# Introduction

Sau đây là writeup của mình cho 4 câu Forensics mình giải được ở giải HCMUS-CTF 2025 vừa qua.

# Forensics/TLS Challenge
> Can you extract the flag from encrypted HTTPS?
> Author: Walky

Ở bài này, ta có 1 file pcap và 1 file keylog. Ta sử dụng file keylog để decrypt HTTPS đã bị mã hóa TLS.


**Flag: HCMUS-CTF{tls_tr@ffic_@n@lysis_ch@ll3ng3}**

# Forensics/Trashbin
> Someone’s been treating my computer like a trash bin, constantly dumping useless files into it. But it seems he got careless and dropped a really important one in there. Even though he deleted it afterward, it might have been too late—hehe😏.
> Author: bachtam2001

Tiếp tục được cho 1 file pcap, ta mở nó lên để phân tích.

Ta thấy các file liên tục được gửi qua bằng giao thức SMB, ở des có nói đó là người gửi đã gửi nhầm 1 file quan trọng và sau đó cố xóa nó.


Ta thấy status: CANCELLED => có vẻ như file bị gửi nhầm chính là file **flagishere_228.zip**, trích xuất nó ra và có được flag.

**Flag: HCMUS-CTF{pr0t3ct_y0ur_SMB_0r_d1e}**

# Forensics/Disk Partition
> Too many flags... but only one is real.
> Author: Walky

Ta được cho 1 file disk, sử dụng autopsy để phân tích nó.


Ở phân vùng thứ 2 có 50 file và có vẻ như đều là fake flag.
Kiểm tra qua phân vùng thứ 3 thì có được flag real.

**Flag: HCMUS-CTF{1gn0r3_+h3_n01$3_f1nd_m@c}**

# Forensics/File Hidden
> Relax and chill with this lo-fi track... but listen caffuly — there might be something hidden in the sound waves.
> Author: Walky

Ta được cho 1 file wav bài Thiên Lý Ơi của J97, mình đã thử sử dụng **Audacity** và **Sonic Visualiser** để phân tích nhưng không mang lại kết quả gì, mở lên nghe thử cũng không thấy gì có vẻ khả nghi.

Sau đó khi mình thử trích xuất LSB và bỏ qua 44 byte header thì có được thứ sau:

Đây là code mình dùng để trích xuất:

with open("JACK_J97_｜_THIÊN_LÝ_ƠI.wav", "rb") as file:
    data = file.read()

with open("output.txt", "w") as f:
    for byte in range(44, len(data)):
        f.write(str(data[byte] & 1))


Ở trên có vẻ chính là header của file zip `50 43 03 04`, sau đó mình điều chỉnh một chút rồi trích xuất file zip về và có được flag.


**Flag: HCMUS-CTF{Th13nLy_0i_J4ck_5M1ll10n}**