Qué es misc y por qué se automatiza

Bienvenida

Bienvenido a CTF misc: automatizar con scripts. Es para quien ya juega o quiere empezar a jugar CTF y se topó con retos que no encajan en ninguna categoría y que, hechos a mano, no terminan nunca. Le sirve también si trabaja o quiere trabajar en un SOC, porque el reto final es lo que hace un analista cuando le llega un script ofuscado. Necesita una VM con Linux o un Windows con Python 3 (lo instala desde python.org si no lo tiene) y saber abrir una terminal.

Son cinco lecciones: esta, una para reconocer codificaciones a ojo, una práctica guiada con grep y awk, el reto de Café del Valle con su flag y el writeup. Cierra un quiz de 4 preguntas. Calcule unos 50 minutos.

Qué es misc en un CTF

Misc es miscellaneous, "varios". Es el cajón donde los organizadores ponen lo que no es web, ni cripto, ni forense, ni reversing: un archivo con mil capas de base64, un servicio que le hace 500 preguntas de aritmética en 30 segundos, un log de cien mil líneas donde hay que encontrar una sola, un código QR partido en pedazos.

Lo que esos retos tienen en común casi siempre es el volumen. La técnica de cada paso es sencilla; lo difícil es que son demasiados pasos para hacerlos a mano. Por eso la habilidad que se entrena en misc es escribir un script corto, de 20 o 30 líneas, que haga el trabajo repetitivo mientras usted piensa.

Cómo se reconoce uno

Las señales que yo miro en el enunciado y en los archivos:

Señal	Qué suele significar
Un archivo de texto de una sola línea muy larga	Codificación anidada: hay que pelar capas
Un .log o .csv de miles de líneas	Hay que filtrar y contar, no leer
"Responda rápido", un puerto con nc y un límite de tiempo	Hay que automatizar la conversación
Pocos puntos y nombre en broma	Suele ser fácil, pero largo

La primera vez que me tocó una cebolla de base64 la pelé en CyberChef copiando y pegando. Llegué a la capa 14, me equivoqué de botón y perdí la cuenta. Desde entonces, si a la tercera capa no veo el fondo, abro el editor y escribo el bucle.

Lo que esto tiene que ver con un SOC

Desofuscar en capas es trabajo diario del analista. Un adjunto de phishing trae un .js que hace eval de un texto en base64; un acceso directo lanza powershell -enc seguido de un bloque en base64 que, decodificado, descomprime otro bloque con DeflateStream; una macro arma la orden con Chr() y concatenaciones. Cada capa es fácil. Son muchas, cambian de una muestra a otra, y el atacante cuenta con que el analista se canse en la cuarta.

El reto de esta píldora usa el mismo patrón con un contenido inofensivo: al fondo solo hay una nota. Lo que se lleva al trabajo es el método: reconocer la capa, quitarla con código, repetir y, cuando aparece algo legible, cruzarlo con los registros.