はじめてのにき

_ DEF CON Qual

ひさびさにそれなりにマジメに参加した。なんか好きな感じの、面白い問題が多かった気がしていて、問題としての完成度は微妙なところもあったけど、なんだか楽しめた。ただ自分の挙動自体はちょっとひどかったなあ…

redacted-puzzle 。見えない gif アニメ。適当に見える gif にして、くるくる回ってるので逆回転させて回転を止めると、まあなんか 8bit ずつエンコードされてますなと頑張って目でデコード。でも文字集合は 32 種類と言われてるんだが？とあれこれ考えてて5文字ごとに分解せよ、とのぽてち先生の遺言に従ったら解けた

https://twitter.com/potetisensei/status/1127730029813612544

なんというかこういうの他でもやったことあったし思いついて当然な気がするけど、まあぽてち神のおかげで時間がムダにならなかった。

know_your_mem 。 64bit 空間からフラグがマップされてるページを探すやつ。 MAP_FIXED_NOREPLACE 使って分割統治して探していくやつ書いて、 MAP_FIXED_NOREPLACE はサーバ環境にはないよ、と教えてもらう。うーん hugepage とか…など考えつつ、でもこれ僕 linux の mmap の再現実装するのに関わってたことあるはずで、なんかこれやれる方法知ってたはずだよなあ…と、色々 man を見てた。まあそのうち普通に MAP_FIXED 無しで呼んでヒントと違うのが返ってきたらそこは占有されてる、ていう簡単な解法の気付く。あとそうそう、 linux-syscall-support 良いよね。これも仕事で使ったことがあった

shellretql 。ガチ seccomp で read/write/exit しか無く、つながりっぱになってる fd=4 の MySQL へのアクセスでなんかしろって話。適当に SQL を送れる shellcode を書いて共有。色々遊びつつ、なんでかしらないけどバイナリデータを less で読んだりしてて、完全に眠かったのかゴミ化していた。問題が意味不明なので、ゴミ化状態で適当に意味不明な案を出したりしてた。結局、最後の方で問題が極端に簡単にされてチームの人が解いたようだった。ダミーデータがムダに凝っていたり、想定解の回答者無しというクソ問

hotel_california 。 TSX の HLE 問。 TSX は遊んだことがあったので、なんとなく覚えてることは共有したり。最初のコードが何をやっているかを理解して共有したので、問題の初期段階の理解には貢献した……と思いたい。そこからはなんかホントクソで、意味わからん勘違いばかりしていた。まあでも再現できる環境がなさすぎて、マシン貸し出したりもした。ぽてち先生が有効な方針を編み出し、 bata 先生が実装しはじめたあたりで、手を引けば良かったなあ。自分でも bata さんより遅れて実装してる感じで、ローカル実機や SDE で動いたなーというあたりで bata さんが解いてくださった。まあでもこの問題面白いと思ったんだよね。

shitorrent 。取り組めそうな問題もうないかなあ、と思っていたところで、 C++ コードくばられてるし、 select とかはまあ割と知ってるはず…という問題を見つけた。 FD_SET を 1024 を越えた数字に呼ぶとオーバーフローするってやつ。すぐ脆弱性見つかって方針は立って、 deadbeef に飛んだからまあ眠くてもじき終わるやろ、ということでやってた。1時間半ほどでローカルではshell取れたのだけど、リモートだとタイムアウト。近いサーバを使う、 ROP を短くする、待ち合わせをさぼる、などをして間に合うようにすると、間に合うようにはなったが、待ち合わせさぼるのがダメぽい。別の AWS インスタンスにうつる、 socat で試してバグってる気がする(勘違いだった)、など色々やっていて、ギリギリタイムアウト、みたいなところでコンテスト自体もタイムアウト。これ解けてたら決勝行けたくらい？ぽかったし申し訳なさすぎた。後になって、 AWS の情報では us-east-1 と書いてあるのに、 nslookup したら us-west-2 で、後者が正しいことに気付いたりして、まあひどかった

反省としては、集中して解くのはこう全然速度的に貢献できないので、もうちょい問題ふらふらしてアイデア出し、みたいなのの方が貢献できるかなあとか思った。最後のとか方針速く言えてれば誰かが実装してくれていたような。。

(17:51)