Разбор: zion с отбора Кубка CTF 2023

Задача zion из категории forensic отбора 2023 года. По легенде на сервере замечена странная активность: сняты дамп памяти процесса word.exe и запись сетевого трафика в формате pcap.

Как решали

По разбору авторов, это более простая задача из пары. Флаг лежал в памяти вредоносной программы и попал в дамп целиком. Хватало найти строку:

• утилитой strings и поиском по префиксу флага
• или поиском в текстовом редакторе — правда, файл весит около 2 гигабайт
• или любым другим способом найти строку в файле

Авторы честно пишут: задание задумывали сложным, но флаг по ошибке оказался в дампе простой строкой. Задуманный путь — в парной задаче zion-revenge: достать из дампа памяти ключ TLS и расшифровать им трафик.

Важно. Первые минуты на форензике — на дешёвые проверки: strings, поиск по префиксу флага, типы файлов. Иногда этого хватает. А если нет — команда уже знает, что лежит внутри.

Чек-лист

• ☐ Посмотреть, какие файлы даны и в каких они форматах
• ☐ Прогнать strings и поиск по префиксу флага
• ☐ Выписать, что нашлось: адреса, имена, ключи
• ☐ Только потом переходить к разбору трафика
• ☐ Записать разбор для команды

Шаблон разбора уже есть

Открыть «Разбор задачи для команды CTF» →

Источник: репозиторий заданий отбора Кубка CTF 2023, tasks/forensic/zion и zion-revenge (README). Канал не принадлежит организаторам; официальный сайт — ctfcup.ru. Флаг в записи не приводится. Сверено 03.11.2026.