[Dreamhack] Secure Mail

 

 

Secure Mail은 보안 메일의 비밀번호를 찾는 문제입니다.

 

 

 

이번 리버싱 문제는 html 파일입니다. 실행하면 비밀번호를 입력할 수 있는 폼이 있습니다.

 

 

html는 비밀번호를 입력하고 Confirm 버튼을 클릭하면, 입력한 비밀번호를 파라미터로 하는 내부 javascript 함수 _0x9a220를 호출합니다.

 

 

 

JS: _0x9a220 함수 분석

_0x9a220가 자바스크립트의 메인 함수로, 입력된 생년월일을 검사합니다.

 

 

 

_0x9a220는 변수 file에 저장된 데이터를 복호화(AES-128-CBC)하여 변수 dfbora에 저장하고 이를 기반으로 검증을 수행합니다.

CBC 모드 및 16바이트 IV(_0x274b61), key(_0x2ee89c)

 

 

 

입력된 생년월일을 for문을 통해 자체적인 알고리즘을 거쳐 난독화된 데이터로 변수 odradurs1에 저장합니다.

예시: 난독화된 입력값 850810

 

 

 

입력 받은 생년월일이 답이 아니면 Wrong 문자열을 출력하는 코드입니다.

 

 

odradurs1을 파라미터로 _0x3eebe5 함수를 호출합니다.

_0x3eebe5 함수는 encodeURIComponent 함수를 호출하는 것으로 보아 이는 URL의 일부가 되는 데이터로 변환되는 것 같습니다.

 

 

비교하는 문자열은 난독화되어 있어 이걸로 정답을 알아낼 수는 없겠습니다. ㅎ

 

 

 

입력 받은 생년월일이 정답이면 특정 html 콘텐츠를 출력하게 됩니다.  

 

 

html 콘텐츠는 이미지인 것으로 보아 플래그가 적혀진 이미지가 출력되는 것 같습니다.

 

 

 

문제 해결 방법

정답(생년월일) 확인을 위해 디버깅을 시도했지만 난독화 및 암호화되어 있어 확인이 어려웠습니다. (ㅜㅜ)

그래서 추가 코드를 짜서 생년월일을 알아내보도록 하겠습니다.

 

 

 

function birthcheck() {
	var pwd;
	for (var y=99; y>=0; y--){
		var Y = y < 10 ? '0' + y : y;
		
		for (var m=1; m<=12; m++){
			var M = m < 10 ? '0' + m : m;
			
			for (var d=1; d<=31; d++){
				var D = d < 10 ? '0' + d : d;
				pwd = Y.toString() + M.toString() + D.toString();
				_0x9a220(pwd);
			}
		}
	}
}

생년월일 6자리 정답을 더 효율적으로 구하고 싶어서 년, 월, 일로 나누어서 for문을 설정하였고 범위를 년, 월, 일에 해당하는 숫자로 구성하였습니다. 그리고 한 글자 숫자인 경우, 0을 붙여 두 글자로 만들어 주었습니다. (ex. 1월인 경우 → 01)

이렇게 birthcheck 함수를 통해 생년월일을 생성하고 자바스크립트 메인 함수 _0x9a220의 파라미터로 설정하여 실행하였습니다. 

 

 

 

최종적으로 정답(생년월일)을 구할 수 있었습니다.

 

 

 

구한 생년월일을 입력해보면 플래그가 적힌 이미지가 출력됩니다.

 

플래그를 보니 역시 bruteforce를 통해 풀도록 만든 문제였나보네요 ^.ㅠ