WRITE-UP Омсква

Описание: О ней ходят легенды. Выражение столичного мифа, элемент соревновательной его формы. Кто-то распространил сайт с петицией о переносе столици России в Омск, и все закружилось. Найдите IP адрес этого человека. Уцуцуга с элементами осинта. Извините.

https://omskwa.ru/

Сначала нас встречает сайт omskwa.ru.

Автор хочет перенести столицу из Москвы в Омск и собирает подписи в петицию для того, чтобы это получилось.

Начинаем исследование этого сайта, но к сожалению ничего особо интересного на самом сайте не находим.

P.S: участники смогли достать исходники сайта и выгрузить базу данных тех, кто подписал петицию, что являлось ханипотом и многих свело с верного пути.

Продолжая наше исследование сайта и немного поресерчив способы osint'а сайтов, мы можем узнать про osint ssl сертификатов. Так как ssl сертификаты являются публичными, то информация из них общедоступна и хранит в себе много интересных данных.

C помощью этой команды можно вытащить данные о сертификате с сайта omskwa.ru:

𝚎𝚌𝚑𝚘 | 𝚘𝚙𝚎𝚗𝚜𝚜𝚕 𝚜_𝚌𝚕𝚒𝚎𝚗𝚝 -𝚌𝚘𝚗𝚗𝚎𝚌𝚝 "𝚘𝚖𝚜𝚔𝚠𝚊.𝚛𝚞:𝟺𝟺𝟹" -𝚜𝚎𝚛𝚟𝚎𝚛𝚗𝚊𝚖𝚎 "𝚘𝚖𝚜𝚔𝚠𝚊.𝚛𝚞" 𝟸>/𝚍𝚎𝚟/𝚗𝚞𝚕𝚕 | 𝚘𝚙𝚎𝚗𝚜𝚜𝚕 𝚡𝟻𝟶𝟿 -𝚗𝚘𝚘𝚞𝚝 -𝚝𝚎𝚡𝚝

Из вывода этой команды мы узнаем, что данный сертификат использовался не только для домена omskwa.ru, но и для доменов: ivan-rezume.ru и predskazanya.ru.

X509v3 Subject Alternative Name: DNS:ivan-rezume.ru, DNS:omskwa.ru, DNS:predskazanya.ru, DNS:www.omskwa.ru

Исследуем новые домены:

1. Домен predskazanya.ru: обычный сайт-шарманка, который к числу подставляет +1 и выводит это через 20 секунд;
2. Домен ivan-rezume.ru: сайт, который продолжает лор самого задания, на нем находится резюме автора проекта Омсква. Из него мы узнаем фамилию и имя героя, а также то чем он занимался раньше.

При отправке формы обратной связи на сайте ivan-rezume.ru всплывает сообщение с почтой Ивана под доменом Яндекса:

Спасибо! Мы свяжемся с вами с почты omskwich.ivan@yandex.ru.

Почта Ивана и является следующим шагом в нашем осинте.

Чтобы узнать какую-то информацию про Яндекс аккунт Ивана, нужно каким-то образом достать его публичный id на сервисах Яндекс. Одним из способов является просмотр расписания через почту.

Если при написании письма в Яндекс почте навестись на аватарку Ивана, появится всплывающее окно в котором будут две кнопки: "Написать сообщение" и "Посмотреть расписание".

После перехода на его расписание, открывается Яндекс Календарь для этого пользователя. В url будет его публичный id:

https://calendar.yandex.ru/schedule/public/a8gfbo7qg9c29?uid=315208093

Если подставить этот публичный id (a8gfbo7qg9c29) в url профилей сервисов Яндекса, то можно собрать много интересной информации об аккаунте:

• Отзывы о товарах, местах и услугах (reviews.yandex.ru/user/a8gfbo7qg9c29)
• Вопросы и ответы на сервисе «Яндекс Кью» (yandex.ru/q/profile/a8gfbo7qg9c29)
• Публичные списки мест на народных Картах (n.maps.yandex.ru/#!/users/a8gfbo7qg9c29)
• Маркет (market.yandex.ru/user/a8gfbo7qg9c29)

Нас интересует n.maps.yandex.ru, который имеет интересный функционал для отправки сообщений в Яндекс Мессенджере (да да, такой тоже существует, но является скорее корпоративным), в который нельзя попасть просто по публичному id пользователя.

Нужно зайти на его профиль в народных картах и справа сверху нажать на кнопку "Сообщение":

У нас откроется окно, где мы можем ему написать:

Если мы нажмем на кнопку расширения окна (new-tab-outline-md), то мы провалимся в сам Яндекс Мессенджер.

Там в описании профиля Ивана можно увидеть следующую информацию:

@sAOeNT - для личных вопросов

Получаем никнейм sAOeNT. Ищем этот никнейм, например вот на этом сайте: https://instantusername.com/?q=sAOeNT.

Находим там аккаунт телеграмм.

Дальше начинается самый УЦУЦУЖНЫЙ момент всего таска, из-за которого и появился тег UCUCUGA в описании.

Сам тг аккаунт ничего не имеет и никуда не ведет, ничего оттуда полезного не получится вытащить, доступно только писать сообщения и звонить, но на каждое сообщение тебе моментально отвечают "Кря". Если погуглить что-то про "telegram ip steal", то можно наткнуться на пост в реддите, где один из комментаторов упоминает про телеграмм звонки peer-to-peer:

He called you on telegram and you have peer-to-peer enabled. Change that thing to nobody in the privacy settings. He wouldn't need a "paid IP grabber" for that though.

Почему бы не попробовать это сделать, раз уж Иван не закрыл телеграмм звонки. Для начала нам нужен клиент Telegram (к сожалению в веб версии это не сработает). Также мы должны в настройках самого телеграмма поставить настройку, чтобы можно было звонить peer-to-peer не только контактам, а всем:

Далее открываем WireShark, выбираем интерфейс и звоним. Вам отвечает Иван и сбрасывает вызов после соединения, но в трафике уже будет лежать его ip. Отфильтровываем по протоколу STUN и смотрим в XOR-MAPPED-ADDRESS: