[🥉 Bronze 2] 스탯 창에 목표값이 통째로 적혀 있었다 — DreamHack dungeon-in-1983 풀이

file extracted/prob && readelf -h -d extracted/prob | grep -E "Type:|Entry|NEEDED|BIND_NOW|Flags"

strings -a -n 5 extracted/prob | sed -n "/Basilisk/,/flag: /p"

// main @ 0x1509 (재구성)
char monsters[10][20] = {"Basilisk", ..., "Roc"};
FILE *rnd = fopen("/dev/urandom", "r");
 
for (int i = 0; i <= 9; i++) {
    unsigned long val;
    fread(&val, 8, 1, rnd);                    // 목표값 8바이트
    printf("[STAGE %2d]: %s\n", i + 1, monsters[i]);
    print_info(val);                           // ← 0x138d
    printf("Cast your spell!: ");
    fgets(buf, 200, stdin);                    // 개행 잘라내기
    if (!check(buf, val))                      // ← 0x1407
        { puts("You were defeated. Retreat!"); exit(-1); }
    printf("%s defeated. STAGE %2d cleared!\n", monsters[i], i + 1);
}
// 열 마리 다 잡으면 ./flag 를 getline 으로 읽어 출력

objdump -d -M intel --no-show-raw-insn --start-address=0x138d --stop-address=0x1407 extracted/prob | sed -f annot_info.sed | tail -n +7

s|shr    rax,0x28|&           <-- val >> 40  = DEX|
s|shr    rax,0x20|&           <-- val >> 32  = END|
s|shr    rax,0x18|&           <-- val >> 24  = INT|
s|shr    rax,0x10|&           <-- val >> 16  = VIT|
s|shr    rax,0x8|&            <-- val >>  8  = AGI|
s|movzx  edx,al|&             <-- val \& 0xff = STR|
s|shr    rax,0x30|&           <-- val >> 48  = HP (16비트)|

set pagination off
set confirm off
set debuginfod enabled off
 
# PIE 라 로드 베이스를 관례로 가정하지 않고 매핑에서 직접 읽는다
starti
python
import gdb
base = None
for line in gdb.execute("info proc mappings", to_string=True).splitlines():
    f = line.split()
    if len(f) >= 5 and f[-1].endswith("/prob"):
        base = int(f[0], 16)
        break
gdb.execute("set $base = %#x" % base)
end
printf "[gdb] PIE base = %#lx\n", $base
 
# 0x177d = fread 로 받은 8바이트를 print_info 로 넘기기 직전
break *($base + 0x177d)
continue
 
set $v = *(unsigned long *)($rbp - 0x1b0)
printf "[gdb] /dev/urandom 8B = %#018lx\n", $v
printf "[gdb] 되조립 HP=%d DEX=%d END=%d INT=%d VIT=%d AGI=%d STR=%d\n", (int)(($v>>48)&0xffff), (int)(($v>>40)&0xff), (int)(($v>>32)&0xff), (int)(($v>>24)&0xff), (int)(($v>>16)&0xff), (int)(($v>>8)&0xff), (int)($v&0xff)
 
# print_info 호출을 지나 프로그램이 찍는 [INFO] 줄과 대조한다
tbreak *($base + 0x178c)
continue
kill

gdb -q -batch -iex "set debuginfod enabled off" -x verify.gdb ./local/prob

objdump -d -M intel --no-show-raw-insn --start-address=0x143d --stop-address=0x14bc extracted/prob | sed -f annot_check.sed | tail -n +7

s|cmp    eax,0x41|&                <-- 'A' 인가|
s|cmp    eax,0x42|&                <-- 'B' 인가|
s|add    QWORD PTR \[rbp-0x8\],0x1|&   <-- acc += 1|
s|shl    QWORD PTR \[rbp-0x8\],1|&     <-- acc *= 2|
s|cmp    DWORD PTR \[rbp-0x14\],0x0|&  <-- 직전 글자가 A 였나 (연속 A 금지)|
s|cmp    DWORD PTR \[rbp-0x10\],0x0|&  <-- A 를 한 번이라도 눌렀나|
s|cmp    rax,QWORD PTR \[rbp-0x30\]|&  <-- acc == 목표값?|

// check @ 0x1407 (재구성)
int check(char *s, unsigned long target) {
    unsigned long acc = 0;      // rbp-0x8
    int prev_a = 0;             // rbp-0x14  직전 글자가 A였나
    int seen_a = 0;             // rbp-0x10  A를 한 번이라도 눌렀나
    for (int i = 0; s[i]; i++) {
        if (s[i] == 'A') {
            seen_a = 1; acc += 1;
            if (prev_a) { puts("A button stucked! Retreat..."); exit(-1); }
            prev_a = 1;
        } else if (s[i] == 'B') {
            if (!seen_a) { puts("Lore says the spell should start with A..."); exit(-1); }
            acc <<= 1;
            prev_a = 0;
        } else { puts("Invalid button!"); exit(-1); }
    }
    return acc == target;
}

objdump -d -M intel --no-show-raw-insn --start-address=0x14bc --stop-address=0x1509 extracted/prob | sed -f annot_check.sed | tail -n +7

#!/usr/bin/env python3
"""주문에 걸린 세 가지 제약을 바이너리에게 직접 확인받는다.
 
STAGE 1 에서 일부러 규칙을 어긴 입력을 넣고, 마지막 줄에 어떤 거절 메시지가
나오는지 본다. 세 메시지 모두 .rodata 에 박혀 있던 것들이다.
"""
import os
import subprocess
 
HERE = os.path.dirname(os.path.abspath(__file__))
LOCAL = os.path.join(HERE, "local")
 
CASES = [
    ("BA",  "B 를 먼저 눌렀다"),
    ("AAB", "A 를 연속으로 눌렀다"),
    ("ABC", "A/B 가 아닌 글자를 섞었다"),
]
 
for spell, why in CASES:
    out = subprocess.run(
        [os.path.join(LOCAL, "prob")], cwd=LOCAL, input=spell + "\n",
        capture_output=True, text=True, timeout=10,
    ).stdout.strip().splitlines()
    print(f"[{spell:<4}] {why:<22} -> {out[-1].split(': ')[-1]}")

python3 guards.py

#!/usr/bin/env python3
"""주문 인코딩이 정말 맞는지, 그리고 200바이트 버퍼 안에 들어가는지 확인한다.
 
emulate() 는 prob 의 check() 를 그대로 옮긴 것이다 —
'A' 는 acc+=1, 'B' 는 acc*=2, 연속 'A' 금지, 첫 A 이전의 'B' 금지.
"""
from solve import spell
 
 
def emulate(s: bytes) -> int:
    """check@0x1407 의 재구현. 규칙을 어기면 ValueError 를 던진다."""
    acc, seen_a, prev_a = 0, False, False
    for c in s.decode():
        if c == "A":
            if prev_a:
                raise ValueError("A button stucked! Retreat...")
            seen_a, prev_a = True, True
            acc += 1
        elif c == "B":
            if not seen_a:
                raise ValueError("Lore says the spell should start with A...")
            acc <<= 1
            prev_a = False
        else:
            raise ValueError("Invalid button!")
    return acc
 
 
CASES = [1, 2, 3, 5, 10, 255, 0xDEADBEEF, 2**64 - 1]
 
for n in CASES:
    s = spell(n)
    ok = emulate(s) == n
    shown = s.decode() if len(s) <= 40 else s[:18].decode() + "..." + s[-18:].decode()
    print(f"[{'OK' if ok else '!!'}] n={n:<20} len={len(s):>3}  {shown}")
 
worst = max(len(spell(2**k - 1)) for k in range(1, 65))
print(f"\n[+] 64비트 최악의 경우 주문 길이 = {worst}자  (fgets 버퍼 200바이트 안)")
print(f"[+] 'AA' 부분문자열 등장 횟수 = {sum(b'AA' in spell(n) for n in CASES)}")

python3 spell_demo.py

#!/usr/bin/env python3
"""dungeon-in-1983 (Dreamhack, Bronze 2 / reversing) solver.
 
스테이지마다 /dev/urandom 에서 읽은 64비트 값이 목표치인데,
[INFO] 줄이 그 값을 HP/DEX/END/INT/VIT/AGI/STR 로 쪼개 전부 출력해 준다.
목표치를 복원한 뒤 'A'(+1) 'B'(x2) 두 버튼만으로 그 수를 만드는 주문을 짠다.
연속 'A' 가 금지되므로 A 사이에 항상 B 가 들어가는 이진 전개가 곧 정답이다.
 
    로컬:  python3 solve.py
    원격:  python3 solve.py host3.dreamhack.games 12345
"""
import os
import re
import sys
 
from pwn import context, log, process, remote
 
HERE = os.path.dirname(os.path.abspath(__file__))
 
STAGES = 10
INFO_RE = re.compile(
    rb"HP:\s*(\d+), STR:\s*(\d+), AGI:\s*(\d+), VIT:\s*(\d+), "
    rb"INT:\s*(\d+), END:\s*(\d+), DEX:\s*(\d+)"
)
 
 
def target_from_info(line: bytes) -> int:
    """[INFO] 한 줄에서 64비트 목표치를 원래대로 조립한다."""
    m = INFO_RE.search(line)
    if not m:
        raise ValueError(f"INFO 파싱 실패: {line!r}")
    hp, st, ag, vi, it, en, dx = (int(v) for v in m.groups())
    return (hp << 48) | (dx << 40) | (en << 32) | (it << 24) | (vi << 16) | (ag << 8) | st
 
 
def spell(n: int) -> bytes:
    """A(+1)/B(x2) 로 n 을 만드는 주문. 'AA' 없이, 항상 A 로 시작한다."""
    if n == 0:
        return b""
    bits = bin(n)[2:]              # 최상위 비트는 반드시 1
    out = ["A"]                    # 그 1 을 A 로 세운다
    for b in bits[1:]:
        out.append("B")            # 자리 하나 올리고
        if b == "1":
            out.append("A")        # 필요하면 1 을 더한다
    return "".join(out).encode()
 
 
def main() -> None:
    context.log_level = "info"
    if len(sys.argv) >= 3:
        io = remote(sys.argv[1], int(sys.argv[2]))
    else:
        local = os.path.join(HERE, "local")   # prob 사본 + 더미 flag 를 둔 곳
        io = process([os.path.join(local, "prob").encode()], cwd=local)
 
    for stage in range(1, STAGES + 1):
        name = io.recvline_startswith(b"[STAGE").split(b":")[-1].strip()
        target = target_from_info(io.recvline_startswith(b"[INFO]"))
        payload = spell(target)
        log.info("STAGE %2d %-10s target=%-20d len=%d", stage, name.decode(), target, len(payload))
        io.sendlineafter(b"Cast your spell!: ", payload)
 
    io.recvuntil(b"Take the flag: ")
    print(io.recvline().decode().strip())
    io.close()
 
 
if __name__ == "__main__":
    main()

python3 solve.py

#!/usr/bin/env bash
# dungeon-in-1983 — 한 방 재현.
#
#   ./reproduce.sh                         배포 Dockerfile 그대로 빌드해 로컬에서 체인 검증
#                                          (배포본 flag 는 더미 DH{test_flag} 다 — 진짜 flag 아님)
#   ./reproduce.sh host3.dreamhack.games 8875
#                                          라이브 서버에 붙어 진짜 flag 를 뽑고 문제.json 과 대조
set -u
cd "$(dirname "$(readlink -f "$0")")"
 
EXPECT=$(python3 -c "import json;print(json.load(open('문제.json'))['flag'])" 2>/dev/null || echo '')
 
if [ "$#" -ge 2 ]; then
  MODE="라이브"
  WANT="$EXPECT"
  OUT=$(TERM=xterm timeout 120 python3 solve.py "$1" "$2" 2>&1) || true
else
  MODE="로컬 도커"
  WANT="DH{test_flag}"
  docker build -q -t dungeon1983 ./extracted >/dev/null || { echo "❌ docker build 실패"; exit 1; }
  docker rm -f dungeon1983 >/dev/null 2>&1
  docker run -d --name dungeon1983 -p 31337:31337 dungeon1983 >/dev/null || { echo "❌ docker run 실패"; exit 1; }
  sleep 2
  OUT=$(TERM=xterm timeout 120 python3 solve.py 127.0.0.1 31337 2>&1) || true
  docker rm -f dungeon1983 >/dev/null 2>&1
fi
 
echo "$OUT" | tail -12
FLAG=$(printf '%s' "$OUT" | grep -aoE 'DH\{[^}]+\}' | head -1)
 
echo
if [ -n "$FLAG" ] && { [ -z "$WANT" ] || [ "$FLAG" = "$WANT" ]; }; then
  if [ "$MODE" = "로컬 도커" ]; then
    echo "✅ PASS  ($MODE — 익스 체인 검증. $FLAG 는 배포본 더미다)"
  else
    echo "✅ PASS  ($MODE) $FLAG"
  fi
  exit 0
fi
echo "❌ FAIL ($MODE / 얻은 값: '${FLAG:-없음}' / 기대: '${WANT:-미지정}')"
exit 1

./reproduce.sh

python3 solve.py host3.dreamhack.games 8875

DH{ddfd394275e80d059f04cee16667ad40e81820a0b105e2f80f0d17544a274a62}