Pred nekaj dnevi smo zaključili eno izmed čustveno najbolj nabitih dogodkov, ki smo ga imeli priložnost izvesti v okviru bloga — hekersko spletno igro z uničevanjem strežnika.
Rezultati so presegli vsa naša pričakovanja: udeleženci niso samo sodelovali, temveč so se hitro organizirali v usklajeno skupnost 620 ljudi na Discordu, ki je dobesedno zrušila misijo v dveh dneh brez premora za spanje.
In tako se je to končalo:
Kako se je vse začelo in o čem pravzaprav govorimo?
Igra se je začela 12. avgusta, ko smo v blogu objavili videoposnetek, v katerem heker v podobi lobanje ponuja, da se igrajo igro, uničijo strežnik, povzročijo kratkoročno stikalo (ali mini požar) in poberejo denar, ki je ostal v šrederju.
To je bila spletna misija: zagnali smo YouTube prenos iz sobe, ki smo jo napolnili z IoT napravami, pod posteljsko strežnik, ki ga je bilo treba uničiti, nad strežnikom pa smo namestili akvarij in nad njim obesili utež. Da bi bila igra bolj napeta, smo se odločili za nagradni sklad v višini 200.000 rubljev, ki smo ga naložili v šreder in ga nastavili na vklop vsakih 60 minut. Vsako uro je šreder pogoltnil 1000 rubljev — čim prej so ga igralci ustavili, tem več denarja so osvojili.
Zgraditi to misijo je bilo samo po sebi misija — morali smo se prehranjevati le z dostavo in spati po nekaj urah na dan kar v isti sobi. Najbolj presenetljivo pa je bilo spremljati plodnost misli igralcev in njihovo čustveno predanost v procesu.
Iskreno, iznajdljivost igralcev pri reševanju nalog je presegla naš skromni načrt v mnogočem: vsako prosto minuto smo brali klepet na Discordu in v nekaterih primerih dobesedno jokali od smeha, ko smo odkrili, s čim se ukvarjajo igralci in kako se šale v procesu.
Na projektu je neomajno delalo 7 oseb: backend razvijalec, specialist za strojno opremo, pravi filmski producent, CG oblikovalec in dva idejna navdihovalca - soproducenta.
V naslednjih objavah bomo razložili, kako je bila igra tehnično izvedena, zdaj pa bom razkril njeno rešitev: kako naj bi se to sobo v prenosu haktalo. Ob tem se bomo spomnili kronologije dogodkov in vseh norih iluminatskih teorij iz Discord klepeta.
Kaj so imeli igralci na začetku igre
Vse predmete v sobi smo razdelili v tri kategorije:
- Enostavno upravljive, neigralne IoT naprave
- Igralne naprave za opravljanje misij
- Ambient
Postavili smo 8 zelo enostavnih elementov za upravljanje: dve luči, en svetlobni niz, pet črk SOKOL, pri katerih je bilo mogoče spreminjati barvo. Vse to je bilo mogoče vklopiti/izklopiti neposredno s spletne strani in takoj videti rezultat v prenosu — posebej smo poskrbeli, da so bile dostopne vsem igralcem, ne glede na stopnjo tehničnega znanja.
Vse, kar je bilo enostavno vključiti s spletne strani
Iz pomembnih igralnih elementov, ki so bili potrebni za reševanje misij in do katerih dostop ni bil tako enostaven:
- Strežnik s odprtim pokrovom in akvarijem nad njim
- Kettlebell, obešen tako, da lahko razbije akvarij
- Megatron 3000 — močna laserska pointerka, usmerjena na vrv, ki drži kettlebell
- Močan ventilator, ki se je aktiviral ob obremenitvi strežnika
- Flipchart, na katerem sta bila zapisana uporabniško ime in geslo za Megatron
- Telefon, na katerega je bilo mogoče poklicati in videti svoj klic v živo
- Šreder, ki je požrl 1000-rubljanko na uro
Kako je bila uganka razrešena
Povezujem, da se je škatla odprla precej enostavno.
Cilj igre je bil ustaviti šreder s kratkostičnim stikom v sobi. Za to je bilo potrebno razbiti akvarij, posredno vrgel kettlebell in zaliti strežnik z vodo. Kettlebell je bil obrnjen na vrv, na katero je bil usmerjen Megatron. Ko je bilo prevzeto upravljanje nad Megatron, je bilo mogoče prerezati vrv. To je bilo izvedeno v 5 enostavnih korakih:
Korak 1. Obremeniti strežnik, ki stoji v sobi
Na primer, pošiljanje paketov z ukazom.
ab -r -n 10000 -c 100 -s 280 -l https://ws.ooosokol.ru/captchaNamig je bila zelo obremenjujoča na .
Ta captcha, ki so jo morali napasti
Pri obremenitvi strežnika se je njegova temperatura povišala, kar je bilo mogoče spremljati na monitorju, odprtem neposredno pred kamero. Nato se je vključil ventilator, ki je odprl lahno zaveso na flipchartu. Tako se je odprl napisani na tabli uporabniško ime in geslo za dostop do strani Megatron.
Samo stran za upravljanje Megatrona je bilo mogoče najti z verificiranjem vseh certifikatov, izdanih za domeno ooosokol.ru.
Na poddomeni se je nahajala stran za upravljanje Megatrona. Vendar se ni odprla, dokler ni bila Megatronu podana začetna napajanost.
Vse te korake so igralci skoraj takoj prešli v komentarjih prenosa na youtube. Nato so bile naloge nekoliko težje in igralci so ustvarili Discord strežnik RUVDS Hack Room ter nadaljevali razpravo tam.
Korak 2. Podati začetno napajanje na Megatron
Vse pametne naprave, upravljane s strani spletne strani (tiste iste svetilke, ki so jih igralci neprekinjeno uključili ali izključili) so imele svoje identifikatorje.
Za podajanje začetnega napajanja na Megatron in njegovo osvetlitev je bilo treba poiskati in vključiti skrito napravo na strani za upravljanje pisarne.
Za to je bilo treba pogledati identifikatorje naprav in opaziti, da je skupno štirih naprav, na spletu pa je dostopnih le tri.
Stran Megatrona je postala dostopna pri vklopu 4. naprave in sam laser se je osvetlil. Vendar pa je bilo v tem trenutku nemogoče streljati z laserjem, na njegovi pa je viselo sporočilo, da laser trenutno ni na voljo, in namig: v pisarni so se izpraznile varovalke, treba je poklicati upravljalno podjetje in prositi, da podajo napajanje.
Namig o upravljalnem podjetju
3. Dovoljiti se do upravljalnega podjetja in prositi za vklop napajanja Megatrona
Po LORu Megatron ni mogel streljati, ker so se v pisarni izpraznile varovalke. Napajanje nazaj je lahko vključilo samo upravljalno podjetje, do katerega je bilo treba priti in opraviti identifikacijo kot lastnik d.o.o.
Najti številko upravljalnega podjetja je bilo enostavno — vstavili smo jo neposredno v podpis.
Toda opraviti identifikacijo je bilo veliko težje.
При позivu na broj +74991130688, slušalicu je podigla devojka-operator, koja je monotonim glasom tražila da navedem PIB kompanije i puno ime vlasnika. Bez ovih informacija odbijala je da uključi napajanje, objašnjavajući da je ona obična dispečerska služba na outsourcingu, da imaju 2000 klijenata i kancelarija i bez tih informacija prosto ne mogu pronaći potrebne.
Za igrače, ovo je bio najteži deo. Pravilni PIB i puno ime vlasnika se tražilo skoro dva dana, dok sam ja (u ulozi dispečerskog operatora) primila više od 400 poziva. Telefon je zvonio svake 2-3 minuta.
Momci su istraživali kako su mogli. U igri su bila sva sredstva: pretraživali su izvorne kodove veb stranice, guglovali vlasnika veb sajta Sokолова, tražili po društvenim mrežama.
Tražili su PIB raznih kompanija
Skoro potpuna shema traženja
U jednom trenutku su čak nazvali sa zamenskim brojem — kao da zovu iz kancelarije kompanije Sokół, koja je navedena u podnožju.
Tada smo saznali koliko puno kompanija nosi ime Sokół. Gotovo svaka od tih kompanija bila je kontaktirana od strane igrača, ali to nije moglo da se uporedi sa onim što je prošao sajt , od kojih smo zaista kupili taj Megatron pre oko mesec dana.
Prvo je Discord napao podršku Lasermasters.
Zatim su uspeli da pronađu neki tuđi nalog! Dok je podrška Lasermasters već prestala da se suzdržava u izražavanju.
Pažljivo, sklonite decu od ekrana
Na kraju su odlučili da jednostavno DDoS-iraju Lasermasters i njihov sajt je pao. Isto tako su uspeli da sruše sajt Sokolewa, iako smo ga brzo podigli.
Tokom istrage, momci iz Discorda su čak pronašli glumca čiju smo fotografiju kupili iz stock-a, kako bi odigrao ulogu glavnog antagoniste, vlasnika OOА Andreja Sokолова. Ispostavilo se da se zove Jurij i da nije uopšte znao u kakvu se situaciju zapetljao.
Andreј Sokолов, lik iz igre
Jurij, model
Da je znao kako je naterao 600 ljudi da ne spavaju dva dana…)
Tada su počeli konkretno da istražuju mene kao organizatora kvestova (što bi moglo da završi uspehom, da su momci shvatili da treba da hakiraju moje radne kanale).
Bila sam malo zabrinuta kada su spomenuli moje prezime i čak PIB. Ali sam se opustila kada je tokom igre došlo do komunikacijske greške i odjednom sam dobila starijeg brata koji se iznenada pokazao kao tehnički direktor Habra.
Moj dragi rođeni brat, koji je takođe imao svoj deo
U međuvremenu su pretpostavke postajale sve neverovatnije
I došli smo do teorija o iluminatima.
Najsočnije teorije zavere se ticale Spužva Boba, Harija Pottera i trepćuće kineske LED rasvete koju smo stavili unutra u kompjuterski kućište.
Odakle Spužva Bob i Hari Potter, pitate se? Uveli smo njihove adrese na stranicu kontakata Sokola i to je izazvalo brojne spekulacije u Discord zajednici. Iako smo samo želeli da odamo počast svojim omiljenim delima iz detinjstva.
To je ona referenca na stranici ""
I kao rezultat
Ispostavilo se da u seriji zaista postoje dokumenti Spužva Boba. Zvali su ih kao PIB
Jedna od najkompleksnijih teorija bila je da trepćuće kineske LED rasvete sadrže poruku u Morseovoj abecedi.
Trepćuće smo snimali i pokušavali da dešifrujemo
Od jednostavnijih teorija — ekipa je pokušavala da shvati da li postoji skrivena poruka na kartama.
Na putu su nas upoređivali sa — nepravedno visoka ocena, ali svejedno prijatna.
Igrači su se aktivno bavili socijalnim inženjeringom. Zvali su me kao da su iz FSB-a, vatrogasci, sam Sokolov, njegova bivša žena i obezbeđenje koje navodno sedi ispod nas. Rekli su da je počeo požar, da je neko zaglavljen u liftu, a najtragičnija priča je bila o tome da u kancelariji, koja je zahvaćena plamenom, navodno sedi pas koji je zvao.
Bilo je i pokušaja podmićivanja
Polako su u čatu počeli da se pojavljuju sopstveni memevi.
Evo par njih
A fabrike su u međuvremenu stajale
Savet
Novca u sekaču bilo je sve manje. Da bi pobedniku nešto i pripalo, odlučili smo da damo savet. Takođe, prateći pravila igre, neposredno pre finala podigli smo napetost.
Pojedinačno u blogu smo objavili video. Na početku je umetnut deo iz Klub boraca — kao referenca na Tailera Derdjena, koji je razmišljao o umetanju 25. kadra u filmove dok je radio u bioskopima.
Odlučili smo da primenimo istu mehaniku i umetnuli smo 25. kadrom savet kako ispravan PIB i ime i prezime vlasnika.
Potem so fantje zelo hitro razjasnili.
Korak 4. Streljanje z laserjem v nebojnem načinu.
Ko je podjetje za oskrbo z električno energijo dalo napajanje in po vklopu varovalk, se je Megatron vklopil in lahko streljal v testnem načinu. V obrazcu za vnos je bil že vstavljen žeton za testni strel.
Vsakih 25 sekund je bil generiran nov žeton, ki se je lahko uporabil za vklop laserja za 10 sekund pri moči 10/255.
Nato je laser potreboval 1 minuto za hlajenje in v tej minuti ni bil na voljo, ni sprejemal novih zahtevkov za streljanje.
Te moči je bilo povsem premalo, da bi pretrgalo vrv, a vsak igralec je lahko streljal iz Megatrona in videl laserski žarek v akciji.
Reakcija skupnosti je bila več kot burna.
A vsi so se hitro umirili in spoznali, da to še ni konec igre.
Nato se je skupnost začela poglabljati v to, kako zagnati bojni način.
Brainstorm.
Na Discordu so se pojavili lažni profili.
Nismo vedeli, da je na nogi mize na prenosu nekaj napisano.
Skupnost je prešla na korak 4. Razjasniti, kako se generirajo žetoni: najti gist in ustvariti žeton, ki vklopi laser v bojnem načinu.
Bojni način Megatrona je 100% moč laserja pri 3 W. To je povsem dovolj za 2 minuti, da pretrga vrv, ki drži utež, razbije akvarij in zalije strežnik z vodo.
Pustili smo nekaj namigov na : natančneje, koda za generacijo žetona, s pomočjo katere je bilo mogoče razumeti, da se testni in bojni žetoni generirajo na podlagi istega kazalnika števca. V primeru bojnega žetona se poleg vrednosti števca uporablja tudi sol, ki je bila skoraj v celoti zapisana v zgodovino sprememb tega gista, razen dveh zadnjih simbolov.
Kot so se vsi hitro domislili, je to bilo 42.
V komentarjih gista je bila korespondenca Andreja Sokolova z razvijalcem ('modri razvijalec', kot so ga poimenovali fantje iz Discorda).
V korespondenci je Andrej poslal enega od bojnih žetonov, razvijalec pa je odgovoril, da je bil ta žeton inicializiran pri vrednosti števca 42.
Z znanjem teh podatkov je bilo mogoče preizkusiti zadnja 2 simbola soli in dejansko ugotoviti, da so se za to uporabljale številke iz Lost, prevedene v 16-ično število.
Igračima je preostalo da uhvate vrednost brojčanika (analizirajući testni token) i generišu borbeni token koristeći sledeću vrednost brojčanika i odabranu so na prethodnom koraku.
Brojčanik se jednostavno inkrementirao pri svakoj testnoj pucnjavi i svake 25 sekundi. O tome nismo nigde pisali, to je trebala da bude mala igračka iznenađenja. Momci su se s tim vrlo brzo snašli i pokrenuli megatron u borbenom režimu.
Korak 5. Preseći konopac laserom
Kako je to izgledalo
Ovde je već sve jednostavno. Slanje borbenog tokena uključivalo je laser u borbeni režim, a soba se menjala i prelazila u 'režim katastrofe', kako smo to zvali u opštem scenariju:
- Svetlo u sobi je bilo potpuno ugašeno
- Dugmad iot uređaja na sajtu su postala nedostupna
- Upalila se signalna lampica i zvuk sirene
- Crvena girja se osvetljavala
- Na televizoru je počela odbrojavanje do aktiviranja lasera u borbenom režimu
Dali smo na odbrojavanje jedan i po sat, kako bi svi koji su igrali stigli da uključe prenos i vide finale. I nije bilo uzalud: dok sam s uzbuđenjem čekala zvuk udarca i razbijenog stakla iz susedne sobe, cela ekipa koja je gradila kviz, nesvesno, počela je da se okuplja na bazi kako bi finale videli svojim očima. Samo su ulazili u sobu i počeli da se grle.
U međuvremenu, na diskoru
Nakon završetka odbrojavanja, laser se uključio u borbeni režim i za dve minute presekao konopac — girja je letela pravo ka akvarijumu. Pre udarca, na ekranu je zaurlao ludi kapibara, panično podižući svoje male šapice.
Budući da se cela ekipa okupila tamo, snimili smo mali pozdrav svima koji su dva dana borili za finale na diskoru i otišli da otvaramo šampanjac:
Kako smo izračunali vreme aktiviranja reklamnih video spotova i let girje?
Nakon desetak testova presecanja konopca laserom shvatili smo da je to vrlo nepouzdana konstrukcija — polu presečen konopac postaje tanji, pod težinom girje se zateže, menja svoj položaj i laser više nije mogao da je probije do kraja.
Zato smo šli drugim putem: duplicirali smo pregorevanje, omotavši užad nikrom žicom. Kroz žicu smo pustili struju, ona se zagrela do crvenila i pregorela užad za otprilike 2 sekunde — to nam je davalo tačne informacije kada da uključimo vrišteću kapibaru, zaustavimo tajmer i pokrenemo reklamu:
Šta nam nije uspelo?
Na kraju je iz sistemske jedinice trebao izaći gust dim, kao pri požaru — pripremili smo dimne bombe, zapalili ih na sličan način, ali iz nekog razloga nisu uspele (verovatno zbog vode).
Ko je pobednik?
Pobednik je Arkadiy Alekseev iz Sankt Peterburga — upravo je on prvi generisao testni token i osvojio preostali novac u šrederu u iznosu od 134.000 rubalja.
Kratak intervju sa Arkadijem.
Pričaj o sebi, čime se baviš na poslu?
Po obrazovanju sam stručnjak za bezbednost, završio sam BIT na ITMO-u. Radim kao full-stack web developer na outsourcingu. U školi sam bio takmičar, uključujući programiranje i matematiku.
Kako si saznao za igru?
Zaošao sam na Habr da čitam i video članak, to me zaintrigiralo.
Koliko sati si igrao kada si se pridružio?
Pridružio sam se uveče onog dana kada je objavljen članak (tj. dan pre kraja). Sedeo sam veče i značajan deo sledećeg dana.
Šta ti se svidelo, a šta ne?
Generalno mi se sve dopalo (uostalom, pobedio sam)), ali malo me opterećivao moment sa pozivima. Kao, zvati i proveravati svaku verziju je nekako nelagodno — shvatao sam da ih ima još nekoliko desetina koji zovu, od kojih pola šali se i pokušava socijalnu inženjering.
Kako si shvatio kako pronaći borbeni token za megatron?
Kada sam ušao, već su spamovali server, pomerali lampice, pronašli lozinku za admin panel lasera, razne poddomene i stranice.
Takođe je bilo lako pronaći profil na GitHub-u i gist sa komentarima. Odatle je očigledan proces generisanja tokena i tajnog ključa za njega. U takvim zadacima nije potrebno previše izmišljati, jer se može zagušiti u mnoštvu mogućih događaja; i shodno tome, treba slediti put koji te programmer zadatka gura.
Ob upoštevanju drugih poddomene in testnega mesta na Tildi je bilo jasno, da bo, ko bomo napajali laser, potrebno najti žeton. Zato sem že tisto noč izdelal okvirno zahtevo za vklop laserja (na podlagi 4 dostopnih oblik: 1 na delovni strani in 3 na testni/stari) in poskušal bruti delujoče žetone, začenši z 42 (tako, za vsak slučaj — morda je tam že vse vključeno, stran za pošiljanje žetona pa se bo preprosto odprla po INN in IMENU).
Nisem prepričan, da je bila zahteva pravilna, saj ni bilo časa, da bi to preveril (saj sem lahko preveril le vklop laserja), a sem se na bruutiranje žetona pripravljal vnaprej.
Še vedno je bila očitna logika z websocketi in upravljanjem naprav v app.js datoteki. Tam je bila močna namig na a9 napravo, pri pošiljanju power: true, do katere je socket zrušil. Poskusil sem pošiljati vse mogoče na to — morda bi lahko bilo dodatno napravo za razreševanje INN, a brez uspeha.
Kasneje sem še poskušal brutirati druge ID-je v bližini tistih desetih, a povsod je bilo unknown device. Potem sem poskušal googlati vse mogoče, dostopati do chsokolow@gmail.com, pošiljati vse mogoče v obrazcu na strani s cenikom, raziskoval lasermasters, a vse brez uspeha. Naslednji dan sem sedel v klepetu, googlal vse mogoče, potem pa se je pojavila tema o steganografiji in se posvetoval s stegosolve osebo za slike in GIF-e (a sem razumel, da ima 99% tam ničesar, saj bi bilo to preveč + v nasprotju z glavno linijo iskanja).
Na koncu sem tudi nekaj ur preživel in preiskoval vse slike in GIF-e. Še nekajkrat sem klical z različnimi različicami INN, a brez uspeha. Potem sem se že odločil, da se malo odmaknem, a so tam objavili namig — in postalo je jasno, da bodo kmalu našli INN, kar se je tudi zgodilo. Potem je bodisi jaz bodisi še kdo drug (tam ni očitno) poslal power: true na a9 napravo in laser je delal, čeprav mogoče tu ni povezave in je preprosto delal po INN. Na splošno sem se prijavil v administracijo laserja in bil sem precej presenečen, saj je strežnik sam poslal žeton (medtem ko sem se že pripravljal na bruučenje). Postalo je očitno, da je žeton testni, saj je prenos + zdrav razum + ga je preveril.
V kode je bila logika za pošiljanje delovnega žetona nekam z obvestilom, vendar je očitno, da je bil to bodisi napačen koda, bodisi je to bilo potrebno za druge dele sistema. Napisal sem skript za pridobitev trenutnega delovnega žetona iz trenutnega testa in sem začel osveževati stran, poskušajoč jih poslati — s tem so bile težave, saj so vsi nenehno pritiskali gumb za pošiljanje, kar je povzročilo spremembo žetona. Potem je še spletna stran padla, števec se je ponastavil, a to ni pomembno — čez nekaj časa sem poslal delovni žeton. Po ideji je bil števec 58 in žeton je bil 449a776938f7ce4cf19f8603045dca0f v trenutku aktivacije, če se ne motim. Sicer pa vse.
Potem me je še nekaj razjezilo zaradi komentarjev a la 'ja, to je vse trivialno, ja, imel sem srečo'. Seveda, če greš na stran, malo premisliš, napišeš skript v par minutah, ga preveriš — potem ja, trivialno. Ampak jaz sem to naredil v 10-20 sekundah in potem preprosto nekaj minut nisem mogel poslati žetona.
Seveda, lahko bi poskusil napisati logiko za samodejno zajemanje in pošiljanje, ampak to bi trajalo dlje in bi bil velik riziko, poleg tega bi morda oblak začel protestirati. S čimer sem se dejansko res srečal na zadnjem koraku, so bili malo algoritmi na hitrost + hitrost reakcije, to je res moje. Če bi tam bila naloga neposredno iz pen-testiranja, verjetno ne bi bil prvi.
Ampak to še ni konec.
Nestrpno želim deliti z vami celotno čudovito ekipo, ki je gradila to nalogo in vse inženirske rešitve, ki jih je našla. Ampak ta objava je že prevelika — zato bodo o tem ločeni članki, zato ostanite z nami in se naročite na naš blog na Habré.
Izvor: habr.com
