ECOWAS CTF 2026 — SEE [MISC/OSINT]
CTF : ECOWAS CTF 2026 · Catégorie : MISC · Difficulté : ⭐⭐ (Medium) · Points : 150
← Retour à l’index du CTF
Writeup par : 0xWhoAm1 — Équipe DarkPulse
Description du challenge
Un email de sécurité informatique identifie une cible spécifique et définit une procédure de récupération de mot de passe temporaire. Le format du mot de passe est décrit par des règles à décoder depuis des profils fictifs.
Analyse de l’email de sécurité
L’email fournit plusieurs informations clés :
- Utilisateur cible :
EWI-047— décrit comme le seul utilisateur VPN sur un “ancien royaume” - Format du mot de passe :
team token+année du milestone d'Abidjan+symbole habituel
Des commentaires HTML cachés dans l’email précisent :
- Le “team token” = le shorthand utilisé par les fans dans leurs profils
- Le “milestone” = l’année de la cérémonie du hub régional (visible sur les badges)
Reconstruction du mot de passe
1. Identifier la cible : EWI-047 = Yao N’Guessan
En consultant la fiche de l’utilisateur Yao N’Guessan (ID: EWI-047) :
Équipe favorite : ASEC Mimosas (club de football ivoirien)
Team Token : La fiche précise explicitement le fan shorthand utilisé dans les réseaux sociaux → Mimos
2. Trouver le Milestone Year
La fiche de Yao indique que l’année du milestone figure sur le pied de page du badge d’accès au bâtiment. Le badge affiche :
EST. MMXIX Conversion du chiffre romain : MMXIX = M(1000) + M(1000) + X(10) + IX(9) = 2019
Les chiffres romains utilisés : M=1000, D=500, C=100, L=50, X=10, V=5, I=1. La notation soustractive IX = 10-1 = 9.
3. Trouver le symbole habituel
La section digital_hygiene du profil précise que Yao termine systématiquement ses statuts personnels avec un tilde ~, et utilise ce même suffixe pour ses mots de passe personnels.
4. Assemblage
| Composant | Valeur | Source |
|---|---|---|
| Team Token | Mimos | Fan shorthand dans le profil |
| Année Milestone | 2019 | Badge EST. MMXIX → conversion romaine |
| Symbole habituel | ~ | Section digital_hygiene |
Flag
Mimos2019~ Leçons apprises
Ce challenge illustre la reconstruction de mot de passe par OSINT : toutes les informations nécessaires étaient dans des profils accessibles (badge, préférences, habitudes numériques). En contexte réel, ce type d’attaque (social engineering + OSINT) est l’un des vecteurs d’intrusion les plus fréquents.
| Information divulguée | Risque |
|---|---|
| Équipe sportive favorite (publique) | Partie du mot de passe |
| Année d’anniversaire d’une structure (badge) | Partie du mot de passe |
| Habitudes de signature numérique | Suffixe du mot de passe |
La protection : ne jamais construire ses mots de passe depuis des informations publiques ou prévisibles, et utiliser un gestionnaire de mots de passe.