pwnable.kr - lotto

해설

Mommy! I made a lotto program for my homework.
do you want to play?

 

로또를 맞추는 문제이다. 접속해서 lotto.c 코드의 play 함수를 확인하면 다음과 같다.

void play(){

        int i;
        printf("Submit your 6 lotto bytes : ");
        fflush(stdout);

        int r;
        r = read(0, submit, 6);

        printf("Lotto Start!\n");
        //sleep(1);

        // generate lotto numbers
        int fd = open("/dev/urandom", O_RDONLY);
        if(fd==-1){
                printf("error. tell admin\n");
                exit(-1);
        }
        unsigned char lotto[6];
        if(read(fd, lotto, 6) != 6){
                printf("error2. tell admin\n");
                exit(-1);
        }
        for(i=0; i<6; i++){
                lotto[i] = (lotto[i] % 45) + 1;         // 1 ~ 45
        }
        close(fd);

        // calculate lotto score
        int match = 0, j = 0;
        for(i=0; i<6; i++){
                for(j=0; j<6; j++){
                        if(lotto[i] == submit[j]){
                                match++;
                        }
                }
        }

        // win!
        if(match == 6){
                system("/bin/cat flag");
        }
        else{
                printf("bad luck...\n");
        }

}

코드를 읽다보면 뭔가 미심쩍은 부분을 발견할 수 있는데, 바로 이중 루프로 제출한 번호와 랜덤으로 생성된 로또 번호를 비교하는 부분이다. 이 부분에서 바이트별로 비교를 하는데, 로또 번호와 제출한 번호가 같을 때 continue를 해줘서 다음 로또 번호로 넘어가야할거 같지만 그러지 않고있다. 그러니까 제출한 번호가 만약 중복되어 있다면, 로또 번호와 1바이트만 같아도 번호 6개를 다 맞춘것처럼 match가 6이 되게 된다.

 

하나 주의할 점은 로또 번호라고해서 숫자를 넣으면 안된다는 것이다.,lotto 와 submit 배열은 unsigned char 형 배열이고 바이트는 1~45까지 취급하기 때문에, 아스키 코드표에서 48부터가 숫자 0이므로, 실제로 제출하는 submit 배열에는 숫자가 들어가선 안된다. 따라서 범위 내에 적당한 캐릭터(ex !#$%&+ 등등)을 하나 골라서 6개 제출하면 된다.

 

예를 들어 ++++++를 제출했을 경우, 몇 번 시도하다보면 결국 flag를 얻을 수 있다.