Fetch the Flag CTF 2022の解説：Treasure Trove

Fetchに参加してくれてありがとう！ 参加してくれた数千人の皆さん、 Fetch the Flag CTFへの参加、おめでとうございます。また、チャレンジを作成し、テストし、解説を書いてくれたSnykerの皆さんにも心から感謝します！

今年のFetch the Flagは最高に楽しく、同時に大変な作業でもありました！16個のチャレンジと限られた時間の中で、すべてをクリアできたチームばかりではありません。時間内に解けなかった皆さんに向けて、私たちのチームがTreasure Troveに挑んだ方法をご紹介します。

解説

チャレンジの説明は「最新のTreasure Troveが公開されたけれど、ライセンスキーをどこに置いたっけ！」というものでした。まず、リバースエンジニアリングというタグがあり、obfuscator.jsファイルが提供されています。

リンク先のWebサイトには、5×5文字の入力欄とボタンがあり、Curse of Monkey Islandをプレイした頃を思い出させてくれる素晴らしいアートワークもあります。

提供されたコードを確認すると、人が読めるコードを意味不明な文字列に変換するツールが見つかります。

次にWebサイトを見てみましょう。swashbuckle.jsエンドポイントにはvalidateというメソッドがあります。中のコードは、obfuscatorが生成する出力と一致しているようです。うーん……

もう少し詳しく見ると、validateメソッドはwindow上で利用でき、フォームの送信時に呼び出されることがわかります。なるほど、validateをリバースエンジニアリングするしかなさそうです……ブラウザーを使えば何かわかるかも？ブラウザーのコンソールからvalidate.toString()を実行してみましょう。ビンゴ！

1function anonymous(
2) {
3
4const segementOne = document.getElementById('seg-1');
5const segementTwo = document.getElementById('seg-2');
6const segementThree = document.getElementById('seg-3');
7const segementFour = document.getElementById('seg-4');
8const segementFive = document.getElementById('seg-5');
9
10const setError = (message) => {
11  document.getElementById('error-msg').innerText = message;
12}
13
14setError('');
15const characters = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789';
16const key = segementOne.value + segementTwo.value + segementThree.value + segementFour.value + segementFive.value;
17if (key.length != 25) {
18  setError('Invalid redemtion code!')
19  return;
20}
21
22let val = 0;
23for (let i = 0; i < 25; i++) {
24  val += key.charCodeAt(i);
25  if (!characters.includes(key[i])) {
26    setError('invalid characters');
27    return;
28  }
29}
30
31if (val != 1800) {
32  setError('invalid code');
33  return;
34}
35
36fetch('/api/validatekey/' + key)
37.then(async res => {
38  const result = await res.json();
39  setError('Argg ye got it! ' + result.flag);
40});
41
42}

どうやら、コードは次の処理を行っています。

1. HTMLの入力欄から値を取得する

2. 各文字がA-Z0-9の範囲にあることを確認する

3. 文字をループ処理し、charCodeに変換して値を合計する。charCodeAt()メソッドは、指定したインデックスにあるUTF-16コード単位を表す、0～65535の整数を返します。 出典

4. 値が1800でなければエラーをスローする

5. 値が1800の場合、元の入力値がAPIエンドポイントに送信される

ここで最も重要なのは、値が1800でない限り、コードは無効だということです。

1. 1800 ÷ 25（入力可能な文字数の合計）

2. 72

3.  String.fromCharCode(72)

4. Hを返す

それぞれの入力欄にHHHHHを入力する

ダブルビンゴ！

obfuscatorのコードベースを調べることなく、このチャレンジを解くことができました。おかげで次のチャレンジに取りかかる時間もたっぷり取れました！

ほかのフラグをどう見つけたのか知りたいですか？Fetch the Flagの解答ページで、その方法をご覧ください。