[🥉 Bronze 4] 만들어 놓고 버린 반환값에서 플래그를 낚아채다 — DreamHack Check Return Value 풀이

문제: DreamHack — Check Return Value 분류: Reversing 난이도: 🥉 Bronze 4 FLAG: DH{0e82b5c5082e44a74dbb6d05e91387ee}

문제 이름이 곧 힌트다. 바이너리는 플래그를 만들어 반환(return) 하는데, main은 그 반환값을 쓰지 않고 버린다. 그래서 프로그램을 아무리 실행해도 "플래그를 돌려줬다"는 메시지만 나오고 정작 플래그는 화면에 찍히지 않는다. 우리가 할 일은 그 버려지는 반환값을 중간에 낚아채는 것이다.

문제 개요

풀이 흐름은 세 걸음이다. 실행해도 플래그가 안 나오는 걸 확인하고 → main을 디스어셈블해 반환값이 어디서 버려지는지 짚고 → 그 지점에 gdb를 걸어 $rax를 읽는다.

🔬 정찰 — 실행해도 플래그가 안 나온다

먼저 그냥 실행해 보고, 플래그가 바이너리에 문자열로 박혀 있는지 strings로 확인한다.

./check_return_value
strings -a check_return_value | grep -iE "flag|DH\{"

실행하면 OK. I will return flag.와 I have returned the flag :) 두 줄만 나온다. 플래그는 없다. strings로 뒤져도 이 안내 문구만 걸리고 DH{로 시작하는 문자열은 없다. 즉 플래그는 정적으로 박혀 있는 게 아니라 실행 중에 만들어진다. 그렇다면 만들어지는 순간을 잡아야 한다.

🔎 main 분석 — 반환값을 만들고 곧바로 버린다

main을 radare2로 디스어셈블한다. 함수가 짧아 흐름이 한눈에 들어온다. -A가 뱉는 분석 진행 로그(INFO: Analyze …)가 화면을 덮어서 log.quiet=true로 눌러 뒀다.

r2 -q -e log.quiet=true -A -c "s main; pdf" check_return_value

핵심은 딱 두 줄이다.

call fcn.0040152b               ; rax = 플래그를 조립해 그 포인터를 반환
lea  rax, str.I_have_returned_the_flag  ; rax를 안내 문자열로 덮어씀 (!)

fcn.0040152b가 버퍼에 플래그를 조립하고 그 포인터를 rax로 돌려준다. 그런데 main은 그 rax를 어디에도 쓰지 않고, 바로 다음 명령에서 lea rax, "I have returned the flag :)"로 덮어써 버린다. 그리고 그 안내 문자열만 puts로 출력한다. 반환값을 확인(check)하지 않고 흘려보내는 것, 그게 이 문제의 전부다.

그렇다면 call이 끝나고 lea가 실행되기 직전, 즉 주소 0x4015dc에서 rax는 아직 플래그 포인터를 가리키고 있다. 여기에 브레이크포인트를 걸면 된다.

🎯 풀이 — 덮어쓰기 직전 $rax를 읽는다

바이너리는 non-PIE라 주소가 고정(0x4015dc)이다. gdb로 그 지점에 멈춰 rax가 가리키는 문자열을 출력한다.

gdb -q -batch -ex "break *0x004015dc" -ex "run" -ex 'printf "returned rax -> flag:\n"' -ex 'x/s $rax' ./check_return_value

0x4015dc에서 멈춰 x/s $rax로 읽으면 조립이 끝난 문자열이 그대로 나온다.

ooh you figured out me :) Flag is DH{0e82b5c5082e44a74dbb6d05e91387ee}

조립 함수 안의 XOR·치환 단계를 손으로 다 되짚을 수도 있지만, 어차피 로컬에서 도는 바이너리라 결과 버퍼를 실행 중에 읽는 편이 훨씬 빠르다. 정적 분석으로 "어디서 버려지는지"만 정확히 짚고, 그 지점을 런타임으로 확인한 셈이다.

FLAG: DH{0e82b5c5082e44a74dbb6d05e91387ee}

📝 결론

반환값도 결국 메모리 어딘가에 있다.

프로그램이 값을 화면에 안 뿌린다고 그 값이 없는 게 아니다. rax에 실려 있었고, 덮어쓰기 전 한순간 메모리에 살아 있었다. 그 한순간을 브레이크포인트로 잡으면 된다.

정적으로 지점을 짚고, 런타임으로 확인한다.

main을 디스어셈블해 "반환값이 0x4015dc에서 버려진다"는 걸 먼저 정확히 짚은 덕에, gdb는 딱 한 줄(x/s $rax)로 끝났다. 조립 로직 전체를 역산하지 않고도 결과만 정확히 회수하는 게 이런 문제의 요령이다.