PHDays III के लिए सर्वश्रेष्ठ रिवर्स प्रतियोगिता: डेवलपर का परिप्रेक्ष्य

जब हमने प्रतियोगिता के लिए कार्य तैयार करना शुरू किया, तो हम इसे दिलचस्प, कठिन बनाना चाहते थे, लेकिन एक ही समय में हल करना चाहते थे।

हमारे दृष्टिकोण से, एक अच्छा रिवर्सल मशीन कोड को पढ़ने में सक्षम होना चाहिए, इसे एक समझने योग्य एल्गोरिथ्म में परिवर्तित करना चाहिए, इस एल्गोरिथ्म में त्रुटियों या कमजोरियों को ढूंढना चाहिए, और यदि संभव हो, तो उनका शोषण करें। उसी समय, विश्लेषण के लिए प्रस्तावित कोड वास्तविक कार्यक्रम कोड के समान होना चाहिए।

विंडोज के 64-बिट संस्करण को प्लेटफॉर्म के रूप में चुना गया था। 64 बिट्स - क्योंकि x86 के लिए Hex-Rays Decompiler का उपयोग करना कार्य को बहुत सरल करता है, लेकिन 664 के लिए अभी तक कोई डिकम्पॉइलर नहीं है। वैसे भी, 64-बिट एप्लिकेशन पहले से ही आम हो गए हैं।

तो, Qt (और स्टैटिक लाइब्रेरी) का उपयोग करके एक छोटा प्रोग्राम बनाया गया था। इस स्थिति में, निष्पादन योग्य फ़ाइल आकार में लगभग 10 एमबी हो गई। लेकिन क्या यह असली उलटफेर के लिए बहुत कुछ है? हालाँकि, समीक्षाओं के अनुसार, कुछ प्रतिभागी फ़ाइल के आकार से डर गए थे। दूसरी ओर, क्यूटी उपयोगी जानकारी का एक समूह छोड़ देता है, और पलटनेवाला को अनाज को चैन से अलग करने में सक्षम होना चाहिए ...

शुरू करने के लिए, प्रोग्राम को सिस्टम में दो गतिशील पुस्तकालयों ( msvcp110.dll और msvcr110.dll ) की आवश्यकता थी। कुछ प्रतियोगियों ने शिकायत की कि उनका कार्यक्रम बिल्कुल भी शुरू नहीं हुआ, लेकिन अपवाद के साथ गिर गया। लेकिन बाकी प्रतिभागियों या सेटिंग्स को सेट किया जाना चाहिए जैसा कि, या प्रेरणा अधिक मजबूत थी;)

पहला कदम उपयोगकर्ता नाम और कुंजी दर्ज करना था। कार्यक्रम ने अनुपालन की जाँच की और सफलता या विफलता की सूचना दी। बेस 64 डिकोडिंग (जो वर्णमाला के साथ एक स्ट्रिंग द्वारा प्राथमिक रूप से निर्धारित किया गया था) के अलावा, मुख्य चेक ओपनएसएसएल का उपयोग करके लिखा गया था। पुस्तकालय में उत्क्रमणकर्ता के लिए सुविधाजनक है कि इसके लिए सूत्रों को देखने और मिनटों के मामले में लगभग किसी भी फ़ंक्शन का नाम निर्धारित करने का अवसर है।
स्रोत कोड में, सत्यापन कार्य इस तरह देखा गया:

phdInt checkDSAsig (BIGNUM *h, BIGNUM *r, BIGNUM*s) {
BN_CTX *ctx = BN_CTX_new();
BIGNUM *g = BN_bin2bn(El_g, sizeof(El_g), NULL);
BIGNUM *p = BN_bin2bn(El_p, sizeof(El_p), NULL);
BIGNUM *y = BN_bin2bn(El_y, sizeof(El_y), NULL);
BIGNUM *v1 = BN_new();
BIGNUM *v2 = BN_new();
BIGNUM *t1 = BN_new();
BIGNUM *t2 = BN_new();
phdInt rc = 0;

if (BN_mod_exp(v1, g, h, p, ctx) && BN_mod_exp(t1, y, r, p, ctx) && BN_mod_exp(t2, r, s, p, ctx) && BN_mod_mul(v2, t1, t2, p, ctx) && 0 == BN_cmp (v1, v2)) rc = 1;

BN_clear_free(t2);
BN_clear_free(t1);
BN_clear_free(v2);
BN_clear_free(v1);
BN_clear_free(y);
BN_clear_free(p);
BN_clear_free(g);
BN_CTX_free(ctx);
return rc;

क्रिप्टोग्राफी का कुछ ज्ञान आपको तुरंत समझने की अनुमति देता है कि यह एल-गमाल एल्गोरिथ्म का उपयोग करके एक डिजिटल हस्ताक्षर सत्यापन है। El_p मॉड्यूल का आकार जिसके द्वारा संचालन किया जाता है, 500 बिट्स होता है, और इस तरह के एक हस्ताक्षर को स्थिर माना जाता है। इसलिए कुंजी की गणना माथे पर नहीं की जा सकती है।

एक अलग कोड शाखा ने जांच की कि दर्ज की गई कुंजी की लंबाई 6 वर्ण थी, इसमें से SHA1 को गिना गया, और पहले 8 बाइट्स की तुलना अनुक्रम {0xEE,0xD1,0xAC,0xA8,0xD0,0xCC,0xA3,0x3F} । Base64 वर्णमाला से मिलकर 6-वर्ण के तार सिर्फ 2 ³⁶ विकल्प हैं। यदि आप उन्हें छांटते हैं (जो आवश्यक नहीं था - बस संक्रमण की स्थिति को ठीक करें), तो एक ईस्टर अंडा है - शब्द "PHDays"।

जब ईस्टर अंडा सक्रिय होता है, तो प्रोग्राम कुछ कठिन करना शुरू कर देता है, लेकिन परिणाम की प्रतीक्षा करने की संभावना नहीं है। प्रत्येक पुनरावृत्ति पर, एक बड़ी संख्या उत्पन्न होती है, जो El_p के मान से अधिक नहीं होती है, El-Gamal की सार्वजनिक कुंजी El_y modulo El_p , और परिणाम 313373 के बराबर होना चाहिए। यदि ऐसा होता है, तो उत्पन्न संख्या का उपयोग RC4 एल्गोरिथ्म के लिए एन्क्रिप्शन कुंजी के रूप में किया जाता है, और यह कुंजी एल-गमाल के सही हस्ताक्षर वाले कोड के साथ लाइन को डिक्रिप्ट किया गया है। सिद्धांत रूप में, किसी दिन एक यादृच्छिक संख्या जनरेटर बाइट्स के एक क्रम का उत्पादन करेगा जो सही RC4 कुंजी होगा, लेकिन सूरज निकलने से पहले ऐसा होने की संभावना नहीं है। इसलिए, यह मान लिया गया था कि प्रतियोगियों को सही RC4 कुंजी प्राप्त होनी चाहिए - बस विस्तारित यूक्लिडियन एल्गोरिथ्म का उपयोग करके बीजीय पूरक की गणना करके।

वैध अल-गमाल हस्ताक्षर प्राप्त करना पहले चरण का निर्णय नहीं है, क्योंकि जिस नाम से हस्ताक्षर उत्पन्न हुए थे, उसमें शून्य बाइट्स शामिल हैं: " |<33p y0ur pr1v473 $3cr37\0\0\0 "। और इस तरह की लाइन को एक नाम के रूप में दर्ज नहीं किया जा सकता है: शून्य बाइट्स को छोड़ दिया जाएगा।

चौकस क्रिप्टोग्राफर्स को तुरंत ध्यान देना चाहिए कि हस्ताक्षर सत्यापन कोड में एल्गोरिथम में वर्णित सत्यापन 0 < r < El_p ( 0 < r < El_p )। इस मामले के लिए, हैंडबुक ऑफ एप्लाइड क्रिप्टोग्राफी (धारा 11.66.iv) में एक हमला शामिल है जो आपको किसी भी संदेश के लिए हस्ताक्षर की गणना करने की अनुमति देता है यदि केवल एक वैध हस्ताक्षर है। इस हमले के माध्यम से, कार्यक्रम द्वारा मान्यता प्राप्त किसी भी नाम के लिए एक हस्ताक्षर प्राप्त किया जाता है।

कार्य के दूसरे भाग में, दर्ज की गई कुंजी उपयोगकर्ता के नाम से जुड़ी नहीं थी। बेस 64 द्वारा कुंजी को डिकोड किया गया था, फिर उस पर कुछ मुश्किल काम किए गए थे, और परिणामस्वरूप हमें बाइट्स का एक सेट मिलना चाहिए जिसमें PHDays III validator ;)\0 " PHDays III validator ;)\0 " की PHDays III validator ;)\0 । प्रारंभ में, हमने योजना बनाई कि सबस्ट्रिंग को कहीं भी खोजा जाएगा, लेकिन एक कोडिंग त्रुटि (डेवलपर्स भी लोग हैं) के कारण, मैच केवल आउटपुट बाइट सेट की शुरुआत में चेक किया गया था।

कार्य की जटिलता यह थी कि इसमें एक सार्वजनिक कुंजी के साथ क्रिप्टोग्राफी के तत्वों का भी उपयोग किया गया था, लेकिन वे स्वतंत्र रूप से और एक स्पष्ट तरीके से लागू नहीं किए गए थे। वास्तव में, दर्ज की गई कुंजी को पावर मोडुलो (1000-बिट) संख्या में बड़ा किया गया था, जो कि दो प्राइमों का उत्पाद है। और यह बिल्कुल गणित है जो आरएसए क्रिप्टोकरेंसी को रेखांकित करता है। मोंटगोमरी गुणन के माध्यम से घातांक को महसूस किया गया था, और मोंटगोमरी द्वारा अग्रिम में इनपुट नंबर दिया जाना चाहिए।

सार्वजनिक प्रतिपादक का मूल्य 5 था, और सत्यापन के सही कार्यान्वयन के साथ, इनपुट रहस्य की गणना के लिए 1000-बिट संख्या के गुणन की आवश्यकता होगी, जो अब तक किसी के लिए भी संभव नहीं है। लेकिन चूंकि केवल 24-बाइट सबस्ट्रिंग की उपस्थिति की जांच की गई थी, इसलिए वांछित परिणाम की 5 वीं जड़ (मॉडुलो नहीं!) की गणना करना संभव था, इसे मॉन्टगोमरी के साथ लाएं, बेस 64 को एनकोड करें और दूसरे भाग के लिए कुंजी प्राप्त करें।

तीसरा हिस्सा सामान्य क्रैकमे-कार्यों के दृष्टिकोण से बिल्कुल सामान्य नहीं था, जहां गणितीय रूप से समस्या को हल करने का प्रस्ताव किया गया था। लेकिन पहले बातें पहले। आधार सत्यापन एल्गोरिथ्म के अनुसार उपयोगकर्ता द्वारा दर्ज किए गए डेटा को कुंजी सत्यापन एल्गोरिथ्म ने आकार के आकार sizeof(El_p)*2+1024 एक बफर में दर्ज किया। इसके अलावा, यदि डिकोड किए गए डेटा का sizeof(El_r) से अधिक है, तो ऐसी कुंजी को मान्य नहीं माना गया है। डीकोड किए गए डेटा के बाद, SHA-3 हैश लिया गया, जिसकी तुलना स्ट्रिंग " ESETESETESETESETESETESETESETESET " से की गई थी। जाहिर है, असाइनमेंट के लेखक को भी सही इनपुट वैल्यू का पता नहीं था, जिसे प्रतिभागियों को वैकल्पिक समाधान की तलाश करने के लिए उकसाना चाहिए था।

चौकस पाठक ने पहले ही देखा है कि पहले भाग में भेद्यता आपको इतनी लंबाई के El_r चयन करने की अनुमति देती है कि बफर को El_r करना संभव होगा जिसमें डिकोड किया गया डेटा कॉपी किया गया था। इसके अलावा, यह बफर स्टैक पर स्थित है। कार्यक्रम को स्टैक सुरक्षा के बिना और एक निश्चित लोड बेस के साथ संकलित किया गया था, जिसने आरओपी तकनीक का उपयोग करके भेद्यता का फायदा उठाने और पूरे कार्य के समाधान को सत्यापित करने के कार्य को बायपास करने की अनुमति दी थी।

संपूर्ण कार्य के समाधान की जाँच निम्नानुसार संरचित की गई थी: इसने वैश्विक चर में 3 बिट्स की जाँच की - प्रत्येक कार्य के प्रत्येक बिट के लिए - और, यदि सभी बिट्स सेट किए गए थे, तो कार्य पूरा करने पर आपको बधाई देते हुए एक विंडो प्रदर्शित की गई। इसलिए, कार्य को हल करने के लिए, यह आरओपी गैजेट खोजने के लिए बना हुआ है जो आपको वैश्विक चर के पते पर 7 नंबर लिखने की अनुमति देता है और तीसरे भाग की जांच के कार्य को सही ढंग से पूरा करता है। तब आप बधाई के साथ खिड़की देख सकते थे।

प्रतियोगिता के परिणामों के अनुसार, पोडियम इस तरह दिखता है:

मैं जगह: विक्टर Alyushin

द्वितीय स्थान: मिखाइल वोरोनोव , डेनिस लिट्विनोव

तृतीय स्थान: एंटोन चेरेपोनोव

विजेता को एक ब्रांडेड बैकपैक PHDays और AR ड्रोन 2.0 प्राप्त हुआ, प्रतियोगिता के अन्य विजेताओं को भी यादगार उपहार मिले। बधाई!



पीएस विक्टर एलुशिन ने प्रतियोगिता के लिए समर्पित एक उत्कृष्ट लेखन लिखा।