Aller au contenu principal

CTF « La clé du parking »

Mardi matin. Une clé USB étiquetée « SALAIRES 2025 » a été ramassée sur le parking de l'entreprise et déposée à l'accueil. Le responsable vous la confie : avant toute chose, que contient-elle vraiment ?

info

Ce défi est un CTF (Capture The Flag) : il n'y a pas d'étapes guidées. Vous cherchez, vous trouvez un flag (un mot caché), puis vous le saisissez dans l'application Joligo, dans l'activité « La clé du parking ». L'entreprise, la clé et les fichiers sont fictifs : aucun fichier de ce défi n'est dangereux, mais on les traite comme s'ils l'étaient.

attention

Sur une vraie clé trouvée, ne la branchez jamais sur un poste de l'entreprise, et n'ouvrez aucun fichier : remettez-la au service informatique, qui l'examinera sur un poste isolé.

Petite vérification​

Avant de commencer, vérifiez si vous savez encore réaliser ces 3 actions très simples, sur la séance précédente consacrée à la clé USB trouvée :

  1. dans un dossier de test, afficher les fichiers y compris cachés avec ls -la
  2. demander le vrai type d'un fichier nommé Photos_vacances.jpg.exe avec la commande file
  3. calculer l'empreinte d'un fichier avec sha256sum
📌 Réponse attendue

Votre mission​

Vous êtes l'administrateur système. Le dossier cle_parking est une copie de la clé, que vous examinez sur un poste isolé. Vous ne devez rien exécuter : vous lisez seulement ce que les fichiers sont réellement.

Un fichier de la clé cherche à joindre une adresse sur Internet avec un identifiant : retrouvez-le, sans jamais lancer le fichier.

Le matériel​

Chaque participant reçoit un flag personnel : inutile de comparer avec vos voisins, le vôtre ne marcherait pas chez eux. Dans l'application Joligo, ouvrez l'onglet Profil et relevez votre code personnel (8 caractères, carte « Mon code personnel (défis CTF) »).

Dans votre VM Debian (remplacez a1b2c3d4 par votre code) :

sudo apt install binutils file openssl
mkdir -p ~/ctf-cle-usb
cd ~/ctf-cle-usb
CODE=a1b2c3d4
attention

Le script ci-dessous fabrique la copie de la clé trouvée (c'est le travail du « méchant » de l'histoire). Ne le décodez pas pour le lire : ce serait lire la solution avant d'avoir cherché. Analysez le dossier produit.

base64 -d <<'EOF' | bash -s -- "$CODE"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EOF

Vous obtenez le dossier cle_parking. Ne lancez aucun de ses fichiers.

Comment jouer​

  1. Examinez le dossier avec ls -la, file, cat, strings et sha256sum -c (une liste d'empreintes de référence, SHA256SUMS, accompagne la clé).
  2. Répondez aux questions de l'activité Joligo « La clé du parking » : certaines portent sur le flag, d'autres sur la démarche et les bons réflexes.
  3. Le flag est l'identifiant (id=) que contient l'adresse de collecte : il contient 12 caractères (lettres a à f et chiffres). Dans Joligo, vous saisirez seulement ces 12 caractères.
Besoin d'un coup de pouce ?

Cette démarche a été vue dans les séances Une clé USB trouvée et Un fichier téléchargé. strings fichier affiche les suites de caractères lisibles d'un fichier binaire, sans l'exécuter. Ajoutez -n 8 pour ignorer les très courtes. Un mauvais flag fait perdre une vie dans Joligo : réfléchissez avant de tenter au hasard, comme pour un vrai mot de passe.