[🥉 브론즈 4] 겹겹이 인코딩된 base64 벗기기 — DreamHack Base64 10 Times 풀이

🔬 정찰 — 미끼와 진짜 데이터

먼저 제공 파일과 문제 문자열을 확인한다.

Hello.txt는 낚시고, 문제 설명에 붙은 344자짜리 문자열이 본체다. 이게 정말 base64인지부터 확인한다.

사용된 문자가 전부 base64 알파벳 안에 있고 == 패딩으로 끝난다. base64가 맞다.

💣 핵심 — 플래그가 보일 때까지 벗긴다

한 번 디코드해 보면 결과가 또 base64다. 다시 디코드해도 또 base64. 매 층마다 길이가 약 3/4로 줄어드는 걸 보면 껍질이 벗겨지는 게 눈에 보인다. DH{가 나타날 때까지 반복하면 된다.

344 → 256 → 192 → … → 24 → 16으로 열한 번 벗기니 플래그가 나온다. 흥미롭게도 문제 제목은 "10 Times"인데, DH{가 실제로 드러나는 건 11번째 디코드다(10회째엔 REh7c29f…fQ==라는 base64가 하나 더 남아 있다). 제목은 대략적인 힌트일 뿐, "될 때까지" 돌리는 게 안전하다.

🚀 익스플로잇

파이썬 없이 표준 도구 base64 -d만 파이프로 반복해도 똑같이 나온다.

플래그가 스스로 말한다 — "so ez base64". CyberChef의 "From Base64" 레시피를 열한 번 쌓아도 결과는 같다.

📝 결론

여러 겹의 인코딩은 여러 번 벗기면 된다.

base64를 몇 겹으로 씌워도 각 층은 키 없이 되돌릴 수 있어, 반복 디코딩만으로 원본이 나온다. 실전 분석에서 낯선 문자열을 만나면 문자셋·패딩·길이 변화로 인코딩 종류를 먼저 판별하고, 결과가 또 인코딩처럼 보이면 한 겹 더 벗기는 습관이 유용하다. 층수를 미리 세지 말고 "의미 있는 값(여기선 DH{)이 나올 때까지" 돌리는 게 안전하다.

인코딩을 보안으로 착각하면 안 된다.

base64는 데이터를 텍스트로 안전하게 실어 나르기 위한 표현 방식이지 암호가 아니다. 값을 숨기려는 목적으로 base64를 쓰는 건 자물쇠 없이 상자만 여러 개 겹쳐 놓는 것과 같다. 진짜로 감춰야 한다면 키 기반 암호를 써야 하고, base64는 그 암호문을 전송·저장하기 좋은 형태로 감싸는 용도로만 봐야 한다.