CTF振り返り会用の説明資料。

1. Trend Micro CTF
Asia Pacific & Japan
2015
-Defensive 100-

2. 今回の解説について
● 一応解きましたが、全部理解してるわけじゃないです。
● 前回の解説と同じく、主にCTF当日、どうアプローチし
たかを共有します。

3. まずは問題を確認
● vonn.zipというファイルがダウンロードできるので、
ダウンロードして解凍。

4. ファイルvonnについて(1)
● fileコマンドでファイルを確認。
→ 64bitの実行ファイルの模様。

5. ファイルvonnについて(2)
● lddコマンドで何のライブラリを使うのか確認。
→ libcrypto.so(OpenSSL)を使用する模様。
( ´_ゝ`）ﾌｰﾝ
● lddコマンドで何のライブラリを使うのか確認。
→ libcrypto.so(OpenSSL)を使用する模様。
● lddコマンドで何のライブラリを使うのか確認。
→ libcrypto.so(OpenSSL)を使用する模様。

6. vonnを実行してみる(1)
● 何の引数もなく普通に実行する。
→ ”You are on VMM!”と表示される。

7. vonnを実行してみる(2)
● だけと思いきや…
→ 実行後、vonnが消える。
Σ(゜Д゜ｌｌｌ)

8. vonnを軽く眺める(1)
● 愚直にobjdumpして、まずはアセンブラにする。

9. vonnを軽く眺める(2)
● main関数は、
これくらいの長さの模様→
● 下位関数もいくつかあるが、
大した長さではない。

10. vonnを軽く眺める(3)
● まぁ、読めそうな長さではあるので…
→ 読む。
_(:3」∠)_

11. 今回の解析のオトモ
● KALI LINUX(セキュリティやってる感のあるOS)
● objdumpした結果（アセンブラ）
● gdb（頼れるデバッガ）
● ブラックコーヒー（アセンブラ、眠くなるのよね）

12. vonn main関数解析(1)
rdtsc(Read Time Stamp Counter)命令
CPUのタイムスタンプカウンタの値を4回
リードする。
TimeStampCounterはクロック信号毎に
加算される。

13. vonn main関数解析(2)
DIFF1 = TS1 – TS2
DIFF2 = TS2 – TS3
DIFF3 = TS3 – TS4
If (DIFF1 == DIFF2 &&
DIFF2 == DIFF3 &&
DIFF3 == DIFF4)
Print “You are not on VMM”
return
Else
Print “You are on VMM”
ldex()
return
Endif

14. vonn main関数解析(3)
● タイムスタンプカウンタの値を４回取得する。
● 1回目と2回目、2回目と3回目、3回目と4回目のカ
ウンタ値の差分が全て一致した場合、”You are
not on VMM”と表示して終了する。
● 一致しなかった場合は、”You are on VMM”と表示
してldex()という関数を呼ぶ。
VMだと、ホストOSの処理が入るので、
タイムスタンプカウンタが一定の間隔で進まないということ？

15. vonn ldex関数解析(1)
/tmp/…
,,,…,,
/tmp/…
,,,…,,
Open(“vonn”, “r”)
Open(“/tmp/…,,,…,,”, “w”)

16. vonn ldex関数解析(2)
malloc(5KB)
read(vonn)
malloc
Decrypt
Write(/tmp/…,,,…,,)
vonnをヒープにreadし
て、OpenSSLの関数
を使って何かした結果
をwriteしているが、詳
しく見ていない。

17. vonn ldex関数解析(3)
unlink(vonn)
/tmp/…,,,…,,を実行

18. vonn ldex関数解析(4)
● vonnをreadでfopenする。
● /tmp/…,,,…,,をwriteでfopenする。
● vonnをreadしてどうにかした結果を/tmp/…,,,…,,
にfwriteする。
● vonnをunlink(削除)する。
● /tmp/…,,,…,,を実行する。

19. vonnの解析終わり
● まとめると、
タイムスタンプカウンタを使った条件式を乗り越え
ると、/tmp/…,,,…,,というファイルを作って実行す
る。

20. /tmp/…,,,…,,の解析の準備(1)
● vonnの実行後、/tmp/…,,,…,,を見に行くと、ファイ
ルが無い。
● おそらくvonnと同じ自爆システムが組み込んであ
る模様。

21. /tmp/…,,,…,,の解析の準備(2)
GDBでここにブレークを
貼って、実行させること無く
検体を確保する。

22. /tmp/…,,,…,,の解析の準備(3)
● とりあえず、確保した...,,,...,,をobjdumpする。
● こちらもvonn程度の大きさしかないプログラムの模
様。

23. /tmp/…,,,…,, main関数解析(1)
CPUのタイムスタンプカウンタの値
を4回リードする。
…、アレ、何か見たことある。

24. DIFF1 = TS1 – TS2
DIFF2 = TS2 – TS3
DIFF3 = TS3 – TS4
If (DIFF1 == DIFF2 ||
DIFF2 == DIFF3 ||
DIFF3 == DIFF4)
rnktmp()
unlink
return
Else
unlink
return
Endif
/tmp/…,,,…,, main関数解析(2)

25. DIFF1 = TS1 – TS2
DIFF2 = TS2 – TS3
DIFF3 = TS3 – TS4
If (DIFF1 == DIFF2 ||
DIFF2 == DIFF3 ||
DIFF3 == DIFF4)
rnktmp()
unlink
return
Else
unlink
return
Endif
/tmp/…,,,…,, main関数解析(2)
vonnの方は
If (DIFF1 == DIFF2 &&
DIFF2 == DIFF3 &&
DIFF3 == DIFF4)

26. ● 普通に実行すると、rnktmp関数を呼び出せない。
● jumpの手前で、GDBで強制的にプログラムカウン
タを書き換えてrnktmp関数を呼び出させる。
> p $pc = 0x400a5b
/tmp/…,,,…,, main関数解析(3)

27. /tmp/…,,,…,, rnktmp関数解析(1)
putcharしてる。
これは怪しい。FLAGの可能性が高
い。

28. /tmp/…,,,…,, rnktmp関数解析(2)
> gdb 検体ファイル -x GDBデバッグコマンド.cmd -batch
デバッグコマンド

29. /tmp/…,,,…,, rnktmp関数解析(3)
FLAGが取れた( ･ ･ㅂ )‫و‬ ̑̑

30. まとめ(1)
● vonnは特定の条件で/tmp/…,,,…,,を生成、実行す
る。
● /tmp/…,,,…,,は特定の条件でFLAGを出力する。
● vonnと/tmp/…,,,…,,の条件は逆なので（厳密には
論理的に逆ではないが）、普通に実行するだけだと
どちらかでFALSEになってFLAGに辿り着けない。

31. まとめ(2)
● 僕はアセンブラを読むのが得意ではないので、今
回もgdbでレジスタの値とかを表示して動作確認し
つつ解析した。
> info registers
●
もうちょっとアプローチ方法を増やしたい感ある。