# 2024 DIVER OSINT CTF Writeup
## Intro
### About Me
我是北科資工四的林星主，目前已多次參與各種資安競賽及活動(如：AIS3、台灣好厲駭、HITCON等等)，這是我第一次打 OSINT 相關的 CTF。

為數不多的 OSINT 經驗：
- 在台灣好厲駭的課程中理解 OSINT(Open Source INTelligence) 是甚麼，並且嘗試~~肉搜網紅的家(課堂練習)~~
- 稍微玩過 [geoguessr](https://www.geoguessr.com/)

### About CTF
這是在今年 6 月由一位**日本人** diver_osint 所主辦的 [OSINT CTF](https://ctftime.org/event/2365/)，以下題目都來源於這個 CTF。

### Environment and Tools
- 環境：
- Windows11
- 軟體：
- Firefox
- VS code
- Adobe Acrobat
- Word
- 小畫家
- 工具網站：
- 經緯度轉換 https://sample.diary.tw/18/maps.htm
- File Magic numbers
- https://gist.github.com/leommoore/f9e57ba2aa4bf197ebc5
- https://asecuritysite.com/forensics/magic

## introduction
### office
:::info
ファイルから得られるFlagを入力してください。
Input the flag obtained from the file.
:::
1. 下載檔案
2. 點開來後看到可以看到是一個沒什麼資料的 odt 檔案
3. 使用 vscode 的插件 Hex Editor 打開這份檔案
4. 比對一下 [File Magic Numbers](https://asecuritysite.com/forensics/magic)，發現這份 odt 檔的前面和 zip 檔的 magic number 對上了
5. 直接在檔案管理員把它的附檔名改成 .zip
6. 解壓縮後，點開資料夾可以在 Thumbnails 中看到一張圖片
7. flag:
:::success
Diver24{World Ocean Day}
:::
## geo
### imagetrack
:::info
画像の撮影された郷土料理屋の店名を答えよ。
Flag形式: `Diver24{店名}`

Please provide the name of the local cuisine restaurant where the image was taken.
Flag format: `Diver24{restaurant name}`
:::
1. 下載圖片
2. 嘗試在 google 的以圖搜尋找到資訊，但範圍有點太大的(似乎很多餐廳有類似的杯子)
3. 對圖片右鍵查看內容，發現裡面有 GPS 的資料
4. 使用經緯度轉換位置
5. 打開 google 地圖，將地圖放大，可以看到這個區域有一間餐廳
6. 嘗試在這間餐廳的照片裡面找線索，發現了這張圖片，基本上可以推測這間餐廳有提供 Open air 的服務
7. flag:
:::success
Diver24{郷土料理 からす}
:::

## misc
### timestamp
:::info
"53" と塗装されている航空機の写真が撮影された日時を答えよ。
[https://twitter.com/jointstaffpa/status/1767515646286549226](https://twitter.com/jointstaffpa/status/1767515646286549226)
Flag形式: `Diver24{YYYY-MM-DDThh:mm}`
例えば2024年4月1日13時45分に撮影された場合、`Diver24{2024-04-01T13:45}` となる。

Answer the date and time the photograph of the aircraft painted “53” was taken.
[https://twitter.com/jointstaffpa/status/1767515646286549226](https://twitter.com/jointstaffpa/status/1767515646286549226)
Flag format: `Diver24{YYYY-MM-DDThh:mm}`
For example, if the photo was taken at 13:45 on 1 April 2024, the flag should be `Diver24{2024-04-01T13:45}`.
:::
1. 點開連結，可以看到一篇防衛省統合幕僚監部在2024年3月12日發的文章
2. 這個應該是一個國家機關的社群帳號，所以在 google 搜尋「防衛省統合幕僚監部」找看看有沒有他們的官網(理論上這種國防資訊應該都會有事件公告)
3. 嘗試尋找這個事件的公告，在報道発表資料(新聞稿資料)中找到2024年3月12日的公告，標題和貼文的內容對上了
4. 點進去會得到該公告的完整[PDF檔案](https://www.mod.go.jp/js/pdf/2024/p20240312_01.pdf)，裡面就包含貼文的那四張照片，推測需要從PDF上取得照片資料
5. 詢問 ChatGPT 該如何從 PDF 上取得照片資料。這邊他是推薦先使用 Adobe Acrobat 擷取圖片後，再用 exiftool 得到照片資料
6. 打開 Adobe Acrobat，按下 Ctrl + A 點選圖片後選擇複製圖片
7. 將圖片貼到小畫家上，突然就直接看到了日期和時間
8. flag:
:::success
Diver24{2024-03-12T15:55}
:::

## history

### number
:::info
この車両の持ち主に連絡を取りたい。電話番号を調べてもらえないだろうか。
Flag形式: `Diver24{0123456789}`

注意: 実際に電話を掛けてはならない。

I would like to contact the administrator of this vehicle. Could you please find out their telephone number?
Flag Format: `Diver24{0123456789}`
:::
1. 放大圖片發現這輛車的車牌號是「外-4906」
2. 因為不太理解日本的車牌格式，所以在 google 搜尋「日本車牌」，可以看到日本車輛號牌的 [wiki](https://zh.wikipedia.org/zh-tw/%E6%97%A5%E6%9C%AC%E8%BB%8A%E8%BC%9B%E8%99%9F%E7%89%8C#%E7%89%B9%E6%AE%8A%E8%99%9F%E7%89%8C)
3. 快速瀏覽一下，發現藍底白字的「外」代表是大使館的車
4. 繼續在 google 搜尋「日本的大使館車牌」，沒有找到其他的資訊
5. 為了找日本的網站，所以直接複製剛剛 wiki 裡面的日文「外ナンバー」來做搜尋，在搜尋的推薦裡面有一個「外ナンバー 一覧」，感覺有機會找到大使館的列表
6. 找到了一篇關於[外交官車輛](https://warmheart0159.hatenablog.com/entry/2017/06/06/162406)的文章，裡面就有完整的大使館列表和更多詳細的車牌號碼的介紹，包含號碼的前兩位代表國家，後兩位代表車輛的標號
7. 在列表裡面找到 49 代表的國家是科威特
8. 因為是大使館的車輛，所以它的 administrator 應該是大使館而不是某個人。複製科威特的日文，搜尋「クエート 大使館」，就可以找到大使館的網站
9. 進到網站，滑到最下面就可以看到大使館的連絡電話
10 flag:
:::success
Diver24{0334550361}
:::
### promoter
:::info
画像に写っている池沼を開拓した発起人の父親の命日を答えよ。
Flag形式: `Diver24{yyyy/MM/dd}`

The pond in the image was cultivated by a certain person who initiated the development in 1628 (Kan'ei 5, 寛永5年). Give the date of death of this person's father.
Flag Format: `Diver24{yyyy/MM/dd}`

Note: "Kan'ei" (寛永) is one of Japanese era name. ([wikipedia](https://en.wikipedia.org/wiki/Kan%27ei))
:::
1. 下載圖片
2. 嘗試在 google 的以圖搜尋找到資訊，因為是日本的比賽，所以我們直接找跟日本相關的景點(忽略韓國景點)
3. 點進去之後，可以知道這是一篇旅遊愛知縣明治村的文章，往下滑找到這張照片，跟題目的照片可以判斷是同一個地方
4. 在 google 地圖上搜尋明治村，可以直接看到這個地方旁邊有一個「入鹿池」
5. 知道池塘的名稱後，嘗試尋找這個池塘在 1628 年開發的相關資訊，所以在 google 搜尋「入鹿池 1628」，找到了入鹿池的[wikipedia](https://ja.wikipedia.org/wiki/%E5%85%A5%E9%B9%BF%E6%B1%A0)
6. 打開 wikipedia，透過翻譯稍微讀一下內容，發現有六個人負責這個開發案
7. 繼續往下，可以看到那六個人的詳細資料，其中第一個人推測是主要負責人。從這個介紹可以知道他的父親叫做「江崎善左衛門宗堂」，過世於1627年，但沒有詳細日期
8. 為了尋找這位父親的過世日期，所以在 google 搜尋該父親的日文名字和死亡年分「江崎善左衛門宗度 1627」，找到了一份也是在說明入鹿池建設的 [PDF](https://www.jsidre.or.jp/wordpress/wp-content/uploads/2016/03/49-7.pdf) 文件，在最後一頁會看到入鹿六人眾的資料，其中就包含這位父親的過世日期
9. flag:
:::success
Diver24{1627/11/13}
:::

## military
### osprey1
:::info
2023年11月29日、アメリカ軍のオスプレイ（V-22）が日本の屋久島沖で墜落した。この機体の番号と、墜落時のコールサインは何か。
Flag形式: `Diver24{XX-XXXX_CALLSIGN}`
たとえば機体登録番号が01-2345、コールサインがCALL01の場合、Flagは `Diver24{01-2345_CALL01}` となる。

この事故に関する問題は本CTFにおいて3問あります。正解することで1問ずつアンロックされます。

On 29 November 2023, a US military Osprey (V-22) crashed off Yakushima Island, Japan. What is the number of this aircraft and what was its call sign at the time of the crash?
Flag format: `Diver24{XX-XXXX_CALLSIGN}`
For example, if the aircraft registration number is 01-2345 and the callsign is CALL01, the flag should be `Diver24{01-2345_CALL01}`.
:::
1. 在 google 搜尋「屋久島 V-22 2023」，發現在台灣的新聞中沒有甚麼有用的資訊，只知道是V-22中的CV-22機型
2. 為了找到日本的文章，所以在 google 直接複製題目上的日文來搜尋編號和呼號「屋久島 CV-22 番号 コールサイン」，點開[第一篇文章](https://fr24.quora.com/2023-11-29-%E4%BB%8A%E6%97%A5-%E5%B1%8B%E4%B9%85%E5%B3%B6%E6%B2%96%E3%81%A7%E7%B1%B3%E7%A9%BA%E8%BB%8D%E3%81%AECV-22-%E3%82%AA%E3%82%B9%E3%83%97%E3%83%AC%E3%82%A4%E3%81%8C%E5%A2%9C%E8%90%BD%E3%81%97%E3%81%9F%E3%82%88%E3%81%86%E3%81%A7%E3%81%99-%E3%81%93%E3%81%AE%E6%A9%9F%E4%BD%93%E3%81%AF%E6%A8%AA%E7%94%B0%E5%9F%BA%E5%9C%B0%E3%81%AB%E9%85%8D%E5%B1%9E%E3%81%95%E3%82%8C%E3%81%A6%E3%81%84%E3%82%8B-%E3%82%A2%E3%83%A1%E3%83%AA%E3%82%AB%E7%A9%BA%E8%BB%8D-%E7%AC%AC353%E7%89%B9%E6%AE%8A%E4%BD%9C%E6%88%A6%E8%88%AA%E7%A9%BA%E5%9B%A3-%E7%AC%AC21%E7%89%B9%E6%AE%8A%E4%BD%9C%E6%88%A6%E9%A3%9B%E8%A1%8C%E9%9A%8A-%E6%89%80%E5%B1%9E%E3%81%AE%E6%A9%9F%E4%BD%93%E3%81%AE%E3%82%88%E3%81%86%E3%81%A7%E3%81%99-%E7%AC%AC21%E7%89%B9%E6%AE%8A%E4%BD%9C%E6%88%A6%E9%A3%9B%E8%A1%8C%E9%9A%8A%E3%81%AE%E4%BB%BB)，往下滑就可以看到編號和呼號
3. 在 google 搜尋這個編號和呼號也可以在 X 上看到一些相關的文章來驗證這個資料的正確性
4. flag:
:::success
Diver24{12-0065_GUNDAM22}
:::