SECCON Beginners CTFに参加してきたので、解けた問題を残しておく。

Crypto

RSA is Power

問題

N = 97139961312384239075080721131188244842051515305572003521287545456189235939577
E = 65537
C = 77361455127455996572404451221401510145575776233122006907198858022042920987316

解法

http://www.factordb.com/ 素因数分解をしてくれるwebサービスがあるので、
そこに投げたら因数分解してくれた。

あとは、復号するのみ。

import gmpy
import codecs

p = 299681192390656691733849646142066664329

q = 324144336644773773047359441106332937713

e = 65537

l = gmpy.lcm(p-1, q-1)

gcd, u, v = gmpy.gcdext(e, l)
if u < 0:
    u += l
c = 77361455127455996572404451221401510145575776233122006907198858022042920987316

n = p * q
d = u
m = pow(c, d, n)
print(codecs.decode(('%x'%m),'hex_codec'))

Pwn

[Warmup] condition

問題

あなたは flag にアクセスする権限を持っていますか？

Host: pwn1.chall.beginners.seccon.jp
Port: 16268

解法

サーバーのプログラムが配布されているので、逆アセンブル。

0000000000400771 <main>:
  400771:   55                      push   rbp
  400772:   48 89 e5                mov    rbp,rsp
  400775:   48 83 ec 30             sub    rsp,0x30
  400779:   c7 45 fc 00 00 00 00    mov    DWORD PTR [rbp-0x4],0x0
  400780:   bf d8 08 40 00          mov    edi,0x4008d8
  400785:   b8 00 00 00 00          mov    eax,0x0
  40078a:   e8 71 fe ff ff          call   400600 <printf@plt>
  40078f:   48 8d 45 d0             lea    rax,[rbp-0x30]
  400793:   48 89 c7                mov    rdi,rax
  400796:   b8 00 00 00 00          mov    eax,0x0
  40079b:   e8 80 fe ff ff          call   400620 <gets@plt>
  4007a0:   81 7d fc ef be ad de    cmp    DWORD PTR [rbp-0x4],0xdeadbeef
  4007a7:   75 16                   jne    4007bf <main+0x4e>
  4007a9:   bf f8 08 40 00          mov    edi,0x4008f8
  4007ae:   e8 0d fe ff ff          call   4005c0 <puts@plt>
  4007b3:   bf 1e 09 40 00          mov    edi,0x40091e
  4007b8:   e8 16 00 00 00          call   4007d3 <read_file>
  4007bd:   eb 0a                   jmp    4007c9 <main+0x58>
  4007bf:   bf 27 09 40 00          mov    edi,0x400927
  4007c4:   e8 f7 fd ff ff          call   4005c0 <puts@plt>
  4007c9:   bf 00 00 00 00          mov    edi,0x0
  4007ce:   e8 6d fe ff ff          call   400640 <exit@plt>

cmp DWORD PTR [rbp-0x4],0xdeadbeef で [rbp-0x4] が0xdeadbeefかどうかをチェックして、一致していたらflagを出力している。

入力はgets関数の引数で渡している[rbp-0x30]に格納されるので、その分文字数を調整すれば良い。

リトルエンディアンに気をつけて以下のコマンドでFlagゲット。

echo -e 'aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\xef\xbe\xad\xde' | nc pwn1.chall.beginners.seccon.jp 16268

Reversing

[Warmup] Simple Auth

問題

認証に使われているパスワードを探せ！

解法

問題ファイルが渡されるので、逆アセンブル。、、、しなくても、ltraceするとflagが出てくることを後から知った、、。

0000000000400792 <main>:
  400792:   55                      push   rbp
  400793:   48 89 e5                mov    rbp,rsp
  400796:   48 83 ec 30             sub    rsp,0x30
  40079a:   64 48 8b 04 25 28 00    mov    rax,QWORD PTR fs:0x28
  4007a1:   00 00
  4007a3:   48 89 45 f8             mov    QWORD PTR [rbp-0x8],rax
  4007a7:   31 c0                   xor    eax,eax
  4007a9:   bf b4 08 40 00          mov    edi,0x4008b4
  4007ae:   b8 00 00 00 00          mov    eax,0x0
  4007b3:   e8 98 fd ff ff          call   400550 <printf@plt>
  4007b8:   48 8d 45 d0             lea    rax,[rbp-0x30]
  4007bc:   48 89 c6                mov    rsi,rax
  4007bf:   bf c5 08 40 00          mov    edi,0x4008c5
  4007c4:   b8 00 00 00 00          mov    eax,0x0
  4007c9:   e8 a2 fd ff ff          call   400570 <__isoc99_scanf@plt>
  4007ce:   48 8d 45 d0             lea    rax,[rbp-0x30]
  4007d2:   48 89 c7                mov    rdi,rax
  4007d5:   e8 ac fe ff ff          call   400686 <auth>
  4007da:   83 f8 01                cmp    eax,0x1
  4007dd:   75 22                   jne    400801 <main+0x6f>
  4007df:   bf ca 08 40 00          mov    edi,0x4008ca
  4007e4:   e8 37 fd ff ff          call   400520 <puts@plt>
  4007e9:   48 8d 45 d0             lea    rax,[rbp-0x30]
  4007ed:   48 89 c6                mov    rsi,rax
  4007f0:   bf da 08 40 00          mov    edi,0x4008da
  4007f5:   b8 00 00 00 00          mov    eax,0x0
  4007fa:   e8 51 fd ff ff          call   400550 <printf@plt>
  4007ff:   eb 0a                   jmp    40080b <main+0x79>
  400801:   bf e6 08 40 00          mov    edi,0x4008e6
  400806:   e8 15 fd ff ff          call   400520 <puts@plt>
  40080b:   b8 00 00 00 00          mov    eax,0x0
  400810:   48 8b 55 f8             mov    rdx,QWORD PTR [rbp-0x8]
  400814:   64 48 33 14 25 28 00    xor    rdx,QWORD PTR fs:0x28
  40081b:   00 00
  40081d:   74 05                   je     400824 <main+0x92>
  40081f:   e8 1c fd ff ff          call   400540 <__stack_chk_fail@plt>
  400824:   c9                      leave
  400825:   c3                      ret
  400826:   66 2e 0f 1f 84 00 00    nop    WORD PTR cs:[rax+rax*1+0x0]
  40082d:   00 00 00

call 400686 <auth> が怪しいので見てみる。

0000000000400686 <auth>:
  400686:   55                      push   rbp
  400687:   48 89 e5                mov    rbp,rsp
  40068a:   48 83 ec 50             sub    rsp,0x50
  40068e:   48 89 7d b8             mov    QWORD PTR [rbp-0x48],rdi
  400692:   64 48 8b 04 25 28 00    mov    rax,QWORD PTR fs:0x28
  400699:   00 00
  40069b:   48 89 45 f8             mov    QWORD PTR [rbp-0x8],rax
  40069f:   31 c0                   xor    eax,eax
  4006a1:   c7 45 c0 01 00 00 00    mov    DWORD PTR [rbp-0x40],0x1
  4006a8:   c6 45 d0 63             mov    BYTE PTR [rbp-0x30],0x63
  4006ac:   c6 45 d1 74             mov    BYTE PTR [rbp-0x2f],0x74
  4006b0:   c6 45 d2 66             mov    BYTE PTR [rbp-0x2e],0x66
  4006b4:   c6 45 d3 34             mov    BYTE PTR [rbp-0x2d],0x34
  4006b8:   c6 45 d4 62             mov    BYTE PTR [rbp-0x2c],0x62
  4006bc:   c6 45 d5 7b             mov    BYTE PTR [rbp-0x2b],0x7b
  4006c0:   c6 45 d6 72             mov    BYTE PTR [rbp-0x2a],0x72
  4006c4:   c6 45 d7 65             mov    BYTE PTR [rbp-0x29],0x65
  4006c8:   c6 45 d8 76             mov    BYTE PTR [rbp-0x28],0x76
  4006cc:   c6 45 d9 33             mov    BYTE PTR [rbp-0x27],0x33
  4006d0:   c6 45 da 72             mov    BYTE PTR [rbp-0x26],0x72
  4006d4:   c6 45 db 73             mov    BYTE PTR [rbp-0x25],0x73
  4006d8:   c6 45 dc 69             mov    BYTE PTR [rbp-0x24],0x69
  4006dc:   c6 45 dd 6e             mov    BYTE PTR [rbp-0x23],0x6e
  4006e0:   c6 45 de 67             mov    BYTE PTR [rbp-0x22],0x67
  4006e4:   c6 45 df 5f             mov    BYTE PTR [rbp-0x21],0x5f
  4006e8:   c6 45 e0 70             mov    BYTE PTR [rbp-0x20],0x70
  4006ec:   c6 45 e1 34             mov    BYTE PTR [rbp-0x1f],0x34
  4006f0:   c6 45 e2 73             mov    BYTE PTR [rbp-0x1e],0x73
  4006f4:   c6 45 e3 73             mov    BYTE PTR [rbp-0x1d],0x73
  4006f8:   c6 45 e4 77             mov    BYTE PTR [rbp-0x1c],0x77
  4006fc:   c6 45 e5 30             mov    BYTE PTR [rbp-0x1b],0x30
  400700:   c6 45 e6 72             mov    BYTE PTR [rbp-0x1a],0x72
  400704:   c6 45 e7 64             mov    BYTE PTR [rbp-0x19],0x64
  400708:   c6 45 e8 7d             mov    BYTE PTR [rbp-0x18],0x7d
  40070c:   48 8b 45 b8             mov    rax,QWORD PTR [rbp-0x48]
  400710:   48 89 c7                mov    rdi,rax
  400713:   e8 18 fe ff ff          call   400530 <strlen@plt>
  400718:   89 45 c8                mov    DWORD PTR [rbp-0x38],eax
  40071b:   48 8d 45 d0             lea    rax,[rbp-0x30]
  40071f:   48 89 c7                mov    rdi,rax
  400722:   e8 09 fe ff ff          call   400530 <strlen@plt>
  400727:   89 45 cc                mov    DWORD PTR [rbp-0x34],eax
  40072a:   8b 45 c8                mov    eax,DWORD PTR [rbp-0x38]
  40072d:   3b 45 cc                cmp    eax,DWORD PTR [rbp-0x34]
  400730:   75 40                   jne    400772 <auth+0xec>
  400732:   c7 45 c4 00 00 00 00    mov    DWORD PTR [rbp-0x3c],0x0
  400739:   eb 2d                   jmp    400768 <auth+0xe2>
  40073b:   8b 45 c4                mov    eax,DWORD PTR [rbp-0x3c]
  40073e:   48 63 d0                movsxd rdx,eax
  400741:   48 8b 45 b8             mov    rax,QWORD PTR [rbp-0x48]
  400745:   48 01 d0                add    rax,rdx
  400748:   0f b6 10                movzx  edx,BYTE PTR [rax]
  40074b:   8b 45 c4                mov    eax,DWORD PTR [rbp-0x3c]
  40074e:   48 98                   cdqe
  400750:   0f b6 44 05 d0          movzx  eax,BYTE PTR [rbp+rax*1-0x30]
  400755:   38 c2                   cmp    dl,al
  400757:   75 06                   jne    40075f <auth+0xd9>
  400759:   83 45 c4 01             add    DWORD PTR [rbp-0x3c],0x1
  40075d:   eb 09                   jmp    400768 <auth+0xe2>
  40075f:   c7 45 c0 00 00 00 00    mov    DWORD PTR [rbp-0x40],0x0
  400766:   eb 11                   jmp    400779 <auth+0xf3>
  400768:   8b 45 c4                mov    eax,DWORD PTR [rbp-0x3c]
  40076b:   3b 45 c8                cmp    eax,DWORD PTR [rbp-0x38]
  40076e:   7c cb                   jl     40073b <auth+0xb5>
  400770:   eb 07                   jmp    400779 <auth+0xf3>
  400772:   c7 45 c0 00 00 00 00    mov    DWORD PTR [rbp-0x40],0x0
  400779:   8b 45 c0                mov    eax,DWORD PTR [rbp-0x40]
  40077c:   48 8b 4d f8             mov    rcx,QWORD PTR [rbp-0x8]
  400780:   64 48 33 0c 25 28 00    xor    rcx,QWORD PTR fs:0x28
  400787:   00 00
  400789:   74 05                   je     400790 <auth+0x10a>
  40078b:   e8 b0 fd ff ff          call   400540 <__stack_chk_fail@plt>
  400790:   c9                      leave
  400791:   c3                      ret

と、文字列をメモリにせっせと書き込んでいるのでgdbで見てみると、stackにflagが表示される。

[----------------------------------registers-----------------------------------]
RAX: 0x7fffffffea70 --> 0x696e ('ni')
RBX: 0x0
RCX: 0xa ('\n')
RDX: 0x7ffff7dd3790 --> 0x0
RSI: 0x1
RDI: 0x7fffffffea70 --> 0x696e ('ni')
RBP: 0x7fffffffea60 --> 0x7fffffffeaa0 --> 0x400830 (<__libc_csu_init>: push   r15)
RSP: 0x7fffffffea10 --> 0x7ffff7dd3780 --> 0x0
RIP: 0x400710 (<auth+138>:  mov    rdi,rax)
R8 : 0x0
R9 : 0x7ffff7fe9700 (0x00007ffff7fe9700)
R10: 0x4008c5 --> 0x7475410073303325 ('%30s')
R11: 0x246
R12: 0x400590 (<_start>:    xor    ebp,ebp)
R13: 0x7fffffffeb80 --> 0x1
R14: 0x0
R15: 0x0
EFLAGS: 0x246 (carry PARITY adjust ZERO sign trap INTERRUPT direction overflow)
[-------------------------------------code-------------------------------------]
   0x400704 <auth+126>: mov    BYTE PTR [rbp-0x19],0x64
   0x400708 <auth+130>: mov    BYTE PTR [rbp-0x18],0x7d
   0x40070c <auth+134>: mov    rax,QWORD PTR [rbp-0x48]
=> 0x400710 <auth+138>: mov    rdi,rax
   0x400713 <auth+141>: call   0x400530 <strlen@plt>
   0x400718 <auth+146>: mov    DWORD PTR [rbp-0x38],eax
   0x40071b <auth+149>: lea    rax,[rbp-0x30]
   0x40071f <auth+153>: mov    rdi,rax
[------------------------------------stack-------------------------------------]
0000| 0x7fffffffea10 --> 0x7ffff7dd3780 --> 0x0
0008| 0x7fffffffea18 --> 0x7fffffffea70 --> 0x696e ('ni')
0016| 0x7fffffffea20 --> 0x1
0024| 0x7fffffffea28 --> 0x602000 --> 0x0
0032| 0x7fffffffea30 ("ctf4b{rev3rsing_p4ssw0rd}")
0040| 0x7fffffffea38 ("v3rsing_p4ssw0rd}")
0048| 0x7fffffffea40 ("p4ssw0rd}")
0056| 0x7fffffffea48 --> 0xff0000007d
[------------------------------------------------------------------------------]
Legend: code, data, rodata, value
0x0000000000400710 in auth ()

crackme

問題

バイナリを解析して、入力値を求めてください。

解法

問題ファイルが渡されるので、とりあえず実行すると、
usage: ./crackme <FLAG>と使い方を教えてくれる。

正しいflagを入力すると反応するプログラムのようだ。

逆アセンブル。
経験値浅すぎて、解析にめっちゃ時間かかった、、。

  40093c:   55                      push   rbp
  40093d:   48 89 e5                mov    rbp,rsp
  400940:   48 83 ec 10             sub    rsp,0x10
  400944:   89 7d fc                mov    DWORD PTR [rbp-0x4],edi
  400947:   48 89 75 f0             mov    QWORD PTR [rbp-0x10],rsi
  40094b:   83 7d fc 02             cmp    DWORD PTR [rbp-0x4],0x2
  40094f:   74 19                   je     40096a <exit@plt+0x4aa>
  400951:   bf 68 0a 40 00          mov    edi,0x400a68
  400956:   b8 00 00 00 00          mov    eax,0x0
  40095b:   e8 40 fb ff ff          call   4004a0 <printf@plt>
  400960:   bf 00 00 00 00          mov    edi,0x0
  400965:   e8 56 fb ff ff          call   4004c0 <exit@plt>
  40096a:   48 8b 45 f0             mov    rax,QWORD PTR [rbp-0x10]
  40096e:   48 83 c0 08             add    rax,0x8
  400972:   48 8b 00                mov    rax,QWORD PTR [rax]
  400975:   48 89 c7                mov    rdi,rax
  400978:   e8 09 fe ff ff          call   400786 <exit@plt+0x2c6>
  40097d:   48 8b 45 f0             mov    rax,QWORD PTR [rbp-0x10]
  400981:   48 83 c0 08             add    rax,0x8
  400985:   48 8b 00                mov    rax,QWORD PTR [rax]
  400988:   48 83 c0 10             add    rax,0x10
  40098c:   48 89 c7                mov    rdi,rax
  40098f:   e8 42 fc ff ff          call   4005d6 <exit@plt+0x116>
  400994:   8b 05 b6 06 20 00       mov    eax,DWORD PTR [rip+0x2006b6]        # 601050 <exit@plt+0x200b90

call 400786 <exit@plt+0x2c6> と call 4005d6 <exit@plt+0x116>をしている。
それぞれを見てみると、コマンドライン引数で与えた文字列の最初の１６文字、次の１６文字をループで処理して、flagかどうかを判定している。

メモリの0x601048番の値をキーとして、１文字ずつキーを更新しながらコマンドライン引数で与えた文字と一文字ずつxorをとって内部の値と比較している。

内部の値とキーのxorをとっていけばflagが復元可能。

misc

[Warmup] plain mail

解法

pcapファイルが渡される。
WireSharkで覗いてみる。

17番目のパケットで
I will send secret information. First, I will send encrypted file. Second, I wll send you the password.といっている。

その後zipファイルを送信し、59版のパケットにpasswordが書かれている。

WireSharkでファイル->オブジェクトをエクスポート->IMF...とすると.emlファイルでzipファイルも手に入るので、解凍してflagゲット。

Find the messages

問題

ディスクイメージに隠されているメッセージファイルを探せ！

解法

ディスクイメージが渡される。
とりあえずbinwalkしてみると、色々入っているようなので下記コマンドで取り出してみる。

binwalk -e disk.img

すると、 message_1_of_3.txt と message_2_of_3.pngが出てくる。
テキストの中身はY3RmNGJ7eTB1X3QwdWNoZWQ=であり、最後の=がbase64にしか見えないので、
復号。
pngは開こうとするとファイルが壊れて居ると言われるので、バイナリを見てみると、先頭の８バイトがXXXXXXXX
となっている。
これをバイナリエディタでpngの正しいマジックナンバー89 50 4e 47 0d 0a 1a 0aに書き換えて開けるようにすると、画像中に文字が書かれている。

最後に、ディスクイメージだしととりあえずforemostしとけってやったら、message_3_of_3.pdfが出てきてflagゲット。

foremost disk.img

感想

初めてCTFに参加したがとても楽しめた。
初日はそこそこのペースで解けたが、二日目は結局1問も解けず、ズルズルと順位が落ちて悔しかったので、今後も精進したい。