CTFZone 2019 Quals チームTSG 非Writeup

※この記事は CTF Advent Calendar 2019 の6日目くらいの記事です。

博多市です。

先日開催された CTFZone 2019 Quals ですが、チームTSGはlmt_swallow先生の発案により「たまには本気で海外本戦行きを目指そう」というコンセプトのもと全力を出して大会に参加しました。最終的な結果は知られている通り10位ということで、(おそらく) ギリギリで予選通過というドラマチック展開に期せずしてなりました。

さて、TSGではCTF参加中の情報共有に、SlackおよびScrapboxを利用しています。基本、ここに書かれた内容はメモ書き程度のものですが、見返してみると案外面白く、本来の目的とは少し違った形で読むことができます。おそらくこういったメモ書きは他のチームにもあると思うので、ぜひとも読んで他のチームのわいわい感を知りたいなーと思う次第で、まずはTSGのものをdisclosureしてみようと思います。

Writeupとは少し違う趣ですが、楽しんで読んでもらえれば。

Strange PDF (Forensics)

Scrapbox

• DOS/MBR boot sector ??
• http://dbpedia.org/class/yago/Planet109394007
• みてる
• startxrefの位置がずれてる。なんで?
  • 正: 20664
  • 誤: 20611
  • 全部52くらいずらすとうまくいく
  • 何が？
    • xrefテーブルの指す座標
• ほえ、なんかtashiがうまくやってくれそうなので、応援してる

00000000:                       25 e2b7 b402 b700           %......
00000010: b601 b201 cd10 b40a b039 b700 b905 00cd  .........9......
00000020: 10b4 02b7 00b6 01b2 03cd 10b4 0ab0 33b7  ..............3.
00000030: 00b9 0100 cd10 0000 0000 0000 0000 0000  ................
00000040: 0000 000a                                ....

• この部分のコメントが謎
  • LibreOffice Writer から出力するとこうなる? やってみよ
  • やってみたら 25 C3 A4 C3 BC C3 B6 C3 9F 0A になったので違いそう?
    • ちなみにこれは äüöß
• フォント自体は怪しくない、なんやろうなあ
• テキストを描画してる部分を抽出すると以下のようになる
  ​​​​0.1 w
  ​​​​q 0 0.1 595.2 841.8 re
  ​​​​W* n
  ​​​​q 0 0 0 rg
  ​​​​BT
  ​​​​56.8 774.1 Td /F1 12 Tf[<01>1<02>8<03>-16<04>10<0506>-1<07>1(\b)2<03>-8(\t\n)8<0b0c>]TJ
  ​​​​ET
  ​​​​Q
  ​​​​q 0 0 0 rg
  ​​​​BT
  ​​​​56.8 746.5 Td /F2 12 Tf[<01>8<0203>-6<04>39<03>1<05>]TJ
  ​​​​ET
  ​​​​Q
  ​​​​q 0 0 0 rg
  ​​​​BT
  ​​​​56.8 732.7 Td /F3 12 Tf[<010203040506>5<050708090a090b08080c0d030e>-3<070a>]TJ
  ​​​​ET
  ​​​​Q
  ​​​​Q q /EGS5 gs /Tr4 Do Q
  

  • この[<01>]みたいな記法しらんのやが
    • なんか文字の間に変な情報が挟まってる?
      • なんか文字のトラッキングを表現するらしい。空振りかな⋯⋯
• is pro

Slack

moratorium08 22:48:48
そういえばはっかーたし、PDFのやつどんな感じだったんだろう

hakatashi 22:49:10
scrapboxに書いてあるのか全てです、、、

moratorium08 22:49:45
ぼくはあんまりずらせばいけるってやつわかっていないんですが、ずらすとPDFとしてなにか変わるんですか

hakatashi 22:50:53
別にずらしても何も起きなくて、というか普通のPDFビューアはそこらへん壊れてても勝手に直して読んでくれます

hakatashi 22:51:26
問題なのはなんでずれてるかってことで

moratorium08 22:51:43
fileすると、MS DOSって言われるのはなんでなんですか

hakatashi 22:51:49
？？？

moratorium08 22:51:58
あれ

moratorium08 22:52:09
MSDOSじゃないや

moratorium08 22:52:10
00000000.pdf: DOS/MBR boot sector

hakatashi 22:52:32
なんじゃこりゃ

moratorium08 22:52:34
でもbinwalkとかしても特になんもわからんかった

kcz146 22:52:51
単なるミスっぽい

moratorium08 22:52:56
ほむ

kcz146 22:52:58
しらんけど

hakatashi 22:53:26
いやヘッダ近くに怪しいコメントが有ってそれがなにか悪さをしてる可能性はあるかも? しらんけど

kcz146 22:53:42
（DOSはともかく）ブートセクタ、ほとんど機械語が入っている場所なので

kcz146 22:53:51
ないようがないようみがある

hakatashi 22:55:27
あれーたしかに0x55AAのシグネチャがあるな

hakatashi 22:55:33
なんやこれ

kcz146 22:55:49
ほえぇ

moratorium08 22:55:59
0x55AA?

hakatashi 22:56:05
しかもわざわざその周りをコメントで囲んである

moratorium08 22:56:12
ほっむ

hakatashi 22:56:34
これが0x55AA

hakatashi 22:56:45
PDFの行コメントは % hoge

moratorium08 22:56:57
:ho-:

moratorium08 22:58:06
一応IDAで開こうとしたんですけど、ところでいまいちわかっていません（それはむり？）

hakatashi 22:58:10
MBRって0バイト目から機械語が始まるんだっけ? もしかしたらなにがしかのアーキでディスアセンブルできるとか?

moratorium08 22:58:14
分かる

moratorium08 22:58:28
少なくともぼくのもってるIDAでは、怒られるだけでした

kcz146 22:58:37
IDAでも低級だけどひらけないことはないはず

hakatashi 22:59:16

00000000:                       25 e2b7 b402 b700           %......
00000010: b601 b201 cd10 b40a b039 b700 b905 00cd  .........9......
00000020: 10b4 02b7 00b6 01b2 03cd 10b4 0ab0 33b7  ..............3.
00000030: 00b9 0100 cd10 0000 0000 0000 0000 0000  ................
00000040: 0000 000a                                ....

これを見て何アーキかわかるバイナリかるた名人のかたを募集しています

kcz146 23:01:46

00000000  25E2B7            and ax,0xb7e2
00000003  B402              mov ah,0x2
00000005  B700              mov bh,0x0
00000007  B601              mov dh,0x1
00000009  B201              mov dl,0x1
0000000B  CD10              int 0x10
0000000D  B40A              mov ah,0xa
0000000F  B039              mov al,0x39
00000011  B700              mov bh,0x0
00000013  B90500            mov cx,0x5
00000016  CD10              int 0x10
00000018  B402              mov ah,0x2
0000001A  B700              mov bh,0x0
0000001C  B601              mov dh,0x1
0000001E  B203              mov dl,0x3
00000020  CD10              int 0x10
00000022  B40A              mov ah,0xa
00000024  B033              mov al,0x33
00000026  B700              mov bh,0x0
00000028  B90100            mov cx,0x1
0000002B  CD10              int 0x10

ndisasmいやしらんけど

kcz146 23:02:24
BIOSサービス0x10… ビデオ機能が使用できます

kcz146 23:03:09
AHレジスタにファンクションコードを指定します

kcz146 23:03:16
2がカーソル設定

kcz146 23:03:26
0xaが文字コード書き込み

kcz146 23:03:49
http://softwaretechnique.jp/OS_Development/Tips/Bios_Services/video_services.html

kcz146 23:04:20
39って出力してるのかな（適当流し読み）

hakatashi 23:04:43
ふむ

hakatashi 23:04:53
x=39でフラグ送信してみるか?

kcz146 23:05:11
ちゃんと囲んでね

kcz146 23:05:16
フラグフォーマットで

hakatashi 23:05:33
wrong

moratorium08 23:07:10
0x39でしょ

hakatashi 23:08:03
'9'

kcz146 23:08:20
'9'を1,0、'3'を0,0に出力してると適当よみをしました

moratorium08 23:09:30
うーん

kurgm 23:09:30
1,1に'9'を5回，3,1に'3'を1回 ……？

kurgm 23:09:34
99399

moratorium08 23:09:37
ほむ

kcz146 23:09:40
ほむ

hakatashi 23:09:42
ほむ

moratorium08 23:09:54
！？！？！？！？！？ｗｗｗ

moratorium08 23:09:56
天才！？？

kcz146 23:10:07
通った音ですか

hakatashi 23:10:10
草www

kcz146 23:10:14
まじ

moratorium08 23:10:14

kcz146 23:10:19
めでたい

hakatashi 23:10:29
kurgm is pro

kcz146 23:10:32
適当よみはよくないね

hakatashi 23:11:05
やっぱオフセットずれてたのはこの謎シェルコードを適当に挿入してたからなんやな

kcz146 23:12:13
TWに勝ってる

Fridge (PPC)

Scrapbox

• 4*4コ0か1が並んでいるパズル。座標を指定すると対応したところ(規則は分からん)が反転するっぽい
  • 同じところを2回やると元に戻るのでためしてやればよさそう?
• 操作は可換だが…
• 盤面ごとに反転する箇所は違うっぽい
• うーん65536通り全探索ってまじ？
• なんか2問目からは10x10になった は？？？？？？？？？←これ3問目だった
• 2^100の全探索は不可能なので何かしらの規則か破壊しどころがないとこわれてり
• 4x4の盤面を16次元のベクトルb\bm b b，反転パターンを16x16の行列AA AとしてAx=bA \bm x = \bm b Ax=bを解けば良い(mod 2で)
  • 1問目: 4x4, mod 2
  • 2問目: 4x4, mod 2
  • 3問目: 10x10, mod 2
  • 4問目: 8x8, mod 8
  • 5問目: 16x16, mod 16
• ctfzone{thE_C@$3_of_TH3_S70leN_313Ph4n7}

Slack

naan998244353 22:45:14
えーとりあえずFridgeをします

naan998244353 23:16:00
Fridge、なに？？？？

naan998244353 23:16:11
エスパー問にしかみえなくなって鬱になっています

naan998244353 23:31:16
Fridge4チーム通してるまじ

naan998244353 23:31:19
えーなんだろ

kurgm 23:31:57
y,xに対して-4≤y≤3 && -16≤y*4+x≤15じゃないと受け付けてくれなそう
これはあまり関係ないのかな

naan998244353 23:32:33
4y+x が mod 16 で同じものを入れたら同じ結果を返しているように見えます

naan998244353 23:33:20
えー規則性をエスパーしないと不可能に見えて

kurgm 23:58:53
GF(2)上で100x100の逆行列を求めるのって計算量的につらいですか

naan998244353 23:59:35
うーん無理ではないです

naan998244353 23:59:55
あーなるほどになった

dai 23:59:56
掃き出したら100^3？

naan998244353 23:59:58
やるか

naan998244353 0:00:11
めんどくせ〜〜

kcz146 0:00:12
sageあたりになげたらひゅっととけそう

kcz146 0:00:22
固定なら僕に投げれば解いてあげます

naan998244353 0:00:28
not 固定

kcz146 0:00:29
インタラクティブだとほえ

kcz146 0:00:31
きびい

naan998244353 0:00:41
ナンC++以外書けないからC++で吐き出しちゃうんですが

kcz146 0:00:48
いや僕なら適当にやって適当にとけちゃうようにするんですが

moratorium08 0:00:51
分かる

kcz146 0:00:55
sageの環境整備がめんどい

moratorium08 0:00:57
sage部分だけなら書いてもいいです

naan998244353 0:01:17
ナン、環境整備が世界一苦手のため…

moratorium08 0:01:47
1 0 1 0 1
0 1 1 1 1
…

kurgm 0:01:56
盤面がどんどん大きくなっていくとかじゃないといいな

moratorium08 0:02:14
みたいな感じの形式で投げてくれたら、それを解いて返すみたいな感じのを作れと言われたら作ります

naan998244353 0:02:29
ぐえちゃんだなあ

kcz146 0:02:31
作ってどこで実行するのさという

naan998244353 0:02:41
とりあえず上限が10x10だと思ってコードを書きます

moratorium08 0:02:56
ぼくのPCにはsageが入っていますが

moratorium08 0:03:08
あ、まだデバッグだったりがあるのか

kcz146 0:03:10
C++をもらくんにもっていくんですか

moratorium08 0:03:30
え、なんか問題が分からなくて泣いています

tsgbot 0:03:30
本当に泣いていますか？

naan998244353 0:03:37
問題はFridgeで

naan998244353 0:03:53
最初2問は4x4で、3問目は10x10なんですが

moratorium08 0:03:57
ほえ

naan998244353 0:04:28
01行列が与えられるんですね

moratorium08 0:04:49
scrapboxを読みました

naan998244353 0:04:53
:wai:

moratorium08 0:05:05
まあなんで逆行列が出てくるのか知りませんが。。。。

naan998244353 0:06:13
i=10y+xについてflipする場所を1x100にまとめた100x100行列AについてAx=盤面なるxが求まればそこを使えばいいことがわかるので…

naan998244353 0:06:19
ときたいのはAx=bですね

naan998244353 0:06:27
F_2上です

moratorium08 0:06:50
ほむ

moratorium08 0:13:56
いやわからん

moratorium08 0:13:59

kurgm 1:32:19
Fridge回していたらなんかF_2じゃなくなった:ha:

kurgm 1:36:30
1問目: 4x4, F_2, 自明
2問目: 4x4, F_2
3問目: 10x10, F_2
4問目: 8x8, F_2ではない ←NEW!

naan998244353 1:44:18
Fridge、8チームも解いてるの、地獄

kurgm 1:44:56
Fridgeを3問目まで解くやつです

#!/usr/bin/env python2

from __future__ import print_function

import socket

from sage.all import IntegerModRing, Matrix, vector


def recv(sf, n=4096):
    dat = sf.read(n)
    print(dat, end="")
    return dat


def readline(sf):
    line = sf.readline()
    print(line, end="")
    return line


def send(s, dat):
    print(dat, end="")
    s.send(dat)


def get_dim(size):
    dim = int(size ** 0.5)
    assert dim * dim == size
    return dim


def pos_str(dim, pos):
    y, x = divmod(pos, dim)
    return "{},{}\n".format(y, x)


def recv_board(sf):
    l = readline(sf)
    int(l.split()[0])  # verify it is board
    dim = len(l.split())
    lines = [l] + [readline(sf) for _i in range(dim - 1)]
    return [
        int(cell)
        for line in lines
        for cell in line.split()
    ]


def xor_board(b1, b2):
    assert len(b1) == len(b2)
    return [c1 ^ c2 for c1, c2 in zip(b1, b2)]


def solve_xA_b(a, b):
    R = IntegerModRing(2)
    A = Matrix(R, a)
    B = vector(R, b)
    X = A.solve_left(B)
    return list(X)


def solve_q(sf, s):
    board = recv_board(sf)

    size = len(board)
    dim = get_dim(size)
    flips = []
    for i in range(size):
        send(s, pos_str(dim, i))

        newboard = recv_board(sf)
        flips.append(xor_board(board, newboard))
        board = newboard

    ans = solve_xA_b(flips, board)
    for i, b in enumerate(ans):
        if b:
            send(s, pos_str(dim, i))
            try:
                recv_board(sf)
            except ValueError:
                pass


def solve(sf, s):
    while True:
        solve_q(sf, s)


HOST = "ppc-fridge.ctfz.one"
PORT = 31337

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((HOST, PORT))
sf = s.makefile("r+")
try:
    solve(sf, s)
finally:
    recv(sf)
    s.close()

kcz146 1:44:58
ぷっっっっっろ

kcz146 1:45:07
はいぷろ

---

kcz146 14:13:53
kurgm is typing…（どきどき

lmt_swallow 14:13:56
わかるな

kurgm 14:14:27
mod 16の連立方程式の解のベクトルの要素の和をなるべく小さくするのってどうすればいいすかね

hakatashi 14:14:47
Fwd: @naan998244353

naan998244353 14:17:05
ホア

naan998244353 14:17:46
ぐええ

naan998244353 14:17:48
うーん

kurgm 14:18:30
Ax=bの特殊解1つは求まるんですが送信している途中に時間切れか何かで切られてしまう:hoge:

naan998244353 14:18:35
Imの元をえいやっとするしかなくて、どうすればええんやろという気持ち

naan998244353 14:19:03
どんな特殊解が出てるかって見られますか

kurgm 14:19:57
ちょっちまっちくだしあ

dai 14:22:22
Ax = 0の解をいくつか見つけてAx=bの解と線形結合するとか？

kurgm 14:31:38
@naan998244353

A =
[ 6 12 11  5  6 15  5 11 11 10  3  7 14 12  5 15  2  2  5 13  7 13  6  4  1 10  6  9  0  4  7  0  8 12 12 13 13 10 13  9 11 10  0 13 10  4  2  6  8  2  3  0  1  3 13 14  8 12  7  5  3 14  4  5 15  3 14  2 15  9  7 15 15 14  4  9 13  3  2 14  5  3  9  9  8 14  8  4 13  1  4 13  9  2  4  9  2  3  8  1 15  1  4  1 15  3  7 15  6  4  1  9  2 10  6  3 14 15  1  4  2 10 10  1  2  9 15 15  2  5  5 15 15  0 11 14 14  0  2  3  4  8 12  7  0  5 10 14  1  5  4 15 15  4  8  5  6  2 15  9  8 10 15 14  5  5  0  8 15 11  4 13  4  5  8  2 14  1 10  8 14  2 13  0  8 10  2 15 13  2  4  2  2  3  7 10  2  0 12  8 13  9 10 14 11  4  0  9  1 13  1  0  2  7  2 12  0  9  2  1  7 12  5 11  0  4  4 10  6  4 13 14  0  5  4  0  7 10 12  1  2  5  5  0  9  1 11  2  7  0 15  6  1  7  2  3]
[ 5  6  9 12 15  5  8  8  4  7  8 11  4  4  6  8 10 12 15 14 13 13 12 14  9  4  2  2  8 12  7  6  2  3 14 15  9  9 14 15 10 12  8 13  9  3 12  8 11  5 14 13  1 13 13 13  8  7  0 15  0 12 15 13 14  5  8  6 11  6  0  9  2  2 13  2 10  9 10 15  4  0  5  0 15  0  2 13 13 10 13  1  1  9 11  9 11  9  8 12  1 10 12  6  2  5  3 14  9  0  8 11 15  3 10  2  4 15  0  7  0  5 15  1  5  3 10 14  1  4 11 15  4  5 14 11 15  9  8  9  6  4 13 12 15 12 12  6 10 12  0 12  2  1  1  0  1 14  9  5  8 14 12 11  8  0 13  1  4 11 14 10  8 10 11  5 13  1 10 12 15 14  7  4 13 13  0 11 13  6  3 15  9 15  8 10  4  8 13  6  6  5  1  8  7  2 10 14  6  0  7  4  0  5 14 15  0  2  8  1  0  4 12 13 12 11  8 13 13 13 10  3 14 13 13 14  9  9  4  0  9  3  2 10  3  1  3  9  2  8  9  3  2 12  1  9]

naan998244353 14:32:19
フムー

naan998244353 14:32:43
だいたい2048回くらいのやりとりでタイムアウトされても困っちゃうみたいなところはあるんですが

naan998244353 14:32:46
ねこだね

naan998244353 14:32:53
うーん

kurgm 14:33:03
> Ax = 0の解をいくつか見つけてAx=bの解と線形結合するとか？
:wakari: Ax=0の解を見つける方法が思いついていないためア

naan998244353 14:33:10
:wakari:

JP3BGY 14:37:24
Ax=0の解はAの各列が一次独立かどうかを考えるしか無いのでは

naan998244353 14:38:25
:riaru:なあ

naan998244353 14:38:27
ぐえだね

kcz146 14:39:14
（ちなみにmodがもうちょっとおおきかったりすると、ベクトルを小さくするやつはLLLを疑うところではあります）

kcz146 14:39:24
適当です

naan998244353 14:39:35
適当なことを言うんですが、一般の体でもAx=0なるx≠0が存在するのはdetA=0が必要十分?

kcz146 14:39:47
そんなきがします

JP3BGY 14:39:49
あってるはず

JP3BGY 14:40:37
ところでmod 16だっけか、は体ではないような

kurgm 14:41:20
wakari

kurgm 14:43:11
体でないので掃き出しができない?

JP3BGY 14:43:25
いやまあそんなことはないはず

JP3BGY 14:43:38
環でも同じ話ができそうではある

kcz146 14:43:47
鯛でなくても最悪余因子行列からいける

kurgm 14:44:00
うお

kcz146 14:44:00
最後にdet Aで割ることができなくてちーんっぽい

kcz146 14:44:39
それは鯛ですね

naan998244353 14:46:18
うしたぷ

naan998244353 14:46:24
泣いちゃった

tsgbot 14:46:24
本当に泣いていますか？

naan998244353 14:46:32
数学が一生できひん

kcz146 14:46:36
ホトトギス

JP3BGY 14:47:12
環上の加群はよく知らないんだよなぁ

JP3BGY 14:48:59
とりあえず整域じゃないとdet A=0 <=> a_iは一次独立は言えないことはわかった

naan998244353 14:49:23
よさそう

naan998244353 14:49:31
とはいえxを取ってくるのは楽ではない？

naan998244353 14:49:54
高速にIOと通信ができたらええんちゃう？と思ってしまう

naan998244353 14:49:56
できるんですか？

naan998244353 14:50:01
うしたぷにきあくんだね

kurgm 14:51:14
1975回操作しないといけないのに336回目で切られている

kurgm 14:51:23
ウーン

JP3BGY 14:51:48
掃き出し法は使えそう

JP3BGY 14:52:48
というか掃き出し法は単純にスカラー倍と足し算をやっているだけなので問題ないですね

naan998244353 14:53:02
:seyana:

kurgm 14:53:13
割り算しないっけ

kurgm 14:53:16
:boukyaku:

JP3BGY 14:53:17
ちなみにIOが遅い理由はクライアント側の問題ではない可能性がある

naan998244353 14:53:23
ひえ〜

JP3BGY 14:53:25
わり算はしない（掛け算だけ）

JP3BGY 14:53:45
というかわり算が必要なら掛け算に置き換えればいいだけなので

JP3BGY 14:54:15
逆元を取るという意味ではなく、割るべき数を割るではなく割らない数をかけるという意味で

kurgm 14:54:47
なるほど？

kurgm 14:59:08
ping ppc-fridge.ctfz.one が230msくらいなのでもっとサーバに近いところで回すべきという説

kcz146 14:59:17
あーそれは大事

JP3BGY 14:59:36
ロシア鯖？

kurgm 15:00:26
http://240.232.89.34.bc.googleusercontent.com

kcz146 15:01:31
United States California

kcz146 15:01:35
アメリカっすね

kcz146 15:02:48
アメリカにさばたてましょか

kcz146 15:02:54
GCE

kcz146 15:05:39
いらないですかそうですか

JP3BGY 15:06:33
ほしい！

kurgm 15:06:53
無料トライアルのやつを余らしてるのでせっかくなので自分でやります

kcz146 15:07:03
:yosa: :sou:

kurgm 15:14:43
pingが105ms:waiwai:

kcz146 15:15:30
105おそない？

kcz146 15:15:33
いいけど

JP3BGY 15:15:34
でもそれでも遅くないか

kurgm 15:17:18
us-west2のほうがいいのかな

kurgm 15:54:24
us-west2、140ms！ｗ

kurgm 15:58:18
2001回中1318回までは間に合っている

naan998244353 15:58:51
うーん

naan998244353 15:58:55
厳しいな

kurgm 16:15:21
VPS is

kurgm 16:15:26
?

kurgm 16:30:35
ctfzone{thE_C@$3_of_TH3_S70leN_313Ph4n7}

kurgm 16:30:38
:yatta-:

Tic-Tac-Toe(Pwn)

Scrapbox

• まるばつゲームで100勝するお話

• 関係ないかもですが、get_human_move()では入力が2文字以下&'1'~'9'&該当マスが0である必要がありますが、最初の2条件のみを満たす入力を与えた後は2つ目の条件を満たさない入力も与えることができます。よって以下のように自分の番を飛ばすこともできます（負けやすくなるだけやんけ。。。）
  

  

• あ、pythonでのインデックスの負数の解釈のされ方を利用してます(この場合python側ではboard[-1]==board[9]が埋まったことになる

  • いや、これを利用してpythonの側の状態だけ、相手のマスを上書きできたりして・・・

• ぐええ。　（奪えるのはC側の配列アクセスの関係で7(.)番と8(/)番のマスだけでしたぁぁぁ）

• １回目は 5->3->1->'.' の入力で必勝できます

• ただしそれによってboard【-2】に2が入ってしまい、しかもそこはゲームの度に初期化されないので以降この方法が禁じ手になってしまいます。ぐえぐえ

• nameに自明なBoFあるやんけ

  • 最初にsessionIDを取得
  • python側もboardの状態と勝利数を保持しているうえ勝利判定もpython側が独自に行うため、cmove/hmoveを恣意的に動かして勝つしかなさそう?
  • よってsend_state()の引数をいじって何回もこれを呼ぶ。1回勝つのに３回呼ぶ必要があり、愚直に考えればflagとるまで300回呼ぶ必要がある
  • だが許されてるROP長さは0x800であり、単に300回繰り返すとすると1回分あたり7byteほどしか使えない。どうにか同じコードを繰り返し実行させたいが、name buffer自体はサイズが0x11しかないからここにコードを保存しておくのは最低限しか無理そう
  • –> じゃあ方針が違うっぽいぐえ
  • 多分sessionIDを繰り返し使えばいいと思うんですけど（どうでしょう）

• これ全部無視してシェル開くのならできそうなんだけど趣旨と違うから違うか 開いたとて出力はこっちに来ないわ

• 見返すと恥ずかしいこと沢山書いてましたが、フロントのサーバが落ちてもバックグラウンドのサーバは生きてて内部状態を保持しているので、１勝したらぶち消しして次に行けばいい話でした

  

• サーバのIPは"10.0.15.252\0"でした( ♥

  ♥)

• ctfzone{h3r3_w3_g0_4g41n_t1c_t4c_t03_1z_4_n1z3_g4m3}

Slack

smallkirby 0:33:26
まるばつゲームやってる方いますか

smallkirby 0:35:54
できそう感がでてきた

moratorium08 0:37:35
まじ

moratorium08 0:37:42
ぼくまだ実行すらできてないねんけどｗ

moratorium08 0:39:05
あ、実行はできた

smallkirby 0:39:42
すごいヘボすぎるので多分違うんですが、scrapboxに書いたやり方で相手のマス上書きできたら幸せです

moratorium08 0:41:17
ほむ

---

smallkirby 1:50:20
あ！

smallkirby 1:50:36
マル×ゲーム

smallkirby 1:50:54
5->3->1->"."

smallkirby 1:50:58
で必勝できる

smallkirby 1:51:21
勝ったじゃん

smallkirby 1:52:19
ぐえ、だめだ。２回目以降それが禁じ手になる

smallkirby 1:59:53
そもそもにそんなんでいいなら100回っていう設定にしないな

moratorium08 2:08:27
えぇ自明なropがあるけどこれは既知？

smallkirby 2:15:38
ぐえ

smallkirby 2:15:49
ROPどこのことですか

moratorium08 2:16:01
あれ、これ名前でいけへん？（適当

smallkirby 2:16:55
完全にこの関数読み飛ばしてた

smallkirby 2:17:02
アホほど読んでるやん

moratorium08 2:17:22
多分、直接pythonのサーバー触りに行ける状態にできそう

smallkirby 2:17:53
やるきがうせました@

smallkirby 2:17:58
お願いします

moratorium08 2:18:15
ぼくはもう眠いので、明日がんばります

---

smallkirby 4:46:57
えー、いいガジェットが見つからない

smallkirby 4:56:00
自分で作っちまえばいいんだ

---

moratorium08 9:37:41
よくしらんけど、これsessionの部分書き換えられたりできないですかscanf(session_buf)みたいな感じで

moratorium08 9:38:28
わざわざsession管理していることを考えても何回か分けて良いようにしている（or race conditionとかかなと思ったが違いそう）ってことだと思うので、そこをうおうおすればわいわいできそう

moratorium08 9:39:33
scanfじゃないか、そけっとごしなのめんどいな

moratorium08 10:39:16
tictactoe、定期的にポート確保（？）か何かに失敗するんだけど原因が全然わからん（殺した後ゾンビが確保しているのかと思ったけどそういうわけでもない？）

moratorium08 10:39:30
一定時間するとできるようになるんですが

smallkirby 12:49:54
sessionID書き換えて必ず1勝するスクリプトはかけた

moratorium08 12:50:05
もう終わりやん

smallkirby 12:50:12
あとはこれを100回回せばいい感じですか？

moratorium08 12:50:26
そのつもりでした

moratorium08 12:50:43
ちゃんと新しいの発行したりして、みたいなのが必要ですが、まあ、そこらへんは

smallkirby 12:50:51
よくわかってないんですが、一回ncしてきったときも裏側のpythonは動いて情報保持したままですよね

moratorium08 12:51:02
はい

smallkirby 12:51:03
新しいのを発行する必要ありますか

moratorium08 12:51:14
あーいや

moratorium08 12:51:38
語弊が合って、なんか今1回勝ってるから、100回勝つなら、もう一度やり直さないとねみたいな適当を言いました

moratorium08 12:51:42
まあよしなに

moratorium08 12:51:59
これデバッグ果てしなくめんどくない？ｗ

smallkirby 12:52:05
そのときって、1回勝ったらぶっちしてもう一回繋いでいいんですかね？

smallkirby 12:52:14
デバッグ今のところはそんなに。。。

moratorium08 12:52:16
ぶっちは分からなくて、やめるコマンドなかったっけ

moratorium08 12:52:30
ぶっちでいいのかな

smallkirby 12:52:36
まぁやってみます

moratorium08 12:52:39
プロ

moratorium08 12:52:46
えーもうじゃあぼくはちがうのやるか

moratorium08 12:53:43
Baby Revみます

smallkirby 12:54:28
これぶっちすると表側のサーバが落ちるんですが。。。

moratorium08 12:54:36
いや分かる

moratorium08 12:54:43
だからめんどくない

moratorium08 12:54:55
表側って、Cの方ですよね

smallkirby 12:54:59
そうです

moratorium08 12:55:06
まあ落ちてもおｋでは

smallkirby 12:55:19
あ、かしたに

lmt_swallow 12:55:25
はかたし…

smallkirby 12:55:25
たしかに

slackbot 12:55:26
:hakatashi:

moratorium08 12:55:58
ただ、こいつが落ちるせいでデバッグ果てしなくめんどいマンになってしまった

smallkirby 12:56:32
あ、いける

moratorium08 12:56:37
はい天才

smallkirby 12:56:45
だけど最後コマンド待って落ちるようにROP組まないと

smallkirby 12:56:52
いや普通にmainに戻ればいいか

moratorium08 12:57:23
なんか一気にやろうとしている？（ようわからん）

moratorium08 12:57:36
まあ応援しています うおうお

smallkirby 12:58:06
いや、１回かったらROPを終わらせないとコアダンプしちゃうので

smallkirby 12:58:08
いや

smallkirby 12:58:16
してもええんか。って何回行ったらわかるんだ

moratorium08 12:58:19
コアダンプしてもいいのでは

moratorium08 12:58:20
はい

smallkirby 12:58:54

smallkirby 12:58:59
順調にレベル上げられました

moratorium08 12:59:00
お〜〜

smallkirby 12:59:07
業者が来ました

smallkirby 13:00:22
100称した後の処理も考えないとな

moratorium08 13:00:40
まあ、get_flag呼ぶだけだと思っていたんですが、詳しくは知りません

smallkirby 13:01:45
デバッグくそめんど侍

smallkirby 13:20:25
もらさんやってますか

moratorium08 13:20:32
実はやっています

tsgbot 13:20:33
本当にやっていますか？

moratorium08 13:20:36
ひそかに

smallkirby 13:20:37
ぐええ

moratorium08 13:20:47
いやいやだったらやめます

smallkirby 13:20:57
ちょっとときたいかもです

moratorium08 13:21:03
はひっ

moratorium08 13:21:04
やめます

smallkirby 13:21:08
あれ時間遅いことのデメリットないですよね

moratorium08 13:21:11
ないです

moratorium08 13:21:24
当方現状他に解けそうな問題ないので現実逃避してただけですずびばぜん

smallkirby 13:21:38
じゃあちょっとだけやらせていただいても。。。

moratorium08 13:21:44
ごめんなさい…

moratorium08 13:22:50
ゆるぼ　解けそうな問題

lmt_swallow 13:23:03
もらさん、なんでもいけるのでは

kcz146 13:23:14
ぜんぶといて

lmt_swallow 13:23:39
人少ないし全部とく勢いでやってよさそう(?)

kcz146 13:24:10
もら「いや別に人多くても全部解く勢いでやるんですが」

lmt_swallow 13:24:29
すみません

moratorium08 14:17:04
rdiが、4だと思います（server_ipではなくsocketのfdなので）

moratorium08 14:17:20
rsiもおかしいな、rsiはsessionだと思います

moratorium08 14:17:33
rdxもおかしいな、これはsendしたい文字列の長さだと思います

smallkirby 14:18:23
send_allではなくsend_get_flagです

moratorium08 14:18:29
ごめんなさい

smallkirby 14:18:49
int send_get_flag(char *server_ip,char *session,char *message)

moratorium08 14:18:58
あれ、rsiってsessionじゃなくていいんでしたっけ

smallkirby 14:19:06
あ、そうだ

moratorium08 14:19:12
個人的印象では、send_get_flag(ip, session, session)

smallkirby 14:19:33
けどconnectで落ちちゃうのは。。。

moratorium08 14:19:39
え

moratorium08 14:19:40
あれ

moratorium08 14:19:52
あれ

moratorium08 14:19:55
わかっておらず

smallkirby 14:21:21
あとnameを偽のsessionとして利用しているので、ここに偽のsessionIDいれてかつ上書きしてもらおうと思ってます

tsgbot 14:21:22
本当に思っていますか？

moratorium08 14:21:38
ほえ

moratorium08 14:21:48
get_send_flagで落ちちゃうのよくわかっていないんですよね

smallkirby 14:37:27
@moratorium08 ローカル環境なのでレベル100じゃないですが、send_all()に入った直後はこれでよさげでしょうか

smallkirby 14:37:40

smallkirby 14:38:50
send_allしても画面になんも表示されへん

moratorium08 14:46:34
いや

moratorium08 14:46:39
4

moratorium08 14:46:53
rdi

smallkirby 14:47:06
あ、ポインタ になっとる

smallkirby 15:15:40
これはありきたりなことですが、ローカルとリモートで動作違うぐえぐえ

smallkirby 15:16:03
なんでやねんねん

JP3BGY 15:16:07
ありきたりではないんだよなぁ

moratorium08 15:16:20
マジ？

moratorium08 15:16:59
てか、一つ疑問だったのは、リモートのサーバーどうやって動いてんねんという（というのも、毎回接続のたびに起動しないといけないでしょ

moratorium08 15:17:03
ようわからん

smallkirby 15:18:10

smallkirby 15:18:44
同じスクリプトを回しても、ローカルではmsg表示されてるのに、リモートではmsgがコピーされてない。。。

smallkirby 15:19:29
サーバというのはCの方ですか

moratorium08 15:20:03
む

moratorium08 15:20:09
you cheatつってるし

moratorium08 15:20:17
多分普通にmsg送られてない

moratorium08 15:20:24
んじゃないんですか

smallkirby 15:20:46
後者がローカルで、レベル１００じゃないのでmsgにはこのメッセージがコピーされます。もしレベル１００だとmsgにはフラグが張られます

moratorium08 15:20:54
はい

smallkirby 15:21:09
前者でもレベル１００じゃないとしてもmsgにそのメッセージが張られてる想定なのですが

smallkirby 15:21:17
なぜかコピーがされてない

moratorium08 15:21:18
うーん

moratorium08 15:21:55
わからん！ｗ

moratorium08 15:22:08
100回回すのとりあえず試してみるのって厳しいですか

smallkirby 15:22:23
あ！

smallkirby 15:22:33
これ100回より多いとだめだ

moratorium08 15:22:40
へー

smallkirby 15:24:57
いやでもメッセージが表示されないのは変だな

smallkirby 15:25:09
100回回すか。。。

smallkirby 15:26:22
やっぱだめだった。。。

moratorium08 15:26:27
まじか、、、

moratorium08 15:26:32
うーーーーん

smallkirby 15:26:40
あ、100回回したわけではなく

smallkirby 15:26:48
丁度１００勝してもだめでした

moratorium08 15:26:59
ぽむ

smallkirby 15:29:05
けどローカルで100回回したとて変わるのはpython側で送るmsgがFLAGかerrorかだけなので

smallkirby 15:29:09
あんま意味なさそう

moratorium08 15:29:21
pythonがカス？

moratorium08 15:29:28
うーーーーーーーん

moratorium08 15:29:35
ちょっと僕も試してみます

smallkirby 15:29:39
なぜmsgにローカルだとstrncpyされないのか

smallkirby 15:29:48
この時点でのスクリプト貼ります

moratorium08 15:29:50
ローカルだと？

moratorium08 15:29:53
あ、助かります

smallkirby 15:29:58
リモートだとでした

smallkirby 15:30:14
(省略)

smallkirby 15:30:21
(省略)

smallkirby 15:31:25
まず普通にncしてIDを発行したらコピーをして
./exploit4 -r したあとにペーストすると100勝してくれます
./exploit5 -r したあとにペーストするとsend_get_flagします

moratorium08 15:32:56
たしかになあ

smallkirby 15:33:03
（コメントは嘘ばっか言ってます）

smallkirby 15:33:47
モラトリアムさんの方法だと、少なくともチートメッセージは表示されますか？

moratorium08 15:33:57
いや、、、

moratorium08 15:33:59
だめですねえ

moratorium08 15:34:08
なんでこんなことになるねん

smallkirby 15:34:45
sec機構何もないからアドレスも変わらんはずだし。。。

smallkirby 15:35:52
40人解いてるからそんな変な仕組み無い気がするんだけどなぁ

smallkirby 15:41:35
いや、strncpyがされないはずないねんな

smallkirby 15:42:05
ということはやっぱrecv_allでtemp_msgに格納ができてないってこと

smallkirby 15:42:28
いや、だとしたらstrncpyでtemp_msgのゴミデータが0x100分入るか

smallkirby 15:44:05
ってことはどう考えてもsend_get_flagに渡すmsgのアドレスが意図したとおりになってないとしか考えられなそう

smallkirby 15:47:00
これ。。。無理

moratorium08 15:51:29
え、意味がわからない

smallkirby 15:51:42
ずびばぜん

moratorium08 15:51:51
いや、謎ではという、、、、、

smallkirby 15:52:28
方針がちがうのかなぁ

moratorium08 15:52:34
うーーーーーーーーーーーん

moratorium08 15:52:49
python経由でflag読めなかったらもう何をしてもきつい感ないですか

smallkirby 15:53:29
シェル開いてソケットに繋いでくれるシェルスクリプト的なんも意味ないですよね(適当

moratorium08 15:53:46
実際偉そう

smallkirby 15:54:11
探してもないんですが

moratorium08 15:54:11
ただ、多分pythonは別インスタンスにあるとは思うんですが、何が起きているかは理解できるかもしれなさそう（ところで、なんもわからん・・・・・・・

moratorium08 15:54:30
直接pythonのサーバーと会話できますよね

smallkirby 15:55:14
まぁシェル開けたらそうなるかもですけど、、、そうだとしたらクソ問感すごくないですか

moratorium08 15:55:22
分かる・・・・・・・

smallkirby 15:55:26
全部ほっぽり投げてシェル開くって。。。

moratorium08 15:55:30

moratorium08 16:00:08
とりあえずtic tac toeがちゃんと動作しているかtelegramで聞きました

moratorium08 16:00:21
壊れてたぜhahahaって言ってくれ〜

smallkirby 16:00:46
絶対言わないですよ

smallkirby 16:01:21
日本語喋れないでしょうし

moratorium08 16:01:44
解答があったら配られたpythonファイルと、サーバーにあるファイルに違いがあるかを聞いてみます

smallkirby 16:02:05
ありがたいです！！

moratorium08 16:02:46
冷静に考えて、レスポンス早すぎないですか？

moratorium08 16:03:02
recvで取りきれてなかったりしないかな

smallkirby 16:03:03
たしかに

smallkirby 16:03:12
ncでやるとメチャメチャ遅いですよね

moratorium08 16:03:16
分かる

moratorium08 16:03:21
なんかそこあやしいきがしてきたな

smallkirby 16:03:28
自分が悪い説出てきたな

moratorium08 16:03:34
うーーん

smallkirby 16:04:23
でもsend_allしないと表示されないわけで、そこまでいくには必ずmsgのstrncpyも経過してあるはず。。。

smallkirby 16:04:43
1000命令ぐらいのアウトオブオーダー実行している場合を除いて

moratorium08 16:05:30
yes, It's working, but very slow now. check after 5 minutes

moratorium08 16:05:45
というか鯖早くなったらうまくいくってことないかな（楽観

smallkirby 16:05:48
たぶん遅いのは盤面の計算をしているから？

smallkirby 16:05:57
いや、最初の名前入力も遅いか

smallkirby 16:06:34
速度ではかわらなさそう。。。

smallkirby 16:07:14
5分たってチェックしてなかったら慰謝料としてフラグをもらいます

moratorium08 16:08:25
ソケット周りよくわからないんですよね

smallkirby 16:10:19
ちょっと早くなった感笑

smallkirby 16:14:23
変わらず

smallkirby 16:14:26
できない

moratorium08 16:14:26
フラグの1文字目が改行とかだったら面白いな

smallkirby 16:14:41
改行だとどうなるんですか

moratorium08 16:15:00
多分recv_allは改行で止まるので

moratorium08 16:15:12
あーいや

moratorium08 16:15:15
うーん

moratorium08 16:15:20
うそっぽい

smallkirby 16:15:27
チートメッセージは改行の後も表示されてます

tsgbot 16:15:28
本当に表示されていますか？

moratorium08 16:15:41
そうっすよね

moratorium08 16:15:45
もうわからん・・・・

moratorium08 16:16:02
いずれにせよ、recv_allが0文字読み込みで帰ってるってことではあると思うんですよねえ

moratorium08 16:16:14
で、その条件は、コネクションが切れるか、

smallkirby 16:17:09
そうするとstrncpyで元のセッション情報が上書きされるはずなので

smallkirby 16:17:25
画像のようにはならない気がするんですが

smallkirby 16:17:39
まった

moratorium08 16:17:39
あれ、0文字ならそうですかね

smallkirby 16:18:05
NULLだから止まるか

smallkirby 16:18:29
じゃあコネクションきれてるんですかね

moratorium08 16:18:54
あれ！ｗ

moratorium08 16:18:56
あれ

moratorium08 16:18:59
あれ？

smallkirby 16:19:04
ぽむ

moratorium08 16:19:05
127.0.0.1でいいんだっけ

moratorium08 16:19:11
む

smallkirby 16:19:14
サーバサイドからしたら

smallkirby 16:19:17
いいんじゃないですか

moratorium08 16:19:18
そうなのか

moratorium08 16:19:31
え、じゃあシェル撮ったら、python見えたりしそうでは

smallkirby 16:19:41
はい

moratorium08 16:19:47
認識していなかった

smallkirby 16:19:48
1時間前に戻る

moratorium08 16:19:55
ずびばぜん

smallkirby 16:20:02
いえいえ冗談です

smallkirby 16:20:08
どう言う認識でしたか

moratorium08 16:20:19
別鯖においてあるのかと思っていました

smallkirby 16:20:25
なるほど

smallkirby 16:21:11
pythonと直接対話してフラグ取ると言う方針ですか

smallkirby 16:21:29
そうするとcの部分全然使わないクソもん感が

moratorium08 16:21:41
えーちょっとまって、なんか

moratorium08 16:21:44
うーーーーーーーん？

naan998244353 16:21:44
りだ

moratorium08 16:22:03
いやそうかやっぱ接続のどっかで失敗しているのか

moratorium08 16:22:06
なんで失敗するんだろう

smallkirby 16:22:32
まずレベルあげできてるか確かめたいですね

moratorium08 16:22:36
分かる

moratorium08 16:22:45
これできてない説ない？ｗ

smallkirby 16:22:45
そしたらサーバと通信できてるかわかる

moratorium08 16:22:53
ぼくとってもipを疑っています

tsgbot 16:22:53
本当に疑っていますか？

smallkirby 16:23:13
まあれべるあがってなかったとしてもmsgは見れるはずなので

smallkirby 16:23:19
やっぱ通信できてない

moratorium08 16:23:20
いや

moratorium08 16:23:28
ipが間違えていたら、接続失敗するので

moratorium08 16:23:39
なにも起こらないはず

smallkirby 16:23:45
はい

moratorium08 16:23:55
なので、IPが間違ってたりしませんかという

moratorium08 16:24:16
server_ip

moratorium08 16:24:22
server_ipをリークしてみよう〜

smallkirby 16:30:00
うーむ

moratorium08 16:31:50
server_ipになんでポインタみたいなのが入ってるんや

moratorium08 16:32:16
ASLR入って無い説無い？ｗ

moratorium08 16:33:31
server_ipの中って何が入ってるはずなんや

smallkirby 16:33:59
アドレス

smallkirby 16:34:34
“127.0.0.1”へのぽいんたなきが

moratorium08 16:34:47
見つけた！！！！！！！！

moratorium08 16:34:48
10.0.15.252

moratorium08 16:34:49
これです

smallkirby 16:35:16
できたっぽい

moratorium08 16:35:22
うおうおうおうおうおうおうおうおうおうおうおうおうおうお

moratorium08 16:35:31
かーびーさんあとはがんばって

smallkirby 16:35:47
はい

moratorium08 16:36:10

dummy_session> 0CkaNYw5J0RFH21OOQ7trt266nLDFRRX

48
88
[*] Switching to interactive mode
You trying to cheat on me!
\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00[*] Got EOF while reading in interactive
$

moratorium08 16:36:13
これはきたきた

lmt_swallow 16:36:15
ウオウオ

moratorium08 16:36:17
もう優勝

smallkirby 16:39:17
ctfzone{h3r3_w3_g0_4g41n_t1c_t4c_t03_1z_4_n1z3_g4m3}

moratorium08 16:39:18
プロ！！！！！！！！！！！

lmt_swallow 16:39:20
わーーーーーーーーい

hakatashi 16:39:24
ぷーーーーーーーーーーーーーーーーーーーーー!!!

smallkirby 16:39:47
99.9%う西伊豆産のおかげです

smallkirby 16:39:50
モラトリアムさん

smallkirby 16:40:04
@moratorium08 どうやってIP見つけました

moratorium08 16:40:18
server_ipをリークして出てきたアドレスをリークしました

moratorium08 16:40:48
0x7ffff7fcf4d0

smallkirby 16:40:58
ぽむ

moratorium08 16:41:27
server_ipをリークすると上のアドレス（これはスタック？？）が出てきて、それを更にリークすると

Opening connection to pwn-tictactoe.ctfz.one on port 8889: Done
10.0.15.252\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00

moratorium08 16:41:31
が出てくる

smallkirby 16:41:51
天才

smallkirby 16:42:25
flag譲ってくれてめちゃめちゃ嬉しかったです(CTF初flagなので)

smallkirby 16:42:29
すいません、課題あるので退散します。頑張ってください

---

長すぎてHackMDの文字数制限に引っかかったので後編に続く