#misc

QR 코드 위에 검은 낙서가 덮여 있다. 그런데 픽셀값이 열 종류밖에 없고 255, 63, 16, 4, 1 이라는 등비 사슬을 이룬다. 알파 75% 검정을 겹칠 때마다 밑의 밝기가 1/4 씩만 남은 흔적이다. "픽셀값이 0보다 크면 흰 모듈" 한 줄로 29x29 격자를 되살리고, 재인코딩본과 841칸 전수 대조까지 했다.

RC4 를 그대로 옮겨 놓고 S 박스만 256칸에서 16칸으로 줄인 스트림 암호다. 원소가 0에서 15 뿐이라 출력도 니블 하나여서 평문의 상위 절반이 암호문에 그대로 남고, 출력이 S 두 칸의 XOR 이라 한 칸만 가정하면 나머지가 줄줄이 강제된다. PNG 시그니처 16바이트를 겹쳐 초기 순열을 0.7초에 되찾고 4.3MB 를 통째로 복호했다.

배포본은 확장자가 .bro 인 22KB 짜리 텍스트 하나다. 등장하는 글자가 마침표까지 합쳐 열세 종류뿐이라 난해한 프로그래밍 언어 "혀엉..." 소스라는 게 금방 드러난다. 명세대로 인터프리터를 짜서 돌리면 영문 안내문이 나오고, 그 안에 따옴표로 묶인 26글자가 하나 박혀 있다. 문제 설명이 말한 "45살" 은 시저 45가 아니라 Base45 였다.

귤 사진 두 장이 전부인 포렌식 문제. 하나는 JPEG 마커가 끝난 뒤에 tar.bz2 를 달고 있었고, 다른 하나는 IEND 청크 뒤에 AES 키를 평문으로 흘리고 있었다. 상자를 네 겹 벗기면 ROT 치환과 AES-256-ECB 가 차례로 나오고, 마지막 플래그는 문자열이 아니라 그림으로 렌더돼 있다.

배포 파일이 아예 없고 두 줄짜리 질문만 있다. "APM 사이트가 SQL Injection 공격을 받는 중인데 PHP 설정파일에서 어떤 옵션을 켜야 안전한가." 답은 알겠는데 근거가 얇아서, 그 옵션이 실제로 동작하는 마지막 세대인 Debian 6 (Apache 2.2 / PHP 5.3.3 / MySQL 5.1) 을 도커로 세워 Off/On 을 대조했다. 두 종류의 인젝션이 실제로 막히고, 그럼에도 숫자 파라미터와 GBK 우회는 그대로 통과한다.

배포본은 온점과 반점, 그리고 "어" "엄" "식" 만으로 채워진 .umm 파일 한 개다. 문제 설명은 GitHub 링크 하나뿐. 엄랭(umjunsik-lang) v2 문법을 확정하고 디스어셈블러와 인터프리터를 직접 짜서 51줄을 해석했다. 공백이 곱하기라는 것과, 마지막 카운트다운 루프가 장식이 아니라 플래그의 일부라는 것이 관문이었다.

악성코드 소스 31줄만 주고 "무엇을 하는 함수인가"를 묻는다. 표준 알파벳 64자와 6비트 마스크가 보이니 base64 같은데, 눈으로 찍는 대신 가려진 두 줄을 채워 컴파일하고 입력 304종을 표준과 바이트 단위로 맞춰 봤다. 덤으로 이 구현이 3의 배수 아닌 길이에서 터지고 76열 규격도 어긴다는 것까지 실측했다.

악성코드 소스 10줄을 던져 주고 "무엇을 하는 함수인가"만 묻는다. 모양은 인터넷 체크섬인데, 모양만 보고 답을 찍기엔 근거가 얇다. 그래서 배포본을 한 글자도 안 고치고 컴파일해 tcpdump 로 잡은 진짜 패킷의 체크섬 자리 12곳과 맞춰 봤다. 전부 일치했고, 덤으로 이 발췌본이 규격에서 어긋나는 자리 세 군데가 나왔다.

악성코드 소스 62줄만 던져주고 "무엇을 공격하는가"를 묻는 문제. 요청 본문에 박힌 DAV: 네임스페이스와 SEARCH 메서드가 답을 반쯤 알려주지만, 확신은 코드가 실제로 만들어 내는 바이트를 그대로 재구성했을 때 왔다. URI 길이가 딱 65,536바이트 — 0x10000이다.

발표 전 긴장해서 프리젠터를 눌러댔다는 이야기와 함께 USBPcap 캡쳐 하나만 주어진다. 310개 패킷 중 실제 데이터는 무선 프리젠터가 올린 8바이트 HID 키보드 리포트 140개뿐이고, 거기 등장하는 키는 UpArrow와 DownArrow 둘뿐이다. 두 종류 신호에 눌림 간격으로 만들어진 글자 경계까지 있으니 모스부호다. 간격 히스토그램으로 19덩어리를 자르고 복호하면 플래그가 나온다.

hex 한 줄짜리 텍스트 파일을 되돌리면 UTF-8 이 아니라 EUC-KR 로 쓰인 이용약관이 나온다. 본문에는 "이건 플래그가 아니다" 라고 대놓고 적힌 미끼가 박혀 있고, 진짜 플래그는 한글과 구분이 안 가는 전각 ASCII 36글자로 조문 사이에 섞여 있다. NFKC 정규화가 마지막 열쇠다.

홈 디렉토리에 쓸 권한이 없는데 root 는 그 안의 a.out 을 10초마다 실행한다. SUID 가 붙은 gcc 가 대신 파일을 써 주고, 배열 첨자가 만든 미정의 동작 때문에 gcc -O2 가 루프의 상한 검사를 통째로 지운다. 두 관문을 이어 붙여 /flag.txt 를 읽어냈다.

/dev/urandom 으로 만든 8바이트 비밀번호를 strncmp 로 검사한다. 그런데 strncmp 는 NUL 을 만나면 거기서 멈추고 같다고 답한다. 첫 바이트가 0x00 으로 나오는 1/256 만 노리면 개행 한 글자로 통과한다. 더 그럴싸해 보이는 임의 주소 쓰기 경로는 주소 유출이 없어 쓸 수 없는 미끼였다.

입력은 반드시 IPv6 여야 하고, 도착한 요청의 출발지는 반드시 IPv4 루프백이어야 한다. 서로 배타적으로 보이는 두 조건을 `::ffff:127.0.0.1` 하나가 동시에 만족시킨다. 파이썬 ipaddress 에게는 version 6 이고 리눅스 커널에게는 127.0.0.1 이기 때문이다. tcpdump 로 루프백에 흐르는 패킷이 실제로 IPv4 라는 것까지 확인했다.

문제가 주는 건 OpenSSH 개인키 파일 하나와 "ssh with id: dream" 한 줄이 전부다. 붙어서 flag 를 읽으면 끝이지만, 그 사이에 걸리는 게 셋 있다. 배포 zip 이 키를 0644 로 저장해서 ssh 가 키를 무시하고, 플래그 파일은 root 소유인데 그룹 비트로 열리고, 파일 끝이 개행이 아니라 CR 이라 터미널에서 플래그가 프롬프트에 덮여 사라진다. 키 컨테이너를 직접 파싱해 서버 authorized_keys 와 대조하는 것까지 해 본다.

setgid 바이너리가 system("clear") 를 부른다. 절대경로가 아니니 PATH 를 앞에서부터 훑고, 내가 심어 둔 clear 가 문제 그룹 권한으로 돈다. 그런데 setgid 비트만으로는 이게 통하지 않는다. dash 가 시작하면서 빌려온 권한을 스스로 내려놓기 때문이다. 그 방어를 무력화하는 게 바로 앞줄의 setresgid 한 줄이었다.

명령 결과가 `> /dev/null`로 버려지고 프로그램은 뒤이어 `cat ./out`만 실행한다. 20자 제한과 16자 블랙리스트를 통과하는 `diff ff fs>out` 한 줄로 안쪽 리다이렉트를 걸어 출력을 가로채고, 두 파일 사이에서 딱 한 글자 바뀐 줄을 회수한다.

웹 서버 안에서 0.5B 짜리 로컬 모델을 돌리는 챗봇 문제. 플래그는 시스템 프롬프트 첫 줄에 그대로 박혀 있고, 입력에 admin·flag·pass·secret·private 이 들어가면 모델까지 가지도 못한다. 그런데 그 블랙리스트는 질문만 본다. 비밀을 묻는 대신 지시문을 그대로 되풀이하게 시키면 한 줄에 다 나온다. 키릴 문자 한 글자로 부분문자열 검사 자체를 빗나가게 하는 두 번째 경로도 같이 다룬다.

dream 소유의 setuid 바이너리가 argv[1] 을 그대로 "cat %s" 에 끼워 system() 으로 넘긴다. 보통은 sh 가 실행 즉시 euid 를 ruid 로 되돌려 이런 주입이 무력해지는데, 이 문제는 system() 직전에 setreuid(geteuid(), geteuid()) 로 real uid 까지 올려 버려서 sh 가 떨어뜨릴 권한을 남기지 않는다. 같은 코드에서 그 한 줄만 뺀 대조군을 만들어 차이를 직접 찍었고, filename 버퍼가 10바이트라 전체 경로가 잘리는 것도 gdb 로 확인했다.

정비소에서 받아온 차량 주행 로그라며 candump 파일 하나만 준다. 열어 보면 1953가지 CAN ID가 뒤섞인 난수 덩어리인데, 등장 횟수를 세면 딱 하나만 다른 ID들보다 4배 넘게 튄다. 그 ID의 페이로드를 ASCII로 읽으면 flag가 나온다.

파일도 서버도 없이 딱 두 줄짜리 설명만 던져주는 트롤 문제. 밈 이름을 넣어보고, 백준 1237의 정답을 넣어보고 다 틀린 뒤에야, 설명 문장 자체를 글자 그대로 따르는 게 정답이라는 걸 알았다. 백준 1237 "정ㅋ벅ㅋ"의 오마주이자, 결국 답은 지시문 안에 통째로 들어 있었다.

숫자 하나를 3초 안에 그대로 되받아 타이핑하면 "로봇 인증"이 완료된다. 그 숫자는 Python random 모듈의 원시 출력 6개를 이어붙여 고정된 상수로 XOR한 값이라, 우리가 화면에서 읽는 순간 그 6개 숫자를 그대로 역산할 수 있다. 그리고 이 인증은 실패해도 몇 번이든 다시 시도할 수 있다 — 104번만 반복하면 Mersenne Twister의 내부 상태를 완전히 복원하는 데 필요한 624개의 연속된 원시값을 전부 모을 수 있다는 뜻이다. 그 뒤로는 서버가 뽑을 도박 게임의 정답을 베팅하기도 전에 알 수 있게 된다.

소스에는 int_arr[0] == 0x64726d68, int_arr[1] == 0x636b3a29라는 비교식이 그대로 노출돼 있다. 16진수를 사람 눈으로 그대로 읽으면 "drmhck:)" — "dreamhack :)"을 줄인 문자열처럼 보인다. 그런데 그 문자열을 그대로 입력하면 프로그램은 거부한다. x86은 little-endian이라 4바이트 정수를 메모리에 거꾸로 저장하기 때문에, 실제로 입력해야 하는 바이트열은 각 4바이트 워드 단위로 뒤집힌 "hmrd):kc"다. GDB로 스택 위 바이트를 직접 찍어 그 반전을 눈으로 확인했다.

악성코드 소스 코드 조각 하나만 던져주고 "이것의 공격방법은 무엇인가"를 묻는 문제. 코드를 뜯어보면 SYN 플래그를 고정하고 출발지 IP를 매 패킷 랜덤으로 바꾸며 ACK 없이 영원히 쏘는, 교과서적인 SYN Flood다. 더 정확한 용어로 답을 냈다가 두 번 오답을 먹고 나서야, 문제가 준 예시 문구 자체가 정답이었다는 걸 깨달았다.

6초짜리 WAV 파일 하나가 전부인 포렌식 문제. 오디오 스테가노그래피라고 하면 반사적으로 LSB(최하위 비트)부터 뽑아보게 되는데, 그렇게 나온 결과는 그냥 잡음이다. "이상한 소리가 나요"라는 문제 설명을 다시 읽고 스펙트로그램을 찍어보면, 주파수 영역에 flag 문자열이 글자 모양 그대로 그려져 있다. 데이터를 비트에 숨긴 게 아니라 진폭을 붓 삼아 그림을 그린, Aphex Twin류 스펙트로그램 아트다.

IoT 기기의 펌웨어 파일 하나만 던져주고 "API 키를 뽑아내라"는 문제. 확장자는 .img지만 첫 세 바이트(1f 8b 08)를 보면 실제로는 gzip이다. binwalk를 돌려보려 했더니 환경의 capstone 버전 충돌로 죽어버려서, gunzip과 tar로 같은 과정을 수동으로 재현했다. 풀린 tar 안 임베디드 루트 파일시스템의 설정 파일에 API 키가 평문으로 그대로 박혀 있었다.

제공되는 건 이상한 8비트 WAV 파일 두 개뿐이다. 스펙트로그램을 찍어봐도 단조로운 톤 하나만 보일 뿐 아무 정보도 없어 보인다. 문제 설명 속 "NOAA 15"라는 이름이 결정적인 힌트였다 — 기상위성이 실시간으로 지구 사진을 내려보내는 아날로그 방송 규격 APT(Automatic Picture Transmission)의 오디오였다. 2400Hz 서브캐리어를 힐베르트 변환으로 AM 복조하고 4160word/line 픽셀 클럭에 맞춰 리샘플링하면, 한반도와 일본 해안선이 그대로 찍힌 위성사진 위에 flag가 그려져 있다.

다른 악성코드를 실행해 추가 감염을 일으키는 함수의 주소를 찾으라는 문제. 그래프 전체가 ShellExecuteExA로 대상 파일을 실행하는 하나의 함수인데, 그 함수 자체의 시작 주소를 냈다가 오답을 받았다. 함수 안에 ShellExecuteExA 호출이 두 곳이라는 걸 알고도 어느 쪽인지 헷갈렸는데, 결국 "함수의 주소"가 가리키는 건 실행 API를 호출하는 그 지점이었다.

같은 악성코드(bagla downloader) 그래프를 다루는 CodeEngn 시리즈의 또 다른 문제. 이번엔 뮤텍스가 두 개 나온다 — 프로그램 시작 시 만드는 프로세스 단일실행 가드용, 그리고 CreateThread 직후 만드는 두 번째 뮤텍스. 문제가 묻는 "Thread Mutex"는 스레드 생성과 바로 붙어 있는 후자다.

문제 설명이 화면에 똑같이 생긴 썸네일 100개로 도배돼 있다. 파일도 서버도 없고, 눈으로는 100개가 전부 같아 보인다. 각 이미지의 클릭 대상(href)을 다수결로 비교하면 99개는 "This is fine" 밈으로, 1개만 실제 flag 이미지로 연결된다는 걸 알 수 있다.

실행 파일 대신 IDA 그래프 캡쳐 한 장(07.pdf)만 주어진다. 악성코드가 C2 서버 접속에 실패했을 때 몇 ms 간격으로 재시도하는지를 묻는데, 그래프 안의 재시도 루프를 따라가면 `push 96000h` → `call ds:Sleep`가 답이다. 16진수 0x96000을 10진수로 환산한 614400이 flag가 된다.

769바이트짜리 stripped Cortex-M 펌웨어 하나가 전부다. strings 를 걸면 "진짜 키"를 묻는 미끼 문자열들이 우수수 나오는데, 정작 보드가 UART 로 뱉는 값은 판독 불가능한 바이트다. Thumb 코드를 디스어셈블하고 Unicorn 으로 돌려보면 그 바이트가 두 base64 문자열의 XOR 임이 드러나고, 되돌리면 숨은 메시지가 나온다.

chall.py 는 puzzle 을 "DH{}" 로 XOR 해 dream 을 만든 뒤, 그 안에서 leet 로 쓴 "the" 와 "iskey" 사이의 pw_key 를 뽑아 다시 XOR 한다. 문제는 두 빈칸(LEET_START, LEET_END)을 채우는 것. dream 을 아무리 봐도 th3·15k3y 같은 흔한 leet 는 안 나온다. 멀티문자 leet 치트시트를 곱집합으로 훑어야 "|"}{|=- 와 |$|(&`/ 가 튀어나온다.

헤더가 0으로 밀린 BMP 파일 하나를 준다. 살아남은 biBitCount(24) 하나로 픽셀 크기를 잡고, 행과 다음 행의 픽셀 차이가 최소인 지점으로 진짜 폭을 찾아 헤더를 재구성하면 그림 속 flag가 드러난다. "폭이 조금만 틀려도 이미지가 대각선으로 밀려 노이즈가 된다"는 성질을 역으로 이용한 포렌식 문제다.

플래그가 210자짜리 이모지 열로 바뀌어 있다. 26종의 이모지는 24개 알파벳과 중괄호에 일대일 대응된다. ⓜ️=m 힌트와 DH{ 접두사, 그리고 A·B·P·E·I 처럼 글자 모양을 그대로 담은 이모지를 앵커로 삼으면 절반이 뚫리고, 나머지는 "emoji"의 사전적 정의문이라는 영어 문맥이 강제로 채워 준다.

범죄 조직에게서 압수한 PNG는 겉보기엔 평범한 그림이다. 하지만 IEND 청크 뒤에 29바이트짜리 암호문이 꼬리처럼 붙어 있다. 플래그 형식이 bisc2024로 시작한다는 걸 알면, 암호문 앞머리로 Vigenère 키를 역산할 수 있고, 그 키로 전체를 복호하면 플래그가 나온다.

이메일로 받은 JPG가 열리지 않는다. 앞부분의 널 바이트를 걷어 내면 파일이 통째로 뒤집혀 있고, 머리에 붙은 base64는 padding이 앞에 온 역순 문자열이다. 뒤집어 디코드하면 JSFuck이 나오고, 이를 실행하는 대신 eval을 가로채면 플래그가 그대로 드러난다.

일본어 명사를 로마자로 적은 뒤 단일치환으로 암호화한 여섯 단어를, 각각의 뜻에 짝짓는 언어학 퍼즐. 두 단어가 공유하는 접미사를 앵커로 삼아 치환표를 세우면 yoasobi·yokaze·yamiyo 같은 원래 단어가 복원된다. 처음엔 글자 두 개가 빈칸으로 남았지만, 나머지 대응을 채우자 마지막 단어까지 tobihi(飛び火, 튀는 불티)라는 진짜 일본어 단어로 딱 떨어졌다. 맞춘 순서가 곧 플래그가 된다.

README 한 줄이 전부인 미스크 문제. 글자 사이사이에 눈에 보이지 않는 U+200E(왼쪽에서 오른쪽 마크)가 잔뜩 흩뿌려져 있어, 화면으로는 알 수 없다. 심지어 터미널에 그냥 cat으로 띄워도 육안으로는 멀쩡한 플래그처럼 보인다 — 그대로 복사해서 제출하면 숨은 문자 때문에 오답이 된다. 파일에서 ASCII 문자만 남기면 진짜 플래그가 드러난다.

이름이 거의 같은(하나는 확장자 앞에 공백이 하나 더) 텍스트 파일 두 개를 주는 미스크 문제. 두 파일은 바이트 단위로 완전히 동일하고, 그 안에 플래그가 그대로 두 번 적혀 있다. 숨긴 것도 인코딩도 없이 그냥 읽으면 된다. 덧붙여 zip 헤더와 Windows 이름 정규화로 "이 공백이 끝에 붙은 게 아니라 가운데 있다"는 것까지 확인하고, 같은 문제가 드림핵에 두 번 등록돼 있다는 것도 API 로 대조해 봤다.

텍스트 파일 하나를 주는 미스크 문제. 내용이 통째로 뒤집혀 있어 rev 한 번이면 플래그가 나온다. 플래그 형식이 DH가 아니라 AF로 시작하고, 문구 자체가 도구(CyberChef)를 쓰라는 농담이다. 문제 설명에 "AI로 리버싱 문제를 돌린다"를 놀리는 커뮤니티 캡처까지 박아놔서, 풀이보다 그 맥락이 더 재밌다.

PNG 의 IHDR 청크만 CRC 가 어긋나 있다. 이미지 높이를 512에서 256으로 줄여 아래 절반에 있던 flag 를 잘라 숨긴 것이다. IDAT 를 압축 해제하면 실제로 512행이 나오고, 저장된 CRC 로 원래 높이를 역산할 수도 있다. IHDR 의 height 4바이트를 원래 값으로 되돌리면 숨겨졌던 flag 가 드러난다.

flag.txt 에는 미끼 DH{fake_snow} 뒤로 눈에 안 보이는 공백과 탭이 잔뜩 붙어 있다. 문제명 "Snowing!" 이 가리키는 SNOW 화이트스페이스 스테가노그래피다. 바이트/패턴을 시각화해 정체를 확인하고, 곁들여진 Snow.jpeg 가 함정임을 포렌식으로 배제한 뒤, stegsnow -C 로 복호해 Snow 반복 사이의 진짜 플래그를 꺼낸다.

서버가 alarm(1)로 1초마다 덧셈 문제를 내고 정답을 요구한다. 난수는 srand(time(NULL))이지만 예측할 필요가 없다 — 문제 자체(num1, num2)를 그대로 평문으로 출력해 주기 때문이다. 필요한 건 PRNG 역산이 아니라 recv-계산-send를 50번 반복할 스크립트뿐이다. 로컬 바이너리로 직접 재보면 50라운드 전체가 0.01초 안에 끝나 — 사람에게 허락된 50초의 5000분의 1이다.

Dockerfile이 flag 내용을 '파일 이름'으로 touch 한 뒤 rm * 로 지운다. 컨테이너 안에는 아무것도 안 남지만, 도커 이미지는 레이어(tar)의 더미라 상위 레이어의 삭제는 하위 레이어를 못 지운다. Docker Hub의 공개 이미지를 받아 docker save로 레이어를 까면 touch 단계 레이어에 flag 파일명이 그대로 박혀 있다.

Dockerfile 하나와 socat으로 노출되는 바이너리가 주어지는 Docker 실습 문제. 서비스에 접속하면 "Hello Beginners!"만 나오고 바이너리는 flag를 출력하지 않는다. 핵심은 Dockerfile이 flag 파일을 이미지 안(/home/chall/flag)으로 ADD 한다는 것 — 같은 Dockerfile로 이미지를 빌드하고 컨테이너를 실행해 그 안의 flag를 그대로 읽는다.

index.html 한 장에 암호문과 "Rail Fence → Base64 → ROT13" 라는 인코딩 순서가 적혀 있다. 인코딩을 거꾸로(ROT13 → From Base64 → Rail Fence Decode) 되감으면 플래그가 나온다. 이름값을 하는 문제답게 CyberChef 레시피로, 그리고 파이썬으로 복원해 라운드트립까지 검증한다.

드림핵 미스크 탭의 SSH 연습 문제. 익스플로잇은 없고, 주어진 계정으로 원격 서버에 ssh 로 접속해 홈에 놓인 flag 파일을 읽으면 끝난다. ssh 가 무엇이고 첫 접속 때 왜 호스트 키를 확인시키는지, root 소유 파일을 어떻게 일반 계정이 읽을 수 있는지(파일 권한), 들어간 셸이 사실 restricted bash 라는 디테일까지 입문자 눈높이로 짚는다.

드림핵이 워게임 사용법을 익히라고 만들어 둔 튜토리얼 문제. 첨부파일을 받아 압축을 풀면 flag.txt 안에 플래그가 평문으로 들어 있고, 그 값을 그대로 제출하면 끝난다. 풀이 기술은 없지만, 파일 다운로드 → 압축 해제 → 플래그 확인 → 제출이라는 워게임의 기본 흐름과 flag.txt를 읽을 때 흔히 놓치는 끝의 개행 한 바이트까지 짚어본다.

입력을 echo $(...) 안에 그대로 끼워 /bin/sh 로 실행하는 단순한 페이지. 명령 주입은 바로 되지만 cmd 문자열에 'flag' 가 들어가면 차단된다. 셸 와일드카드 f* 로 'flag' 리터럴을 피해 flag.txt 를 읽어냈다.

서버에서 도는 프로그램이 ./flag 를 읽어 메모리에 올려두고, 입력한 문자열이 "Dreamhack" 과 정확히 같을 때만 그 플래그를 출력한다. 익스플로잇이랄 게 없고, nc 로 접속해 strcmp 게이트가 원하는 답을 한 줄 넣어주면 끝. 드림핵 워게임의 nc 접속·플래그 회수 흐름을 처음부터 짚어본다.

zip 안 index.html의 hidden input에 박힌 base64 문자열을 디코딩하면 ASCII 코드 배열을 chr()로 합치는 파이썬 스크립트가 나온다. 그대로 실행하면 플래그가 출력된다.