Разбор: задача Funeral с отбора Кубка CTF 2025
Задача из отбора IX Кубка CTF России (2–3 ноября 2025), категория forensics. По таблице организаторов её решили 47 команд, стоимость к концу отбора — 239 баллов. Исходники и авторский разбор лежат в открытом репозитории.
Условие своими словами
Участнику дают файл обновления прошивки роутера и дамп трафика. После прошивки роутер «тормозит». Флаг — на картинке, которую владелец отправлял через роутер ещё до записи дампа.
Решение по шагам
| Шаг | Что сделали | Что увидели |
|---|---|---|
| 1 | binwalk по файлу обновления | три сжатых сегмента: ядро, файловая система и маленький бинарный хвост |
| 2 | распаковали ФС, проверили места автозапуска | в crontab — скрипт: пишет дамп трафика и раз в час запускает egrep |
| 3 | открыли /bin/egrep в дизассемблере | не поиск, а шифрование AES-ECB через Linux Crypto API ключом из /etc/update_fw_tail |
| 4 | вспомнили про хвост файла обновления | файла ключа в ФС нет — его кладёт установщик прошивки; это и есть тот хвост |
| 5 | расшифровали UDP-трафик на порт 1337 | внутри ещё один дамп, в нём картинка с флагом |
Пример условный — как это записать в базу команды: «приём: в прошивке проверять хвост файла после последнего сегмента; утилита со стандартным именем может быть подменена — сверять с ожидаемым поведением».
Важно. ❗️ Подсказка была в условии: у вас только файл обновления, а не код установщика, поэтому часть файлов может появляться в ФС уже при установке. Читайте условие до конца — авторы часто прячут в нём направление решения.
Чек-лист
- ☐ Условие пересказано своими словами
- ☐ Записана первая гипотеза и почему она не сработала
- ☐ Шаги решения — с командами и инструментами
- ☐ Приём добавлен в общую базу команды
- ☐ Флаг в публичный разбор не попадает
Документ уже составлен
Шаблон разбора задачи: условие, гипотеза, шаги решения с инструментами, что забираем в базу и как защититься в attack-defense.
Открыть «Разбор задачи для команды CTF» →
Основание: Открытый репозиторий организаторов acisoru/ctfcup2025-quals: README (таблица задач), tasks/forensic/Funeral (условие и авторский разбор). Канал не принадлежит организаторам; официальный сайт — ctfcup.ru.