Ce challenge est la suite de Echec OP 0/3
Présentation
Nous avons accès à ce fichier qui contient un .raw qui est une image disque.
Nous allons donc la monter pour tenter de trouver la date de création en UTC du système de fichiers.
──(root㉿tyrell)-[/home/…/FCSC2022/Challenges/forensic/echecoop]
└─# kpartx -a -v fcsc.raw
add map loop0p1 (254:0): 0 2048 linear 7:0 2048
add map loop0p2 (254:1): 0 1857536 linear 7:0 4096
add map loop0p3 (254:2): 0 19107840 linear 7:0 1861632
On utilise l'outil kpartx pour mapper les partitions de l'image raw vers des périphériques virtuels.
┌──(root㉿tyrell)-[/home/…/FCSC2022/Challenges/forensic/echecoop]
└─# ls /dev/mapper/
control loop0p1 loop0p2 loop0p3
┌──(root㉿tyrell)-[/home/…/FCSC2022/Challenges/forensic/echecoop]
└─# cryptsetup luksOpen /dev/mapper/loop0p3 mount
Saisissez la phrase secrète pour /dev/mapper/loop0p3 :
On déchiffre la partition loop0p3 qui est chifrée, dans un repertoire mount avec cryptsetup luksOpen avec le mot de passe fcsc2022.
┌──(root㉿tyrell)-[/home/…/FCSC2022/Challenges/forensic/echecoop]
└─# ls /dev/mapper
control loop0p1 loop0p2 loop0p3 mount ubuntu--vg-ubuntu--lv
┌──(root㉿tyrell)-[/home/…/FCSC2022/Challenges/forensic/echecoop]
└─# mount /dev/mapper/ubuntu--vg-ubuntu--lv mount
Cryptsetup nous a créé un dossier ubuntu--vg-ubuntu--lv que nous allons monter dans un repertoire qu'on a nommé mount.
┌──(root㉿tyrell)-[/home/…/FCSC2022/Challenges/forensic/echecoop]
└─# ls mount
bin boot dev etc home lib lib32 lib64 libx32 lost+found media mnt opt proc root run sbin snap srv swap.img sys tmp usr var
On a bien accès au contenu du repertoire.
┌──(root㉿tyrell)-[/home/…/FCSC2022/Challenges/forensic/echecoop]
└─# dumpe2fs /dev/mapper/ubuntu--vg-ubuntu--lv | grep create
dumpe2fs 1.46.5 (30-Dec-2021)
Filesystem created: Sun Mar 27 05:44:49 2022
Avec l'outil dumpe2fs on va regarder la date de création de la partition ubuntu--vg-ubuntu--lv.
On a donc la date Sun Mar 27 05:44:49 2022.
Au format ISO 8601 cela donne 2022-03-27T05:44:49Z
Le flag est donc :
FCSC{2022-03-27T03:44:49Z}
