[🌱 새싹] 비교 직전 XOR·산술이 끼어든 검증 루프 — DreamHack rev-basic-3 풀이

file chall3.exe && strings -a chall3.exe | grep -iE "Input|Correct|Wrong|256s"

; main 발췌
lea   rax, [rsp+0x20]            ; 입력 버퍼 (256바이트, 0으로 memset)
...
call  0x1400011b0               ; printf("Input : ")
lea   rdx, [rsp+0x20]
call  0x140001210               ; scanf("%256s", buf)
lea   rcx, [rsp+0x20]
call  0x140001000               ; ★ check(buf)
test  eax, eax
je    .wrong                    ; 0 이면 Wrong
... "Correct" ...
.wrong:
... "Wrong" ...

; check(input)  @ 0x140001000
mov   dword [rsp], 0             ; i = 0
.loop:
  movsxd rax, [rsp]             ; rax = i
  cmp    rax, 0x18              ; i < 24 ?  (0x18 = 24)
  jae    .ok                    ; 24글자 다 통과 → return 1
  lea    rcx, [0x140003000]     ; 정답 테이블 베이스
  movzx  eax, byte [rcx+rax]    ; eax = table[i]              (기대값)
  mov    rdx, [rsp+0x20]        ; rdx = 입력 버퍼 주소
  movzx  ecx, byte [rdx+rax]    ; ecx = input[i]
  xor    ecx, [rsp]             ; ecx = input[i] ^ i          ← ★ XOR
  mov    edx, [rsp]             ; edx = i
  lea    ecx, [rcx+rdx*2]       ; ecx = (input[i]^i) + 2*i    ← ★ 산술
  cmp    eax, ecx              ; table[i] == (input[i]^i)+2*i ?
  je     .next                 ; 맞으면 다음 글자
  xor    eax, eax              ; 하나라도 틀리면 return 0 → Wrong
  jmp    .ret
.next:
  inc   dword [rsp]            ; i++
  jmp   .loop
.ok:
  mov   eax, 1                  ; 전부 통과 → return 1 → Correct
.ret:
  ret

objdump -d -M intel --start-address=0x140001000 --stop-address=0x14000105d chall3.exe | grep -E "^140001"

table[i] == (input[i] ^ i) + 2*i

table[i]        == (input[i] ^ i) + 2*i
table[i] - 2*i  ==  input[i] ^ i
(table[i]-2i)^i ==  input[i]

objdump -s -j .data chall3.exe | sed -n "1,7p"

140003000  49 60 67 74 63 67 42 66 80 78 69 69 7b 99 6d 88
140003010  68 94 9f 8d 4d a5 9d 45

#!/usr/bin/env python3
# rev-basic-3 solve
# check(): for i in 0..23:  table[i] == (input[i] ^ i) + 2*i
# => input[i] = (table[i] - 2*i) ^ i
table = bytes.fromhex(
    "49 60 67 74 63 67 42 66 80 78 69 69 7b 99 6d 88 68 94 9f 8d 4d a5 9d 45".replace(" ", "")
)
 
raw = bytes(((table[i] - 2 * i) & 0xFF) ^ i for i in range(len(table)))
flag = raw.rstrip(b"\x00").decode()   # 마지막 바이트는 입력의 NUL 종단
print("table len :", len(table))
print("recovered :", raw)             # 끝에 \x00 붙음
print("flag      :", flag)
print("DH{%s}" % flag)
 
# check() 로직대로 바이트 단위 자가검증
ok = all(table[i] == (((raw[i]) ^ i) + 2 * i) for i in range(len(table)))
print("verify    :", "PASS" if ok else "FAIL")

# verify.py
import subprocess, os
 
env = dict(os.environ,
           WINEPREFIX=os.path.expanduser("~/.wine_rev"),
           WINEDEBUG="-all",
           DISPLAY="")   # wine을 완전 헤드리스로
 
flag = "I_am_X0_xo_Xor_eXcit1ng"   # DH{} 는 제출용 래퍼일 뿐
 
r = subprocess.run(
    ["wine", "chall3.exe"],
    input=flag + "\n",
    capture_output=True, text=True, timeout=60, env=env,
)
print("Input :", flag)
print("Output:", r.stdout.strip())