[🥉 Bronze 2] IV를 파일명에 흩뿌린 AES-CBC — DreamHack 씨뿌리기 풀이

여기서 눈여겨볼 건 IV가 첫 블록 P0 하나에만 들어간다는 점이다. P1, P2는 앞선 암호문 블록(C0, C1)만 XOR하므로 IV를 몰라도 그냥 복호된다. IV를 잃어버려도 두 번째 블록부터는 멀쩡하게 읽힌다는 뜻이고, 이 성질이 이 문제의 실마리가 된다.

🔬 정찰 — enc.txt가 준 것

먼저 준 파일부터 본다. enc.txt는 텍스트 두 줄이다.

정리하면 이렇다.

ciphertext가 48바이트 = 3블록이니 평문도 48바이트다. key는 16바이트라 AES-128. 딱 하나 빠진 게 IV다. AES-CBC를 돌리려면 반드시 있어야 하는 값인데, 파일 어디에도 없다.

🌱 hint 폴더 — 씨앗 사진 6장

없는 IV의 자리를 채워 줄 후보는 hint 폴더뿐이다. 열어 보면 씨앗, 콩, 해바라기씨, 곡물 사진이 6장 들어 있다. 문제 이름이 "씨뿌리기"라 사진 주제도 씨앗으로 맞춰 놓은 것이다.

사진 내용은 평범하다. 대신 파일명이 눈에 걸린다.

앞의 숫자는 순번이고, 가운데 토막(f660e, 5daa8 …)은 전부 hex로만 이뤄져 있다. 확장자 앞에 굳이 이런 문자열을 붙일 이유가 없다. 일단 넘어가고, 사진 속부터 뒤졌다.

🐛 삽질 — 사진 속을 먼저 뒤졌다

crypto + forensics 조합에 이미지가 hint로 붙으면 반사적으로 스테가노그래피를 의심하게 된다. IV가 16바이트니 EXIF 주석이나 LSB, 아니면 JPEG 뒤에 붙인 데이터에 숨겼을 거라 보고 도구를 돌렸다.

사진에서 30분을 태우고 나서야 파일명을 제대로 봤다. 조각 6개의 hex 자릿수를 세어 보면 5 + 5 + 5 + 5 + 5 + 7 = 32자. 16바이트 IV를 hex로 쓰면 정확히 32자다. 사진은 눈속임이고, IV는 파일 이름에 잘라서 뿌려 놨던 거였다.

💣 핵심 — IV는 블록0에만 필요했고, 그 IV는 파일명이었다

두 조각을 맞춘다. 하나는 "IV가 어디에 필요한가", 다른 하나는 "IV가 어디에 있나".

먼저 IV가 얼마나 필요한지부터. IV를 0으로 채워 복호해 보면, 첫 블록만 깨지고 두 번째 블록부터는 이미 읽힌다.

블록0(오프셋 0x00~0x0f)은 뒤죽박죽이지만, 블록1·2는 D0M3571C_CrYP70}로 멀쩡히 나온다. 끝에 10이 열여섯 번 붙은 건 PKCS#7 패딩(0x10 = 16)이라, 평문이 딱 32바이트였고 패딩 블록 하나가 더 붙었다는 뜻이다. 앞서 본 CBC 성질 그대로 — 막힌 건 IV가 걸리는 블록0 하나뿐이다.

flag 뒷부분(..._D0M3571C_CrYP70})이 이미 보이니, "DOMESTIC CRYPTO를 사랑한다" 같은 문장이라는 것도 짐작된다. 남은 건 앞 16바이트를 여는 IV 하나.

그 IV가 파일명이다. 6개 파일명의 hex 토막을 번호순으로 이어 붙인다.

이게 IV다.

🎯 풀이 — 조립한 IV로 복호

조립한 IV를 넣고 같은 openssl 명령을 다시 돌린다. 이번엔 패딩까지 정상 처리되도록 -nopad를 뺀다.

블록0까지 열리면서 bisc2024{...로 시작하는 flag가 통째로 나온다. IV가 맞았다는 증거는 복호 결과가 유효한 ASCII flag이자 패딩(0x10 × 16)이 완벽하다는 것 — 값 하나만 틀려도 블록0은 다시 난수가 된다.

리트 표기를 풀면 I LOVE DOMESTIC CRYPTO. 국산 암호(SEED·ARIA 같은)를 사랑한다는 농담이 flag에 박혀 있다.

🚀 Full Exploit

파싱 → 파일명에서 IV 조립 → 복호까지 한 번에 도는 스크립트다. IV를 손으로 붙일 필요 없이 hint 폴더를 번호순으로 정렬해 가운데 토막만 긁어 온다.

맨 위 캡쳐가 이 스크립트를 그대로 돌린 출력이다. ciphertext/key 길이, 긁어 온 파일명 조각, 조립한 IV, 그리고 flag가 순서대로 찍힌다.

📝 결론

IV는 비밀이 아니지만, 없으면 첫 블록을 못 연다.

CBC의 IV는 공개돼도 되는 값이라 보통 ciphertext 앞에 그냥 붙여 보낸다. 이 문제는 그 IV를 일부러 떼서 "hint"라는 이름의 사진 파일명에 잘라 숨겼다. 암호 자체는 표준 AES-128-CBC 그대로라 깨는 게 아니라, 흩어 놓은 IV 조각을 되찾는 포렌식이 핵심이었다.

사진이 붙어 있다고 다 스테가노는 아니다.

crypto에 이미지가 hint로 오면 반사적으로 파일 안(EXIF·LSB·appended data)을 먼저 뒤지게 된다. 여기서는 그게 함정이었다. 파일의 내용이 아니라 이름, 개수, 순번 같은 메타 정보에 단서가 있는 경우도 많다. 사진 6장의 파일명 hex 자릿수를 진작 세어 봤으면 30분을 아꼈을 것이다.

되찾은 IV가 맞는지는 결과가 증명한다.

블록0은 IV가 한 비트만 틀려도 통째로 난수가 된다. 복호 결과가 읽히는 ASCII이고 PKCS#7 패딩까지 딱 맞으면, 그건 IV를 제대로 복원했다는 확실한 신호다. 굳이 flag 형식을 미리 가정하지 않아도 패딩 하나로 정답을 가릴 수 있다.