[🥉 Bronze 1] 죽은 코드 속 Caesar 복호기를 되살리다 — DreamHack Small Counter 풀이 — ZINO

2026-07-13·1분 읽기·

[🥉 Bronze 1] 죽은 코드 속 Caesar 복호기를 되살리다 — DreamHack Small Counter 풀이

바이너리는 실행해도 카운터만 세고 끝난다. flag를 만드는 flag_gen은 counter==5일 때만 불리는데 루프가 0에서 끝나 절대 도달하지 않는 죽은 코드다. flag_gen이 알파벳 테이블로 Caesar 복호를 한다는 걸 읽어내고, 암호문 IM 접두가 DH 로 풀리는 shift=5를 확정한 뒤 그 로직을 재현해 flag를 복원했다. GDB로 실제 flag_gen을 직접 호출해 결과가 정확히 일치함을 확인했다.

#dreamhack #ctf #reversing #caesar-cipher #dead-code #gdb #writeup

문제: DreamHack — Small Counter 분류: Reversing 난이도: 🥉 Bronze 1 FLAG: DH{389998e56e90e8eb34238948469cecd6dd89c04dce359c345e0b2f3ef9edc66a}

실행 파일 하나가 주어진다. 돌려보면 ---Counter--- 아래로 10, 9, … 1을 세고 ---END---로 끝난다. flag는 어디에도 안 나온다. 정찰해 보면 flag_gen이라는 함수가 flag를 만들지만, 그 함수를 부르는 분기가 절대 실행되지 않는 죽은 코드다. 그래서 정상 실행으로는 flag를 볼 수 없고, flag_gen이 무슨 변환을 하는지 읽어서 손으로 복원해야 한다.

Small Counter — flag_gen은 Caesar 복호, shift=5로 IM 접두가 DH 로 풀린다

문제 개요

항목	내용
문제명	Small Counter
난이도	🥉 Bronze 1
분류	Reversing (x86-64 ELF)
제공 파일	`chall` (PIE, dynamically linked, not stripped)
핵심 취약점 / 기법	죽은 코드 안의 Caesar 복호 루틴을 정적으로 복원

flag는 서버가 아니라 바이너리 안에 암호문 형태로 박혀 있다. flag_gen이 그 암호문을 Caesar 복호하면 flag가 되는데, 정상 실행 경로에선 flag_gen이 호출되지 않는다.

이 글이 도움이 됐나요?

Comments

댓글

0개

댓글을 남기려면 로그인이 필요해요. (네이버 · 구글 계정)

N 네이버로 로그인 G 구글로 로그인

댓글 불러오는 중…

Related

관련 글

3개

[🥉 브론즈 3] 출력되지 않는 flag를 함수 인자에서 훔치다 — DreamHack Check Function Argument 풀이

[🥉 브론즈 3] 출력되지 않는 flag를 함수 인자에서 훔치다 — DreamHack Check Function Argument 풀이

main이 어떤 함수를 flag 문자열 주소를 인자로 넘겨 호출하지만, 그 함수는 flag를 출력하지 않는다. 게다가 flag는 바이너리에 평문으로 없고 생성자가 런타임에 조립한다. x86-64 호출 규약상 첫 인자는 rdi이므로, 그 함수 호출 지점에 GDB 브레이크를 걸고 rdi를 읽어 flag를 그대로 가로챘다.

#dreamhack#ctf#reversing

import struct
 
# main 의 movabs 8바이트(리틀엔디언) 조각 + 마지막 dword 로 조립되는 암호문
qwords = [0x38383830357b4d49, 0x6a37386a32336a39, 0x3035363435676a39,
          0x6a68383234303438, 0x6838306969326968, 0x3833356a68693437,
          0x3667376a33343568, 0x68696a386b6a356b]
cipher = (b"".join(struct.pack("<Q", q) for q in qwords)
          + struct.pack("<I", 0x7d663232)).decode()
 
def flag_gen(s, shift):
    out = []
    for ch in s:
        o = ord(ch)
        if ch.islower():                      # 'a'+((c-'a'-shift)%26)
            out.append(chr(ord('a') + (o - ord('a') - shift) % 26))
        elif ch.isupper():
            out.append(chr(ord('A') + (o - ord('A') - shift) % 26))
        elif ch.isdigit():                    # (ascii*(shift+3))%9
            r = (o * (shift + 3)) % 9
            out.append(chr(r + 50) if r <= 7 else chr(r + 40))
        else:
            out.append(ch)                    # '{', '}' 등은 그대로
    return "".join(out)
 
print("[+] FLAG   :", flag_gen(cipher, 5))

import struct
 
qwords = [0x38383830357b4d49, 0x6a37386a32336a39, 0x3035363435676a39,
          0x6a68383234303438, 0x6838306969326968, 0x3833356a68693437,
          0x3667376a33343568, 0x68696a386b6a356b]
cipher = (b"".join(struct.pack("<Q", q) for q in qwords)
          + struct.pack("<I", 0x7d663232)).decode()
 
def flag_gen(s, shift):
    out = []
    for ch in s:
        o = ord(ch)
        if ch.islower():
            out.append(chr(ord('a') + (o - ord('a') - shift) % 26))
        elif ch.isupper():
            out.append(chr(ord('A') + (o - ord('A') - shift) % 26))
        elif ch.isdigit():
            r = (o * (shift + 3)) % 9
            out.append(chr(r + 50) if r <= 7 else chr(r + 40))
        else:
            out.append(ch)
    return "".join(out)
 
print("[*] cipher :", cipher)
print("[+] FLAG   :", flag_gen(cipher, 5))