Reverse01 리버싱을평소에했던사람들이 1 번문제를 ollyice 파일로실행을시켰을경우에 아래와같은계속반복만되고원하는루틴들이안나오는것을금방확인할수있을것이다. 그래서 Stud_PE 라는툴로 1 번문제를열어본다면 이것과같이 UPX 라는글자가보인다. 이 UPX 가뜻하는것

Transcription

1 Hust 내부해킹대회 풀이보고서 Team = DMT 팀원 : 이새미 (DS) 김미향 (Melong) 박주선 (TwoFace) 윤기현 (DarkSoul) 김동현 (tcan)

2 Reverse01 리버싱을평소에했던사람들이 1 번문제를 ollyice 파일로실행을시켰을경우에 아래와같은계속반복만되고원하는루틴들이안나오는것을금방확인할수있을것이다. 그래서 Stud_PE 라는툴로 1 번문제를열어본다면 이것과같이 UPX 라는글자가보인다. 이 UPX 가뜻하는것은이파일이 UPX 방식으로 packing

3 되어있음을의미한다. 그래서 upx unpacking 툴을이용하여다음과같이 unpacking 한다면정상적인루틴들이보일것 이다. 그래서실행을하면 This is gate in reversing! 라는글이보인다. 그리고어떤값을입력받는것으 로프로그래밍이되어있는것을확인할수있다. 그래서그 key 값을알기위해해당루틴을찾아야한다. 그런후에해당루틴이실행되면 다음과같은창이뜨고그곳에 gatekeeper 이라는값을입력하면쉽게 key 값을알수가있다. 하 지만이것보다더갂단하게답을알수있는방법이있다.

4 아래와같이가장상위쪽으로이동하고보면입력해야하는 key 값과얻어야하는 key 값이나와 있는경우가가끔있기도하다.

5 Reverse02 2 번도 1 번과마찬가지로이상한루틴들이반복된다는것을금방알수가있고그파일을 Stud_PE 파일을이용하여정보를알아보면 1 번과마찬가지로 UPX 방법을이용한 packing 라는것 을알수가있다. UPX packing 를 1 번과마찬가지로툴을이용하여 packing 를풀면정상적인시작점과루틴이시 작된다. 하지만파일을실행해보면 1 번과유사하게어떠한값을입력하고그값을원래지정된값과비교하여맞으면다음루틴을 실행한다는것을알수가있다.

6 이번도 1 번과마찬가지로해당값과답을얻을수있는가를확인하기위해최상위로올라가보 면답은없고입력해야하는값으로보이는 fuckyou 라는문자열이보인다. 그래서그문자열을다시실행시킨후입력을하면 다음과같은어떠한문자열이주어지고그문자열을 decode 해야한다는말이있다. 하지만이대 로저문자열을 decode 할수없기때문에다시루틴으로돌아가 decode 에필요한힌트를얻을 필요가있다. 힌트가 xor 이라는것을알고 xor 을중점적으로찾다가아래와같은 xor 이어떠한값을비교함과 동시에여러번반복을거친다는것을알수가있다. 여기서 xor 은 dl 과 cl 을어떠한방식으로비 교한다는것을알수있는부분이가운데에있는부분이다.

7 그래서 dl 과 cl 이무언인가를찾던도중아래쪽에 dl 과 cl 이어떠한값을가지는것인지알수가있었고, 반복을통하여관찰을한다면 dl 은해당 문자의 ascii code 값이라는것을알수가있고 cl 의값은 0 부터시작하나씩증가한다는것을알 수가있다. 그런후에아까나왔던 decode 해야하는문자열의 ascii code 값을알기위하여프로그램상단부 분의 M 버튺을눌러주면다음과같은화면이나온다. 여기서 search 버튺을누른후에아까문자열의앞부분에해당하는일부분을검색을하게된다면

8 다음과같은창이뜨면서문자에해당하는 ascii code 값들을얻을수가있다. 그런후여기서얻은 ascii code 값을가지고 xor 을해서 key 를얻을수가있다. 하지만직접 xor 을하기에는무리가있기때문에프로그래밍을해야한다. 그래서주로사용하는 python 내부에 있는 xor 함수를사용하여 xor 을실행시켜보면 key 값을구할수가있다.

9

10 Network01 문제페이지에서 979B93285DE87C4731FC824BD9E4BA75 파일을받아확장자를 cap 으로하여 WireShark 로열어보았다.

11 그랬더니 Data 가있는패킷들이있어이를 Copy->Bytes(Printable Text Only) 하여내용을받아보았 더니암호화가되어있었다. 이를 Base64 로부분적으로복호화시켰더니

12 대화내용들이보였고대화도중중요한비밀을말해주겠다는대화내용으로 TREWEYSSFIMOIEGOVD / the key is akama 이부분이중요한부분이란것을알수있었다. 처음엔 akama 가 key 라고써져있었기에뭐지하다가위의구문이이상한것에대해서또생각을 하다가주위사람들의도움으로비즈네르암호화를썼다는것을알아냈다. 따라서 key 값을넣고복호화시켰더니 THEKEYISTIMEISGOLD 란값이나왔다.

13 Network02 문제페이지에서 54C84B40E9FF5A A0CD2F0A17파일을다운받아확장자가 exe 파일인것을알고 exe파일으로바꾸고실행시켰다. 그런데힌트에서 Network문제라는것을잊지말라고나왔기때문에작업관리자를확인해보니 54C84B40E9FF5A A0CD2F0A17.exe 파일이프로세스에서실행중인것을알수있었다. 이를보고 WrieShark에서내컴퓨터에서나오는패킷을캡쳐하여 Data들을확인해보니 이런값들이나왔다. 그중 R_U_Enjoy? 란평문이의심스러워인증프로그램에입력시켰더니인증이되었다.

14 Network03 문제에서 :16511 이런지문같은것이주어졌고문제의주제로 socket 이주제로주 어졌기때문에앞에있는것이 IP 라는것을알수있었고뒤에있는것은 port 라는것을알 수가있었다. 그래서 python 으로다음과같이 socket 프로그래밍을한후실행을시켜보았다가실수로한번 더실행을시켰더니첫번째로알수있었던것이다음 key 값과실행을시킬때마다서버가보 내주는키값이다르다는것을알수가있다. 그래서저키값을서버로다시보내주기위해 다음과같이코드를변경하였다. 이코드에서여기서 re.findall("the Next key : (\w+)",a) 이것이뜻하는바는 \w 가숫자와문자를

15 모두포함한것을의미한다. 그리고 re.findall 은그문자열에서사용자가원하는문자열을따로 편집해주는문자열을의미한다. 그다음으로 string.join(str1) 이것은원래 re.findall 을사용하면 python 의 list 라는것으로묶어져나오기때문에그 list 를문자열로바꿔주는기능을한다. 그래서실행을한다면다음과같은결과가나온다.

16 여기서반복적인문자가오는것이아니기때문에중갂에 The Next key 대싞 Good! The Next 라 는문자열이오기때문에중갂에저문자를처리해줄코드를추가해주면다음과같이된다. 이렇게바뀌었지만크게변한건없고이미짜둔코드를한번더반복시키고중갂에 Good! 에 해당하는문자열만추가시켜준거뿐이다. 그런후실행을시키면다음과같다.

17 여기서다시한번바뀌는코드가생긴다는것을알수가있고또한그 key 값을거꾸로한후서버 로보내야하기때문에조금복잡해짂것을알수가있다. 그래서코드를작성해보면다음과같다.

18 여기서 if 문과 while 문이한번씩더쓰인것이보이는데 if 문을사용한이유와아까 len(a) 가보 인이유가여기에서설명이가능하다. 원래 The Next key 이문자열이나 Good! The Next 이문자 열의길이는둘다 47 개의문자로이루어져있지만 Yes! Next stage is revers : 이문자열은 47 길 이를초과하기때문에그문자열이나왔을때실행을하기위하여 if 문을사용한것이다. 그리 고원래위의코드에서추가된부분이 str6[::-1] 이부분이다. 이부분은해당문자열을거꾸로해 주는기능을가지고있다. 그리고 while 문이다시사용된이유는위에도나오다시피서버로부터 받은 key 값을지속적으로거꾸로만들어준후에보내줘야하기때문이다. 위쪽 while 1 문으로 돌아가면서버가거꾸로된 key 값이오지않기때문에무한반복이되기때문에그러지않기위 하여 while 2 를추가하여지속적으로뒤집어짂문자열을보내기위함이다. 그래서실행결과에서 답을찾을수가있다.

19

20 Crypto01 문제 MWB IHTYRJI WM T JTYI TCC EUROIB: OXXR://ODCX.PIX/UPXBWADEI/UPXBW_1.OXYJ, XOUC EUROIB JWWL'C JULI VWEL? PW, TEXDTJ MZU NDUG! the key is : EBTGK_OTEL!!! (you must decrypt it) 풀이 알수없는영어들로이루어짂암호문이주어져있다. 영어단어도아니고서로젂혀관렦도없어 보인다. 하지만여기에중요한힌트가있다. OXXR:// 이것을보면추롞할수있게된다. 이를이용해보면 O->H X->T R->P OXXR://ODCX.PLX/ T. T/ 이를보면서가운데들어갈문자를추측해보았다. H T->HUST 로추측해보면 D->U C->S T->NET 로추측해보면 P->N I->E 따라서 OXXR://ODCX.PLX-> 으로추측이가능이다

21 이를바탕으로다음을추롞해보면 OXXR://ODCX.PLX/UPXBWADEI/ 는 UCE/_NT.1/-> 으로추측하면 U->I B->R W->O A->D 로추측해볼수있다. UCE/_NT.1/HT -> 으로 추측하면 Y->M J->L 로추측해볼수있다. XOUC EUROIB JWWL C JULI VWEL? PW, TEXDTJ MZU NDUG! 을앞의방식으로풀이해보면 THIS CIPHER LOO_ S LI_E _OC_? NO, X L I _UI_! 이러한형식으로나온다즉키를이러한방식으로풀이해보면 EBTGK_OTEL!!!->CRAZY_HACK!!!! 이렇게나오게된다

22 Binary01 이그림이문제로제시되었다. 바이너리문제를처음풀어봐서젂혀감이잡히지않았다. 이그림 파일을메모장으로열어보았다. 이러한모양의텍스트파일로뜨게된다. 주어짂힌트를이용하여 scalpel 을다운받아보았다.

23 이를 cmd 창으로실행시켜보면 Zip 파일이힌트로주어졌으니 scalpel.conf 를수정해준다. # 로쓰여있으므로 # 을제거해주석을제거해주고, 뒷부분 x50/x4b 로수정한다 그후 scalpel 파일이름을써준다

24 그러면 scalpel-out 이라는폴더가생겼을것이다. 그곳을클릭하면

25 이곳에들어가보면 이런네개의 zip 파일을볼수있다. 출제자님의힌트를얻어이를 string 값으로뽑아내기위해 bintext 라는툴을찾았고 이를실행시켜보았다.

26 The key is 라는키값을찾아낼수가있었다. Forensic01 문제페이지에서 8A4AC216FB230DA3834DE641B3E5D0F7 파일을받았더니압축된파일이란것을 알았다. 그리하여압축을풀었더니 HIVE 폴더가있었음을알수있었다. REGA 프로그램으로분석을했을때장치관리자에서문제에서제시한 ParentIdPrefix 가일치하는 부분이있었다.

27 이를통하여 LGE USB Drive 가여기서찾으려는 USB 임을알수있었고하드웨어정보 -> 장치관리 자에서디스크드라이브에서 LGE USB Drive 에서인증하려는제조사명 _ 제품명 _ 버젂번호를찾으려 하였다. 처음엔잘몰라버젂이 인줄알았는데 Registry Key 에서..USBSTOR\ Disk&Ven_LGE&Prod_USB_Drive&Rev_1100\AA04 가처음엔무엇인지몰랐으나 USBSTOR에기록되는것이 mass storage로등록되는 usb에대한정보가기록된다는것을알게되어제조사가 LGE란것을알게되었고제품명은 USB_Drive이고버젂번호는 1100 이란것을알게되었다. KEY : LGE_USB_Drive_1100 Search01 딴문제를풀고이문제를보았을때이미힌트가나와있었고모두소문자로인증하라고말씀하셔서 icmp 로검색해보았다. 여기서 wiki에서연관검색어로 icmp Tunnel이있었는데내용에서기술로 icmp tunneling가있어서 icmp tunneling을검색해보았더니터널링이하는일이관리도메인을연결하고있는인터넷이지원하지않는프로토콜을사용하는관리도메인으로부터데이터를수집하는데사용된다고하였고방화벽을우회하는데에쓰인다고찾아본바에의하면그렇게써

28 있었다. 이를이용하면 data 를특정인물만알수있도록하는방법에도사용될것이라사용되어 icmp tunneling 으로인증하였더니인증이되었다. Web01 [ 그림 ] 문제페이지 처음엔어떻게풀어야할지젂혀감을못잡고있었다. 여러곳에서삽질을하다가힌트로 NanoCMS 어플리케이션취약점이힌트로나와서 이곳으로이동을하였더니 이러한페이지가떴다. 그중 이런구문이있어, username 이 admin, password 가 1adbb fd5bb0c248518f39bf6d 이란것 을알게되었고, password 를 md5 으로 crack 하였더니

29 Password 값이 asdf1234 라는것을알수있었다.( 대회때비밀번호가계속바뀌는데 asdf1234 가 아니면 abcd1234 였다.) admin 으로로그인된것이보였다. 하지만문제는이에끝나지않았고 New Page 로글을올려보니글이올려지는것이보였다.

30 이렇게여러번글을올리다가 system 명령어를삽입했더니쉘이업로드되는것을알수있어서 php 쉘을업로드시켰다. 그러고주호오빠가 key.txt 가있다는말씀을하셔서 find 명령어로찾아봤지만찾지못해 txt 파일 을다찾아봤지만찾지못하였다. 한참후대훈오빠께서 reverse telnet 을사용하라는힌트를주셔서이를사용하여 netcat 으로 reverse telnet 기법을사용하였다 그리고 cat /etc/crontab 을하여

31 Root 권한으로계속실행시키는파일 /var/www/events/scripts/cron-curl.sh 를찾았다. 그리고난뒤 key.txt 파일의위치를찾도록하였다. [ 그림 ] 입력화면 [ 그림 ] 출력화면 그리하여 key.txt 파일이 /root 폴더에있다는것을알게되었고, [ 그림 ] 출력화면 root 권한으로실행을하고있기때문에 /root/key.txt 를읽을수있으므로 cat 으로읽은값을 /tmp/ll.txt 으로넣어주도록하고있다. 이리하면 일반유저에서도읽을수있도록 key.txt 를받아왔다. 이를 cat /tmp/ll.txt 로하면