चेक प्वाइंट सिक्योरिटी अकादमी द्वारा मेरा धैर्य परीक्षण

मैंने हबेरी पर कई बार चेक प्वाइंट सिक्योरिटी अकादमी कार्यक्रम का उल्लेख किया: इसका सार यह है कि चेक प्वाइंट कंपनी ने गर्मियों में कैप्चर फ़्लैग प्रारूप में एक प्रतियोगिता की घोषणा की, जहां प्रतिभागी का पिछला अनुभव महत्वपूर्ण नहीं है, लेकिन केवल साइबर को जानने की उसकी क्षमता है पहेली। इस प्रतियोगिता के परिणामों के आधार पर, कंपनी ने तीन महीने के पेशेवर साइबर सुरक्षा पाठ्यक्रम के लिए बीस प्रतिभागियों की भर्ती की, और पाठ्यक्रम की शुरुआत से सभी प्रतिभागियों को केबी के एक विशेषज्ञ का पूरा वेतन प्राप्त होता है, पाठ्यक्रम के अंत के बाद कंपनी में दो काम करने के दायित्व के तहत।


CTF प्रतियोगिता में, एक ध्वज भी इस तरह की एक तस्वीर हो सकती है।

प्रतिभागियों का चयन अगस्त में पूरा हो गया था, लेकिन प्रतियोगिता की वेबसाइट अगली गर्मियों तक काम करना जारी रखेगी, और मैं उन लोगों को आमंत्रित करता हूं जो खेल के हित के लिए पंजीकरण करने और अपना हाथ आजमाना चाहते हैं। प्रतियोगिता में विभिन्न जटिलताओं की 12 पहेलियां शामिल हैं, जो 10 से 150 अंकों तक की हैं।
यहां मैं "आश्चर्य" श्रेणी से "टेस्ट माय पेशेंस" पहेली को पार्स करना चाहता हूं। वह मध्यम कठिनाई (50 अंक) की है, और यहाँ उसका पूरा पाठ है:

हाय वहाँ
हमें स्थानीय प्रहरी के कंप्यूटर पर यह निष्पादन योग्य लगा।
यह अफवाह है कि किसी तरह चौकीदार एकमात्र व्यक्ति था जो इसे क्रैक करने में सफल रहा।
लगता है कि आप चौकीदार के रूप में अच्छे हैं?
नोट: यह फ़ाइल किसी भी तरह से दुर्भावनापूर्ण नहीं है

संदर्भ से - विंडोज के लिए एक 32-बिट बाइनरी, जिसे कुछ एंटीवायरस शपथ लेते हैं, लेकिन अगर आप अभी भी इसे चलाते हैं, तो यह इस तरह है:



बाइनरी के अंदर एन्क्रिप्टेड है; यह डिबगर के तहत चलने से इनकार करता है; यदि आप इसे चलाते समय डिबगर को कनेक्ट करने का प्रयास करते हैं, तो यह तुरंत समाप्त हो जाता है। संभवतः, चेक प्वाइंट के विशेषज्ञों ने अपनी पहेली को एक क्रिप्टो-पैकर में लपेटा, जो किसी प्रकार के माल्वारी से उधार लिया गया था।

हम पहरेदार द्वारा बनाई गई संख्या का अनुमान कैसे लगाएंगे?

इसके दो तरीके हैं। पहले सशर्त रूप से कहा जा सकता है "शक्ति है, कोई दिमाग नहीं है": यदि कार्यक्रम को लाइव डिबग नहीं किया जा सकता है, तो हम मृत को डीबग करेंगे!

32-बिट टास्क मैनेजर (\ Windows \ SysWOW64 \ taskmgr.exe) लॉन्च करें, रहस्यमय प्रक्रिया पर राइट-क्लिक करें, और डंप फ़ाइल बनाएँ चुनें। (32-बिट प्रक्रियाओं के लिए 64-बिट टास्क प्रबंधक wow64cpu एमुलेटर का एक डंप बनाता है, जिसके साथ काम करना मुश्किल है।)

हम डंप में देखते हैं और देखते हैं कि कम से कम इसमें लाइनें पहले से ही डिक्रिप्टेड हैं:



लेकिन छिपी हुई संख्या या ध्वज के साथ रेखाएं अभी तक दिखाई नहीं दे रही हैं।

हम मुख्य कैलिबर हथियार की ओर मुड़ते हैं: WinDbg (X86) -> क्रैश डंप खोलें ...



स्मृति में वह रेखा कहाँ है जिसे हम मुद्रित होते देखना चाहते हैं - "अच्छा काम मेरे मित्र!"
lm कमांड आपको यह निर्धारित करने की अनुमति देता है कि बाइनरी 01140000 से 01140000 तक 015b2000 ; तो sa 01140000 015b2000 "Good job my friend!" 0115a0d0 पर खोज स्ट्रिंग पाता है:



आइए अब पाते हैं कि यह रेखा कहाँ छपी है: हो सकता है कि कुछ कमांड में बाइट्स d0 a0 15 01 जो आपके द्वारा d0 a0 15 01 रहे लाइन के पते के अनुरूप हो? ( sb 01140000 015b2000 d0 a0 15 01 )

अ छा! - ऐसी टीम मिली:



इस कमांड के चारों ओर कोड क्या है? ( ub 011412f7; u 011412f7 )



हम देखते हैं कि फ़ंक्शन 01141180 के परिणाम के आधार पर 01141180 या तो वांछित संदेश मुद्रित होता है, या "गलत एक ..."

फ़ंक्शन कोड 01141180 तीन स्क्रीन रखता है; यह देखना बहुत आसान है कि यह strcmp() का कार्यान्वयन है, जिसके अंदर Sleep(700) में एक कॉल जोड़ा गया है। यह अभी तक स्पष्ट नहीं है कि वहां Sleep() क्यों है; लेकिन यह अभी भी फ़ंक्शन के परिणाम को प्रभावित नहीं करता है, इसलिए हम बेहतर आंकलन करेंगे कि तार की तुलना क्या है:



ebp-14h और ebp-24h बराबर दो पॉइंटर्स ebp-14h ebp-24h ebp-14h ; उनमें से दूसरे को 011410b0 फ़ंक्शन पर एक 011410b0 रूप में पारित किया गया था।
क्या यह वह फ़ंक्शन नहीं है जो छिपे हुए नंबर के लिए पूछता है? चलो कॉल स्टैक ( k ) की जांच करें:



हाँ, वह वह है!

पहेली की सामान्य योजना अब स्पष्ट है: उपयोगकर्ता का कूबड़ ebp-24h ebp-14h , ebp-14h की गई संख्या ebp-14h , फिर उनकी तुलना की जाती है और या तो "अच्छा काम मेरे दोस्त!" या "गलत एक ..." मुद्रित किया जाता है।

वह सभी बनी हुई है जो स्टैक फ्रेम से छिपी संख्या को खींचना है। हम पहले से ही कॉल स्टैक से उसका ebp जानते हैं:



चलो, चलो ...



सफलता! आप स्वादिष्ट कुछ भी खोल सकते हैं।

लेकिन तीन रहस्यमय चीजें स्पष्टीकरण के बिना छोड़ दी गईं:

1. strcmp() Sleep(700) अंदर Sleep(700) लिए कॉल क्यों है?
2. क्यों, जब हम छिपी हुई संख्या में प्रवेश करते हैं, तो क्या "अच्छा काम मेरे दोस्त!" को छापने से पहले कार्यक्रम को दस सेकंड के लिए फ्रीज किया गया था?
3. इस पहेली से पहरेदार को क्या लेना-देना है?

तो, यह पता चला है कि अनुमानित संख्या का अनुमान लगाने के लिए एक दूसरा - अधिक बुद्धिमान - तरीका है। यदि आप केवल 0-9 की संख्याओं को रैंडम करने की कोशिश करते हैं, तो यह नोटिस करना आसान है कि नौ पर कार्यक्रम थोड़ा लटका हुआ है। यदि आप संख्याओं को 90-99 तक आज़माते हैं, तो आप देख सकते हैं कि संख्या 98 पर कार्यक्रम दो बार "फ्रीज" करता है। (इसकी हिम्मत को उजागर करने के बाद, हम पहले से ही समझते हैं कि क्या मामला है: प्रत्येक जोड़ी की एक सफल तुलना में 0.7 s की देरी का कारण बनता है।) डिबगर शुरू किए बिना भी पहेली को हल करने के लिए, यह प्रत्येक अगले अंक का चयन करने के लिए पर्याप्त था ताकि उत्तर बढ़ने से पहले देरी हो - या तो मैन्युअल रूप से। एक सटीक स्टॉपवॉच, या एक साधारण स्क्रिप्ट के साथ। इस प्रकार, संकलक क्रिप्टोग्राफ़िक एल्गोरिदम पर हमला करने की एक लंबी-चौड़ी पद्धति पर संकेत देते हैं, जब एक त्रुटि संदेश मापा जाता है और विश्लेषण किया जाता है।

लेकिन यह जानने के लिए कि अज्ञात क्रिप्टो-पैकर्स में लिपटे कार्यक्रमों को कैसे उठाया जाए, मेरी राय में, दोनों अधिक रोचक और अधिक मूल्यवान हैं :-)

ध्यान दें कि हमें यह पता लगाने की आवश्यकता नहीं है कि बाइनरी को कैसे एन्क्रिप्ट किया गया है, या आपके द्वारा देखी जाने वाली संख्या के साथ स्ट्रिंग स्टैक पर दिखाई देती है (हमने डंप में देखा कि यह स्ट्रिंग स्थिरांक के बीच नहीं है) - हम तैयार और तैयार दोनों प्राप्त करने में कामयाब रहे, और उसके लिए। लगभग एक दर्जन WinDbg कमांड पर्याप्त थे।