Binary Exploitation (XIV): Solución Reto Sunshine CTF 2020 "speedrun09"

Solución a otro reto de la competición Sunshine CTF 2020, pero en este caso, en mi opinión, poco o nada tiene que ver con la categoría 'binary exploitation', sino más bien con las de 'criptografía' y 'reversing', etiquetas bajo las cuales lo he catalogado en este blog.

En esta entrada la solución al desafío que lleva por título "speedrun09", y que, en mi opinión, presenta un nivel de dificultad bajo (★★☆☆☆).

- Enunciado:

- Solución: Se proporciona un archivo ejecutable (chall_09) y lo primero que hago es ejecutarlo; incluyo una cadena larga ('AAA…A') y el programa finaliza:

Después, compruebo los mecanismos de seguridad del binario utilizando ‘checksec’:

Se trata de un binario de 64 bits, y como se ve en la figura anterior NX está habilitado, por lo que no podré inyectar ‘shellcode’ en la pila (en inglés, ‘stack’) para ejecutarlo, y PIE está habilitado, lo que aleatoriza la dirección base del binario para dificultar el uso por un atacante de sus funciones y de ‘gadgets’ del propio binario (en español dispositivos, y que, en este caso, son pequeños fragmentos de código ya presentes en el binario).

Como también se ve, entre las protecciones de este binario se ha detectado la existencia de un canario, que es un valor, generalmente aleatorio, que se coloca entre un ‘buffer’ y los datos de la pila adyacentes al mismo para detectar los desbordamientos del ‘buffer’, de tal forma que al final de una función se comprueba si se ha modificado su valor y, caso de que así sea, sería indicativo de que se ha producido un desbordamiento del ‘buffer’, ya que el valor del canario sería el primer dato en corromperse, y se podrían tomar las acciones oportunas, por ejemplo, advertir de esta circunstancia y dar por finalizado el programa.

Y, finalmente, se ve que se utiliza el modo ‘Full’ de la medida de seguridad RELRO (del inglés ‘Relocation Read-Only’), que hace que toda la sección GOT (del inglés ‘Global Offset Table’, y que contiene la tabla con las direcciones de funciones que se enlazan dinámicamente) sea de solo lectura, lo que evita la posibilidad de que se realice un ataque de sobrescritura GOT (en inglés, ‘GOT overwrite’), donde la dirección GOT de una función se sobrescribe con la ubicación de otra función o de un ‘gadget’ o dispositivo ROP que un atacante desee ejecutar.

Decompilo el binario con ’Ghidra’:

Veo que en main() se utiliza fgets() en lugar de gets() lo que, en principio, evitaría un desbordamiento de ‘buffer’.

También veo que el programa compara la longitud de la cadena que se introduce (sVar1) con la longitud de una clave (sVar2). Si ambas son iguales se va comparando el resultado de cada carácter introducido por el usuario XOR ‘0x30’ con el carácter correspondiente de la clave (Key). Si todos los caracteres de la cadena introducida XOR ‘0x30’ son iguales que los correspondientes de la clave se abre una ‘shell’, en caso contrario el programa finaliza.

Para resolver este reto necesito saber cuál es la clave, ya que ésta XOR ‘0x30’ me dará como resultado la cadena a introducir por el usuario cuando se ejecute el binario y, en consecuencia, se abrirá la ‘shell’ que me permitirá obtener la flag en el servidor.

En primer lugar lo voy a hacer manualmente, para después utilizar un ‘script’ en python que lo haga automáticamente por mí.

Solución manual:

Desensamblo main() utilizando ‘gdb’:

Como se puede observar la clave se encuentra en la dirección de memoria ‘0x201020’. Voy a ver que contiene:

Teniendo en cuenta que el formato de almacenamiento es 'little-endian', utilizo ‘CyberChef’ para realizar la XOR de la clave con ‘0x30’ y ver la cadena que debe introducir el usuario para que se abra la ‘shell’:

Ejecuto el programa en remoto e introduzco la cadena que se muestra en la figura anterior:

Se abre la ‘shell’, busco la flag en el servidor y veo que hay un fichero llamado flag.txt que contiene la solución a este reto: sun{coming-home-4202dcd54b230a00}

Solución automática:

Para implementar el ataque creo un pequeño ‘exploit’ mediante el siguiente ‘script’ en python:

#!/usr/bin/env python3

from pwn import *

binary = ELF('./chall_09')

p = remote('chal.2020.sunshinectf.org', 30009)

p.send(xor(binary.string(binary.sym.key),b'\x30'))

p.interactive()

Lo ejecuto:

A partir de que se abra la ‘shell’, lo único que queda por hacer es buscar la flag en el servidor. Veo que hay un fichero llamado flag.txt que contiene la solución a este reto: sun{coming-home-4202dcd54b230a00}