Hacken

Hi!

http://www.mascht.com/daniel2/stage1.php

Dies ist eigentlich eine Seite, die zu einem Geocache (http://www.geocaching.com/seek/cache_details.aspx?ID…) gehört. (Geocaching ist eine art „navigationsgestützte“ Schnitzeljagd)
Man findet dort ein Eingabefeld, in das man ein Passwort eingeben soll, um auf die nächste Seite zu gelangen. Was ich bisher herausgefunden habe:
Hinter dem Eingabefeld steht ein Javascript, dass die Eingabe in einen Hashwert (MD5) umwandelt, und diesen Hashwert anschließend mit einem anderen (gegebenen) vergleicht. Sind die beiden identisch, rechnet das Script einen neuen Hashwert aus, der aus dem Wort „salt&“ und der Eingabe besteht. Der Hashwert ist dann die Adresse der nächsten Seite.

Kann mir jemand helfen? Ich tüftle da jetzt schon länger dran rum, finde aber keine Lösung!

HELP!!

Hi!

Hi,
na dann gib doch mal den MD5-Hash, den du im Quelltext findest, in Google ein…

Gruß.Timo

http://www.mascht.com/daniel2/stage1.php

Dies ist eigentlich eine Seite, die zu einem Geocache
(http://www.geocaching.com/seek/cache_details.aspx?ID…)
gehört. (Geocaching ist eine art „navigationsgestützte“
Schnitzeljagd)
Man findet dort ein Eingabefeld, in das man ein Passwort
eingeben soll, um auf die nächste Seite zu gelangen. Was ich
bisher herausgefunden habe:
Hinter dem Eingabefeld steht ein Javascript, dass die Eingabe
in einen Hashwert (MD5) umwandelt, und diesen Hashwert
anschließend mit einem anderen (gegebenen) vergleicht. Sind
die beiden identisch, rechnet das Script einen neuen Hashwert
aus, der aus dem Wort „salt&“ und der Eingabe besteht. Der
Hashwert ist dann die Adresse der nächsten Seite.

Kann mir jemand helfen? Ich tüftle da jetzt schon länger dran
rum, finde aber keine Lösung!

HELP!!

Stage2 ??
Ist ja nett!

Damit hätte ich nicht gerechnet! Aber jetzt kenne ich mch bei Stage2 null aus.

Gibt es vielleicht jemanden, der mir helfen könnte?

thx!

Ist ja nett!

Hi,
soll ich dir vielleicht das ganze Rätsel lösen?
Dann sags doch :wink:

Zu Stage 2:
Du siehst in der Adresszeile http://www.mascht.com/daniel2/8bfbda8abf6117ef6addd7…
Verändere doch mal „cfg1“.
Und dann lies dir die Fehlermeldung durch.
Und daaaaaann überleg dir mal, warum man bei PHP die Include-Dateien mit der Endung .php und nicht mit .inc oder .ini versehen sollte.

Wenn du Hilfe für Stage 3 ff. benötigst, melde dich halt.

Gruß.Timo

Damit hätte ich nicht gerechnet! Aber jetzt kenne ich mch bei
Stage2 null aus.

Gibt es vielleicht jemanden, der mir helfen könnte?

thx!

Ähh
Ich lese mir die Fehlermeldung durch und ich habe null Ahnung, warum man bei PHP die Include-Dateien mit der Endung .php und nicht mit .inc oder .ini versehen sollte. Vielleicht steht in der Include Datei die nächste Internetadrese? Ehrlich, ich weiß es nicht. Liege ich damit richtig, dass man unter dem „Include_path“ die Datei cfg1.ini findet? wenn ja, wie ruft man die dann auf? Erklärt es mir, biiiiitte!!

Du siehst in der Adresszeile
http://www.mascht.com/daniel2/8bfbda8abf6117ef6addd7…
Verändere doch mal „cfg1“.
Und dann lies dir die Fehlermeldung durch.
Und daaaaaann überleg dir mal, warum man bei PHP die
Include-Dateien mit der Endung .php und nicht mit .inc oder
.ini versehen sollte.

Hi,
na, dann lies mal Folgendes: http://www.goldmann.de/include-dateien-richtig-benen…

Über http://www.mascht.com/daniel2/cfg1.ini kannst du dir den Quelltext der Include-Datei ansehen.
Hätte sie die Endung .php, könntest du den Quelltext nicht sehen, da die Datei vom PHP-Interpreter geparst würde und nur die eventuellen Ausgaben zurückbekommen würdest.

Aber sag mal:
Ist es nicht doof, ein Rätsel zu lösen, von deren Materie man anscheinend nich allzu viel Ahnung hat?

Gruß.Timo

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

Aber sag mal:
Ist es nicht doof, ein Rätsel zu lösen, von deren Materie man
anscheinend nich allzu viel Ahnung hat?

Ganz und gar nicht!
Hätte ich beispielsweise das Rätsel nicht angefangen, ich wüsste bis heute nichts von Hashwerten!

By the way: thx!!

Auch wieder recht :smile: owT
.

Stage3

Wenn du Hilfe für Stage 3 ff. benötigst, melde dich halt…

…was ich hiermit auch tue :wink:
Im ersten der Bilder ist laut stegdetect etwas versteckt! brauche dafür aber noch ein Passwort und stegbreak funktioniert bei mir nicht. Könnt ihr (!!!) mir weiter helfen?

Wenn du Hilfe für Stage 3 ff. benötigst, melde dich halt…

…was ich hiermit auch tue :wink:

Hi,
keine Ahnung, ob in den 6 Bildern was versteckt ist.
Habs anders gelöst:
Passwort zur nächsten Stage ist sicherlich mal wieder in der PHP-Datei versteckt. An diese muss ich kommen.
Was passiert, wenn ich auf ein Bild klicke?
Welche Variablen bzw. welche Werte haben die Variablen, die per GET mitgeschickt werden?
Kombinieren…

Gruß.Timo

Im ersten der Bilder ist laut stegdetect etwas versteckt!
brauche dafür aber noch ein Passwort und stegbreak
funktioniert bei mir nicht. Könnt ihr (!!!) mir weiter helfen?

Was passiert, wenn ich auf ein Bild klicke?

Es öffnet sich ein Downloadfenster, um das Bild herunterzuladen.

Welche Variablen bzw. welche Werte haben die Variablen, die
per GET mitgeschickt werden?

filename=img/img1.jpg

Kombinieren…

Daran scheitert´s!

schau doch mal welche Datei durch das login-form verwiesen wird…
Und wenn Du jetzt deren Dateiinhalt bekommen willst…
Könntest Du da vielleicht etwas vom Sourcecode downloaden? :wink:

1 Like

Kannst du mir noch eine Version für Dummmies schreiben, die das vorige Posting nicht ganz versanden haben? Heißt das, man soll die Downloadadresse eines Bildes ändern, und statt dem Namen des Bildes den
Namen der login_form Datei einsetzen?? Wenn ja, wie (genau)? Und wo findet man den Namen dieser Datei?

P.S.: Es geht natürlich nicht um mich, es handelt sich um ähh… einen, einen Freund! Der versteht das einfach nicht. Ja, ja! Solche Leute soll es geben. Wäre also nett (inzwischen eigentlich schon großzügig), wenn ihr es mir ähh… ihm erklärt.

H.A.N.D.: Ulli

Hi,
da „dein Freund“ es anscheinend nicht kapiert, hier einfach die Lösung:
Die Seite, auf der du den Benutzernamen und Passwort eintragen musst:
http://www.mascht.com/daniel2/f1b0643596fc30dccc252c…
Auf dieser Seite befinden sich sechs Bilder mit folgendem Downloadlinks:
http://www.mascht.com/daniel2/downld_pic.php?filenam…
http://www.mascht.com/daniel2/downld_pic.php?filenam…
http://www.mascht.com/daniel2/downld_pic.php?filenam…
http://www.mascht.com/daniel2/downld_pic.php?filenam…
http://www.mascht.com/daniel2/downld_pic.php?filenam…
http://www.mascht.com/daniel2/downld_pic.php?filenam…
Wenn du Link Nr.1 anklickst, dann wird http://www.mascht.com/daniel2/img/img1.jpg runtergeladen
Da du aber kein Bild runterladen willst, sondern den Quelltext von
http://www.mascht.com/daniel2/f1b0643596fc30dccc252c… , änderst du den Bild-Link einfach in :
http://www.mascht.com/daniel2/downld_pic.php?filenam…
Diese Datei runterladen und mit einem Texteditor öffnen.
Voila.
Gruß, auch an deinen Freund.Timo

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

Daaaannnnnkkkkkkkeeeeeee!!!
DAANNNKKKE!!

Jetzt habe ich , ähhh… mein Freund es endlich kapiert!
Danke für alle Antworten, besonders !!!, dem ich in den letzten Tagen wohl ziemlich den Nerv gezogen habe. Das letzte Bild werde ich wohl selber schaffen können!

H.A.N.D.: Ulli

P.S.: Ich muss euch etwas beichten: Es gibt gar keinen Freund! Damit hättet ihr nicht gerechnet, watt? :wink:))))))

Hi,

DAANNNKKKE!!

s.o.

Jetzt habe ich , ähhh… mein Freund es endlich kapiert!
Danke für alle Antworten, besonders !!!, dem ich in den
letzten Tagen wohl ziemlich den Nerv gezogen habe. Das letzte
Bild werde ich wohl selber schaffen können!

Bist du dir sicher ? Wenn du es geschafft hast, meld dich mal und sag mir deinen Lösungsweg.
Kein Problem, meinen Nerven gehts gut.

H.A.N.D.: Ulli

P.S.: Ich muss euch etwas beichten: Es gibt gar keinen Freund!
Damit hättet ihr nicht gerechnet, watt? :wink:))))))

Tolle Show, und damit kommste jetzt raus :wink:
Gruß.Timo

Lösungsweg

Wenn du es geschafft hast, meld dich mal
und sag mir deinen Lösungsweg.

Ich hab´s jetzt geschafft! Mein Lösungsweg:

Zuerst habe ich mal ignoriert, was neben dem Bild gestanden ist. Deshalb habe ich das Foto mit meiner Bildbearbeitungssoftware (Gimp) geöffnet, und habe alle möglichen Einstellungen durchprobiert. Schließlich dann auf die Funktion „Angleichen“ geklickt, und schon konnte man (fast) alles von dem im Bild versteckten Text lesen.
(Ich weiß zwar nicht was die Funktion genau macht, werde aber im Brett für Grafik mal fragen.)
Schließlich will ich ja etwas dazulernen :wink:

H.A.N.D.: Ulli

Hi, mal wieder.

Ich hab´s jetzt geschafft! Mein Lösungsweg:

Na, geht doch.

Zuerst habe ich mal ignoriert, was neben dem Bild gestanden
ist. Deshalb habe ich das Foto mit meiner
Bildbearbeitungssoftware (Gimp) geöffnet, und habe alle
möglichen Einstellungen durchprobiert. Schließlich dann auf
die Funktion „Angleichen“ geklickt, und schon konnte man
(fast) alles von dem im Bild versteckten Text lesen.
(Ich weiß zwar nicht was die Funktion genau macht, werde aber
im Brett für Grafik mal fragen.)
Schließlich will ich ja etwas dazulernen :wink:

Keine Ahnung, was GIMP da macht.
Von mir etwas Theorie zur Steganographie (Verstecken von Informationen) bei Bildern.
Jedes Bitmap-Bild besteht aus Pixeln.
Ein Bild hat eine bestimmte Farbtiefe, z.B. 24 Bit, d.h. jeder Pixel enthält Farbinformationen, die 24 Bit belegen.
Dabei entfällt auf jede „Grundfarbe“ (Rot, Grün und Blau) 8 Bit.
Also kann dieses Bild 2 hoch 24 Farben beinhalten.
Jede „Grundfarbe“ kann in 2 hoch 8, also 256 Stärken auftreten.
Um Informationen in einem Bild zu verstecken, nimmt man ein Deckbild (in diesem Fall dieses Bild mit dem Eiszapfen) und ein Informationsbild (schwarz/weiß).
Nun wird folgendermaßen verfahren:
Entscheidend ist nur das letzte geringstwertige Bit, auch LSB (Least Significant Bit).
Man geht vom ersten Pixel des Informationsbildes aus und schaut, welche Farbe der Pixel hat. Ist dieser schwarz, so wird das letzte Bit der Farbinformation des ersten Pixels im Deckbild auf 1 gesetzt.
Ist der Pixel des Informationsbildes weiß, so wird das letzte Bit des ersten Pixels des Deckbildes auf 0 gesetzt.
Das Ganze macht man jetzt bei allen Pixeln der Bilder.

Da man mit bloßem Auge zwei Farben, die sich nur im letzten Bit unterscheiden, nicht unterscheiden kann, fällt nichts auf.

Hoffe, das war einigermaßen verständlich.
Ist nur eine Möglichkeit, Infos in Bildern zu verstecken.

Gruß.Timo

H.A.N.D.: Ulli

1 Like