[🥉 Bronze 2] "1년 뒤에 알려줄게"를 1바이트로 앞당기기 — DreamHack Simple Patch Me 풀이

문제: DreamHack — Simple Patch Me 분류: Reversing 난이도: 🥉 Bronze 2 FLAG: DH{6ad0f80a0448aee5e8615fbdea9c2775}

"1년 뒤에 flag를 보여줄게 :p"라며 한 시간씩 sleep하는 바이너리다. 실제로 8760시간(=1년)을 세야 flag가 나온다. 이름이 "Patch Me"인 만큼, 그 대기 루프를 건너뛰도록 바이너리를 살짝 고치면 된다. 카운터 초기값 하나만 끝값으로 바꾸면 루프가 통째로 스킵된다.

이 글의 명령은 모두 extracted/ 에서 실행한다.

file simple_patch_me ; echo "--- strings ---" ; strings simple_patch_me | grep -iE "year|hour|day|flag|passed"

문제 개요

풀이는 두 갈래다. 하나는 이름대로 패치 — 1년 대기 루프를 건너뛰게 바이너리를 고쳐 그냥 실행한다. 다른 하나는 flag를 만드는 계산이 고정된 카운터 값에만 의존한다는 걸 알고 정적으로 재현하는 것이다. 둘 다 같은 flag로 수렴한다.

🔬 정찰 — 시간이 흐르는 척하는 프로그램

strings만 봐도 컨셉이 드러난다. "I will show you the flag after 1 year :p", "%u hours passed", "%u days have passed.", "Great xD 1 year has passed! The flag is: ". sleep을 import하고, 시간이 흐른 척 메시지를 찍다가 1년이 지나면 flag를 보여준다.

파이프로 실행하면 아무 출력 없이 멈춰 있는 것처럼 보이는데, 첫 반복에서 sleep에 걸려 버퍼가 flush되지 않기 때문이다. 실제로 기다릴 수는 없으니 main을 열어 대기 루프를 찾는다.

💣 1년의 벽 — sleep 루프

main의 핵심은 카운터 하나(0x40404c, 시간 단위)를 두고 도는 루프다. 매 반복 sleep(3600)(=1시간)을 걸고 카운터를 1 올린다. 카운터가 8759 이하인 동안 반복하니, 8760번(=365×24) 돌아야 루프를 빠져나온다.

echo "[카운터 초기화 @0x401292 — 패치 대상 imm32]" ; \
objdump -d -M intel simple_patch_me --start-address=0x401292 --stop-address=0x40129c | grep "401292" ; \
echo "[루프: sleep 3600 + t++]" ; \
objdump -d -M intel simple_patch_me --start-address=0x4012a1 --stop-address=0x4012b5 | grep -E "^  40" \
  | sed -E -e "s/(edi,0xe10)/\1  ; 3600s=1h/" -e "s/(add +eax,0x1)/\1  ; t++/" ; \
echo "[종료: t <= 8759 이면 반복, 아니면 flag]" ; \
objdump -d -M intel simple_patch_me --start-address=0x401376 --stop-address=0x401387 | grep -E "^  40" \
  | sed -E -e "s/(cmp +eax,0x2237)/\1  ; 8759=365*24-1/"

; 0x401292  카운터 초기화 (패치 대상)
mov   dword [0x40404c], 0          ; t = 0
 
; 0x4012a1  루프 본문
mov   edi, 0xe10                   ; sleep 인자 = 3600초(1시간)
call  sleep
add   [0x40404c], 1                ; t++
 
; 0x40137c  종료 조건
cmp   eax, 0x2237                  ; t <= 8759 (=365*24-1) ?
jbe   0x4012a1                     ; 참이면 루프, 거짓(=8760)이면 flag 로

루프를 정상적으로 통과하려면 8760시간을 기다려야 한다. 하지만 루프가 끝나는 순간 카운터 값은 항상 8760으로 고정이다. 이 점이 두 가지 풀이의 열쇠다.

🩹 패치 — 카운터를 끝값으로

가장 곧은 길은 카운터 초기값을 0 대신 8760으로 만드는 것이다. 그러면 루프 조건 t <= 8759가 처음부터 거짓이라, sleep 루프를 통째로 건너뛰고 바로 flag 계산으로 간다.

패치할 바이트는 mov dword [0x40404c], 0 명령의 imm32다. 명령이 c7 05 <disp32> 00 00 00 00 이므로 마지막 4바이트(파일 오프셋 0x1298)를 0x00000000에서 0x00002238(=8760)로 바꾼다.

import struct
OFF = 0x1298   # imm32 파일 오프셋
data = bytearray(open("simple_patch_me", "rb").read())
data[OFF:OFF+4] = struct.pack("<I", 0x2238)   # t 초기값 0 -> 8760
open("simple_patch_me_patched", "wb").write(data)

패치한 바이너리를 실행하면 대기 없이 곧장 flag가 뜬다.

Great xD 1 year has passed! The flag is: DH{6ad0f80a0448aee5e8615fbdea9c2775}

🔑 flag는 어떻게 만들어지나 — 카운터 XOR 복호

패치로 flag를 얻었지만, 왜 카운터 값이 중요한지는 복호 함수(0x401196)를 봐야 안다. flag는 통째로 박혀 있지 않고, 카운터 값으로 만든 키로 XOR 복호된다.

암호문은 스택에 movabs로 심어둔 37바이트다. 앞 3바이트는 DH{ 평문, 끝은 }와 NUL, 가운데 32바이트가 암호문이다. 키는 카운터 t로 만든다.

// key8 = 8바이트 (리틀엔디언)
key8 = (t * 0x1337beef31337) mod 2^64;      // t = 8760
 
// 앞 3바이트("DH{")와 끝은 그대로, 가운데 32바이트만 XOR
for (int i = 0; i < 32; i++)
    enc[i + 3] ^= key8[i % 8];

키가 t에만 의존하고 t는 루프가 끝나면 언제나 8760이다. 그래서 flag는 실행 환경과 무관하게 하나로 정해진다.

🎯 정적 복원 — solve.py

바이너리를 돌리지 않고도, 어셈블리에서 읽은 암호문 37바이트와 상수 0x1337beef31337, 고정 카운터 8760만 있으면 flag가 나온다.

import struct
 
t = 8760
key8 = struct.pack("<Q", (t * 0x1337beef31337) & 0xFFFFFFFFFFFFFFFF)
 
# movabs 로 심어둔 암호문 (리틀엔디언 바이트열)
enc = bytearray(
    struct.pack("<Q", 0xbebddde33e7b4844) +
    struct.pack("<Q", 0xb9b58db638482980) +
    struct.pack("<Q", 0xedbc8fba6d1c7cdd) +
    struct.pack("<Q", 0xeaee80e36d4d7bde) +
    struct.pack("<I", 0x7d1c2e8f) + b"\x00"
)
for i in range(32):
    enc[i + 3] ^= key8[i % 8]
 
print("[+] FLAG:", enc.split(b"\x00")[0].decode())

패치 실행과 정확히 같은 flag가 나온다.

[*] t = 8760  key8 = 0882b98dd8b81929
[+] FLAG: DH{6ad0f80a0448aee5e8615fbdea9c2775}

📝 결론

"기다려야 한다"는 조건은 대개 숫자 하나로 압축돼 있다.

1년 대기라는 거창한 장벽도 실제로는 카운터와 cmp 한 줄이었다. 그 카운터의 초기값을 끝값으로 바꾸는 4바이트 패치로 조건이 처음부터 만족돼, 루프 전체가 무의미해졌다. 시간·횟수·플래그 검사 같은 게이트는 그 판정을 내리는 명령 한두 개만 찾으면 우회 지점이 보인다.

패치가 통해도 "왜 통하는지"는 따로 이해한다.

여기서 패치가 먹힌 이유는 flag 키가 루프의 최종 카운터 값(8760)에서 나오기 때문이다. 만약 flag가 매 반복 조금씩 갱신되는 값이었다면, 루프를 스킵한 패치는 엉뚱한 값을 뱉었을 것이다. 복호 로직을 읽어 "카운터가 8760으로 고정"임을 확인했기에 패치와 정적 계산이 같은 답으로 만났다.

입력에 의존하지 않는 계산은 실행이 선택지일 뿐이다.

키가 고정 상수와 고정 카운터로만 정해지니, 바이너리를 돌리지 않고 종이 위에서 XOR을 되짚어도 flag가 나온다. 패치는 빠르고 직관적이고, 정적 계산은 환경 없이도 재현 가능하다. 두 길을 다 확인하면 답에 대한 확신이 생긴다.