HITCON CTF 2016 Finals参加記
この記事はCTF Advent Calendarの4日目です．
まだ欠けているところがあるのでとりあえず速報版ということで…
12/07: 残りの写真などを貼りました．
12/2-12/3の2日間，台湾にてHITCON CTF 2016の決勝戦が開催され，TokyoWesternsとして参加してきました．
今回の遠征において起こったことを時系列順に書いていきます．
飛行機の遅延
我々は当初11:45に成田を出る飛行機に乗る予定だったのですが，前日の夜22時頃に突然メールが来て，
Flight Delay Notification
11:45発予定が19:00に変更?????
このままだと台湾につくのは22時過ぎ(現地時刻)になり，移動が極めて面倒なことになりそう，という結論に．
とりあえず問い合わせて，払い戻しが可能かどうかを聞くことにしました．（時間帯的に窓口が英語しか対応してなくて，非常にしんどかった）
どうやら払い戻しは可能っぽいので，実際に手続きをするのは翌朝に日本語の窓口が対応しているときにしよう，ということで急遽別の飛行機を予約するという話になりました (この時点で夜中の1時を過ぎており，寝落ちした→他の人より航空券が少し高くついた)．
まあなんやかんやで無事に飛行機に乗れたので良しということで．
台湾着
台湾に着いて適当にSIMカードを購入したりして，ホテルまでのルートを調べました．
今回運営が用意してくれたホテルは結構良い所らしく，なんと空港からバス一本でたどり着くことができて感動しました．
ちなみにバスの券を販売しているところのPCにXPが写っていたり，発券された乗車券の時刻がクソ適当だったりといろいろ怪しい点は多かったものの，特にトラブルもなくホテルまで着き，先に来ていたhhc0nullと合流してすき家で食事を取りました．
あとLTEがクソ早くて感動した
会場
今年のFinalsはHITCON Pacificと同時開催らしくて，Taipei New Horizonという所の最上階でした．
設営もめちゃくちゃ手が込んでいて，各チームのテーブルには看板が設置してありました．
…? 何か足りないですね…
ところでこれは某CTFの名札です
今年はチーム名を間違えられる呪いにでもかけられたんでしょうか．
Finals
去年に続き素晴らしい大会で，今年のA&DはPwnable3問，Web3問でした． 競技はday1 10:00 ~ 18:00, day2 8:30 ~ 15:30で，day2の12:30までは1ラウンド5min, それ以降は1ラウンド2minという設定でした． Pwnable問題は公開されてからは最後まで動いていて，Web問題は各問題が別々の時間に公開されて2つ以上の問題が同時に動くことはありませんでした．そのかわりWeb問題にはfirst bloodがあり，1500, 1000, 500, 300, 100という具合に解いた順にボーナスポイントが与えられました．
| 問題 | 時間 | ジャンル | 概要 |
|---|---|---|---|
| digimon | day1 10:00 ~ | pwnable | デジモンをモチーフにしたゲーム．ショップの番号に制限が無くて任意メモリの書き換えが可能(らしい) |
| rabbit | day1 10:00 ~ 14:00 | web | zabbixが動いている．/jsrpc.phpにSQL injectionの脆弱性があり，Adminのセッションを奪うことができる．Adminはzabbixの機能でスクリプト実行が可能なのでflagを読む． |
| criticalheap_revenge | day1 14:00(?) ~ | pwnable | よく読んでないけどFSBがあったらしい |
| webrop | day1 14:00 ~ day2 12:30 | web | SugarCRMとphpMyAdminが置いてあるだけ．詳しくは後述します． |
| fx-1337 | day2 9:30 ~ | pwnable | 電卓を模したアプリケーション．BackSpaceの回数に制限が無くて任意のアドレスにジャンプすることのできる脆弱性があった(らしい) |
| myide | day2 12:30 ~ | web | flask製のテキスト共有システム．詳しくは後述． |
僕がメインで取り組んでいたのはWebの3問で，前半2問(rabbit, webrop)はいずれも実際に使われているソフトウェアを用いており，オイオイ0dayゲーか〜???と思いましたが，3問目はお手製のflaskアプリでした． 実際にはrabbit, webropはCVEの付いている脆弱性を抱えており，それを用いて攻撃が可能，というものでした．
webrop
phpMyAdminとSugarCRMが置かれているが，phpMyAdminの指しているホストが126.0.0.1と128.0.0.1のみ選べるため，全く意味ない．ように見える．SugarCRMは普通の設定で，適当なユーザーでのログインはできる状態． この問題は1日目は全く動きが見られず，2日目に持ち越されたため結局first bloodは無効になりました． 我々のチームではytokuさんが一日目の夜に0dayの脆弱性を発見し，それを用いてexploitを作成していったところうまく刺さりました(もちろん数チームには途中から対策されました)． 他にも0dayを見つけたチームがいて，CTFerの恐ろしさを見せつけられました． ちなみに競技終了後に運営に想定解を聞いたのですが，phpMyAdminの脆弱性によってセッションの上書きが可能であり，それを用いてSugarCRMで権限昇格を行う，というものだったそうです．PPPはこの方法で攻撃したそうです． 途中までは全部のチームからflagを取れていたのですが，PPPはログインをできなくしたせいで攻撃が刺さらなくなったにも関わらずSLAはALIVEになっていて，なるほど． 去年はSLAがクソ厳しかった上に，事前のルール説明に「脆弱性部分以外のパッチで防ぐのはやめろ」みたいなことが書いてあったため，どのチームも割とパッチに苦労してたと思うのですが… 結果的には結構な点を取れたと思います．
myide
flask製のアプリケーションで，一番最初に用いられた脆弱性はpath traversalでした．普通に任意ファイルを読むことができる感じ． テンプレートエンジンにjinja2を使っていたので案の定template injectionがあり，任意コードの実行が可能でした．ただしこの問題のみ，ソースコードに対するパッチが当てられなかった(当てても再起動する手段が無かった)ため，終わりの方はDOSの打ち合いという地獄絵図が広がっていました．
結果
最終結果はCykor, LC/BC, PPP, Shellphishに続いて5位でした！！！
決勝のA&Dでは今までの中で一番良い結果を残せたと思います．
余談
終了後の会場に良い話が転がっていました．
終わりに
クソ適当な記事ですみませんでした．CTF Advent Calendarにはまだまだ空きがあるので是非書きましょう．
明日はyamaguchiさんのTSGCTFwriteupです．
