Card Theft

TCPサーバの接続情報とELFファイル card-theft が与えられ、クレジットカードの番号を要求された。

このELFファイルをGhidraで逆コンパイルすると、以下のことがわかった。

main関数は、以下のことをしている。
1. データ 5a 08 11 22 33 44 55 66 77 88 42 02 11 22 を process_emv関数で処理する。
2. 無限ループで以下の処理を行う。
  1. 16進数で表現されたデータを読み込む。
  2. それをデコードし、process_emv関数で処理する。
process_emv関数は、データをprocess_tlv関数で処理している。
process_tlv関数は、以下のことをしている。
1. データの先頭からタグを読み取る。
2. タグがあらかじめ決められたリストに無いものなら、この関数の処理を終了する。
3. データの続きから長さの情報を読み取る。
4. 長さの情報の次のデータ、読み取った長さの情報、バッファサイズを以下の関数に渡し、データを処理させる。
  - タグが 0x42 のとき、read_iin関数
  - タグが 0x5a のとき、read_pan関数
  - タグがリストにあるそれ以外のもののとき、read_value関数
read_pan関数は、copy_data関数でデータを配列panにコピーし、その最後の2要素を出力している。
copy_data関数は、バッファサイズを参照し、バッファの範囲内からのみコピーを行う。

copy_data関数の仕様より、実際に与えるデータより長さの情報を長く設定すると、以前に配列panにコピーされたデータがそのまま出力される。
以下のように、長さの情報を適宜設定していくことで後ろの6バイトの情報は得られたが、長さの情報を4バイト未満に設定すると拒否されるので、最初の2バイトは得られなかった。

Information to connect to a TCP server, and an ELF file card-theft were given, and the credit card number was asked.

Decompiling this ELF file using Ghidra, I found these things:

What the function main does is:
1. Process data 5a 08 11 22 33 44 55 66 77 88 42 02 11 22 with the function process_emv.
2. Do these steps in an infinite loop:
  1. Read data represented in hexadecimal.
  2. Decode the data and process it with the function process_emv.
The function process_emv processes the data with the function process_tlv.
What the function process_tlv is:
1. Read a tag from the beginning of the data.
2. If the tag doesn't exist in a pre-defined list, exit from this function.
3. Read length information from the data after the tag.
4. Have these functions process the data, passing data next to the length information, the length information read, and the size of the buffer:
  - The function read_iin for the tag 0x42
  - The function read_pan for the tag 0x5a
  - The function read_value for the other tags
The function read_pan copies data to an array pan via the function copy_data, and prints the last 2 elements.
The function copy_data copies data from only the valid range of the buffer referring the buffer size.

Due to the behavior of the function copy_data, when the length information is set to longer than data actually given, data previously copied to the array pan is printed.
I obtained the 6 bytes from the tail by setting the length information properly in this way, but the first 2 bytes weren't available because it refuses to process length information less than 4 bytes.

log.txt

ここで、ファイル card-theft に埋め込まれているデータを見ると、PANの最初の2バイトはIINと同じに設定されていることに気がついた。
そこで、とりあえず残りの2バイトにIINの値を入れてみると、正解になり、flagが得られた。

Seeing the data embed in the file card-theft, I found that the first 2 bytes of PAN is set to the same as the IIN.
I tried setting the 2 bytes left to the IIN. As a result, it was accepted and I obtained the flag.

flag{4147403950091074}

SquareCTF 2021