【picoCTF】Flag Hunters - テキスト処理と正規表現で歌詞からフラグを抽出

問題概要

picoCTFの「Flag Hunters」という問題の解説記事です。

• カテゴリ: Reverse Engineering
• 難易度: Easy

問題文

解説

ステップ1: picoCTFのサーバーに接続

$ nc verbal-sleep.picoctf.net xxxxx
Command line wizards, we’re starting it right,
Spawning shells in the terminal, hacking all night.
Scripts and searches, grep through the void,
Every keystroke, we're a cypher's envoy.
Brute force the lock or craft that regex,
Flag on the horizon, what challenge is next?

We’re flag hunters in the ether, lighting up the grid,
No puzzle too dark, no challenge too hid.
With every exploit we trigger, every byte we decrypt,
We’re chasing that victory, and we’ll never quit.
Crowd: 

※ポート番号は問題文に記載されているものを使用してください。

接続すると、上記の詩が表示されます。

最後に出力される以下の部分でなにか入力を求められているようです。

Crowd: 

ステップ2: lyric-reader.pyの解析

2-1. 詩の生成部分の解析

flag = open('flag.txt', 'r').read()

secret_intro = \
'''Pico warriors rising, puzzles laid bare,
Solving each challenge with precision and flair.
With unity and skill, flags we deliver,
The ether’s ours to conquer, '''\
+ flag + '\n'

• フラグはsecret_intro変数の最後に直接含まれている
• secret_intro変数の内容を出力すればフラグが得られる

song_flag_hunters = secret_intro +\
'''
[REFRAIN]
We’re flag hunters in the ether, lighting up the grid,
No puzzle too dark, no challenge too hid.
With every exploit we trigger, every byte we decrypt,
We’re chasing that victory, and we’ll never quit.
CROWD (Singalong here!);
RETURN
(中略)
REFRAIN;

END;
'''

2-2. プログラムの実行部分の解析

ここからは、実際に歌詞を出力している reader 関数の処理 を詳しく見ていきます。 この部分を理解することで、どのようにしてフラグを取得できるかが明らかになります。

MAX_LINES = 100

def reader(song, startLabel):
  lip = 0
  start = 0
  refrain = 0
  refrain_return = 0
  finished = False

ここでは、歌詞の実行状態を管理するための変数が初期化されています。

• lip
  現在実行中の行番号（Line Instruction Pointer） → この値が実行フローを完全に支配します。
• start
  実行開始位置
• refrain
  [REFRAIN] ブロックの開始位置
• refrain_return
  サブルーチンから戻るための RETURN 行の位置
• finished
  実行終了フラグ
  また、MAX_LINES は無限ループを防ぐための安全装置です。

  song_lines = song.splitlines()

for i in range(0, len(song_lines)):
  if song_lines[i] == startLabel:
    start = i + 1
  elif song_lines[i] == '[REFRAIN]':
    refrain = i + 1
  elif song_lines[i] == 'RETURN':
    refrain_return = i

このループでは歌詞全体を一度走査し、以下のラベルの位置を特定しています。

• startLabel: 実行開始位置
• [REFRAIN]: サブルーチンの開始位置
• RETURN: サブルーチンから戻る位置

reader(song_flag_hunters, '[VERSE1]')

lip = start

while not finished and line_count < MAX_LINES:

• END行に到達したとき
• MAX_LINESに達したとき（無限ループ防止）

if line == 'REFRAIN':
  song_lines[refrain_return] = 'RETURN ' + str(lip + 1)
  lip = refrain

• 現在の行の次の行番号をRETURN行に保存
• lipをrefrain（[REFRAIN]ラベルの次の行番号）に設定し、サブルーチンにジャンプ

つまり「戻り先を書き換えてからジャンプする」という自己書き換え型の制御フローになっています。

elif re.match(r"CROWD.*", line):
  crowd = input('Crowd: ')
  song_lines[lip] = 'Crowd: ' + crowd
  lip += 1

この部分が、この問題で最も重要な箇所です。 この処理では

• ユーザー入力をそのまま受け取る
• 検証・サニタイズは一切なし
• 入力内容をsong_linesの現在行に直接書き換え という挙動です。

elif re.match(r"RETURN [0-9]+", line):
  lip = int(line.split()[1])

• 行番号を抽出し、lipに設定
• lipが更新されることで、任意の行にジャンプ可能

重要なのは、

• 行番号の検証・サニタイズは一切なし
• 範囲外の行番号でも受け入れられる という点です。 そのため、RETURN行に不正な行番号を指定することで、歌詞の外部にジャンプできる可能性があります。

ステップ3: 脆弱性の整理

上記の解析から、このプログラムには以下の3つの致命的な特徴があることがわかります。

1. ユーザー入力が「命令」として保存される

song_lines[lip] = 'Crowd: ' + crowd

CROWD 行に到達すると、ユーザー入力は

• 単なる表示用テキストではなく
• song_lines の 実体そのもの に書き戻されます

これはつまり、 ユーザーが入力した文字列が 次回以降「歌詞」ではなく「命令」として再解釈される ということを意味します。

2. RETURN 命令で任意行にジャンプ可能

elif re.match(r"RETURN [0-9]+", line):
  lip = int(line.split()[1])

• 行番号の妥当性チェックなし
• 範囲チェックなし で、任意の行番号へジャンプできます。

3. 実行開始位置は固定だが、途中から上書き可能

lip = start

• 実行開始位置は固定
• 途中から実行フローを上書き可能 という特徴があります。 この特徴により、CROWD命令でRETURN命令を上書きし、任意の行にジャンプすることが可能になります。 つまり実行開始位置の制限を回避できます。

ステップ4: 攻撃方針の決定

上記の解析から、以下の攻撃方針が決定されます。

1. 処理がCROWD行に到達する
2. ユーザー入力として ;RETURN <行番号> を入力
3. 次のループでRETURN命令が実行され、フラグ行にジャンプ
4. フラグ行が実行され、フラグが表示される

ステップ5: フラグ行の特定

secret_intro = \
'''Pico warriors rising, puzzles laid bare,
Solving each challenge with precision and flair.
With unity and skill, flags we deliver,
The ether’s ours to conquer, '''\
+ flag + '\n'


song_flag_hunters = secret_intro +\
'''

[REFRAIN]
We’re flag hunters in the ether, lighting up the grid,
(以下省略)

• 0行目: Pico warriors rising, ...
• 1行目: Solving each challenge, ...
• 2行目: With unity and skill, ...
• 3行目: The ether’s ours to conquer, picoCTF{...} ← ここにフラグ

という並びになります。

そのため、ジャンプ先としては以下のどちらでもOKです。

• 確実・簡単: 先頭に戻す → RETURN 0
• 最短: フラグ行に直行 → RETURN 3

ステップ6: 実際に入力してフラグを出力

;RETURN 0

なぜ ; が必要なのか？（重要）

song_lines[lip] = 'Crowd: ' + crowd

Crowd: RETURN 0

実行例（出力イメージ）

$ nc verbal-sleep.picoctf.net xxxxx
...
Crowd: ;RETURN 0
Pico warriors rising, puzzles laid bare,
Solving each challenge with precision and flair.
With unity and skill, flags we deliver,
The ether’s ours to conquer, picoCTF{xxxxxx}
...

※フラグはマスクしています。

フラグを取得できました。

使用したコマンドの軽い解説

nc

nc <ホスト名> <ポート>

指定したホスト/ポートへ TCP 接続し、対話的に入出力できます。 picoCTFの「接続して操作するタイプ」の問題で頻出です。

まとめ

この問題は「歌詞っぽいテキストを実行するミニ言語インタプリタ」に対して、 ユーザー入力が無検証で混ざることで起きる制御フロー改変（命令注入）がテーマでした。

▼ポイントは以下の通りです。

• フラグは secret_intro に埋め込まれているが、通常フローではスキップされる
• CROWD で入力がそのままプログラム内部の行データに書き戻される
• RETURN <行番号> によって任意行へジャンプできる
• Crowd: のプレフィックスを突破するために ; が必要

閲覧ありがとうございました！