[🥉 Bronze 2] AES S-box 블록 변환을 역산해 입력 복원 — DreamHack rev-basic-9 풀이 — ZINO

2026-07-08·1분 읽기·

[🥉 Bronze 2] AES S-box 블록 변환을 역산해 입력 복원 — DreamHack rev-basic-9 풀이

chall9.exe 는 입력을 8바이트 블록마다 16라운드 변환(AES S-box + ror + 덧셈 피드백)한 뒤 하드코딩된 target 과 memcmp 한다. S-box 가 전단사라 각 라운드가 가역이므로, 블록별로 역산하면 정답 입력이 그대로 복원된다. wine 으로 "Correct" 까지 확인.

#dreamhack #ctf #reversing #rev-basic #aes-sbox #keygen #writeup

문제: DreamHack — rev-basic-9

분류: Reversing (입력 검증 역산)

난이도: 🥉 Bronze 2

FLAG: DH{Reverse__your__brain_;)}

문제 개요

항목	내용
문제명	rev-basic-9
난이도	🥉 Bronze 2
분류	Reversing
제공 파일	`chall9.exe` (PE32+ x86-64, Windows 콘솔)
서버	없음 (오프라인 바이너리)
핵심 기법	AES S-box 블록 변환 역산 (라운드 가역성)

rev-basic 시리즈는 "입력을 넣으면 검증해서 Correct/Wrong 을 출력하는" 바이너리다. 목표는 Correct 를 만드는 입력을 찾는 것이고, 그 입력이 곧 플래그 내용이 된다. 9번은 앞 번호들의 단순 XOR·치환과 달리, 입력을 블록 암호처럼 여러 라운드로 뒤섞은 뒤 비교한다. 그래도 각 연산이 가역이라 차분히 뒤집으면 풀린다.

1. 정찰 — main 의 큰 그림

file 로 보면 PE32+ x86-64 콘솔 실행파일이고, strings 에 Input :, Correct, , 가 보인다. 전형적인 rev-basic 이다. 을 디스어셈블하면 흐름이 셋으로 나뉜다.

이 글이 도움이 됐나요?

Comments

댓글

0개

댓글을 남기려면 로그인이 필요해요. (네이버 · 구글 계정)

N 네이버로 로그인 G 구글로 로그인

댓글 불러오는 중…

Related

관련 글

3개

[🥉 Bronze 4] AES S-box를 거꾸로 — DreamHack rev-basic-6 풀이

[🥉 Bronze 4] AES S-box를 거꾸로 — DreamHack rev-basic-6 풀이

입력을 한 글자씩 256바이트 치환표로 바꿔 고정된 18바이트와 비교하는 x86-64 PE. 그 치환표가 AES S-box라는 걸 알아채면 끝난다. S-box를 한 번 뒤집어 기대값을 역치환하면 입력이 그대로 나온다. 디스어셈블로 검증 로직을 읽고, 표를 추출해 역산하고, wine으로 Correct를 확인한 과정.

#dreamhack#ctf#reversing+5

#!/usr/bin/env bash
# chall9.exe 입력검증 루프 디스어셈블 (8바이트 블록 16라운드 변환)
cd extracted
objdump -d -M intel chall9.exe 2>/dev/null | sed -n '/1400010fc:/,/14000116f:/p' \
 | grep -E '10(fc|f2|f6):|11(01|03|17|1c|1e|22|27|2c|30|37|3b|3f|41|4c|50|52|55|68|6c):' \
 | sed -E 's#<.*>##' \
 | sed -E 's/(83 7c 24 08 10).*/\1  ; i < 16 (outer, 16라운드)/' \
 | sed -E 's/(83 7c 24 04 08).*/\1  ; j < 8 (inner, 블록 8바이트)/' \
 | sed -E 's/(33 c1).*/\1              ; eax = s ^ K[j]/' \
 | sed -E 's/(0f b6 04 01).*4020.*/movzx eax,[rcx+rax]        ; eax = SBOX[s ^ K[j]]  (rcx=AES sbox)/' \
 | sed -E 's/(03 c1).*/\1              ; += b[(j+1)\&7]/' \
 | sed -E 's/(c0 c8 05).*/\1        ; ror al, 5/' \
 | sed -E 's/(88 14 01).*/\1        ; b[(j+1)\&7] = s   (피드백 저장)/'
echo
echo "→ s = ror5( AES_Sbox[s ^ K[j]] + b[(j+1)&7] );  b[(j+1)&7] = s   (16라운드 x 8바이트)"

s = b[0];
for (i = 0; i < 16; i++)              // 16 라운드
    for (j = 0; j < 8; j++) {         // 블록 8바이트
        p = (j + 1) & 7;
        s = SBOX[s ^ K[j]];           // 치환
        s = (s + b[p]) & 0xff;        // 덧셈
        s = ror8(s, 5);               // 5비트 회전
        b[p] = s;                     // 피드백: 결과를 버퍼에 다시 씀
    }

for i in range(16):
    for j in reversed(range(8)):     # 라운드도, j 순서도 거꾸로
        p = (j + 1) & 7
        s_before = b[j]              # 이 스텝은 b[j]를 안 건드림 → s_before == b[j]
        t = rol8(b[p], 5)            # ror5 되돌리기
        b[p] = (t - SBOX[s_before ^ K[j]]) & 0xff

def forward(block):                  # 바이너리와 동일
    b = list(block); s = b[0]
    for _ in range(16):
        for j in range(8):
            p = (j + 1) & 7
            s = ror(( (SBOX[s ^ K[j]] + b[p]) & 0xff ), 5)
            b[p] = s
    return bytes(b)
 
def invert(block):                   # 역함수
    b = list(block)
    for _ in range(16):
        for j in reversed(range(8)):
            p = (j + 1) & 7
            s_before = b[j]
            b[p] = (rol(b[p], 5) - SBOX[s_before ^ K[j]]) & 0xff
    return bytes(b)