개념 정리

CSRF

SQL Injection

Command Injection

File vulnerability

SSRF

CTF 워게임 실습

[Webhacking.kr](https://www.notion.so/Webhacking-kr-1ec0cb177338806fb8a4dfbcd0ae7c03)

Dreamhack 워게임 Lv.1

MSG CTF 문제 출제

<aside> 💡

검수

<aside> ✏️

(하) 문제

AlarmClock write-up

OneCard write-up

MJSEC write-up

</aside>

10/01 파일 수정

10/03 파일 수정

tictactoe.zip

10/10 파일 수정

https://drive.google.com/file/d/1Khqu4jvnU3NDlsMM0MCejBT8U_Cr-pEd/view?usp=sharing

10/11 마지막

ttt.zip

https://drive.google.com/file/d/1SsnquVHTNy0opKlw7zVxRLWMM6QtKEI0/view?usp=sharing

로직 담당

관리자 모드 진입 키워드 root1004 적용 (복원 처리, 평문 미노출)

관리자 모드 진입 시 Hello admin! 출력

가중치 테이블과 정답 수순 복원 로직 완성

롤링 해시 검증 및 플래그 출력 (MSG{I-10VE-CTF-<hash>})

VERIF_OUTPUT=1로 테스트: 정답 수순 / 오답 수순 / 중간 승리 시나리오 확인

난독화 담당

주요 함수·변수명 난독화 (restore_weights_easy → rA 등)

민감 데이터 난독화: – root1004 문자열 XOR/Shift 처리 – EXPECTED_H 값 분할 및 연산 조합 – 정답 수순 배열 단순 평문 방지

빌드 시 최적화 및 심볼 제거 (strip, /OPT:REF, /OPT:ICF)

검증·배포 담당

  1. 빌드 검증:

     gcc -o chall_2.exe tictactoe.c -O2 -flto -fstack-protector-strong -DVERIF_OUTPUT=0 "-Wl,-s"

  2. 관리자 모드 → 정답 수순 시 플래그 출력 확인

 1 → 5 → 2 → 3 → 7 → 4 → 6 → 8 → 9

image.png

  1. 오답 수순, 중간 승리 발생 시 NO 출력 확인

image.png

⇒ nomal mode 는 일반적인 tictactoe

image.png

⇒ admin mode에서 정답수순이 아닌 경우 NO출력 후 게임 종료

  1. 최종 빌드: VERIF_OUTPUT=0 + strip
 gcc -o chall_2.exe tictactoe.c -O2 -flto -fstack-protector-strong -DVERIF_OUTPUT=0 "-Wl,-s"
  1. 배포 패키지 작성:

Write up

SECURIOUS

Writeup

Readme.md

Writeup

Writeup

</aside>