CTF日本語サイト : SharifCTF 7

fileコマンドでダウンロードしたファイルのファイルタイプを確認します。Linuxの64bitアプリケーションです。

$ file getit
getit: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.24, BuildID[sha1]=e389cd7a4b9272ba80f85d7eb604176f6106c61e, not stripped

stringsコマンドでファイル中の文字列を調べてみます。

$ strings getit
(略)
c61b68366edeb7bdce3c6820314b7498
SharifCTF{????????????????????????????????}
*******************************************

フラグらしき文字列が見つかりましたので、

SharifCTF{c61b68366edeb7bdce3c6820314b7498}

をsubmitしてみますが、これはフラグではないようです。

次に、edb-debbugerでステップ実行して動作を確認してみます。アドレス400824で止めてみると、レジスタRSIが指すところにフラグ文字列が見つかります。

このフラグをsubmitすると正解でした。したがって、フラグは、

SharifCTF{b70c59275fcfa8aebf2d5911223c6589}

です。

デバッガによるx86プログラム解析入門【x64対応版】 [単行本]

Digital Travesia管理人うさぴょん

秀和システム

2014-10-22

ダウンロードしたファイルのファイルタイプを確認します。

$ file Image_Viewer
Image_Viewer: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.32, BuildID[sha1]=c3aaafe49fbcc6a7a2adbcdf4f3c2dd125a3dd32, not stripped

Linuxの64bitアプリです。実行してみると、下図のような画像が表示されます。

それでは、この画像データを抽出してみます。まず、edbで実行し、下図のようにアドレス401322あたりで止めます。このとき、レジスタRAXで示されているHeapメモリを見てみると、JPEGフォーマットのデータがあることが分かります。Heapメモリの内容をファイルに保存し、JPEGデータの部分だけを切り取ってファイルに保存します。