détruire le serveur, de provoquer un court-circuit dans la pièce (ou un mini-incendie) et de récupérer l'argent restant dans le shredder.

C'était une quête en ligne : nous avons lancé une diffusion en direct sur YouTube depuis une pièce que nous avons remplie d'appareils IoT, avec un serveur sous le lit (qui devait être détruit), et au-dessus du serveur, nous avions un aquarium suspendu avec un poids. Pour rendre le jeu plus palpitant, nous avons décidé d'établir un prix de 200 000 roubles, que nous avons chargés dans le shredder et programmé pour s'activer toutes les 60 minutes. Chaque heure, le shredder dévorait 1000 roubles — plus les joueurs arrêteraient vite, plus ils gagneraient d'argent.

Construire cette quête était en soi une quête — nous avons dû nous nourrir d'une seule livraison et dormir quelques heures par jour directement dans la même pièce. Mais ce qui était le plus surprenant, c'était d'observer le vol de la pensée des joueurs et leur engagement émotionnel dans le processus.

Honnêtement, l'ingéniosité des joueurs dans la résolution des énigmes a largement dépassé notre modeste projet : chaque minute libre, nous lisions le chat de Discord et dans certains cas, nous étions littéralement en larmes de rire en découvrant ce que faisaient les joueurs et comment ils plaisantaient pendant le processus.

Sept personnes ont travaillé sans relâche sur le projet : un développeur back-end, un spécialiste du hardware, un véritable producteur de cinéma, un designer CG et deux coproducteurs inspirateurs.

Nous raconterons dans les prochains articles comment la quête a été réalisée d'un point de vue technique, et pour l'instant, je vais expliquer sa solution : comment il fallait hacker cette pièce pendant la diffusion. Nous allons également rappeler la chronologie des événements, ainsi que toutes les théories folles illuminati provenant du chat Discord.

Que s'est-il passé pour les joueurs au début du jeu ?

Tous les objets de la pièce étaient classés en trois catégories :

• Des dispositifs IoT simples à gérer, non liés aux jeux
• Des dispositifs de jeu pour passer le quest
• Ambiance

Nous avons installé 8 éléments très simples à gérer : deux lampes, une guirlande, cinq lettres SOUCUL, chacune étant de couleur changeante. Tout cela pouvait être allumé/éteint directement depuis le site et les résultats pouvaient être vus en temps réel – nous les avons rendus accessibles à tous les joueurs, quel que soit leur niveau technique.

Tout ce qui pouvait être allumé depuis le site

Parmi les éléments de jeu importants nécessaires pour passer le quest, auxquels l'accès n'était pas si simple :

1. Un serveur avec un couvercle ouvert et un aquarium au-dessus
2. Une kettlebell suspendue de manière à briser l'aquarium
3. Megatron 3000 – un puissant laser pointé vers la corde qui tient la kettlebell
4. Un puissant ventilateur qui se déclenchait sous charge sur le serveur
5. Un tableau blanc sur lequel étaient inscrits le nom d'utilisateur et le mot de passe pour Megatron
6. Un téléphone sur lequel on pouvait appeler et voir son appel en direct
7. Un destructeur de papier qui dévorait un billet de 1000 roubles par heure

Comment le quest a été résolu

Je dirai tout de suite : le secret s'ouvrait assez facilement.

L'objectif du jeu était d'arrêter le destructeur de papier en provoquant un court-circuit dans la pièce. Pour cela, il fallait briser l'aquarium, en lançant la kettlebell et en noyant le serveur. La kettlebell était maintenue par une corde, que Megatron visait. En prenant le contrôle de Megatron, on pouvait couper la corde. Cela se faisait en 5 étapes simples :

Étape 1. Charger le serveur dans la pièce

Par exemple, en envoyant des paquets avec une commande.

ab -r -n 10000 -c 100 -s 280 -l https://ws.ooosokol.ru/captcha

L'indice était une captcha très chargée sur la page du tarif sur Cette même captcha, qu'il fallait attaquer.

En chargeant le serveur, sa température augmentait et cela pouvait être suivi sur la surveillance, ouverte juste devant la caméra. Ensuite, le ventilateur s'activait, soulevant un léger rideau sur le tableau blanc. Cela révélait le nom d'utilisateur et le mot de passe d'accès à la page de Megatron inscrits sur le tableau.

Et la page de contrôle de Megatron pouvait être trouvée en vérifiant tous les certificats émis pour le domaine ooosokol.ru.

Sur le sous-domaine

megatron.ooosokol.ru megatron.ooosokol.ru la page de gestion de Megatron était accessible. Mais elle ne s'ouvrait pas tant que l'alimentation primaire n'était pas fournie au Megatron.

Tous ces étapes ont été rapidement discutées par les joueurs dans les commentaires de la diffusion sur YouTube. Ensuite, les défis étaient un peu plus difficiles et les joueurs ont créé un serveur Discord nommé RUVDS Hack Room pour continuer la discussion.

Étape 2. Fournir l'alimentation primaire au Megatron

Tous les appareils intelligents gérés depuis le site (ces lampes que les joueurs allumaient et éteignaient en continu) avaient leurs propres identifiants.

Pour fournir l'alimentation primaire au Megatron et l'éclairer en même temps, il fallait trouver et activer un appareil caché sur la page de gestion du bureau.

Pour cela, il fallait regarder les identifiants des appareils et remarquer qu'il y avait 4 appareils, alors que seulement 3 étaient disponibles sur le site.

La page du Megatron devenait accessible en activant le 4ème appareil et le laser s'éclairait. Cependant, il était impossible de tirer avec le laser car un message indiquait que le laser n'était pas disponible et un conseil : le disjoncteur du bureau avait sauté, il fallait appeler la société de gestion et demander de rétablir l'alimentation. la page Conseil sur la société de gestion

3. Appeler la société de gestion et demander de rétablir l'alimentation du Megatron

Selon le LOR, le Megatron ne pouvait pas tirer car le disjoncteur du bureau avait sauté. Seule la société de gestion pouvait rétablir l'alimentation, et il fallait les appeler et passer une identification en tant que propriétaire de la société.

Trouver le numéro de la société de gestion était facile - nous l'avons directement inscrit dans le footer.

Mais passer l'identification était beaucoup plus difficile.

Lorsque l'on appelait le numéro +74991130688, une opératrice répondait et demandait d'une voix monotone de donner le TIN de l'entreprise et le nom complet du propriétaire. Sans cela, elle refusait de rétablir l'alimentation et expliquait que c'était une simple centrale d'appels externalisée, qu'ils avaient 2000 clients et bureaux, et qu'il était impossible de trouver le bon sans ces informations.

Pour les joueurs, cela s'est avéré être l'étape la plus difficile. Ils ont cherché le bon TIN et le nom complet du propriétaire pendant presque deux jours, tandis que moi (dans le rôle de l'opératrice de la centrale) j'ai reçu plus de 400 appels pendant ce temps. Le téléphone sonnait toutes les 2-3 minutes.

Les gars faisaient tout ce qu'ils pouvaient. Ils ont tout essayé : déchiffrement du code source du site, recherche du propriétaire du site Sokolov, vérification sur les réseaux sociaux.

Ils ont cherché le TIN de différentes entreprises.

Ils cherchaient le numéro d'identification fiscale de différentes entreprises

Schéma de recherche presque complet

À un moment donné, ils ont même appelé avec un numéro masqué — comme s'ils appelaient depuis le bureau de la société Sokol, indiquée dans le pied de page.

Nous avons alors découvert qu'un grand nombre d'entreprises portaient le nom Sokol. Pratiquement toutes ces entreprises ont été contactées par les appelants, mais cela n'avait rien à voir avec ce que le site a vécu. lasermasters.ru, chez qui nous avions réellement acheté le fameux Megatron il y a environ un mois.

D'abord, Discord a attaqué le support de Lasermasters.

Ensuite, ils ont réussi à y trouver le compte de quelqu'un ! Pendant ce temps, le support de Lasermasters avait déjà cessé d'être avare en mots.

Attention, éloignez les enfants de l'écran

Finalement, ils ont décidé de DDoS Lasermasters et leur site est tombé. Tout comme nous avons réussi à mettre à terre le site de Sokol, bien que nous l'ayons rapidement remis en ligne.

Au cours de l'enquête, les gars de Discord ont même trouvé l'acteur dont nous avions acheté la photo dans une banque d'images, pour qu'il joue le rôle de l'antagoniste principal, le propriétaire de LLC Andreï Sokolov. Il s'est avéré qu'il s'appelle Youri et qu'il n'est absolument pas au courant de la polémique dans laquelle il est impliqué.

Andreï Sokolov, personnage du jeu

Youri, modèle

S'il savait comment il a fait en sorte que 600 personnes ne dorment pas pendant deux jours...)

Ensuite, ils ont commencé à creuser spécifiquement sous moi, comme sous l'organisateur de la quête (ce qui aurait pu se terminer par un succès si les gars avaient compris qu'ils pouvaient pirater mes canaux de travail).

J'ai même un peu paniqué quand ils ont mentionné mon prénom et mon numéro de contribuable. Mais j'ai été soulagée quand, dans le processus de la communication éclatée, j'ai soudainement eu un frère aîné, qui s'est avéré être le directeur technique de Habra.

Mon cher frère, qui a également pris une part

Pendant ce temps, les hypothèses devenaient de plus en plus incroyables


Et cela a abouti à des théories illuminati.

Les théories du complot les plus savoureuses concernaient Bob l'Éponge, Harry Potter et le clignotement de la guirlande LED chinoise que nous avions mise à l'intérieur du boîtier du système.

D'où viennent Bob l'Éponge et Harry Potter, vous pourriez demander ? Nous avons inséré leurs adresses sur la page de contact de Sokol et cela a suscité une multitude d'hypothèses dans la communauté Discord. Bien que nous voulions simplement rendre hommage à nos œuvres d'enfance préférées.

Cette référence sur la page "Contacts"

Et au final

Il s'avère que dans la série, il y a bien des documents de Bob l'Éponge. Ils étaient appelés comme le numéro de contribuable.

Une des théories les plus complexes était que le clignotement de la guirlande chinoise contenait un message en code Morse.

Le scintillement a été enregistré et essayé d'être déchiffré.

Parmi les théories plus simples, les gars essayaient de comprendre s'il y avait un indice caché dans les cartes.

En chemin, on nous comparait à Cicada 3301 — une évaluation injustement élevée, mais tout de même agréable.

Les joueurs ont largement essayé l'ingénierie sociale. On m'a appelé en se faisant passer pour des agents du FSB, des pompiers, Sokolov lui-même, son ex-femme et un garde qui, prétendument, se trouvait en bas. Ils disaient qu'un incendie avait éclaté, que quelqu'un était coincé dans l'ascenseur, et l'histoire la plus déchirante était qu'un petit chien de l'appelant se trouvait prétendument dans un bureau en feu.

Il y a aussi eu des tentatives de corruption.

Peu à peu, des mèmes sont apparus dans le chat.

Voici quelques-uns.

Pendant ce temps, les usines restaient inactives.

Indice

L'argent dans le broyeur diminuait de plus en plus. Afin que le gagnant ait au moins quelque chose, nous avons décidé de faire un indice. De plus, en suivant les règles du game design, juste avant la finale, de créer du suspense.

Séparément, article nous avons publié une vidéo sur le blog. Au début, une séquence de Fight Club a été insérée — en référence à Tyler Durden, qui envisageait d'insérer le 25ème cadre dans les films, tandis qu'il travaillait dans des cinémas.

Nous avons décidé d'appliquer la même mécanique et avons inséré l'indice comme 25ème cadre, comment googler le bon INN et le nom complet du propriétaire.

Après cela, les gars ont compris très vite.

Étape 4. Tirer au laser en mode non-combat.

Lors de la fourniture d'énergie par l'entreprise de gestion et après l'allumage des disjoncteurs, Megatron s'allumait et pouvait tirer en mode test. Un jeton pour le tir de test était déjà inséré dans le formulaire de saisie.

Un nouveau jeton était généré toutes les 25 secondes, il pouvait être utilisé pour activer le laser pendant 10 secondes à une puissance de 10/255.

Après cela, le laser devait se refroidir pendant 1 minute et pendant cette minute il était indisponible, ne prenant pas de nouvelles demandes de tir.

Cette puissance n'était absolument pas suffisante pour couper la corde, mais n'importe quel joueur pouvait tirer avec Megatron et voir le faisceau laser en action.

La réaction de la communauté a été plus que vive.

Mais tout le monde s'est vite calmé et a compris que ce n'était pas encore la fin du jeu.

Ensuite, la communauté a commencé à comprendre comment lancer le mode combat.

Brainstorming.

Des faux ont surgit sur Discord.

Nous ne savions pas qu'il y avait quelque chose d'écrit sur la jambe de la table pendant la diffusion.

La communauté est arrivée à l'étape 4. Comprendre comment les jetons sont générés : trouver le gist et générer un jeton qui inclut le laser en mode combat.

Le mode combat de Megatron utilise 100 % de la puissance du laser à 3 W. Cela suffit largement pour brûler la corde qui maintenait le poids pendant 2 minutes, briser l'aquarium et inonder le serveur.

Nous avons laissé quelques indices sur le GitHub du projet: à savoir le code de génération du jeton, à partir duquel on pouvait comprendre que les jetons de test et de combat étaient générés sur la base d'un même indice de compteur. Dans le cas du jeton de combat, en plus de la valeur du compteur, un sel est également utilisé, qui a presque entièrement été laissé dans l'historique des modifications de ce gist, à l'exception des deux derniers caractères.

Comme tout le monde l'a rapidement deviné, c'était 42.

Dans les commentaires du gist, il y avait un échange entre Andrei Sokolov et le développeur ('sage développeur', comme l'ont surnommé les gars sur Discord).

Dans cet échange, Andrei a envoyé l'un des jetons de combat, et le développeur a répondu que ce jeton avait été initialisé avec une valeur de compteur de 42.

En connaissant ces données, il était possible de parcourir les 2 derniers caractères du sel et de découvrir qu'on avait utilisé des chiffres de Lost, convertis en base 16.

Ensuite, les joueurs devaient attraper la valeur du compteur (en analysant le jeton de test) et générer un jeton de combat en utilisant la valeur suivante du compteur et le sel trouvé à l'étape précédente.

Le compteur s'incrémente simplement à chaque tir d'essai et toutes les 25 secondes. Nous n'avons écrit cela nulle part, cela devait être une petite surprise de jeu. Les gars ont compris cela très rapidement et ont lancé Megatron en mode combat.

Étape 5. Brûler la corde avec le laser.

Ici, tout est déjà simple. L'envoi du jeton de combat a activé le laser en mode combat, et la pièce changeait pour entrer en 'mode catastrophe', comme nous l'avons appelé dans le scénario général :

• Tous les lumières s'éteignaient dans la pièce.
• Les boutons des appareils IoT sur le site devenaient inaccessibles.
• Un clignotant et un son de sirène s'activaient.
• Le poids rouge était éclairé.
• Un compte à rebours commençait sur l'écran de la télévision jusqu'au lancement du laser en mode combat.

Nous avons donné un compte à rebours d'une heure et demie pour que tous ceux qui jouaient puissent se connecter et voir la finale. Et ce n'était pas en vain : alors que j'attendais avec impatience le son du coup et du verre brisé de la pièce voisine, toute l'équipe qui avait créé le quest a commencé à se diriger vers la base, sans se concerter, pour voir la finale de leurs propres yeux. Ils entraient simplement dans la pièce et commençaient à s'enlacer.

Pendant ce temps sur Discord

Après la fin du compte à rebours, le laser s'est activé en mode combat et a coupé la corde en deux minutes — le poids a volé directement dans l'aquarium. Avant le coup, un capybara fou a hurlé à l'écran, levant ses petites pattes dans la panique.

Puisque toute l'équipe était réunie là-bas, nous avons enregistré un petit message pour tous ceux qui ont lutté pendant deux jours pour rejoindre la finale sur Discord, et nous sommes allés ouvrir du champagne :

Comment avons-nous calculé le temps de lancement des publicités vidéo et le vol du poids ?

Après une dizaine de tests de coupure de corde avec le laser, nous avons compris que c'était une construction très peu fiable — une corde à moitié coupée devenait plus fine, sous le poids du poids elle s'étirait, changeait de position et le laser ne pouvait plus la couper complètement.

C'est pourquoi nous avons suivi une autre voie : nous avons doublé la coupure en enroulant la corde avec un fil nichrome. Un courant était envoyé à travers le fil, il devenait rougeoyant et coupait la corde en environ 2 secondes — cela nous donnait une compréhension précise de quand activer le capybara hurlant, arrêter le chronomètre de lancement et lancer la publicité :

Qu'est-ce qui n'a pas fonctionné ?

À la finale, de l'épaisse fumée devait sortir de l'unité centrale, comme lors d'un incendie — nous avons préparé des fumigènes, les avons allumés de la même manière, mais ils n'ont pas fonctionné (probablement à cause de l'eau).

Qui est le gagnant ?

Le gagnant est Arkadiï Alekseïev de Saint-Pétersbourg — c'est lui qui a généré en premier un jeton de test et a gagné les 134 000 roubles restants dans le shredder.

Une petite interview avec Arkadiï.

Parle-nous de toi, que fais-tu dans la vie ?

Par ma formation, je suis spécialiste de la sécurité, j'ai terminé le BIT à l'ITMO. Je travaille comme développeur web full-stack en freelance. J'étais un élève olympique à l'école, y compris en programmation et en mathématiques.

Comment as-tu entendu parler du jeu ?

Je suis allé sur Habr juste pour lire, j'ai vu un article, ça m'a intéressé.

Combien d'heures as-tu joué, quand t'es-tu joint au jeu ?

Je me suis joint le soir du jour où l'article a été publié (c'est-à-dire un jour avant la fin). J'ai passé la soirée et une grande partie de la journée suivante.

Qu'est-ce qui t'a plu, qu'est-ce qui ne t'a pas plu ?

Dans l'ensemble, j'ai tout aimé (forcément, j'ai gagné)), mais le moment avec les appels était un peu stressant. Appeler et vérifier chaque version, c'était pas très agréable, au moins parce que c'était gênant — je savais qu'il y en avait encore quelques dizaines qui appelaient, dont la moitié plaisantait et essayait de faire de l'ingénierie sociale.

Comment as-tu compris comment trouver le jeton d'authentification pour le mégatron ?

Quand je suis arrivé, le serveur avait déjà été spammé, les lumières avaient été testées, ils avaient trouvé le mot de passe de l'interface admin du laser, divers sous-domaines et pages.

Il était aussi facile de trouver un profil sur GitHub et un gist avec des commentaires. De là, le processus de génération du jeton et de son secret était évident. Dans ce genre de quêtes, il n'est pas nécessaire d'inventer quelque chose d'extraordinaire en passant, car on peut se noyer dans une multitude de scénarios ; il faut donc suivre la direction indiquée par le créateur de la quête.

En tenant compte des autres sous-domaines et du site test sur Tilda, il était clair qu'après avoir alimenté le laser, il faudrait trouver un jeton. Par conséquent, le même soir, j'ai esquissé une requête approximative pour activer le laser (sur la base de 4 formulaires accessibles : 1 sur le site en service et 3 sur le site test / ancien) et j'ai essayé de brute-forcer avec des jetons en commençant par 42 (juste par curiosité — qui sait, peut-être que tout était déjà activé, et que la page pour envoyer le jeton s'ouvrirait simplement après l'INN et le nom complet).

Je ne suis pas sûr que la requête était correcte, car je n'avais pas le temps de vérifier (car on ne pouvait vérifier que l'activation du laser), mais je m'étais préparé à l'avance pour le brute-force du jeton.

Il y avait aussi une logique évidente avec les websockets et le contrôle des appareils dans le fichier app.js. Il y avait un gros indice concernant le dispositif a9, qui plantait le socket lorsqu'on envoyait power: true. J'ai essayé d'envoyer diverses choses à ce sujet — on ne sait jamais, cela pourrait être un dispositif supplémentaire pour déchiffrer l'INN, mais sans succès.

Ensuite, j'ai aussi examiné les autres ID à côté de ces dix, mais partout c'était unknown device. J'ai aussi essayé de chercher sur Google diverses choses, j'ai consulté chsokolow@gmail.com, j'ai envoyé diverses informations via le formulaire sur la page des prix, j'ai exploré avec lasermasters, mais tout cela sans succès. Le lendemain, je suis resté dans le chat, à chercher diverses informations, puis un sujet de stéganographie a émergé et j'ai consulté une personne spécialisée dans la stégosolve pour les images et les GIFs (mais je savais déjà que 99% du temps il n'y avait rien, car ce serait trop + cela contredirait la ligne principale de la quête).

Mais finalement, j'ai aussi passé quelques heures à fouiller toutes les images et GIFs. J'ai encore appelé plusieurs fois avec différentes variantes de l'INN, mais en vain. Ensuite, j'ai décidé de laisser tomber, mais ils ont publié un indice — et il est devenu clair que dans un avenir proche, l'INN serait trouvé, ce qui s'est effectivement produit. Ensuite, soit moi, soit quelqu'un d'autre (ce n'est pas clair) a envoyé power: true à l'appareil a9 et le laser a fonctionné, bien que peut-être il n'y ait pas de lien et qu'il ait simplement fonctionné après l'INN. En tout cas, j'ai accédé à l'administration du laser et j'ai été assez surpris, car le serveur envoyait lui-même le token (alors que je me préparais déjà à le brute-forcer). Il est devenu évident que le token était un test, car la transmission + le bon sens + je l'ai vérifié.

Dans le code, il y avait une logique d'envoi d'un token fonctionnel quelque part avec une notification, mais apparemment, soit c'était un code incorrect, soit cela était nécessaire pour d'autres parties du système. J'ai esquissé un script pour obtenir le token fonctionnel actuel à partir du token test actuel et je suis resté sur F5, essayant de les envoyer — cela a posé problème, car tout le monde appuyait constamment sur le bouton d'envoi, modifiant ainsi le token. Ensuite, le site a également planté, le compteur a été réinitialisé, mais ce n'est pas le principal — après un certain temps, j'ai envoyé le token fonctionnel. En théorie, le compteur était à 58 et le token était 449a776938f7ce4cf19f8603045dca0f au moment de l'activation, si je ne me trompe pas. En gros, c'est tout.

Ensuite, j'ai eu quelques frustrations à cause des commentaires comme « c'est tout trivial, c'est de la chance ». Eh bien, si l'on va sur la page, réfléchit une minute, écrit un script en quelques minutes, le teste — alors oui, c'est trivial. Mais je l'ai fait en 10-20 secondes, et ensuite j'ai juste mis plusieurs minutes à envoyer le token.

Bien sûr, on aurait pu essayer d'écrire la logique pour capturer et envoyer automatiquement, mais cela aurait pris plus de temps et comportait un grand risque, en plus le cloud aurait probablement commencé à se plaindre. Ce avec quoi j'ai vraiment eu de la chance, c'est avec la toute dernière étape — un peu d'algorithmes sur la vitesse + le temps de réaction, c'est vraiment mon truc. S'il y avait eu une tâche directement issue d'un pentest, je ne serais probablement pas le premier.

Mais ce n'est pas encore fini

J'ai tellement hâte de vous parler de toute l'équipe formidable qui a construit cette quête et de toutes les solutions techniques qu'elle a trouvées. Mais ce post est déjà trop long — donc des articles séparés seront consacrés à cela, alors restez à l'écoute et abonnez-vous à notre blog sur Habr.

Source : habr.com