[Codegate CTF_2017] angrybird(reversing)

## Codegate CTF_2017(angrybird, reversing)

[Summary]

1. 바이너리가 동작하지 않는 몇가지 조건들이 있음 => 바이너리 패치를 해야함.

2. 바이너리가 원래 목적대로 정상 동작을 하면 angr을 이용하여 키 값을 찾아내야 함.

[Analysis] 

  angrybird 문제는 맨 처음 IDA를 이용해 분석하려고 하면 아래 [그림 1]과 같이 어셈블리로는 코드가 업청나게 

많은데 디컴파일을 하면 단순히 exit()만 하는 프로그램으로 인식하고 실제로 리눅스에서 실행시켜도 아무것도

하지 않고 종료하는 것을 확인할 수 있다.

[그림 1] angrybird 디컴파일

 따라서 제대로 인식하고 정상적으로 fgets()함수로 사용자 입력을 받고 돌게 하기 위해서 프로그램 코드 패치를 

할 필요가 있는데 [그림 1]에서 "jz _exit"명령을 nop으로 헥사에디터로 패치하면 아래 [그림 2]와 같이 정상적으로 

인식하게 된다.

[그림 2] 첫 번째 코드 패치

 하지만 [그림 2]에서 보이듯이 실행을 하면 의미심장한 문자열이 출력된 후 Segmentation fault가 뜨고 프로그램이

비정상적으로 종료하는 것을 확인할 수가 있다. 따라서 디컴파일 후의 소스코드를 보니 sub_4006F6(), 

sub_40070C(), sub_40072A()라는 3개의 함수가 있었다.

 이 각각의 코드를 한번 보면 우선 첫번째 sub_4006F6()함수는 아래 [그림 3]과 같이 return 값이 1이 아니라 21이

되어야 한다고 하고 실제로 dword_606060의 값을 return 하는데 dword_606060값은 1인 것을 확인할 수 있고

다음과 같이 패치를 할 수 있다.

[그림 3] 두 번재 패치 코드

 이렇게 패치 했음에도 바이너리를 실행하면 [그림 2]과 동일하게 Segmentation Fault가 뜨면서 프로그램이 죽는다.

따라서 두 번째 함수 sub_40070C()를 보았다. sub_40070C()를 보면 아래 [그림 4]와 같이 

"mov eax, [esp+var_s0]" 부분에서 64bit 환경에서 eax에 값을 집어넣으려다가 seg fault가 뜨게 되고 이걸 

해결한다고 하더라도 _exit()함수가 있어서 종료하게 되는데 이를 [그림 4]와 같이 패치하면 정상적으로 사용자 

입력을 받고 조건식을 거쳐 merong이 뜨는 것을 확인할 수 있다.

[그림 4] 세 번째 패치 코드

 그럼 이제 마지막 3번째 함수가 남게 되는데 3번째 함수인 sub_40072A()함수는 아래 [그림 5]와 같이 __libc_main

주소가 들어있는 off_606038과 "hello"라는 문자열과 strncmp()함수를 이용해 비교를 한다. 그래서 같으면

정상적으로 함수를 종료하고 사용자 입력 문자열을 여러가지 연산과 비교를 통해 검증하고 그렇지 않으면 exit()

함수를 이용해 바로 프로그램을 종료시켜버린다. 따라서 strncmp()함수를 nop로 패치를 하면 되는데 여기서 중요한

점이 있다.

[그림 5] 네 번째 패치 코드(1)

 이 함수에서 off_606038와 "hello"라는 문자열을 왜 비교할까? 라는 생각을 해야하는데 실제 main()함수에서 보면

아래 [그림 6]과 같이 [rbp+var_58]이라는 변수에 off_606038의 값을 집어 넣는데 나중에 fgets()함수로 받는

사용자 입력 값을 엄청나게 많은 연산고 조건으로 검증할 때 [rbp+var_58]변수가 7번 정도 개입하게 된다. (IDA 기능

중 cross reference 기능을 이용) 따라서 위 [그림 5]처럼 단순 nop처리만 할 것이 아니라 main()함수에서 var_58

변수에 offset off_aHello의 값을 넣어주도록 패치를 한번 더 해야 한다.

[그림 6] 네 번째 코드 패치(2)

 이제 바이너리 패치는 모두 끝났다. 이제 그럼 본격적으로 문제를 풀어야 하는데 단순히 사용자 입력을 받아 여러가지 

연산들과 엄청나게 많은 수의 분기문을 거쳐 마지막으로 아래 [그림 7]과 같은 최종 목적지로 가는 것이 문제이다.

이러한 유형의 CTF 문제는 python 모듈 중 angr이라는 Symbolic Execution을 자동화 해주는 도구로 해결할 수 

있는데 angr을 간단하게 소개하자면 최종 목적지 주소(find 주소)를 설정해주고 가면 안되는 주소(avoid 주소)들을 쭉

설정해두면 프로그램이 알아서 symbolic execution을 실행하면서 조건 분기문에 맞는 알맞은 입력값을 찾아내준다.

[그림 7] 최종 목적지 주소

 그런데 한 가지 문제가 있다. 조건 분기문이 너무 많아 avoid 리스트들의 주소를 하나하나 입력하기에는 너무 많은 

양이기 때문에 자동화하여 avoid 주소의 리스트를 뽑아내야 한다. 이 문제점은 avoid 주소가 아래 [그림 8]과 같이

단순한 똑같은 어셈블리어로 이루어져 있어서 해당 OPCODE를 파일에서 찾아 offset을 계산하여 주소 값을 리스트로

뽑아주는 파이썬 코드를 간단하게 짜서 해결할 수 있다.

[그림 8] avoid 리스트 자동화

 이렇게 찾아낸 avoid 리스트들을 적용해 angr을 써서 키 값을 찾아내면 아래 [그림 9]와 같이 모든 조건 분기문들을 

만족하는 문자열이 나타난다.

[Exploit Code] - angrybird_avoid_list.py

f = open("angrybird_patched4",'rb')
binary = f.read()
total = ''
for i in xrange(len(binary)):
    total += '%02X' % int(ord(binary[i]))
 
avoid_list_tmp = [i for i in range(len(total)) if total.startswith('BF94504000', i)]
avoid_list = []
for i in xrange(len(avoid_list_tmp)):
    avoid_list.append(hex(0x400000 + (avoid_list_tmp[i]+1)/2))
 
print avoid_list
f.close()
 

[Exploit Code] - angrybird_exploit.py

import angr
import hexdump
 
def main():
    proj = angr.Project('angrybird_patched4', load_options={'auto_load_libs': False})
    ex = proj.surveyors.Explorer(find=(0x404fab,), avoid=(0x4007ef, 0x400818, 0x400838, 0x400861, 0x400890, 0x4008b9, 0x4008e2, 0x40090b, 0x400934, 0x400977, 0x4009a0, 0x4009c9, 0x4009f2, 0x400a1b,0x400a47, 0x400a6c, 0x400a95, 0x400abb, 0x400ae0, 0x400b09, 0x400b3f, 0x400b68, 0x400ba4, 0x400bd6, 0x400bff, 0x400c31, 0x400c5d, 0x400c82, 0x400cab, 0x400cd0, 0x400cf5, 0x400d1b, 0x400d40, 0x400d69, 0x400d92, 0x400db2, 0x400dd7, 0x400e00, 0x400e26, 0x400e52, 0x400e7b,0x400eb8, 0x400edd, 0x400f06, 0x400f2f, 0x400f58, 0x400f78, 0x400fa1, 0x400fd0, 0x400ff5, 0x40101b, 0x40104b, 0x401070, 0x401099, 0x4010c2, 0x4010e2, 0x40110b, 0x401134, 0x40115d, 0x401186, 0x4011c2, 0x4011eb, 0x40121b, 0x401244, 0x40126d, 0x401296, 0x4012bf, 0x4012e8, 0x40131e, 0x401347,0x401373, 0x40139c, 0x4013c5, 0x4013e5, 0x40140e, 0x401437, 0x401460, 0x401489, 0x4014b2, 0x4014db, 0x401504, 0x40152d, 0x401556, 0x40157f, 0x4015a8, 0x4015d1, 0x401600, 0x401629, 0x401652, 0x40167b, 0x4016a4, 0x4016d3, 0x4016fc, 0x401725, 0x40177b, 0x4017a4, 0x4017cc, 0x4017f5, 0x40181e, 0x401854, 0x40187d, 0x4018b3, 0x4018dc, 0x401905, 0x40192e, 0x401957, 0x401980, 0x4019a9, 0x4019d2, 0x4019fb, 0x401a24, 0x401a53, 0x401a7c,0x401aac, 0x401ad5, 0x401afe, 0x401b2d, 0x401b56, 0x401b7f, 0x401ba4, 0x401bcd, 0x401bf5, 0x401c2b, 0x401c5a, 0x401c83, 0x401cac, 0x401cd5, 0x401cfe, 0x401d23, 0x401d49, 0x401d6e, 0x401d97, 0x401dd3, 0x401dfc, 0x401e25, 0x401e4a, 0x401e70, 0x401e95, 0x401eba, 0x401ee3, 0x401f12, 0x401f3b, 0x401f64, 0x401f8d, 0x401fb6, 0x401fdf, 0x402008, 0x402031, 0x40205a, 0x402083, 0x4020a8, 0x4020cd, 0x4020f3, 0x402118, 0x402141, 0x40216a, 0x4021a0, 0x4021c9, 0x4021ff, 0x402224,0x40225d, 0x402283, 0x4022a8, 0x4022d1, 0x4022fa, 0x402323, 0x40234c, 0x402375, 0x40239e, 0x4023c3, 0x4023e8, 0x40240d, 0x402433, 0x402458, 0x40248e, 0x4024c0, 0x4024fc, 0x402525, 0x40254a, 0x40256f, 0x402595, 0x4025ba, 0x4025e3, 0x402640, 0x402672, 0x402697, 0x4026c6, 0x4026ef,0x40271f, 0x402748, 0x40277e, 0x4027a7, 0x4027cd, 0x4027f2, 0x40281b, 0x402844, 0x40286d, 0x402896, 0x4028bf, 0x4028f1, 0x40291a, 0x402943, 0x402968, 0x40298d, 0x4029b6, 0x4029db,0x402a15, 0x402a3a, 0x402a69, 0x402a92, 0x402abb, 0x402af1, 0x402b1a, 0x402b43, 0x402b79, 0x402b9e, 0x402bc7, 0x402bf0, 0x402c15, 0x402c3a, 0x402c69, 0x402c92, 0x402cb7, 0x402cdd, 0x402d02, 0x402d2b, 0x402d61, 0x402d8a, 0x402db3, 0x402dd8, 0x402e01, 0x402e2f, 0x402e58, 0x402e8a, 0x402eaf, 0x402ede, 0x402f03, 0x402f2c, 0x402f55, 0x402f90, 0x402fb6, 0x402fe8, 0x403011, 0x40303a, 0x40305a, 0x403083, 0x4030ac, 0x4030d5, 0x4030fe, 0x40311e, 0x403154, 0x40317d, 0x40319d, 0x4031c6, 0x4031ef, 0x403218, 0x403241, 0x40326a, 0x403293,0x4032da, 0x403307, 0x403330, 0x403359, 0x403395, 0x4033cb, 0x4033eb, 0x403414, 0x40343d, 0x403466, 0x40348f, 0x4034b8, 0x4034e1, 0x403501, 0x40352a, 0x403559, 0x403582, 0x4035ab, 0x4035d4, 0x40360a, 0x40362a, 0x403660, 0x403689, 0x4036b2, 0x403702, 0x40372b, 0x403754, 0x40378a, 0x4037c0, 0x4037e9, 0x403812, 0x40383b, 0x403864, 0x40388d, 0x4038c3, 0x4038f9, 0x40392f, 0x403958, 0x40397d, 0x4039a3, 0x4039c8, 0x4039f1, 0x403a1a, 0x403a43, 0x403a6c, 0x403a91, 0x403ac0, 0x403ae5, 0x403b14, 0x403b3d, 0x403b66, 0x403b8f, 0x403bb8, 0x403be1, 0x403c06, 0x403c2b, 0x403c5a, 0x403c83, 0x403cac, 0x403ce2, 0x403d0b, 0x403d34, 0x403d5d, 0x403d82, 0x403da7, 0x403dd6, 0x403dff, 0x403e28, 0x403e51, 0x403e90, 0x403ed1, 0x403f07, 0x403f30, 0x403f66, 0x403f8b, 0x403fb0, 0x403fd6, 0x403ffb, 0x404024, 0x40405a, 0x404083, 0x4040ac, 0x4040d1, 0x4040f6, 0x40411c, 0x404141, 0x40416a, 0x404193, 0x4041c9, 0x4041f2, 0x404218, 0x40423d, 0x404266, 0x40428f, 0x4042b8, 0x4042e1, 0x40430a, 0x40432f, 0x404358, 0x40437d, 0x4043a2, 0x4043d4, 0x4043fa,0x40441f, 0x404448, 0x404471, 0x40449a, 0x4044c3, 0x4044ec, 0x404511, 0x40453a, 0x40455f, 0x404584, 0x4045ad, 0x4045d2, 0x4045f8, 0x40461d, 0x404646, 0x40466f, 0x404698, 0x4046c1, 0x4046ea, 0x40470f, 0x404738, 0x40475d, 0x404782, 0x4047ab, 0x4047d0, 0x4047f5, 0x40481a, 0x404840, 0x404865, 0x40488e, 0x4048b7, 0x4048dc, 0x404901, 0x404930, 0x404959, 0x404982, 0x4049ab, 0x4049d4, 0x4049fd, 0x404a1d, 0x404a46, 0x404a6f, 0x404a98, 0x404ac1, 0x404aea, 0x404b0a, 0x404b33, 0x404b5c, 0x404b85, 0x404bae, 0x404bd7, 0x404c00, 0x404c29, 0x404c6c, 0x404c95, 0x404cbe, 0x404ce7, 0x404d10, 0x404d39, 0x404d6f, 0x404d98, 0x404dc1, 0x404dea, 0x404e13, 0x404e3c, 0x404e61, 0x404e90, 0x404eb9, 0x404ee2, 0x404f0b, 0x404f30, 0x404f68, 0x404f97,))
    ex.run()
    return ex.found[0].state.posix.dumps(0).strip('\0\n')
    #path_group = proj.factory.path_group(threads=4)
    #path_group.explore(find=0x400803, avoid=0x4007ef)
    #return path_group.found[0].state.posix.dumps(1)
 
if __name__ == '__main__':
    hexdump.hexdump(main())
    #print(repr(main()))
 

[Get Flag~~!!!!]

[그림 9] flag 확인("Im_so_cute&pretty_:)")

끝~!