[🥉 Bronze 2] 뒤집힌 base64 속에 숨은 JSFuck — DreamHack reverse_decoding 풀이

문제: DreamHack — reverse_decoding 분류: Misc 난이도: 🥉 Bronze 2 FLAG: bisc2024{h1dd3n_1n_p14in_JS}

철수가 이메일로 중요한 정보를 받았는데, 파일이 예상과 달리 JPG 이미지였고 그마저도 손상돼 열리지 않는다. 문제 이름 그대로 "거꾸로 인코딩된" 파일이다. 뒤집는 순간 유효한 이미지와 숨은 코드가 동시에 튀어나온다.

문제 개요

파일 이름 Reverse_Decoding 자체가 힌트다. "거꾸로 된 것을 디코드하라"는 뜻이다.

🔬 정찰 — 파일이 뒤집혀 있다

file 명령은 이 JPG를 data(정체 불명)로 본다. 헤더를 보면 앞에 널 바이트가 깔려 있고 그 뒤로 ==QK... 같은 base64스러운 문자열이 이어진다.

xxd -l 48 Reverse_Decoding.jpg

여기서 결정적인 단서는 문자열이 ==로 시작한다는 점이다. base64에서 =는 padding이라 정상적으로는 문자열 끝에만 온다. ==가 맨 앞에 있다는 건 이 문자열이 통째로 뒤집혀 있다는 뜻이다.

실제로 파일 전체를 뒤집어 보면 앞부분이 FF D8 FF E0 … JFIF, 정확히 JPEG 시그니처로 시작한다. 즉 이 파일은 유효한 JPEG를 바이트 단위로 뒤집어 저장한 것이다. 뒤집어 저장하면 원래 끝(꼬리)에 붙어 있던 base64 데이터가 파일 머리로 올라온다.

🧩 배경 — base64 와 JSFuck

base64는 3바이트(24비트)를 6비트씩 넷으로 쪼개 64글자 알파벳(A~Z a~z 0~9 + /)으로 표현하는 인코딩이다. 바이너리를 텍스트 채널로 안전하게 나르는 용도이며, 남는 자리는 =로 채운다.

출처: Wikimedia Commons (File:Base64bin2txt.png), CC0 / public domain

디코드해서 나오는 건 JSFuck이다. JSFuck은 자바스크립트를 오직 [ ] ( ) ! + 여섯 글자만으로 표현하는 난독화 기법이다. ![]는 false, +[]는 0, []+[]는 빈 문자열처럼, 원시값과 형변환을 조합해 숫자·문자·함수를 만들어 낸다. 최종적으로는 Function("코드")() 형태로 임의 코드를 실행한다. 복구된 이미지에도 JSFUCK, DECODE THE SECRET이라는 힌트가 큼직하게 박혀 있다.

💣 핵심 — 실행하지 말고 eval 을 가로채라

JSFuck을 그냥 실행하면 마지막 ()에서 코드가 돌아 버린다. CTF 페이로드는 대개 무해하지만, 여기서는 실행 결과가 플래그 문자열로 흐르다가 { 때문에 문법 오류로 튄다. 그래서 실행하는 대신, JSFuck이 최종적으로 호출하는 eval을 가로채 그 인자(=만들어진 코드/문자열)만 꺼낸다.

// extract.js — eval 을 훅으로 바꿔 실행 없이 인자만 회수
const fs = require("fs");
let code = fs.readFileSync("payload.jsfuck.js", "utf8").trim();
const realEval = globalThis.eval;
let flag = null;
globalThis.eval = function (a) { flag = a; return ""; };  // 실행 대신 인자 저장
try { realEval.call(globalThis, code); } catch (e) {}
console.log("FLAG:", flag);

JSFuck은 Function("return eval")()로 진짜 eval 참조를 얻은 뒤 eval(만든_문자열)을 호출한다. 그 eval은 스코프에서 전역 eval을 찾으므로, 전역 eval을 우리 함수로 바꿔 두면 인자가 그대로 손에 들어온다. 그 인자가 곧 플래그다. 인자 문자열은 \173({), \175(}), \137(_) 같은 8진 이스케이프로 조립돼 있었다.

🎯 풀이 — 뒤집기 → base64 → JSFuck → 플래그

# solve.py
import base64, subprocess
raw = open("Reverse_Decoding.jpg", "rb").read()
s = raw.lstrip(b"\x00")                       # 앞쪽 널 제거
b64 = set(b"ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=")
i = 0
while i < len(s) and s[i] in b64: i += 1       # 머리의 base64 구간만 잘라
jsfuck = base64.b64decode(s[:i][::-1])         # 뒤집어 디코드 → JSFuck
open("payload.jsfuck.js", "wb").write(jsfuck)
print("[1] reversed base64 ->", len(jsfuck), "bytes of JSFuck:", jsfuck[:24].decode(), "...")
out = subprocess.run(["node", "extract.js"], capture_output=True, text=True).stdout.strip()
print("[2] node eval-hook ->", out)

역순 base64를 뒤집어 디코드하니 8260바이트짜리 JSFuck이 나오고, eval을 가로채니 플래그가 그대로 떨어진다. 플래그 내용 h1dd3n_1n_p14in_JS("hidden in plain JS")가 문제의 정체를 그대로 말해 준다.

FLAG: bisc2024{h1dd3n_1n_p14in_JS}

📝 결론

"안 열리는 파일"은 형식이 아니라 배치가 뒤집힌 경우가 많다.

file이 정체를 못 맞히고 시그니처가 안 보일 때, 뒤집기·XOR·비트 반전 같은 단순 변환을 먼저 의심한다. 여기서는 base64 padding =이 문자열 앞에 있다는 사실 하나가 "뒤집혀 있다"는 걸 확정해 줬다. 인코딩의 고정된 특징(시그니처·padding 위치)은 방향을 알려주는 나침반이다.

난독화 코드는 실행하지 말고 가로채라.

JSFuck·packer 류는 결국 eval이나 Function으로 원본 코드를 실행한다. 그 관문 하나만 후킹하면 실행하지 않고도 원본을 손에 넣을 수 있다. 신뢰할 수 없는 코드를 다룰 때의 기본기이자, 이 문제에서는 가장 깔끔한 지름길이었다.