SECCON2020 Contest of Contest 表彰式で発表

1. spinsn
- CPUの特殊命令の
仕様推定と実装の競技
坂井弘亮
(KOZOSプロジェクト)
TwitterID:kozossakai

2. spinsn
とは何か

3. CPUの特殊命令
(Special Instruction)
のことです

4. spinsn
「CPUの特殊命令」の
「仕様推定」と「実装」
をテーマとした競技

5. 概要

6. 競技サーバ上で， 謎仕
様の独自命令を利用す
るプログラムが エミュ
レータで動作しています

7. 動作しているプログラム
には， デバッガでリモー
ト接続し， 動作を解析
することができます

8. デバッガを利用して，独
自命令に様々な入力を
与えたときの挙動を見
ることができます

9. それとは別に，同等の
命令を利用するプログ
ラムが 競技サーバ上に
置かれていて，ダウン
ロードできます

10. しかし独自命令を利用しているた
め，ダウンロードしたプログラムを
通常のエミュレータで実行しても，
うまく実行できません
デバッガを駆使して独自命令の仕
様を推測して，同等の命令を手元
でエミュレータに 実装できれば，手
元で実行できるようになります

11. つまりこの競技の目的は

12. デバッガを駆使して
特殊命令の仕様を推測
↓
同等の命令を
エミュレータに実装
↓
改造エミュレータを使って
プログラムを実行

13. こんな感じです

14. 競技サーバに接続

15. デバッガで接続
$ /usr/local/cross-gcc494/bin/bfin-elf-gdb bfin-elf.x
GNU gdb (GDB) 7.12.1
...
(gdb) target remote 127.0.0.1:10000
Remote debugging using 127.0.0.1:10000
0x00001400 in start ()
(gdb)

16. デバッガで特殊命令を実行してみる
(gdb) print $pc = 0x1578
$2 = (void (*)()) 0x1578
(gdb) print $r0 = 0
$3 = 0
(gdb) stepi
0x0000157c in random_value ()
(gdb) print/x $r0
$4 = 0x967eb0e7
(gdb) print $pc = 0x1578
$5 = (void (*)()) 0x1578
(gdb) print $r0 = 0
$6 = 0
(gdb) stepi
0x0000157c in random_value ()
(gdb) print/x $r0
$7 = 0x2781e494
(gdb) print $pc = 0x1578
$8 = (void (*)()) 0x1578
(gdb) print $r0 = 0
$9 = 0
(gdb) stepi
0x0000157c in random_value ()
(gdb) print/x $r0
$10 = 0xc46b9b3d
(gdb)

17. 乱数命令？

18. 入出力から乱数命令？の仕様を推測
(gdb) target remote localhost:10000
(gdb) print $pc = 0x1548 (パラメータ０の設定)
(gdb) print $r0 = 1
(gdb) stepi
(gdb) print $pc = 0x1558 (パラメータ１の設定)
(gdb) print $r0 = 1
(gdb) stepi
(gdb) print $pc = 0x1568 (シードの設定)
(gdb) print $r0 = 1
(gdb) stepi
(gdb) print $pc = 0x1578 (乱数を繰り返し取得)
(gdb) print $r0 = 0 (特殊命令に入力を与える)
(gdb) stepi
(gdb) print/x $r0
(gdb) print $pc = 0x1578
(gdb) print $r0 = 0 (特殊命令に入力を与える)
(gdb) stepi
(gdb) print/x $r0
(gdb) print $pc = 0x1578
(gdb) print $r0 = 0 (特殊命令に入力を与える)
(gdb) stepi
(gdb) print/x $r0
...

19. このような仕様の乱数命令のようだ
(線形合同法)
特殊命令 機械語コード やること(推定)
パラメータ０の設定 0e c6 00 80 param0 = r0 ? r0 : 11035 15245;
パラメータ１の設定 0e c6 00 c0 param1 = r0 ? r0 : 12345 ;
シードの設定 0e c6 00 40 value = r0 ? r0 : 1;
乱数の取得 0e c6 00 00 value = value * param0 + param1; r0 = value;

20. 乱数命令を実装
#ifdef RANDOM_INSTRUCTION
else if (sop == 0 && sopcde == 14)
{
bu32 v = DREG (src0);
v = linear32value(v);
STORE (DREG (dst0), v);
}
else if (sop == 1 && sopcde == 14)
{
bu32 v = DREG (src0);
v = linear32seed(v);
STORE (DREG (dst0), v);
}
else if (sop == 2 && sopcde == 14)
{
bu32 v = DREG (src0);
v = linear32param0(v);
STORE (DREG (dst0), v);
}
else if (sop == 3 && sopcde == 14)
{
bu32 v = DREG (src0);
v = linear32param1(v);
STORE (DREG (dst0), v);
}
#endif
static uint32_t
linear32value (uint32_t value)
{
uint32_t param0, param1;
int i;
#ifdef RANDOM_INSTRUCTION_LIMIT
limit_check();
#endif
value = value ? value : linear32_value;
value = value ? value : 1;
param0 = linear32_param0;
param1 = linear32_param1;
param0 = param0 ? param0 : 1103515245;
param1 = param1 ? param1 : 12345;
value = value * param0 + param1;
linear32_value = value;
return value;
}
#endif

21. っていうのが，５アーキテクチャぶんと，
さらに追加で５アーキテクチャぶん，
合計10アーキテクチャぶんあります

22. SECCON CTF 2018
-International- (国際)
で実施！
(2018年12月開催)

23. 競技サーバのＶＭイメージと
競技設計などの詳細情報を
公開しています
(http://kozos.jp/seccon/seccon2018.html)

24. 競技概要

25. 競技詳細

26. 解法

27. 競技設計

28. 競技のポイント

29. アーキテクチャ一覧

30. 競技サーバのＶＭイメージや
詳細情報を公開しているので，
実際に試すことができます
ぜひチャレンジしてみてください！
http://kozos.jp/seccon/

31. どうもありがとう
ございました