Райтап на задачу «Тихий страж»

Начнём наше решение с того, что разберёмся, с чем мы работаем:

OUTPUT:

Итак, перед нами ELF-бинарь, сбилженный под библиотеку /lib/ld-musl-x86_64.so.1. В зависимости от вашей системы у вас может запуститься этот бинарь, а может и не запуститься, как у меня:

OUTPUT:

Тем не менее на решение это особо не повлияет, задачу можно решить полностью статическим анализом.

Открываем Ghidra, закидываем наш бинарник и не забываем прожать Analyse. Идём в Symbol Tree→Functions. Функций у нас не так много, поэтому ищем ту, где присутствует много кода:

Зайдём в функцию FUN_001010e0, там мы видим выводы; вероятнее всего, перед нами функция main.

Разберёмся с логикой:

1. pipe(&local_8c) и dup2(local_8c, 0x45)pipe создаёт неименованный канал. local_8c — это массив из двух дескрипторов (для чтения и записи). dup2(local_8c, 0x45) берёт дескриптор чтения из трубы (local_8c) и дублирует его на файловый дескриптор с номером 0x45 (это 69 в десятичной системе). Теперь всё, что будет записано в трубу, можно прочитать через fd 69.
2. Цикл while(1)read(0x45, local_84, 99) — читает до 99 байт из fd 69 в буфер local_84. Возвращает количество прочитанных байт (sVar2). if (sVar2 < 1) break; — если read вернул 0 (конец файла) или -1 (ошибка), цикл прерывается. Поскольку записывающий конец трубы был закрыт (или никогда не был открыт), read сразу вернёт 0, и программа завершится.
3. Обработка вводаlocal_84[sVar2] = '\0'; — завершает строку нулём. if (local_84[sVar2 - 1] == '\n') local_84[sVar2 - 1] = '\0'; — удаляет символ новой строки, если он есть. if (strcmp(local_84, "/flag") == 0) — сравнивает введённую строку с "/flag".
4. Выдача флагаЕсли строка совпала, вызывается FUN_00101345(&DAT_00102030, 0x1a, "YnJ1aA==", 8). Затем putchar выводит каждый байт результата на экран.

Для нас тут самой важной является строка FUN_00101345(&DAT_00102030, 0x1a, "YnJ1aA==", 8). Из неё, по сути, можно получить флаг, потому что логику FUN_00101345 и значение DAT_00102030 мы можем получить, а константы нам известны. Обратимся к FUN_00101345:

Если разобраться и присмотреться, то перед нами просто функция XOR одной строки на другую. В функцию подаются данные для шифрования, их размер, ключ и размер ключа.

Теперь перед написанием кода для дешифровки остаётся вытащить данные из DAT_00102030. Сделать это можно так:

1. Жмём на DAT_00102030 в дизассемблированном коде, и нас кидает на место этих данных в памяти.
2. Выделяем все данные.
3. Жмём правую кнопку мыши Copy special→Python list — данные скопированы.

Теперь остаётся написать простейший Python-скрипт для нахождения флага:

Флаг получен и таска решена!