[Reverse Engineering – partie 1] Hacker Challenge, solution et résolution de la première étape

Par Rédaction, secuobs.com
Le 15/09/2007

---

Résumé : Retrouvez ici la présentation du concours Hacker Challenge 2007, porté cette année sur le domaine de la rétro-ingénierie d'exécutable. La première étape du challenge s'est terminée le 10 septembre, en tout plus de 15 000 $ de lots avaient été distribués entre les participants les plus habiles pour l'édition 2006. - Lire l'article



Le site Hacker Challenge ( lien ) organisait cette année encore un challenge de sécurité « 2007 Global Software Reverse Engineering Challenge » visant à défier les compétences des différents participants dans le domaine de l'ingénierie inverse aussi connue sous le nom de rétro-ingénierie ( lien ) pour les francophones et reverse engineering pour les utilisateurs de la langue anglaise.

Il faut tout d'abord bien avouer à propos de ce concours que les détails trouvés dans la FAQ (Frequently Ask Questions - lien ) concernant les organisateurs sont assez flous « Who are you guys ? Aside from not being all guys, we are a U.S. company performing security testing and security metric research. The purpose of this challenge is to evaluate the effectiveness of software protections. The results of this effort will be used to improve our protection measures.».

Plusieurs récompenses étaient cependant promises aux gagnants ainsi qu'à leur poursuivants et cela pour plusieurs critères de selection (qualité, rapidité, ...) ; 15 000 $ au total avaient été distribués pour l'année 2006, la somme de 8 000 $ en 2007 pour un gagnant virtuel, cumulant la qualité de son rendu et la rapidité avec laquelle il l'aura effectué, est une somme rondelette d'autant qu'elle est virée en presque toute simplicité via le système Paypal ( lien ) de eBay.

Bien qu'on puisse également trouver dans la FAQ de ce concours l'entrée suivante « How do I know that you aren't going to harvest my email address and send me spam or try to track me down? Are you really planning to give us a real (non-throwaway) email address ?. », les vainqueurs de ces récompenses devront tout même s'acquitter d'un formulaire W-9 si ils sont citoyens ou résidents des Etats Unis d'Amérique afin de recevoir leur paiement ; les autres devront uniquement envoyer un email avec leur nom et le nom du pays où la solution a été trouvée.

Le challenge s’organise en fait en trois étape ; pour la première, qui nous intéresse plus particulièrement, on fournissait un exécutable Windows dans le but d'y effectuer un reverse engineering pour se qualifier vers la seconde étape du challenge.

Le concours a commencé le 27 Aout et vous aviez donc 13 jours jusqu'au 10 septembre pour achever ce premier niveau ; le site web du challenge compte aujourd'hui plus de 500 inscrits mais seulement 50 candidats sur ces 500 ont réussi à remplir les premières validations d'objectifs.

Bien que le nombre de candidats ayant réussi demeure relativement faible, cette première étape n'en reste pas moins qu’une pré-qualification vers la troisième et ultime étape, dont ne nous connaissons à l'heure actuelle que peu de détails bien qu'on puisse aisèment imaginer qu'elle consistera à fournir un second exécutable à reverser et pour lequel les surprises ne devraient pas manquer…


Autres ressources dans ce dossier :

[Reverse Engineering – partie 2] Analyse de l'exécutable - lien

[Reverse Engineering – partie 3] Résolution des contraintes de sécurité par l'obfuscation - lien

[Reverse Engineering – partie 4] Résolution des contraintes de sécurité par anti-debugging – lien

[Reverse Engineering – partie 5] Résolution du premier objectif - lien

[Reverse Engineering – partie 6] Résolution du second objectif et finalisation de la première étape du concours - lien