[🌱 새싹] cmp 명령어 하나가 곧 플래그 — DreamHack Simple Crack Me 풀이

문제: DreamHack — Simple Crack Me 분류: Reversing 난이도: 🌱 새싹 (Sprout) FLAG: DH{322376503}

문제 설명이 친절하다. "숫자를 받아 정해진 방법으로 검증해 correct 또는 wrong을 출력하는 프로그램"이고, "correct를 출력하는 10진수 양수 값"을 찾으면 그 값을 DH{}로 감싼 게 플래그란다. 바이너리 하나, 파일 하나, 조건 하나. 리버싱 입문 문제답게 로직도 정확히 그만큼만 있다.

🔬 정찰

simple_crack_me: ELF 64-bit LSB executable, x86-64, statically linked, ... stripped

정적 링크 + strip이라 심볼은 없지만, PIE가 꺼져 있다는 게 중요하다(No PIE (0x400000)). 주소가 실행할 때마다 바뀌지 않고 바이너리에 적힌 그대로 고정된다는 뜻이다. 디스어셈블에서 본 주소를 gdb에서도, 파일 오프셋 계산에서도 그대로 믿고 쓸 수 있다.

💣 핵심 — main을 까면 비교 상수가 바로 보인다

objdump -d로 진입점 근처를 보면 로직 전체가 30줄 안에 다 들어 있다. scanf로 정수 하나(%d)를 읽고, 그 값을 상수 하나와 비교하고, 맞으면 puts("Correct!"), 틀리면 입력값을 %x로 되돌려주며 wrong을 출력한다.

핵심은 이 두 줄이다.

401b12:  mov eax,[rbp-0xc]      ; 방금 scanf로 받은 입력값
401b15:  cmp eax,0x13371337     ; 이 상수와 같아야 통과
401b1a:  jne 0x401b32           ; 다르면 "wrong" 경로로 점프

브루트포스도, 알고리즘 역산도 필요 없다. 비교 대상 상수가 명령어 인코딩 안에 그대로 리터럴로 박혀 있다. cmp eax, imm32는 오퍼랜드가 코드 자체에 새겨지는 명령어라, 아무리 심볼을 지우고 정적 링크로 뭉쳐놔도 이 리터럴 값만은 숨길 수가 없다. 0x13371337을 10진수로 바꾸면 322376503 — 이게 정답이자 플래그 알맹이다.

gdb로 실행 시점에 다시 확인

정적 분석만으로 끝내지 않고, 그 비교가 실제로 실행될 때 레지스터에 뭐가 들어있는지 gdb로 직접 멈춰서 봤다. cmp 명령어 주소(0x401b15)에 브레이크포인트를 걸고 정답을 표준입력으로 흘려보낸 뒤 eax를 확인한다.

break *0x401b15
run < input.txt      # input.txt = "322376503"
printf "eax(입력값) = 0x%x\n", $eax

eax가 0x13371337과 정확히 일치하고, continue하면 바로 Correct!가 찍힌다. 정적 분석(objdump)과 동적 확인(gdb)이 같은 결론을 가리킨다.

🎯 풀이 — 바이너리에서 상수 하나 뽑아내기

디스어셈블할 필요도 없이, cmp eax,imm32의 인코딩(3D + 4바이트 리틀엔디언 상수)을 알고 있으니 파일에서 그 5바이트만 직접 읽어도 된다. non-PIE라 가상주소에서 0x400000만 빼면 파일 오프셋이 나온다.

import struct
 
data = open("extracted/simple_crack_me", "rb").read()
 
CMP_VADDR = 0x401b15          # cmp eax, imm32 (opcode 3d + imm32 LE)
off = CMP_VADDR - 0x400000    # non-PIE: file offset = vaddr - 0x400000
 
opcode, imm = data[off], struct.unpack_from("<I", data, off + 1)[0]
assert opcode == 0x3D, "expected cmp eax,imm32 opcode"
 
print(f"target constant = 0x{imm:x} = {imm}")
print(f"FLAG: DH{{{imm}}}")

실행 결과와, 실제 바이너리에 그 값을 넣어 Correct!가 뜨는 것까지 한 화면에서 확인된다.

target constant = 0x13371337 = 322376503
FLAG: DH{322376503}

📝 결론

이 문제가 보여주는 건 단순하지만 리버싱의 기본기다 — 비교 명령어의 오퍼랜드는 코드 자체에 새겨지는 데이터라, strip이나 정적 링크로는 절대 가려지지 않는다. 심볼 이름은 지울 수 있어도 cmp eax, 0x13371337 같은 리터럴 비교값은 바이너리를 여는 순간 그대로 노출된다. 실제 소프트웨어에서 라이선스 키나 비밀번호를 이런 식의 하드코딩된 상수 비교로 지키면, 정적 분석 한 번에 뚫린다는 뜻이기도 하다. 진짜 비밀은 코드에 리터럴로 넣는 게 아니라, 서버 검증이나 해시 비교처럼 역산이 어려운 방식으로 지켜야 한다.