kybr-git/dc30-badge-challenge-writeupWriteup pour le défi du badge DEF CON 30
Bonjour ! Je suis Pete - alias Kybr - et voici mon writeup pour le badge challenge du DEF CON 30.
Le défi de cette année était fortement axé sur la musique et la culture pop hacker, ce qui (je pense) l'a rendu plus accessible que certains défis de badges précédents. Nous avions une énorme équipe de hackers en personne et sur Discord qui travaillait sur le badge challenge dès le moment où les badges ont commencé à être distribués jeudi matin jusqu'au dimanche après-midi, quand nous avons enfin terminé le dernier défi juste quatre heures avant la fin du DEF CON. Un grand merci à Mike, redactd, et à l'équipe de MKFactor pour ce badge vraiment unique et magnifique, et aussi pour les nombreuses heures de souffrance et de douleur plaisir !
Nous avons divisé le défi en 3 parties : la collecte des notes, la collecte des amis, et le fil final. Vous pouvez consulter notre documentation ici :
https://dc30badge.fandom.com/wiki/DC30Badge_Wiki
Nos notes sont disponibles ici :
https://docs.google.com/spreadsheets/d/1MdZgv_O3ogv4JDS07iobh5rhoDYXCsF7QVExuG08txA/edit#gid=0
Enfin, si vous aimez ce genre de choses, je vous encourage à nous rejoindre sur Discord pour le défi de l'année prochaine ici :
https://discord.com/channels/867438418212683796/867438418212683799
Merci d'avoir lu !
Le premier défi se trouve en sélectionnant l'option « Challenge » dans le menu principal. Le texte suivant s'affiche :
Collect the Measusres
Break the Silence
Continue the Journey
NOTE : La faute d'orthographe du mot Measures était accidentelle et sans rapport avec les défis.
Il s'agit d'une référence aux mesures musicales présentes sur la face avant du badge lui-même. Il y a 9 types de badges de couleurs différentes au DEF CON, et chaque type avait quelque chose de différent sur sa face avant.
En rassemblant des photos des 9 badges, on constate que 8 ont de la musique et 1 (le badge gris CFP) a des lettres épelant POWWYGBR
C'est notre clé pour ordonner les 8 autres badges par couleur : Violet, Orange, Blanc, Blanc, Jaune, Vert, Bleu, Rouge.
Une fois dans cet ordre, les mesures forment le début de la chanson « Peer Gynt Suite No.1 ».
Jouer ces notes sur le badge en mode « Play » débloque le Défi Partie 2 :
ANSWER: in Play mode, play these notes at any speed:
GEDCDE GEDCDE GEGAEA GEDC GEDCDE GEDCDEDE GEGAEA B G# F# E
NOTE : Vous devez être sur l'octave par défaut « 4 » pour que cela fonctionne, si vous appuyez sur gauche ou droite pour changer d'octave, vous ne débloquerez pas la partie 2 !
Après avoir joué la Peer Gynt Suite, l'option Challenge du badge affiche désormais le message Call YИИEႱ et notre clavier joue des tonalités de numérotation au lieu de notes. « YИИEႱ » est une référence à la chanson « 867-5309 / Jenny » de Tommy Tutone, et puisque Jenny est écrit à l'envers, nous sommes censés composer son numéro à l'envers : 903-5768. Composer ce numéro sur le badge lui-même ne fait rien, il y avait des téléphones physiques dans la zone Contests de la convention qui devaient être utilisés pour le reste de ces défis.
Composer le 903-5768 sur ces téléphones nous a donné une série de 5 indices sur 5 amis disparus :
Alice - Was last seen shopping for a new water pipe
Bob - Little Bobby turn tables, dropped himself
Carol - Went to her favorite arcade
Dan - Greenwich manhattan
Eve - Cerebrum data link
Le message nous a aussi dit que pour le reste de ces défis, chaque réponse sera une URL commençant par https://defcon.org/badge/30/
Nous soumettons donc nos réponses en l'ajoutant à la fin de cette URL. Si nous avons raison, nous trouvons une nouvelle page web avec le défi suivant, et si nous avons tort, nous obtenons simplement une erreur 404 « not found » standard. Nous avons maintenant 5 fils à suivre, un pour chacun des 5 amis disparus.
Le message de YИИEႱ disait « Alice was last seen shopping for a new water pipe »
C'était notre question la plus facile, qui nous a introduit au format du défi. « Water pipe » ici est une simple référence à une chicha, et nous avons trouvé notre prochain défi en ajoutant « hookah » à l'URL donnée.
RÉPONSE : https://defcon.org/badge/30/hookah/
Écran bleu uni
L'URL hookah nous présente un écran bleu uni, sans rien d'intéressant dans le code ni le trafic du site. Entre le nom « Alice », la référence à une chicha, et la couleur bleue, la question est une référence à Alice au pays des merveilles où Alice rencontre un chenille fumant une chicha. Nous ajoutons « caterpillar » à la fin de l'URL pour trouver notre prochain défi.
RÉPONSE : https://defcon.org/badge/30/hookah/caterpillar
Image de la chenille
On nous donne une image de la chenille fumant la chicha d'Alice au pays des merveilles. En téléchargeant l'image et en inspectant ses métadonnées, nous constatons que l'attribut « OwnerName » a une valeur curieuse : 9dFDfOi_-ss.
C'est une référence vidéo pour une URL YouTube, nous allons donc sur https://www.youtube.com/watch?v=9dFDfOi_-ss qui nous donne une vidéo de notre chenille fumante récitant le poème « How Doth the Little Crocodile »
RÉPONSE : https://defcon.org/badge/30/hookah/caterpillar/howdoththelittlecrocodile
Poésie
On nous donne le texte When is a measure not for science? double the common form.
C'est une référence au Common Measure, un mètre poétique composé de quatre vers qui alterne entre le tétramètre iambique (quatre pieds métriques par vers) et le trimètre iambique (trois pieds métriques par vers). Le poème « How Doth the Little Crocodile » est écrit dans ce mètre. Le poème est composé de 8 vers, et compter les pieds par vers nous donne 4,3,4,3,4,3,4,3, donc doubler cette forme nous donne 8,6,8,6,8,6,8,6. Comme 86868686 n'était pas une URL valide, nous avons composé ce numéro sur les téléphones de la convention et nous avons reçu le code de déblocage pour Alice (qui apparaît désormais sous l'option de menu « Friends » sur le badge !)
RÉPONSE FINALE : Composez le numéro « 86868686 » sur les téléphones de la convention pour trouver Alice.
