[Write UP] CTF INDOXPLOIT - Hard Forensic

[Soal]

dua orang pelaku kriminal merencanakan pertemuan di sebuah kota di bumi (bukan planet lain)
polisi menyadari gerak-gerik mereka dan berhasil menyadap percakapan mereka, akan tetapi polisi masih tidak menemukan lokasi pertemuan mereka
cyber police akhirnya meminta bantuan mu yang telah terkenal sebagai pro elite forensic
polisi memberikan paket lalu lintas data untuk di analisis yang di curigai terdapat lokasi pertemuan mereka
bantu polisi menemukan lokasi tempat pertemuan mereka, siapa tau dapet jodoh, kan kamu jomblo :v

https://www.dropbox.com/s/vuivvsmp1di6nn9/31337_master_forensic.pcap?dl=0

format flag = idx{nama_kota_negara}
spasi di ganti underscore "_" (tanpa kutip) dan tanpa huruf kapital
contoh = idx{surakarta_indonesia} / idx{banda_aceh_indonesia}

[Penyelesaian]

Didapatkan sebuah file berekstensi .pcap alias packet capture, yang kalo di buka pake command "file" terminal, maka akan keliatan infonya seperti ini :

 

Terbaca tipe file berupa tcp dump capture file, jadi bisa dibuka pake wireshark.

Tapi sebelum dibuka pake wireshark, kita coba pake command strings buat mengekstrak string apa aja yang ada di dalam file tsb.

Dah mulai keliatan kan XD

Dari output command strings didapatkan clue yaitu :
1.  Ada email dengan subject rendezvous
2. Isi dari email itu ada kata "Address attached" yang brarti alamat yang kita cari mungkin aja ada disitu
3. ada file attachment yang bernama "secretrendezvous.docx" tapi kayaknya di enkripsi ya :v

Langkah selanjutnya buka wireshark, karena mereka berdua komunikasi pake email kita cari protokol yang biasa dipake buat kirim-kirim email yaitu SMTP, langsung di follow stream.

Cari yang ada kata rendezvous

Kopi semua itu gan yang text dienkripsi itu, kita bisa pake tool online di sini

http://www.motobit.com/util/base64-decoder-encoder.asp

Pastekan disitu trs  pilih decode the data sama export to file , kasih nama filenya kayak aslinya aja, rendezvous.docx, trs klik Convert Source Data

Buka tuh hasil decode tadi, trs dapet deh flagnya.

 

Inget, format flag = idx{nama_kota_negara}.