[White Hacker League 2017] Medic

int __cdecl main(int argc, const char **argv, const char **envp)
{
  __int64 v3; // rax@1
  const char *v4; // rax@1
  __int64 v5; // rdx@4
  __int64 v6; // rax@5
  __int64 v7; // rax@6
  int result; // eax@7
  __int64 v9; // rdx@7
  int i; // [sp+Ch] [bp-84h]@1
  char v11; // [sp+10h] [bp-80h]@1
  __int64 v12; // [sp+78h] [bp-18h]@1
 
  v12 = *MK_FP(__FS__, 40LL);
  LODWORD(v3) = std::operator<<<std::char_traits<char>>(&std::cout, "what is flag?", envp);
  std::ostream::operator<<(v3, &std::endl<char,std::char_traits<char>>);
  std::operator>><char,std::char_traits<char>>(&std::cin, &v11);
  v4 = (const char *)fwgs(&v11);
  strcpy(&en, v4);
  for ( i = 0; i < strlen(&en); ++i )
    MagicStack::push((MagicStack *)&ms, *(&en + i));
  if ( (unsigned __int8)check_flag() )
  {
    LODWORD(v6) = std::operator<<<std::char_traits<char>>(&std::cout, "good, you are smart student :)", v5);
    std::ostream::operator<<(v6, &std::endl<char,std::char_traits<char>>);
  }
  else
  {
    LODWORD(v7) = std::operator<<<std::char_traits<char>>(&std::cout, "no... you should study harder :(", v5);
    std::ostream::operator<<(v7, &std::endl<char,std::char_traits<char>>);
  }
  result = 0;
  v9 = *MK_FP(__FS__, 40LL) ^ v12;
  return result;
}

해당문제를 IDA로 보면 C++로 제작된걸 알 수 있는데 여기서 간단하게 분석해보면 fwgs 함수에서 입력한 문자열을 임의로 정한 base64 table로 encode 하는 걸 알 수 있다.

물론 처음엔 저게 base64 인코딩 하는 건줄 몰랐는데 조금 시간 투자해서 열심히 분석해보니 table만 다르고 base64와 동일하게 encoding 하는걸 알 수 있었다.

그 다음에 encoding 한 문자열 뒤집어서 fake 해쉬값과 secret_md5 해쉬값이랑 xor한 후 resu 배열과 비교하는데 전에 삼성 CTF 하스켈 문제나 xcz.kr base64 암호화 문제 같은 경우에는 브루트포스 했지만 이문제 같은 경우에는 encode한 문자열을 출력시켜주지 않아 파이썬으로 base64 encode, decode 소스를 직접 짜서 해결하였다.

[solve]

def binary_number(str):
    bin = [0 for i in range(6)]
    for i in range(5, -1, -1):
        bin[i] = str & 1
        str >>= 1
    return bin
 
 
def demical_number(str):
    num = str[0]
    for i in range(1, 8):
        num = num * 2 + str[i]
    return num
 
 
if __name__ == '__main__':
    b64_table = "ZYXWVUTSRQPONMLKJIHGFEDCBAzyxwvutsrqponmlkjihgfedcba9876543210 /="
    dest = []
    s = []
    de = []
    de_str = ''
 
    fake = "J9UFF9EWv9AABCEOHFEKAqUNNnVcIaM0"
    secret_md5 = "5D8F988547D3B4087AE478403145ADC9"
    resu = [0x4F, 0x38, 0x39, 0x79, 0x1B, 0x58, 0x3E, 0x28, 0x2D, 0x3A, 0x41, 0x08, 0x4A, 0x32, 0x1B, 0x0E, 0x14, 0x46,
            0x46, 0x06, 0x05, 0x26, 0x58, 0x08, 0x2A, 0x1A, 0x5B, 0x10, 0x4E, 0x70, 0x37, 0x43]
    encoded_base64 = ''.join(chr(ord(fake[i]) ^ ord(secret_md5[i]) ^ resu[i]) for i in range(len(fake)))[::-1]
 
    str = encoded_base64
    for i in str:
        if i != '=':
            s += binary_number(b64_table.index(i))
 
    arr = []
    for i in range(len(s)):
        arr.append(s[i])
        if (i + 1) % 8 == 0 and i != 0:
            dest.append(arr)
            arr = []
 
    for i in range(len(dest)):
        de.append(demical_number(dest[i]))
 
    for i in range(len(de)):
        de_str += chr(de[i])
 
    print de_str
#CATSEC{IamFinePineApple}