# Скрытый канал в пингах Pinecraft | 3 флага | Форензика

## Информация

> Атакующий проник глубже. После компрометации сервера Pinecraft он развернул
> изощрённый инструмент эксфильтрации данных, маскирующий украденную информацию
> внутри ICMP Echo Request пакетов — под видом обычных пингов между узлами
> Minecraft-кластера. Администратор заметил аномальный трафик и сохранил дамп.
> Найди все три следа, которые оставил атакующий.

## Описание

Задача на продвинутый анализ сетевого трафика (PCAP ~10 КБ). Участник должен:

1. Среди фонового трафика (TCP 25565 Minecraft, DNS, ARP, обычные пинги) обнаружить
   HTTP POST-запрос с path traversal в API загрузки плагинов.
2. Выделить ICMP Echo Request пакеты с идентификатором `0x1337` и декодировать
   hex-encoded полезную нагрузку.
3. Найти ключ шифрования в HTTP-заголовке ответа `X-Session-Key`, выделить
   ICMP Echo Request пакеты с идентификатором `0x4D43` и расшифровать XOR-зашифрованную
   полезную нагрузку.

Сложность: 11 класс (продвинутый уровень). Требует знания фильтрации ICMP по полям,
работы с hex-кодировкой и XOR-шифрования.

## Решение

1. Фильтр `http.request.method == POST` — найти path traversal в URL → Флаг 1
2. Фильтр `icmp.ident == 0x1337` — извлечь payload, hex decode → Флаг 2
3. Заголовок `X-Session-Key: p1n3cr4ft` из HTTP-ответа + фильтр `icmp.ident == 0x4D43` — XOR дешифрование → Флаг 3

[Решение](solve/task.md)

## Флаги

1. `vsosh{/api/plugins/upload}` — эндпоинт, эксплуатируемый атакующим через path traversal
2. `vsosh{1cmp_c0v3rt_ch4nn3l}` — данные из ICMP-канала с hex-кодировкой (id=0x1337)
3. `vsosh{h1dd3n_3xf1ltr4t10n}` — данные из ICMP-канала с XOR-шифрованием (id=0x4D43)
