מהו CTF? זהו סוג של תחרות אבטחת מחשבים, הנקראת CTF מכיוון שאתה לוכד "דגל", מחרוזת ייחודית, ומגיש אותו לתשתית הניקוד עבור נקודות. CTF כמעט תמיד מוגבל בזמן, לעתים קרובות משהו כמו 24-48 שעות (בדרך כלל רציפות בסוף שבוע, מה שמעניק למתחרים ברחבי העולם זריקה הוגנת ללא קשר לאזור הזמן). ישנם שני סוגים עיקריים של CTF - סכנה והתקפה / הגנה. CTF בסגנון Jeopardy קל יותר לארגן וגם קל יותר לשחק / להעניש פחות עבור שחקנים חדשים. ב- CTF בסגנון סיכון, המארגנים כותבים מערך אתגרים (שירותי בינאריות או אינטרנט פגיעים הפועלים בענן, אתגרי היפוך מסוג crackme, דברים מוסתרים בתמונות דיסק או לכידת מנות, או הודעות מוצפנות), מקצים ערכי נקודה לכל אחד מהם. לאתגר, ולהפוך אותם לזמינים למתחרים (לרוב על לוח כמו זה שנמצא בסכנה, כאשר האתגרים מאורגנים לפי קושי וקטגוריה (ניצול בינארי, הנדסה לאחור, ניצול אתרים, קריפטוגרפיה ופלילים הם הקטגוריות האופייניות). כאשר התחרות מתחילה, המתמודדים מקבלים גישה לרשת האתגרים, אתה פותר אותם ומגיש דגלים לנקודות, ובסוף מי שיש לו הכי הרבה נקודות זוכה (קשרים בדרך כלל נשברים לפי זמן כדי להגיע לנקודת הזכייה הכוללת - מהר יותר עדיף) .
ב- CTF בהתקפה / הגנה, המארגנים עדיין בונים מערך שירותים פגיעים, אך כל צוות צריך להריץ עותק משירותים אלה עליהם עליהם להגן. אתה פורץ צוותים אחרים כדי לגנוב את הדגלים שלהם, ומנסה לתקן את השירותים שלך כדי למנוע מצוותים אחרים לעשות לך את אותו הדבר. CTFs A / D גוררים עבודות לוגיסטיות ותשתית רבות נוספות עבור המארגנים (VPN, מארחי יעד לכל צוות, &c). הם יכולים גם להיות מורידים מאוד עבור שחקנים חדשים אם אתה מקבל דריכה (או שלמישהו יש התמדה בתשתית שלך) ואין שום דבר שאתה יכול לעשות בקשר לזה. הם יכולים גם להיות מאוד מהנים, והם עובדים בכישורים יוצאי דופן כמו טלאים בינאריים וניצול השתקפות.
מבחינת הכנה: לימוד, תרגול והסבה. ההצעות של פלורנט אוגה למשחקי מלחמה טובות לתרגול. כמה משאבים אחרים שעשויים להועיל לך כוללים:
- מדריך השדה CTF של שבילים של ביטים כולל כמה הרצאות, רשימות כלים והדרכות של בעיות CTF ישנות.
- picoCTF הוא CTF המיועד לתלמידי תיכון עם מעט מאוד רקע. התחרות הסתיימה, אך המארגנים השאירו את הבעיות לאנשים ללמוד מהם. זה מקום טוב להתחיל בו, ואם יש לך ניסיון בתכנות אתה הרבה לפני העקומה ואמור להיות מסוגל ללעוס את הדברים המוקדמים די מהר. יש גם picoCTF חדש שיגיע באוקטובר אני חושב.
- pwnable.kr יש מגוון אתגרי ניצול בינאריים טובים להתאמן עליהם.
- לעתים קרובות מצא באינטרנט רישומי אתגרים של CTF קודמים, שזו דרך טובה להכיר ניבים ctfy במיוחד או סוגים של בעיות שעלולות להופיע ב- ctf מסוים. ctftime.org מצטבר הרשמות, בנוסף לאירוח לוח שנה של ctfs קרובים.
מבחינת כלי עבודה, עצה שהייתי מציע היא להתחזק בשפת סקריפטים. CTF נמצא בדרך כלל בלחץ זמן, ומהירות חשובה יותר מנכונות מושלמת. נראה כי פייתון היא שפת הבחירה הנפוצה ביותר, ויש הרבה כלים טובים לאתגרים מסוג ctf בפייתון ( pwntools, למשל). גם אם אתה מבין מעט היכרות, יכול להיות טוב.