Cuando una Clave Privada SSH es una Imagen AGETIC - CTF

Introducción

Recientemente, mientras analizaba un reto tipo CTF (Capture The Flag) relacionado con AGETIC, me encontré con un archivo que, a primera vista, parecía ser una clave privada en formato OpenSSH. Sin embargo, al intentar usarlo, algo no cuadraba... 

Este artículo es un paso a paso de cómo detecté que la supuesta "clave privada" en realidad era una imagen codificada en Base64 y cómo puedes aplicar este método en tus propios análisis. 

Revisar el archivo sospechoso

El archivo miLlave contenía lo siguiente:

Descagar archivo CTF

-----BEGIN OPENSSH PRIVATE KEY-----

/9j/4AAQSkZJRgABAQAAAQABAAD/2wBDAAoHBwgHBgoICAgLCgoLDhgQDg0NDh0VFhEYIx

...

-----END OPENSSH PRIVATE KEY-----

A primera vista, parece una clave privada SSH, pero algo llamó mi atención: la línea que empieza con /9j/. 

Comprobar el formato del archivo

Antes de intentar usar la clave, ejecuté el siguiente comando:

En un archivo de clave privada SSH válido, debería aparecer algo como:

miLlave: OpenSSH private key

Pero en mi caso, el resultado fue inesperado:

miLlave: ASCII text

Eso significaba que no era una clave privada real. 

Paso 3: ¿Es una imagen en Base64?

El prefijo /9j/ me resultó familiar. Es un indicador típico de una imagen JPEG codificada en Base64. Para confirmarlo, eliminé las líneas de encabezado y pie (BEGIN y END) y decodifiqué el archivo con este comando en Linux/macOS:

cat miLlave | sed '1d;$d' | base64 -d > salida.jpg

O, si estás en Windows, puedes usar Python:

import base64

with open("miLlave", "r") as f:

    data = f.read().splitlines()[1:-1]  # Eliminar BEGIN y END

    decoded = base64.b64decode("".join(data))

with open("salida.jpg", "wb") as img:

    img.write(decoded)

Tras abrir salida.jpg, ¡descubrí que en realidad era una imagen escondida dentro del archivo!

¿Qué aprendimos?

• Siempre verifica el formato de los archivos sospechosos. 
• Usa file y revisa si el contenido parece ser Base64. 
• Si un archivo empieza con /9j/, intenta decodificarlo como imagen JPEG. 
• En CTFs, a veces las "pistas" son engañosas y requieren análisis más profundo.

 Conclusión

Este tipo de reto es un buen ejemplo de cómo AGETIC y otros CTFs pueden entrenarnos en análisis forense y técnicas OSINT. La próxima vez que veas un archivo sospechoso, ¡no asumas que es lo que parece! 

Si te gustó este artículo, comparte y comenta qué otros desafíos CTF te gustaría que resolviéramos juntos. 

Sígueme en mi blog para más contenido de hacking y seguridad!

ADVERTENCIA: NO INTENTE HACER UN ATAQUE SIN EL PERMISO DE PROPIETARIO DEL SITIO WEB. ES UN PROPÓSITO EDUCATIVO SOLAMENTE. NO ES RESPONSABLE DE NINGÚN TIPO DE PROBLEMA ILEGAL. 

PERMANECE LEGAL. 

GRACIAS! 

Si tienes algún problema, deja un comentario y comparte tú opinión. 

¿Ha quedado contestada su pregunta?