Flare-On V Challenge 2019

2019
завершён

2019.flare-on.com

Анонс:
Announcing the Sixth Annual Flare-On Challenge

Решения 2019 года:
https://www.fireeye.com/blog/threat-research/2019/09/2019-flare-on-challenge-solutions.html

Почитать:
--> Flare-On 2019 write-up - habr.com <--
--> gray-panda/grayrepo <--
--> sysenter-eip/FlareOn2019_NoReversing <--
--> Sin42/ <--
--> @hegongdao <--
--> bruce30262/flare-on-challenge-2019-write-up <--
--> alexander-pick/flareon6 <--

2018
завершён

Проходил с 24 августа 2018

Анонс:
Announcing the Fifth Annual Flare-On Challenge

Решения 2018 года:
2018 Flare-On Challenge Solutions

Количество финалистов: 114

Статистика финалистов по странам (выборочно):
- 10 финалистов: Китай
- по 6 финалистов: Канада, Россия, Украина, Сингапур
- 5 финалистов: Франция
- по 4 финалиста: Германия, Индия, Испания, Швеция, США


2017
завершён

Анонс:
Announcing the Fourth Annual Flare-On Challenge

Решения 2017 года:
2017 Flare-On Challenge Solutions

Количество финалистов: 140


2016
завершён

Анонс:
Announcing the Third Annual Flare-On Challenge

Решения 2016:
2016 Flare-On Challenge Solutions

Количество финалистов: 124


2015
завершён

Анонс:
Announcing the Second FLARE On Challenge

Решения 2015:
2015 FLARE-ON Challenge Solutions

Количество финалистов: 162


2014
завершён

Анонс:
Announcing the FLARE Team and The FLARE On Challenge

Решения 2014:
The FLARE On Challenge Solutions: Part 1 of 2
FLARE On Challenge Solutions: Part 2 of 2


Оффсайт:
https://www.flare-on.com/


От модератора: Турниры 2014 - 2019 закончились.
Обучаемся, набираемся знаний, побольше практики и готовимся к 2020! Обсуждаем дальше, в этой же теме

| Сообщение посчитали полезным:

r0lka

Да, вторая выборка тоже возвращается, но она большая и нужно разбирать логику. Вот только семпл совсем говяный, тоесть это дерьмо собрано на .net и разбирать для меня смысла нет. Если вам это нужно, то монитор вернёт нужные адреса, а дальше пустая трата времени. Это не крэкми, это унылое говно.

-----
vx

| Сообщение посчитали полезным:

difexacaw ну так если решать через , то все будет унылое. Есть же нормальные инструменты для этого https://github.com/0xd4d/dnSpy

| Сообщение посчитали полезным:

difexacaw пишет:
Это не крэкми, это унылое говно.

Возьми семпл 11 левела, там без .net.

4d2c_29.08.2019_EXELAB.rU.tgz - vv_max.exe

-----
127.0.0.1, sweet 127.0.0.1

| Сообщение посчитали полезным:

OKOB

Он 64. Чем это крутить, не отладчиком же проходить. Для решения нет инструмента.

-----
vx

| Сообщение посчитали полезным:

difexacaw
Ох, были бы для всех таргетов инструменты

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным: DimitarSerg

12-ое задание в разы сложнее предыдущих, эх.

Пытаюсь вручную восстановить из памяти основной драйвер, прописал хэдеры, импорт, при запуске пишет "не является приложением win32". Чем проверить, правильно ли собрал PE? Или этот драймер совсем необязательно восстанавливать?

| Сообщение посчитали полезным:

futunV1 пишет:
Чем проверить, правильно ли собрал PE?
Плаг PEVerify для HIEW?

| Сообщение посчитали полезным:

futunV1 пишет:
при запуске пишет "не является приложением win32"

Зачем его вообще запускать? Тогда нужно еще восстанавливать до запускаемого состояния всю гроздь ДЛЛок, код инжекта в SVCHOST и т.п.

-----
127.0.0.1, sweet 127.0.0.1

| Сообщение посчитали полезным:

futunV1 пишет:
драйвер, прописал хэдеры, импорт, при запуске пишет "не является приложением win32"
А никто не заметил, что написал товарищ? Драйвер-то никогда и не являлся приложением! )

-----
IZ.RU

| Сообщение посчитали полезным:

OKOB пишет:
Зачем его вообще запускать?
Потому что я дореверсил библиотеку до функции DeviceIOControl, вплоть в точности до данных побайтно, что туда передаются, но вот понять до конца, что с этими данными происходит в самом драйвере - уже не смог. Но намёк понял.

DenCoder пишет:
А никто не заметил, что написал товарищ?
Обижаете! Это диагностическое сообщение выдала служба регистрации/запуска драйверов или как она там называется (а тестовый драйвер из инета запустился успешно). Впрочем, признаю, что в драйверах я плаваю конкретно.

| Сообщение посчитали полезным:

futunV1 пишет:
но вот понять до конца, что с этими данными происходит в самом драйвере - уже не смог.
Можно драйвер в иду и по IoCtrlCode найти, как обрабатывается.

-----
IZ.RU

| Сообщение посчитали полезным:

OKOB пишет:
Зачем его вообще запускать?
оно иногда облегчает поиск результата... как в первом задании, можно реверсить декодер последней функции, а можно запустить и прога сама всё покажет

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

На XP можно по быстрому получить обработчик конкретного CTL, без реверса и в юзермоде
А вот уже на 7-ке и выше такое не получится:



При этом если в CTL_CODE не указана буферизация(либо в буфере какая то структура, адресуемая за пределы буфера), в дампе будут ядерные адреса, код по которым выполнил обработку.

-----
vx

| Сообщение посчитали полезным: DenCoder

Challenge Flare-On 6 is over.
Statistics, Prize and Writeups.

https://www.fireeye.com/blog/threat-research/2019/09/2019-flare-on-challenge-solutions.html

https://github.com/gray-panda/grayrepo/tree/master/2019_flareon
https://sysenter-eip.github.io/FlareOn2019_NoReversing
https://gist.github.com/Sin42/feb693a5b29679f8137b2d751aeb1e31
https://medium.com/@hegongdao
https://bruce30262.github.io/flare-on-challenge-2019-write-up/
https://github.com/alexander-pick/flareon6

https://habr.com/ru/company/dsec/blog/469393/
https://malwareunicorn.org/workshops/flareon6_2019.html#0
https://github.com/hasherezade/flareon2019

-----
127.0.0.1, sweet 127.0.0.1

| Сообщение посчитали полезным: Styx

OKOB
Ну как в этом году?
12/12?

P.S. Шапку темы обновил.

-----
EnJoy!

| Сообщение посчитали полезным:

Jupiter пишет:
Ну как в этом году?

https://2019.flare-on.com/scoreboard

10я строчка

-----
127.0.0.1, sweet 127.0.0.1

| Сообщение посчитали полезным: mak, Lambda, LoxmatbIj, VOLKOFF, Jupiter, ELF_7719116, -Sanchez-, ==DJ==[ZLO]

Наверно тут ссылка лишней не будет, для тех кому интересна выжимка по основные моментам из задачек 2019 на русском. https://habr.com/ru/company/dsec/blog/469393/

| Сообщение посчитали полезным: