[🥉 Bronze 2] 부분 문자열로 흩어 놓은 배치 난독화 되돌리기 — DreamHack Batch Checker 풀이

문제: DreamHack — Batch Checker 분류: Reversing 난이도: 🥉 Bronze 2 FLAG: DH{BA7cH_cAN_hiDe_u5iNg_text}

문제 설명은 "과연 플래그를 확인할 수 있을까요? 실행만 하면 됩니다!"라며 태연하게 실행을 권한다. 하지만 실제로 실행해봐야 얻는 건 correct나 wrong이라는 한 마디뿐, 플래그 자체는 나오지 않는다 — 브루트포스로 맞히라는 소리에 가깝다. 이 배치 파일 하나가 전부인 리버싱 문제인데, 열어 보면 무작위 이름의 긴 변수들과 알 수 없는 %...% 기호가 빽빽하다. 배치 특유의 부분 문자열 문법으로 명령을 한 글자씩 흩어 놓은 난독화다.

문제 개요

배치를 실행하지 않고도, 치환 규칙만 프로그램으로 풀면 원래 명령이 복원된다.

🧩 배경 — 배치의 부분 문자열 문법

윈도우 배치에는 변수의 일부만 잘라 쓰는 문법이 있다. %NAME:~offset,length%는 변수 NAME의 값에서 offset부터 length글자를 뽑는다. 예를 들어 SET "V=abcdef" 상태에서 %V:~2,1%는 c 한 글자다.

이 문제는 그 문법을 난독화에 쓴다. 무의미한 이름의 긴 변수를 수십 개 정의해 놓고, 실행할 명령을 그 변수들의 부분 문자열로 한 글자씩 이어 붙인다. 사람 눈에는 난수처럼 보이지만, 각 %VAR:~n,1%는 정해진 한 글자를 가리킬 뿐이다.

🔬 정찰 — 무엇을 조립하는가

prob.bat은 크게 두 부분이다. 앞쪽은 SET "이름=값" 형태로 변수 37개를 정의하고, 뒤쪽 한 줄이 @%A:~53,1%%B:~26,1%...처럼 수많은 부분 문자열을 이어 붙여 실제 명령을 만든다.

wc -l prob.bat
awk '{print length}' prob.bat | sort -rn | head -3
head -c 300 prob.bat

파일 전체는 38줄뿐인데 그중 조립 명령 한 줄이 무려 7,463자다. 변수 이름·값도 전부 100자 안팎의 무의미한 알파벳 나열이다. 이렇게 조립된 명령이 입력을 검사하는 로직이므로, 치환만 풀면 검사 대상(=플래그)이 그대로 보인다.

치환 메커니즘이 정말 그렇게 동작하는지 손으로 한 글자만 먼저 확인해봤다. 조립 명령의 첫 글자는 리터럴 @이고, 그다음 첫 번째 %VAR:~53,1% 패턴이 무엇을 가리키는지 봤다.

name, off = "긴 변수명", 53
val = vars[name]
print(repr(val[off]))

100자짜리 변수의 53번째 문자가 정확히 'e'다. 리터럴 @ 다음에 이 e가 이어지면 @e..., 즉 최종 명령이 @echo off로 시작한다는 것과 맞아떨어진다. 규칙을 제대로 읽었다는 확신이 서니, 이제 이 과정을 전체 문자열에 자동으로 반복하면 된다.

🎯 풀이 — 치환을 프로그램으로 해제

SET 정의를 딕셔너리로 파싱하고, %NAME:~off,len% 패턴을 실제 부분 문자열로 반복 치환한다.

# solve.py
import re
lines = open("prob.bat", encoding="utf-8", errors="replace").read().splitlines()
vars = {}
for l in lines:
    m = re.match(r'\s*SET\s+"([^=]+)=(.*)"\s*$', l, re.I)
    if m: vars[m.group(1)] = m.group(2)
 
def resolve(line):
    def sub(mm):
        v = vars.get(mm.group(1), ""); off = int(mm.group(2)); ln = mm.group(3)
        return v[off:] if ln == "" else v[off:off+int(ln)]
    prev = None
    while prev != line:
        prev = line; line = re.sub(r'%([A-Za-z0-9_]+):~(-?\d+),?(\d*)%', sub, line)
    return line
 
for l in lines:
    if not l.strip().lower().startswith("set ") and l.count("%") > 4:
        print("복원된 검사:", resolve(l).strip())

복원된 명령은 이렇다.

@echo off && if "%FLAG%"=="BA7cH_cAN_hiDe_u5iNg_text" (echo correct) else (echo wrong) && pause

입력이 BA7cH_cAN_hiDe_u5iNg_text와 같은지 비교한다. 이 값이 곧 플래그 본문이다. 배치를 실제로 실행하는 대신, 같은 비교를 파이썬으로 흉내 내 정말 correct가 나오는지 확인했다.

FLAG = "BA7cH_cAN_hiDe_u5iNg_text"
target = "BA7cH_cAN_hiDe_u5iNg_text"
print("correct" if FLAG == target else "wrong")

FLAG: DH{BA7cH_cAN_hiDe_u5iNg_text}

📝 결론

난독화는 실행 로직을 지우지 못한다. 부분 문자열로 아무리 잘게 흩어 놓아도, 그 조각들을 합치면 원래 명령이 되어야 프로그램이 동작한다. 조립 규칙(%VAR:~n,1%)만 프로그램으로 되짚으면 난독화는 그대로 풀린다. 변수 37개, 7,463자짜리 한 줄이라는 규모가 위협적으로 보여도, 치환 규칙 자체는 시종일관 똑같아서 정찰 한 번이면 전체를 자동화할 수 있다.

"실행만 하면 된다"는 말을 그대로 믿지 않는다. 이 문제의 설명은 실행을 권하지만, 실제로 실행해도 correct/wrong 한 마디만 돌아올 뿐 플래그는 나오지 않는다. 의심스러운 스크립트를 실제로 돌려보라는 유혹은 이 문제 밖에서도 흔하다 — 악성 배치·매크로가 정확히 이런 식으로 "그냥 실행해보라"고 유도한다.

스크립트 난독화는 정적으로 되짚는 게 안전하다. 의심스러운 배치를 실제로 실행하면 위험할 수 있다. 이 문제처럼 SET과 부분 문자열 문법을 파싱해 정적으로 복원하면, 실행 없이도 검사 로직과 정답을 안전하게 뽑아낼 수 있다.