Writeup StarHack CTF: Desafío - Chaos#

print_banner()#

Primera cosa interesante, vemos que hay una función print_banner() que se muestra al inicio del programa.

Notamos alguna información:

• es una VM de múltiples etapas
• debemos descifrar y ejecutar el bytecode oculto

El código es relativamente simple:

void print_banner(void)

{
  puts(&DAT_004020f8);
  puts(&DAT_004021a8);
  puts(&DAT_004021e0);
  putchar(10);
  puts("Welcome to the multi-stage VM challenge!");
  puts("Can you decrypt and execute the hidden bytecode?");
  putchar(10);
  return;
}

Contraseña#

Así que inicio clásico, inicialización del búfer, visualización del banner, luego solicita una contraseña.

  pcVar1 = fgets(local_488,0x40,stdin);
  if (pcVar1 == (char *)0x0) {
    puts("Error reading input.");
    uVar4 = 1;
  }

La entrada se lee con fgets y se muestra un error si falla.

Luego se vuelve más interesante, verificamos la longitud de la contraseña:

    sVar2 = strcspn(local_488,"\n");
    local_488[sVar2] = '\0';
    sVar2 = strlen(local_488);
    if (sVar2 < 3) {
      puts("Password too short.");
      uVar4 = 1;
    }

Así que la contraseña debe tener al menos 3 caracteres (tendremos eso en cuenta por ahora).

Luego asignamos 23 bytes (0x17 en hexadecimal) — no estoy seguro de por qué aún.

    else {
      __ptr = malloc(0x17);

Y aquí llegamos a la parte interesante, hacemos un bucle sobre 23 (23 bytes) y para cada byte hacemos XOR con 0xaa de un array encrypted_stage2.

así que:

• hay datos cifrados en algún lugar del binario (encrypted_stage2)
• los desciframos con XOR 0xaa
• el resultado va a la memoria asignada

¡Aún más interesante!

      puts("Patching bytecode with input...");

      *(char *)((long)__ptr + 3) = local_488[0];
      *(char *)((long)__ptr + 10) = local_488[1];
      *(char *)((long)__ptr + 0x11) = local_488[2];

• el primer carácter va a la posición 3 del bytecode descifrado
• el segundo carácter a la posición 10
• el tercer carácter a la posición 17 (0x11 en hexadecimal)

¡Así que mi contraseña modifica directamente el código que se ejecutará!

      puts("Executing VM...\n");

      local_48 = 0;
      local_38 = 0;
      local_28 = 0;
      local_40 = __ptr;
      local_30 = local_488;

      vm_execute(local_448);

Inicializamos algunas variables, luego llamamos a vm_execute que ejecutará el bytecode parcheado.

      if (local_28 == 0) {
        puts("Invalid password.");
      }

Otra cosa interesante, si local_28 es igual a 0 después de la ejecución del bytecode, mostramos “Invalid password”.

encrypted_stage2#

Ahora que entiendo el mecanismo, necesito encontrar este encrypted_stage2.

encrypted_stage2 se define como una variable global.

Podemos usar gdb para extraer estos bytes directamente de la memoria del programa.

en gdb, podemos hacer:

x/23xb &encrypted_stage2

pequeñas explicaciones:

• x para examinar la memoria
• /23 para leer 23 bytes
• xb para mostrar en hexadecimal (byte por byte)
• &encrypted_stage2 es la dirección de la variable.

Aquí está la salida, así que en la columna de la izquierda tenemos las direcciones de memoria y luego a la derecha los 23 bytes cifrados.

Ahora que extraje los datos cifrados, debo descifrarlos con XOR 0xAA como en el código.

Aquí tienes un pequeño script bash para hacer eso:

#!/bin/bash
encrypted="ab e8 ab aa af ac a5 ab 99 ab aa af ac a2 ab da ab aa af ac ab ad 55"

echo "$encrypted" | tr ' ' '\n' | while read byte; do
  printf "%02x " $((0x$byte ^ 0xaa))
done
echo

Análisis del bytecode descifrado#

Mirando este bytecode descifrado notamos un patrón claro:

01 42 01 00 05 06 ...
... 01 33 01 00 05 06 ...
... 01 70 01 00 ...

Las posiciones que el programa parchea (3, 10, y 17) son inicialmente 0x00.

Patrón repetitivo: vemos la secuencia 01 XX 01 00 05 06 que se repite 3 veces.

La lógica de la VM parece ser una comparación. Justo antes de cada 0x00, encontramos los bytes 0x42, 0x33 y 0x70.

• En la posición 1, tenemos 0x42. La VM probablemente espera este valor en la posición 3.
• En la posición 8, tenemos 0x33. La VM probablemente espera este valor en la posición 10.
• En la posición 15, tenemos 0x70. La VM probablemente espera este valor en la posición 17.

La contraseña correcta debe estar compuesta por los caracteres ASCII correspondientes a estos valores hexadecimales:

• 0x42 = ‘B’
• 0x33 = ‘3’
• 0x70 = ‘p’

La contraseña es B3p.

Prueba de la solución#

echo "B3p" | nc 15.237.107.187 1029

¡Obtenemos la flag!