CTF OSINTカテゴリ入門

CTF OSINTカテゴリ⼊⾨
[オンライン] 第30回ゼロから始めるCTF⼊⾨勉強会 (初⼼者歓迎︕)
meow ( @meow_noisy) _
2022/08/29(⽉)
解答あり版

View Slide

勉強会の事前準備
u 演習問題を⽤意しています。演習問題の画像は下記URLで配布し
ていますのでダウンロードをお願いします
u https://drive.google.com/drive/folders/1a7QrkI3Twso2Hrv9g7qVmE
0k4c65yU5h?usp=sharing
u 演習問題を取り組むにあたっては下記をご準備ください
u ブラウザ: Chrome のインストール
u Chromeの拡張機能『Search by Image』のインストール
u https://chrome.google.com/webstore/detail/search-by-
image/cnojnbdhbhnkbcieeekonklommdnndci?hl=ja
u LibreOffice のインストール
u https://ja.libreoffice.org/download/download/
u Wigle アカウントの作成
u https://wigle.net/
u この資料に掲載したURLは、Speaker Deck上では踏めないので
資料(PDF)のダウンロードをお願いします(右図)
このマークを
クリックして
資料をDL

View Slide

About MEow
u 仕事:
u AIシステムの保守・運⽤を担当しているITエンジニア
u 趣味
u CTFのOSINTカテゴリの問題を解くこと(2020年11⽉〜現在)
u セキュリティのバックグラウンドはありません
u そういう⼈間が今回の講師であるというのは予めご承知おきください
みゃおぅ

View Slide

発表概要
u CTFにおける1カテゴリである「OSINT」の問題のうち、
定番の問題とそれを解くためのテクニックについて説明する
u 発表の途中に演習問題も8問⽤意している
u 講義→演習問題→解説を通してテクニックの理解を深める
u ※ 以下「OSINT」カテゴリの問題のことを”OSINT問”と呼ぶ
u 想定参加者:
u OSINT問を初めて解く⽅
u 発表の⽬標:
u 参加者がOSINT問のうち、ツールやテクニックを知っていれば
解ける問題を解けるようになること

View Slide

おしながき
u はじめに
u OSINTとは、CTFにおけるOSINTの特徴、OSINTと倫理
u OSINT問を(競技CTFで)解くための準備
u 頻出問題の説明
u 写真の分析
u 撮影場所の特定
u ⼈の調査
u SNSアカウントの調査
u 漏えい情報の発⾒
u PDFマスキングミス、インターネットアーカイブ、Gitリポジトリ
u その他
u ドメイン調査、Wi-Fiアクセスポイントの調査
u おわりに
u OSINT問の出るCTFの紹介、勉強のリソース
u 実践問題の模範解答
※問題の分類は私の独断です。

View Slide

OSINT(Open Source Intelligence)とは
https://speakerdeck.com/ctrl_z3r0/investigating-malware-20191030?slide=6
インテリジェンス活動(後述)の⼀つ。情報源が公開情報であることが特徴。
公開情報の範疇
“無料/有料で法的に倫理
的に許容される⽅法で⼊
⼿できる公開された情報”
OSINT (Open Source Intelligence)
| 晴耕⾬読
https://tex2e.github.io/blog/sec
urity/osint より

View Slide

インテリジェンスとは
情報A
情報B
⼊⼿した情報
情報X
⼊⼿していない情報
情報C
情報統合
情報分析
情報C1
情報C2
情報D
こんな情報があるはず(仮説)
情報E ・・・
情報の価値
u 複数の情報を分析・統合・仮説の検証などを経て、より利⽤価値のある情報に
昇華させる⾏為を指す
u OSINT: オープンソースの情報に基づいてインテリジェンスを⾏うこと
情報を元に最終的な
意思決定へ
例) 情報ZからプランPを実
施するのがよい
Security Days 2021「OSINT:ハッカーから⾒えるインターネットの世界」
の講演内容を元に作成

View Slide

[備考]OSINTの活躍例
u REvil所属のハッカーの特定
u Tracking Down REvil’s “Lalartu” by utilizing multiple OSINT
methods | by Alon Gal — Under the Breach | Medium
u https://underthebreach.medium.com/tracking-down-revils-lalartu-
by-utilizing-multiple-osint-methods-2bf3a6c65a80
u 「漫画村」運営者のしっぽを掴むことに貢献
u 漫画違法配信サイト「漫画村」の⿊幕に迫る | 匿名ブログ
u https://blog.cheena.net/179
u ウクライナ情勢の戦況分析

View Slide

CTFにおけるOSINT問
お題から分析できる情報、公開情報、個⼈の仮説を組み合わせる
ことで、フラグを導き出す形式の問題
⼊⼿した情報
情報統合
情報分析
⾃販機が多い、
ビールケース、
この建物は
酒屋では?(仮説)
“⻄⽇暮⾥3丁⽬酒屋”
情報の価値
フラグ: ⾕中
オープンソース
Google Street View
“⻄⽇三”とい
うラベル
問題例. 左下の画像の撮影場所を特定せよ
Digital Overdose 2021 Autumn CTFより

View Slide

OSINT問の特徴
u 他のCTFのカテゴリーと⽐べて、始める敷居が低い
u Google検索ができれば、その⽇から解けるレベル
u 頻出問題としては、ジャーナリズム、ファクトチェック、
SNS特定に関連するもの
u セキュリティ業界の⽂脈でいうOSINTとは多少離れる
u ペンテスト、脅威インテリジェンスに関連する問題はあまり出ない
u OpSecの⽂脈の問題がでる印象
u 企業秘密を誤って公開しているケースを想定した問題
u OSINTですらない可能性もある
u 「インテリジェンスを元にアクションを起こし、そのフィードバック
を得るサイクルまで回すところまでやるのがOSINT」という意⾒もある
u したがって「CTFのOSINT」という割り切り⽅がいいのかもしれない

View Slide

OSINTと倫理
u OSINTは合法なケースが多いが、注意すべき点は数多くある
u 法的にはセーフかもしれないが、サービスの利⽤規約違反
u Youtubeの動画のダウンロード
u Facebookでの架空のプロフィールでのアカウント作成
u サイトのクローリングも注意が必要
u OSINTで得た情報を元に起こしたアクションは違法のリスクがある
u 特定した住所へ⾜を運ぶ → つきまとい
u 得た情報をネタにターゲットをゆする → 脅迫
u 特定した住所をインターネット上に晒す(doxxing) → プライバシーの侵害
u 調査対象へみだりにコンタクトすることはトラブルのもとなので禁⽌
u 「〇〇(特定した場所)っていい所ですよね〜」のようなメッセージを送る
u 我々がやるのは原則、情報収集と分析だけ
https://twitter.com/b00km4rkz/status/1404476157030850561/photo/2
OSINTは晒し⾏為ではなく、
偽情報と戦うために使おう

View Slide

[備考]CTF OSINT問と倫理
u 実在の⼈物が、(おそらく)本⼈の同意なしで問題の題材、
調査ターゲットになっていることがある
u Write-upを書く時は、ターゲットのプライバシーに
⼗分配慮すること
u 問題⽂の個⼈情報を伏せるなどする
https://andrew.cloud/blog/dc30-writeup/ の例

View Slide

免責事項
u 本発表はCTFのOSINTカテゴリの技術研鑽を⽬的として作
成されました。
u 本発表の内容を不正に利⽤した場合、刑事罰、⺠事訴訟の
対象となることがあります。
u 本発表の内容を⽤いたことにより起こした、いかなる損害、
損失に対し著者は⼀切責任を負いません。

View Slide

おしながき
u はじめに
u 写真の分析
u ⼈の調査
u その他
u おわりに

View Slide

OSINT問を(競技CTFで)解くための準備
u この勉強会で出す演習問題は最低限の準備、無課⾦で回答
可能(p.2を参照)
u 実際の競技CTFにおいてOSINT問を解く時は、
ある程度の事前準備をしておくことが前提となっている
u 調査のためのアカウント作成
u ブラウザ、ブラウザの拡張機能、ツールのインストール
u 基本的に無課⾦で準備可能
u 有料サービスを使⽤しないと解けない問題は出ない
u 例外としては、AWS上の調査があった程度

View Slide

アカウントの作成
u CTF⽤のGmailアカウント
u CTFで即席でユーザ登録する必要があることに備えておく
u CTF時は⾃分が普段使いするGmailアカウントと分けた⽅がいい
u 普段のGmailアカウントのまま調査していると検索履歴が汚れて推薦
ページ(特にYoutube)がおかしくなるため

View Slide

SNSアカウントの作成
u OSINT問の出題者が予めどのSNSを調査すべきか教えてくれ
ることはないので、有名どころは予め登録しておく
u ログインしないとページが閲覧できないサービスが多い
u 必須
u Facebook
u Instagram
u できればスマホにもインストールしておく
u インスタでキーワード検索ができるのはモバイル版だけのため
u LinkedIn
u Twitter
u Pinterest
u SMS認証が必要なものが含まれており登録のハードルが⾼
いが、この辺りが閲覧できないと1問⽬から解けない

View Slide

その他のサービスのアカウントの作成
u Wigle
u Wi-FiのアクセスポイントのESSIDやBSSIDなどの調査をするための
Webアプリ
u アカウント登録は事実上必須

View Slide

ブラウザのインストール
u Chrome
u Googleレンズが使える
u 翻訳機能
u 拡張機能が豊富
u 2ページ前で作成したCTF⽤のGmailアカウントをプロフィールに登
録しておく
u 調査環境の共有ができる
u (任意) Tor Browser
u オニオンアドレスのWebサイトの調査を要求されることがある

View Slide

Chromeの拡張機能のインストール
u Search by Image
u 複数の検索エンジンを横断して逆画像検索ができる
u Wayback machine
u ⾃分が今開いているページのアーカイブへ、右クリック1発で調査
可能
u アドブロックのインストールは経験上あまりお勧めしない
u ブラウザ上でデータが正しく読み込まれないことがあるため

View Slide

その他のツール、インタプリタのインストール
u ffmpeg
u 動画をフレーム単位にバラす、動画から⾳を抽出
u Git
u リポジトリの機密情報の漏洩調査
u GIMP
u 画像編集
u LibreOffice(のWriter)
u PDFの解析
u Python3系
u OSINTツールは基本Pythonのスクリプトのため
u ※Linuxの仮想環境を⽴てて⾏う⽅がいいかもしれない

View Slide

おしながき
u はじめに
u 写真の分析
u ⼈の調査
u その他
u おわりに

View Slide

写真の分析: 撮影場所の特定
u 与えられたお題の写真の撮影場所を特定する問題
u 回答⽅式は、場所の名前(地名、店名)や緯度経度
u OSINT問の花形的存在
u ボリュームを⼀番割いて説明していく
(Geolocationと呼ばれる)
xINT CTF2020より

View Slide

撮影場所の特定問題のセオリー
①画像のEXIFをチェック
し、座標やユーザ名など
の情報が含まれている?
②逆画像検索を利⽤し、
結果に
めぼしいものがヒット?
No
No
③⽬視による画像の分析
を⾏う
Yes
Yes
得られた情報を元に、インターネットを検索する
ヒットしたページをもとに、フラグを構築する

View Slide

写真の分析で⼤事なこと
①画像のEXIFをチェック
し、座標やユーザ名など
の情報が含まれている?
②逆画像検索を利⽤し、
結果に
めぼしいものがヒット?
No
No
を⾏う
Yes
Yes
得られた情報を元に、インターネットを検索する
ヒットしたページをもとに、フラグを構築する
[重要!] ①②を丁寧に⾏う!
①②で解ける問題を③で解こうとすると、
時間がとてもかかるor解けない)

View Slide

①画像のEXIFの調査
u EXIFとは(https://ja.wikipedia.org/wiki/Exchangeable_image_file_format)
u Exchangeable image file format
u 写真⽤のメタデータを含む画像ファイルフォーマット
u メタデータの1つに位置情報(緯度経度)がある
u EXIFのチェックツールの例としては
u Webサービス: EXIF確認君
u http://exif-check.org/
u Chrome拡張機能: EXIF Viewer
u CLI: ExifTool

View Slide

問題1 (4分)
u 私は夏にナイトツアーに⾏き、星の写真
(challenge_01.jpg)を撮りました。
u このナイトツアーの名前を調査してください。
⾒えにくいですが星の写真です

View Slide

②逆画像検索
u 「画像で検索」機能のこと
u 検索エンジンの機能の1つで、画像を⼊⼒すると、類似の(あるいは
関連する)画像を保持するWebページを返す
u Reverse Image Searchの⽇本訳
u 逆画像検索は様々なテクニックがある
u 検索エンジンの横断
u ⼊⼒する画像を前処理したうえで⼊⼒
u テキスト検索と併⽤

View Slide

②逆画像検索:検索エンジンの横断
u 逆画像検索機能を持つ検索エンジンは複数ある
u Google、Bing、Yandex、…
u ⼀つ⼀つ⼿作業で⼊⼒するのは⼿間
u Chrome拡張機能『Search by Image』が⼤活躍する
u 複数の検索エンジンに対し逆画像検索ができる
u クリップボードから逆画像検索ができる
u セッティングと使い⽅は次のスライドにて
u Googleレンズだけは別途Chromeの右クリックで検索する
必要がある

View Slide

逆画像検索: Search by Image の使い⽅
①
ロゴをクリック
② 画像の⾷わせ⽅を変更
3点ボタンをクリックし、
Optionsをクリック
③もう⼀度ロゴをクリック
④
Blowser toolbarの
Search modeをクリック
Browse
を
クリック
All search
Enginesを
クリック
画像を⾷わせる
タブが出るので、
画像を
ドラッグアンドドロップ
各エンジンの
「画像で検索」
結果がタブごとに出る

View Slide

②逆画像検索:⼊⼒画像の前処理
u 画像のトリミング
u ⽬⽴つ建物や、レアそうなモニュメント、マークだけを切り取った
上で逆画像検索にかける
https://twitter.com/bayer_julia/status/1551688590828216330
Yandexでロゴがヒット

View Slide

[備考]画像のトリミングの⽅法
u Windows
u Snipping tools
u ショートカットキー: Win + Shift + s
u Mac
u Command + Shift + 4 (+control)
u Linux
u Shutterをインストール
u Webサービス
u 「画像トリミング」で検索すると⾊々出てくる
u 例
u https://www.iloveimg.com/ja/crop-image

View Slide

②逆画像検索: テキスト検索と併⽤
u GoogleとYandexは画像検索後にテキスト検索が可能
u 与えたテキストで画像の候補を絞り込むことが可能
u Googleだと検索演算⼦も使⽤可能
⿇婆⾖腐丼の画像
⿇婆⾖腐丼以外の料理(カレーライスなど)の
画像もヒットしてしまう画像が⼊⼒された状態で
テキストフィールドに「⿇婆⾖腐丼」と
⼊⼒し再検索

View Slide

問題2 (7分)
u セキュリティのイベントに来るつもりが、ゲームのイベン
トに来てしまったぞ? (challenge_02.jpg)
u もともと私は何のセキュリティイベントに参加しようとし
ていたんだっけ?

View Slide

u ここからは⽅法論ではなく観察⼒が必要になる
u 画像内にあるテキスト情報で検索
u ⽂字がない場合は⾒えているものを⾔語化する
u 撮影意図を読み取る
u なぜこの写真を撮ったのか考えて、これにコメントをつけた場合の検
索キーを考える

View Slide

テキスト情報で検索
u 写真内のテキストを検索することで⼿がかりを得る
u 料理だったらメニューで検索
u 薄い⽂字
u 画像のコントラストと明るさを調整すると読めるように
なるかもしれない
u 右下は裏返した⽤紙を画像処理で
表⾯の⽂字を浮かび上がらせたもの
Open xintctf 2018より
How to Extract Text from a Face-Down Paper Using GIMP for OSINT Investigations
https://www.youtube.com/watch?v=ljiRh-nOP1Y&ab_channel=OSINTDojo

View Slide

写真の⾔語化
u 写真が与えられた時、⽂字情報が少ない場合は写っているもの
を⾔語化する
u この写真の撮影地点を知りたいとする
xINT CTF2020より

View Slide

写真の⾔語化
u 写真を詳しく観察し、何が写っているかラベルをふる
u ここから「何の情報を使えばフラグにたどり着けるか」を
考える
・バスの種類
・2⾞線の道路
・⽥んぼ道
↓
バスの路線の
うち、2⾞線で
⽥んぼ道を
通る場所を
探してみる、
という調査⽅針
を⽴てる
Open xINT CTF2020より
⻘空
雲
雲
⼭
⽊々
⽥んぼ
草むら
電信柱
ポール
道路
影
看板
電信柱
バス
標識
⼭
⾞
電線雲
電線
電線
雲
⼩屋
窓
軒
電柱の取っ⼿
ポール

View Slide

撮影意図を読み取る
u 右の画像の撮影場所を知りたい
u これにコメントをつけた場合の検索キーを
考える
u 例「ちょwww⼈の顔のビルがあって
どちゃくそびびったんやがwww」
u 「ビル⼈の顔」で検索
u The Barak Building(豪州) であるとわかる CYBAR OSINT CTFより

View Slide

撮影場所の座標情報が求められる場合
u Googleマップの航空写真やストリートビューで景観を確認
しつつポイントを絞り込む
クリック
3Dマップモードになり、おおよその景観を把握でき、
調査がしやすくなる
Googleマップ画⾯

View Slide

撮影場所の座標情報が求められる場合
u ストリートビューは画⾯分割が便利
拡⼤ボタンをクリック
マップで現在地を⾒ながら、
その地点の外観を⾒ることができる

View Slide

問題3 (7分)
u 写真(challenge_03.jpg)の撮影場所
の座標を求めよ
u 精度は⼩数点4桁まで
u xx.xxxx,yyy.yyyy

View Slide

おしながき
u はじめに
u 写真の分析
u ⼈の調査
u その他
u おわりに

View Slide

⼈、SNSアカウントの調査
u お題で⼈の名前、ユーザ名などが与えられ、そのユーザに
関連する情報を答える問題
u 例
u 所属する学校、会社名
u 婚約者の名前
u メールアドレス
u 電話番号
u 別のSNSアカウント
u ⼤抵はSNSアカウントに答えがある

View Slide

SNSアカウントの調査のセオリー[1/2]
u まずはターゲットの情報が載っているサイトを探す
u ⽒名がお題で与えられている場合
u ⽒名をGoogle検索、Facebook、Linkedin
u ユーザアカウント名(アカウントID)がお題で与えられている場合
u Google検索
u アカウント名を取得状況を横断的に調べるツールを使⽤して検索
u 例: WhatsMyName(Webアプリ)、Sherlock(Python)など
u https://whatsmyname.app/
u ⽒名もユーザアカウント名も書いていない場合
u 問題⽂の情報からGoogle検索やサービスの検索でユーザを探す
u 経験上、問題⽂の⾔葉を使って検索するとヒットすることが多い
WhatsMyNameで「meow_noisy」と⼊⼒した結果
なんらかの名前でTelegramを
やっていることが判明!

View Slide

SNSアカウントの調査のセオリー[2/2]
u アカウントを発⾒後、アカウントでの活動内容調査し、回答の
いとぐちを探す
u プロフィール、投稿、アップロード、いいねした記事、フォロー/フォ
ロワーなどを細かく⾒る
u 本⼈が情報を記載していなくても友達との会話でリークしていることも
u 例「昨⽇の誕⽣会楽しかったよ!」

View Slide

問題4 (5分)
u 私(@meow_noisy)にはTwitterのサブアカウントが2つあり
ます。
u 1つは @meow_ASEqS です
u もう1つのサブアカウントを⾒つけ、そのサブアカウント
と紐づいているサービスの名前を答えてください
⽒名もアカウントIDもわかっていないパターンの問題です。

View Slide

[tips] ツイッターの検索テクニック
u from:アカウント名
u [アカウント名]の発⾔を抽出
u since:YYYY-MM-DD
u YYYY-MM-DDより後(この⽇を含む)のつぶやきを抽出
u until:YYYY-MM-DD
u YYYY-MM-DDより前(この⽇を含まない)のつぶやきを抽出
u “-filter:replies”
u リプライの除外
u 先頭にマイナスをつける
u 使⽤例: @meow_noisyの2021年のセキュリティに関するつぶやき(会話は
除く)を取得したい
u “セキュリティ from:meow_noisy since:2021-01-01 until:2022-01-01 -filter:replies”

View Slide

おしながき
u はじめに
u 写真の分析
u ⼈の調査
u その他
u おわりに

View Slide

PDFマスキングミス
u PowerPointやWordで作成しPDF化したファイルにおいて、
ただ⿊塗りの矩形を上から重ねただけの場合、後からツー
ルを使えば外せる
u 無料ツールだとLibreOffice Writerが使える
PDFではくっついているように⾒えるが…

View Slide

インターネットアーカイブ
u Webページが改変・削除されたとしてもアーカイブ(所謂Web⿂拓)がある
かもしれない
u Wayback Machine
u https://web.archive.org/
u URLを⼊⼒すると過去のページのアーカイブがあれば閲覧することが可能
u Chromeの拡張機能を使うと右クリックメニューからアーカイブへ⾶べる
u セッティングと使い⽅は次のスライドにて
Open xINT CTFの旧公式サイトは閉鎖
https://xintctf.wpblog.jp/
2021年11⽉29⽇時点のアーカイブ
https://web.archive.org/web/20211129162037/http://xintctf.wpblog.jp/

View Slide

Chrome拡張機能の『Wayback Machine』の使い⽅
①
ロゴをクリック
② サービスの承諾。Accept and
Enableをクリック
③右クリックメニューに
Wayback Machineがあることを確認
Oldest Versionをクリック
Wayback Machineのページに⾶ぶことを確認
④

View Slide

問題5 (7分)
u 2019年に某社が公開したPDFに除去可能なマスクがありま
した
u https://news.yahoo.co.jp/byline/ohmototakashi/20191212-
00154609/
u その時のマスクの下に書いてあった ID は何でしたか?
u ヒント: 該当のファイルは現在はマスク除去不可能です

View Slide

Gitリポジトリの情報漏洩
u Gitのコミットログ
u Gitのリモートリポジトリに機微情報をpushしてしまったケース
u たとえ、機微情報を消して更新しても、コミットログは閲覧可能
u アカウント情報
u リポジトリをローカルにクローンすると、
コミットログにメールアドレスが載っていることがある
ReconVillage CTF 2022の問題より
https://github.com/CryptoRamaLtd/snappass/commit/9ec0d9fade49396e8179e4b657260168608f42bb

View Slide

問題6 (3分)
u 問題4で⾒つけたGitHubアカウントが管理するリポジトリ
の中には誤って住所をコミットしているものがあるので
その住所を⾒つけてください

View Slide

おしながき
u はじめに
u 写真の分析
u ⼈の調査
u その他
u おわりに

View Slide

ドメイン調査
u ドメインの所有者名や登録⽇を答えるという問題が出題される
u WHOIS検索(Webアプリ)
u https://tech-unlimited.com/whois.html
u whoisコマンド(CLI)
u ドメイン取得の履歴の調査
u WHOXY
u https://www.whoxy.com/
Whois Historyを選
択し、ドメインを
SEARCHする

View Slide

問題7 (3分)
u “pinja.xyz” というドメインの2016年時点の所有者の名前を
調査してください
u 2016年度 Open xINT CTF の第1問⽬
u ヒント:
u “Privacy service provided by Withheld for Privacy ehf”は不正解
u 2022年時点の所有者です

View Slide

Wi-Fiアクセスポイントの調査
u Wi-FiのアクセスポイントのESSID / BSSID 名を問われるこ
とがある
u Wigleを使う
u 検索機能や地図上にESSIDを表⽰する機能を使うために
ユーザアカウントを登録しておく

View Slide

WigleのCTFでの使い道
u 地図上で検索
u 地図アプリの要領
で今⾒ている場所の
アクセスポイントを
探す
u 描画が遅いので
あまりお勧めしない
u ESSID/BSSIDで検索
u 「View」>「Advanced Search」
※ユーザログイン済み前提です
BSSID/MACアドレス
が与えられている場
合
ESSIDで検索
“%”がワイルドカード
地名で絞る
ESSIDとBSSIDがマップ
上に表⽰される
(Weeybleのアクセス
ポイントが…!)
Viewから
衛星写真
モードに
できる

View Slide

問題8 (7分)
u その昔、秋葉原に『シャッツキステ』というメイド喫茶が
ありました
u 利⽤客にWi-Fiを提供していたのですが、2013/06/14に初め
てWigleで⾒つかったBSSIDを教えてください
u ヒント
u お店の場所にピンポイントでアクセスポイントはありません。すこし
離れた位置にあります。
u マップから探す場合はDate Rangeを2013-2014に設定し、フィルタをかけ
ましょう
u ESSIDを予測することも⼿です。

View Slide

おしながき
u はじめに
u 写真の分析
u ⼈の調査
u その他
u おわりに

View Slide

おわりに
u 演習問題をこなすことで解き⽅の定⽯を理解していただけ
たと思う
u あとはOSINT問の出るCTFに参加して、解きながら学んで
いくのがよいと思う
u したがって、この章では下記について共有する
u OSINT問の出るCTF情報
u OSINTの勉強リソース

View Slide

OSINT問の出るCTFの紹介
u 常設CTFの有名所
u Cyber Detective CTF
u https://ctf.cybersoc.wales/
u OSINT問オンリーの初⼼者向けCTF
u Cyber Investigator CTF
u https://investigator.cybersoc.wales/
u Cyber Detective CTFの続編。難易度は前作よりも上がるが楽しい。全問ヒントあり。
u TryHackMeで “OSINT”で検索するといくつもRoomが出てくる
u 中でもSakura Roomはおすすめ
u https://tryhackme.com/room/sakura
u setodaNote CTF
u https://ctfexh.setodanote.net/
u OSINTカテゴリが出題
u CTFではないが関連サイトとして挙げておく
u Verif!cation Quiz Bot
u https://twitter.com/quiztime
u 毎週平⽇1問、画像の撮影場所や撮影時刻の特定問題を出してくれる。難しい。
u GeoGuessr
u https://www.geoguessr.com/
u ストリートビューの画像から場所を当てるゲーム

View Slide

[備考] 常設CTFのOSINT問の注意点
u 鮮度の問題
u 問題の答えが作問当時から変化
u 例: ETHを⼀番保有しているウォレットアドレスを答える問題
u 作問時(2021)と、私が取り組んだ時(2022)で変化
u オープンソース上に情報がなくなる
u SNSのサービス終了で解答できなくなった問題が存在
u Write-upが出回る
u Write-upを検索エンジンがインデキシングしてしまうと、問題⽂を
⼊⼒しただけで、答えが出てしまうものもある
u 出題された時の難易度で解くことができない

View Slide

OSINT問の出る(過去に出た)競技CTF
u 開催中
u osint.games TENET (9⽉末まで)
u https://www.myosint.training/courses/og-tenet
u 60問程度。40$。円安状況ではきついかもしれない…
u Hacktoria
u https://hacktoria.com/
u OSINT問に関しては⼀番熱⼼に活動している(と私が思う)組織
u ⽉⼀でシナリオベースのOSINT問を出題している。無料。
u 今後の開催予定
u Capture The Talent The Crowd Funded Capture The Flag (2022/10/29 (BST))
u https://www.eventbrite.co.uk/e/capture-the-talent-the-crowd-funded-capture-the-flag-aka-
ctttcfctf-tickets-313023992187?aff=ebdsoporgprofile
u OSINT限定ではないので注意。20£。
u 未定
u DownUnderCTF(9/23〜)
u TsukuCTF(9⽉?)
u Trend Micro CTF(9⽉?)
u Open xINT CTF (10/29? 11/3?)
u IMCTF(12⽉?)

View Slide

OSINT CTFの探し⽅
u 確実なのはTwitterで毎⽇「OSINT CTF」で検索すること
u OSINT FR の Discord サーバの #challenges-list で有志
により情報共有される。
u OSINT FRのDiscord招待リンク
u https://discord.com/invite/E2XDKNc
Merci!

View Slide

OSINTの勉強リソース
u ツール、テクニックまとめサイト
u 【CTF】OSINT問題で個⼈的に使⽤するツール・サイト・テクニックま
とめ - Qiita
u https://qiita.com/xryuseix/items/e35b8c946e5dfe96f848
u OSINT問に特化した形でツールがまとめられている。このサイトを開きなが
らOSINT問を解くとよいと思う
u OSINT Dojo Resources
u https://www.osintdojo.com/resources/
u 動画
u Bendobrown OSINT At Homeシリーズ
u https://www.youtube.com/c/Bendobrown
u 画像分析に関して実⽤的なテクニックを多数紹介している
u OSINT Dojo
u https://www.youtube.com/osintdojo

View Slide

OSINTの勉強リソース
u 記事
u Belling Catの記事
u https://www.bellingcat.com/
u Nixintel⽒のブログ
u https://nixintel.info/
u OSINTCurio.usの記事
u https://osintcurio.us/
u Twitterはまずは下記2つフォローし、芋づる式に増やす
u @cyb_detective
u https://twitter.com/cyb_detective
u @OSINTtechniques
u https://twitter.com/OSINTtechniques

View Slide

まとめ
u CTFのOSINT問に関して、初めて解く⽅を対象に、
頻出問題とそれを解くためのテクニックを紹介した
u 後はOSINT問を解きながら都度解き⽅を学んでいくのが
いいと思う
u ぜひ試⾏錯誤しながら解く過程を楽しんでください!

View Slide

参考⽂献
u Security Days 2021「OSINT:ハッカーから⾒えるインター
ネットの世界」
u OSINT (Open Source Intelligence) | 晴耕⾬読
u https://tex2e.github.io/blog/security/osint
u 【IT弁護⼠監修】スクレイピングは違法︖法律に基づいて
徹底解説 – PigData | ビッグデータ収集・分析・活⽤ソ
リューション
u https://pig-data.jp/blog_news/blog/scraping-
crawling/scrapinglaw/

View Slide

おしながき
u はじめに
u 写真の分析
u ⼈の調査
u その他
u おわりに

View Slide

問題1解答
u EXIFにGPS情報が含まれていることがわかる
u 「<付近の住所> ナイトツアー」で検索するとツアー名が
ヒット

View Slide

問題2解答
u 「ひし形が3つ並んだロゴがキーになりそうだ」という仮説を
持つ
u ロゴで画像をトリミング
そのまま逆画像検索に⼊れるのではなく、
マークの部分だけを切り取って⼊れる

View Slide

問題2解答
u Googleで逆画像検索後にテキスト検索を使⽤することで
ゲームイベント名が”EVO”だとわかる
u (もしかすると既にご存じの⽅もいたかも知れませんね)
そのままではいまいちな結果
この画像を逆画像検索にかける検索フォームに「game event」と⼊⼒し検索すると、
ゲームイベントに関連するものに(答えもヒット)

View Slide

問題2解答
u EVOの会場の場所を調べる
u 「evo game event location」などで調べる
u MANDALAY BAYだとわかる
u また、8⽉に開催していることもわかる
u 8⽉のMANDALAY BAYのセキュリティイベントを調べる
u → “Black Hat USA”
https://www.evo.gg/events

View Slide

問題3解答
u 画像から「PARA CITY博多」を⾒つける
u Googleマップの航空写真でおおよその場所の検討をつける

View Slide

問題3解答
u お題の写真の灯籠のようなものを数える
u 5つ分
u つまり、奥から灯籠5つ分の位置から撮影しているので、そこの座標を調べる。
u 答え: 33.5893,130.4094

View Slide

問題4解答
u Twitterで検索する
u 単純に「meow_noisy サブアカウント」でヒットする
u WhatsMyNameで調べるとヒット
u 答え: GitHub

View Slide

問題5解答
u 答えは割愛
u ヒント⽂の「現在は」の部分に着想を得ていただきたい
u 「漏えい情報の発⾒」パートで何を習ったか思い出していただきたい

View Slide

問題6解答
u Githubのリポジトリを⾒てみる
u ほとんどはforkしたリポジトリだが、profileというリポジトリが怪
しい
u readme.md のコミットログを確認
u 住所を編集履歴が存在

View Slide

問題7解答
u WHOXYの Whois History で pinja.xyz を検索すると、
2016年頃の情報がヒット
u 所有者がわかる

View Slide

問題8解答
u アプローチ1 : シャッツキステ周辺を⽬視で探す
u これはこれで楽しい
u アプローチ2: ESSIDを予測してAdvanced Searchの利⽤
シャッツキステがあった場所
Countryを
JPに絞っ
ておくと
よい
ワイルドカー
ドを使⽤して
検索

View Slide

ご清聴ありがとうございました
@meow_noisy

View Slide

CTF OSINTカテゴリ入門

CTF OSINTカテゴリ入門

meow

More Decks by meow

Other Decks in Technology

Featured

Transcript

CTF OSINTカテゴリ 入門

CTF OSINTカテゴリ 入門

meow

More Decks by meow

Other Decks in Technology

Featured

Transcript

CTF OSINTカテゴリ入門

CTF OSINTカテゴリ入門