[Pwnable.kr](https://pwnable.kr/)のrandomを解いたのでそのwriteupを書いた。問題のソースコードは以下の通り ```c #include int main(){ unsigned int random; random = rand(); // random value! unsigned int key=0; scanf("%d", &key); if( (key ^ random) == 0xdeadbeef ){ printf("Good!\n"); system("/bin/cat flag"); return 0; } printf("Wrong, maybe you should try 2^32 cases.\n"); return 0; } ``` Glibcのrand関数は、srand関数を使ってシード値を生成してから呼ぶことで疑似乱数を得ることができる。次にsrandを呼ぶまではrand関数から得られる値は同じになる。そして、srandを一度もよばないでrandを使う場合はデフォルトのシード値が使われる。今回の問題ではrand関数のみを使っているので、randomの値はいつ実行しても同じになる。したがって、実行中にrandomの値をみて、その値とxorして0xdeadbeefになる値を入力すればフラグがゲットできそう。 ```x86asm pwndbg> disass main Dump of assembler code for function main: 0x00000000004005f4 <+0>: push rbp 0x00000000004005f5 <+1>: mov rbp,rsp 0x00000000004005f8 <+4>: sub rsp,0x10 0x00000000004005fc <+8>: mov eax,0x0 0x0000000000400601 <+13>: call 0x400500 0x0000000000400606 <+18>: mov DWORD PTR [rbp-0x4],eax 0x0000000000400609 <+21>: mov DWORD PTR [rbp-0x8],0x0 0x0000000000400610 <+28>: mov eax,0x400760 0x0000000000400615 <+33>: lea rdx,[rbp-0x8] 0x0000000000400619 <+37>: mov rsi,rdx 0x000000000040061c <+40>: mov rdi,rax 0x000000000040061f <+43>: mov eax,0x0 0x0000000000400624 <+48>: call 0x4004f0 <__isoc99_scanf@plt> 0x0000000000400629 <+53>: mov eax,DWORD PTR [rbp-0x8] 0x000000000040062c <+56>: xor eax,DWORD PTR [rbp-0x4] 0x000000000040062f <+59>: cmp eax,0xdeadbeef 0x0000000000400634 <+64>: jne 0x400656 0x0000000000400636 <+66>: mov edi,0x400763 0x000000000040063b <+71>: call 0x4004c0 0x0000000000400640 <+76>: mov edi,0x400769 0x0000000000400645 <+81>: mov eax,0x0 0x000000000040064a <+86>: call 0x4004d0 0x000000000040064f <+91>: mov eax,0x0 0x0000000000400654 <+96>: jmp 0x400665 0x0000000000400656 <+98>: mov edi,0x400778 0x000000000040065b <+103>: call 0x4004c0 0x0000000000400660 <+108>: mov eax,0x0 0x0000000000400665 <+113>: leave 0x0000000000400666 <+114>: ret End of assembler dump. pwndbg> b *main+18 pwndbg> r pwndbg> ni pwndbg> x/4wx $rbp-4 0x7fffffffe27c: 0x6b8b4567 0x00000001 0x00000000 0xf7ddfcd0 ``` randomの値が0x6b8b4567だと分かったので、これとxorして0xdeadbeefになる値を求めて入力すればクリア。 ```bash python -c 'print(0x6b8b4567 ^ 0xdeadbeef)' | ./random ```

Writeup for Pwnable.kr Random