[ksnctf] KanGacha

ksnctfにチャレンジ 第31問目です。

※ksnctfは常駐型のCTFサイトです。 ※問題のページはコチラです。

KanGacha

どこかで聞いたことがあるような名前のガチャで Yamato を引き当てるとクリア…ですが $shipname[10] = Yamato にもかかわらず

乱数として得られるIDは 0〜9までで、何回やっても Yamatoを引くことはできません。

しかし、以前にドロップした艦はCookieに記録されるようになっているので ここを上手く改ざんすれば前に引き当てたことにできるはずです。 ただ、ドロップ艦の情報は 　sha512( ID + salt(FLAG) ) したシグネチャ　で改ざん防止 されているためそのまま書き換えることはできません。

しかし　既知文字列とそのhash化文字列、saltの長さが分かっている時 その文字列に　他の文字列を加えた文字列のhash化文字列　は計算することができます。

今回は 　ship_id 1 のみドロップした時 シグネチャは　

24b8c89ea8f5f8854d60e253f23bb5b8856d8a135c19af423db354ac60a1a4c932cecd800a0550211e8cc6e28e73e1ac93e7b9c786adc24702e48701c5

ということがわかり、 saltは FLAG文字列なので　FLAG_{16文字}　の21文字ということがわかっています。

こういう改ざん手法を Length Extension Attack といい HashPump という優秀なツールで 簡単に計算できます。

↑ページの使い方に習って

 $ ./hashpump -s "24b7447578c89ea8f5f8854d60e253f23bb5b8856d8a135c19af423db354ac60a1a4c932cecd800a0550211e8cc6e28e73e1ac93e7b9c786adc24702e48701c5"  -d "1" -a ',10' -k 21

 c9ef7bfe7acb622ecda2d108392d190a1540949652c72be0d49fca0946c3b15cbbd4c877b69ac90a3ef04de1b890a0527070e26b317e42bc6e37738b5a2de02d

1\x80\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xb0,10

※id='1' から　id='1,10' が作りたいのですが計算の都合上　\x00 というパディングが挿入されています この時の シグネチャが一行目の出力です。

これをCookieに仕込んでアクセスすればクリアですが、 パディングに使われている　\x00 があるとPHPが 文字の末端と勘違いして肝心の　.10 を拾ってくれなくなるのでURLエンコードしておきます。

ここまでできたらあとは

$ curl 'http://ctfq.sweetduet.info:10080/~q31/kangacha.php'  -H 'Cookie: ship=1%80%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%B0%2C10;signature=c9ef7bfe7acb622ecda2d108392d190a1540949652c72be0d49fca0946c3b15cbbd4c877b69ac90a3ef04de1b890a0527070e26b317e42bc6e37738b5a2de02d'

curl で送りつければクリアです。