�ݺ�ߣ

BSides Delhi CTF 2018 WriteUp
krev (Reversing 200points)
by 이 세 한 (Alchemic)

2
BSides Delhi CTF 2018 WriteUp [krev (Reversing 200points)]
다음과 같이 문제가 주어집니다.
문제의 설명으로 보았을 때, NetBSD 커널 모듈을 분석하는 문제인 것 같습니다.

문제 파일은 압축 파일로 주어지며, 압축을 해제하면 다음과 같은 다양한 파일들을 확인할 수
있습니다.
파일들을 살펴보면 커널 모듈(chall1.kmod), NetBSD 디스크 이미지(netbsd.img), 그리고
qemu 및 gdb 설치를 위한 스크립트들을 확인할 수 있습니다.
문제에서는 커널 모듈이라는 힌트가 나와있었으므로 ‘chall1.kmod’ 파일을 [IDA Pro]를 사용
하여 정적으로 분석을 진행하도록 하겠습니다.
3

4
함수 목록 중 처음으로 가장 눈에 띄는 함수는 [get_flag_ready] 함수와 [chall1_read] 함수
이므로, 이 두 함수를 먼저 보도록 하겠습니다.
먼저 무언가를 입력받는 함수로 보여지는 [chall1_read] 함수를 보도록 하겠습니다.

5
[chall1_read 함수의 일부] [chall1_read 함수의 의사 코드]

6
[chall1_read] 함수의 C 스타일 의사 코드를 보면
특정 문자열을 만족하게 되면 [get_flag_ready]
함수를 호출하는 것을 확인할 수 있습니다.
또한, 변수 v4에 전역 변수인 dword_80006AC의
값을 넣어주는 것을 확인할 수 있습니다.
먼저, 첫번째로 바이트를 비교하는 부분에서
문자로 보여지는 Decimal을 ASCII로 변환
하면 다음과 같은 문자열을 확인할 수 있습니다.
“103 105 118 101 95 116 104 ...”
 “give_this_to_get_flag”
즉, 이 문자열과 비교를 한 뒤, [get_flag_ready]
함수를 호출하는 것입니다.

7
[get_flag_ready 함수의 일부] [get_flag_ready 함수의 의사 코드의 일부]

8
[get_flag_ready] 함수의 C 스타일 의사 코드를
보게 되면, md5hash() 함수와 sha1hash() 함수
두 함수의 실행이 모두 끝나고,
[*(&v2 + i) xor *(&byte_80006D5 + i)]
연산을 수행하는 부분을 확인할 수 있습니다.
[*(&v2 + i)]는 [get_flag_ready] 함수의 v2부터
v41까지 입력된 특정 바이트들을 의미하며,
[*(&byte_80006D5 + i)]는 어떤 것인지 확인을
해야할 필요가 있습니다.
우선 연산을 진행하기 전에 두 개의 해쉬 함수를
거치므로, 해쉬함수들을 확인해보도록 합니다.
두 해쉬 함수를 거치면서 xor 연산이 되는
[*(&byte_80006D5 + i)] 가
만들어질 것으로 추정

9
먼저, [md5hash] 함수의 C 스타일 의사 코드를 확인해보면, [chall1_read] 함수에서 보았던
변수 s의 문자열이었던 “give_this_to_get_flag”의 md5 해쉬값을 ‘byte_80006B4’에 작성
하는 것을 확인할 수 있습니다.
md5(“give_this_to_get_flag”) = 29c5d56f77a0d0369c55101c53005050

10
[sha1hash] 함수의 C 스타일 의사 코드를
보게 되면, md5 해쉬값을 다시 가져와서
sha1 해쉬를 진행하고, 해쉬값을 앞서 확인한
[get_flag_ready] 함수의 [&byte_80006D5]
로 저장하는 것을 확인할 수 있습니다.
즉, 저장되는 최종적인 해쉬값은
sha1(md5(“give_this_to_get_flag”))
= 001b6a634bee73d9fe2d88bb4435fb1ee3ad7918
입니다.

11
다시 [get_flag_ready] 함수의 C 스타일 의사
코드로 돌아와서 최종적으로 분석을 진행하도록
하겠습니다.
결국 dword_80006AC[i]에는 flag로 추정할 수
있는 바이트들이 연산되어 저장되는 것이라고 생각
할 수 있습니다.
지금까지 분석한 것을 토대로 dword_80006AC를
확인해보도록 하겠습니다.

12
=> dword_80006AC[i]

13
flag 값을 찾았습니다!
The flag is... flag{netB5D_i5_4ws0m3_y0u_sh0uld_7ry_i7}

Thank You!
Contact
sehands@sju.ac.kr

�ݺ�ߣ

BSides Delhi CTF 2018 [krev (Reversing 200pts)] WriteUp

More Related Content

BSides Delhi CTF 2018 [krev (Reversing 200pts)] WriteUp