🌐Web / Forensic - Projet Orion-Verifier

Énoncé

Nous avons mis la main sur un portail de vérification de l'unité Orion (en version Alpha) ainsi que sur une archive de leur dépôt de code source (fichier ZIP). D'après nos renseignements, un développeur incompétent d'Orion a malencontreusement commité un fichier critique contenant des secrets avant de réaliser son erreur. Il a cru bien faire en supprimant le commit et en réécrivant l'historique... Mais sur Git, rien ne disparaît vraiment si l'on sait où chercher.

42KB

orion_verifier.zip

archive

Ouvrir

---

Reconnaissance initiale

Contenu du dépôt

L'archive fournie contient un dépôt Git avec la structure suivante :

orion_verifier/
├── .git/           
├── CHANGELOG.md
├── README.md
├── config.py
├── docs/
├── requirements.txt
├── tests/
└── verifier.py

Historique Git visible

git log --all --oneline --graph

* 7347a24 Update changelog and remove sensitive files
* 0394d53 Add unit tests
* 2bff3d9 Add documentation and gitignore
* f48e3f4 Initial commit: Setup du projet Orion Verifier

L'historique "propre" ne contient que 4 commits anodins. Le dernier en date (7347a24) mentionne explicitement "remove sensitive files", ce qui est déjà un indice fort : quelqu'un a essayé d'effacer quelque chose.

---

Analyse du .git

Fichiers clés du répertoire .git

.git/
├── COMMIT_EDITMSG
├── HEAD
├── ORIG_HEAD       
├── logs/
├── objects/    
├── packed-refs
└── refs/

Le fichier ORIG_HEAD

Lorsqu'un développeur effectue un git reset, git rebase, ou git merge, Git sauvegarde automatiquement l'ancien pointeur HEAD dans le fichier ORIG_HEAD. C'est un mécanisme de sécurité interne de Git, conçu pour permettre l'annulation de l'opération.

$ cat .git/ORIG_HEAD
249823615b585bbc30f6c398bdf10fd21f5d86fc

Ce hash pointe vers un commit qui n'apparaît plus dans git log : il est orphelin (unreachable), mais toujours présent dans les objets Git.

---

Retrouver le commit supprimé

Vérification avec git fsck

$ git fsck --unreachable
unreachable commit 249823615b585bbc30f6c398bdf10fd21f5d86fc
unreachable blob 8a804645b3cac63fe2c3d30caddfa97eb5046556
unreachable blob 25ede5bf5f8530014173affbeb496026c1798d72
unreachable tree a7b9a7d6c0f261840dd3b38611c77295246623e9
...

Le commit 2498236... est bien présent dans les objets Git sous le statut unreachable. Git ne le liste pas dans git log car aucune branche ni aucun tag ne pointe vers lui, mais il n'a pas été purgé (cela nécessiterait un git gc --prune=all explicite).

Consultation du commit orphelin

$ git show 249823615b585bbc30f6c398bdf10fd21f5d86fc

commit 249823615b585bbc30f6c398bdf10fd21f5d86fc
Author: Orion Dev Team <[e-mail]>
Date:   Mon Nov 10 23:30:49 2025 +0100

    Add production credentials and configuration

diff --git a/.backup_secrets.b64 b/.backup_secrets.b64
new file mode 100644
index 0000000..8a80464
--- /dev/null
+++ b/.backup_secrets.b64
@@ -0,0 +1 @@
+U0hJRUxEU3tHMVRfUjNWMzRMU19USDNfUDRTVH0=

diff --git a/.env b/.env
new file mode 100644
index 0000000..25ede5b
--- /dev/null
+++ b/.env
@@ -0,0 +1,5 @@
+# Configuration de production
+DATABASE_URL=postgresql://prod-db.orion.internal/orion_prod
+API_KEY=sk_live_51HxK9mP2qR3sT4uV5wX6yZ7aB8cD9eF0gH1iJ2kL3mN4oP5qR6sT7uV8wX9yZ
+SECRET_KEY=super_secret_key_do_not_commit_this_in_real_life
+DEBUG=false

Deux fichiers sensibles ont été commités :

Fichier	Contenu
.env	Credentials de production (DB URL, API Key, Secret Key)
.backup_secrets.b64	Chaîne encodée en Base64

---

Décodage du secret

Le fichier .backup_secrets.b64 contient :

U0hJRUxEU3tHMVRfUjNWMzRMU19USDNfUDRTVH0=

Décodage Base64 :

$ echo "U0hJRUxEU3tHMVRfUjNWMzRMU19USDNfUDRTVH0=" | python -c "import base64,sys; print(base64.b64decode(sys.stdin.read().strip()).decode())"
SHIELDS{G1T_R3V34LS_TH3_P4ST}