CTF-categorieën en mindset

Jeopardy-borden zijn ingedeeld in terugkerende categorieën. Als je die kent, kun je uitdagingen kiezen die bij je sterke punten passen:

• Web — misbruik webtoepassingen (SQLi, XSS, SSRF, omzeiling van authenticatie).
• Cryptografie — breek cryptografische schema's of maak er misbruik van.
• Reverse engineering (rev) — analyseer gecompileerde binaire bestanden om de logica te begrijpen.
• Pwn / binaire exploitatie — maak misbruik van fouten die geheugen beschadigen.
• Forensisch onderzoek — herstel gegevens uit bestanden, geheugendumps en pakketvastleggingen.
• OSINT — vind vlaggen met behulp van informatie uit openbare bronnen.
• Overig / steganografie — al het overige, waaronder verborgen gegevens in mediabestanden.

Elke uitdaging wordt geleverd met een korte opgavetekst en vaak een bestand of URL. Beschouw de opgavetekst als een hint, niet als versiering. Let op:

• Categorie en punten — het aantal punten voorspelt ongeveer de moeilijkheid.
• Bijlagen — een binair bestand, broncodearchief of pcap vertelt je welke hulpmiddelen je nodig hebt.
• Een eindpunt van het doelwit — een IP-adres en poort of een web-URL betekent dat er een actieve dienst is.
• Gekleurde formuleringen — namen als RSA, base64 of een verwijzing naar een film wijzen vaak op de exacte techniek.

Schrijf op wat je waarneemt voordat je hulpmiddelen gebruikt. De helft van CTF draait om zorgvuldig lezen.

Sterke spelers brengen eerst alles volledig in kaart voordat ze iets misbruiken. De regel is: verzamel eerst alles wat je goedkoop kunt verzamelen.

Voor een netwerk- of dienstdoelwit is een poort- en servicescan vaak een goede eerste stap:

Je kunt niet elke exploit uit het hoofd leren. Bouw in plaats daarvan patroonherkenning op: koppel aanwijzingen aan techniekfamilies.

• Een inlogformulier dat je invoer terugplaatst — probeer injectie (SQLi, XSS).
• Een kleine openbare exponent en een gedeelde modulus — klassieke RSA-aanvallen.
• Een ontdane 64-bits ELF met een aanroep van gets() — een stackbuffer-overloop.
• Een pcap vol HTTP — haal overgedragen bestanden of inloggegevens eruit.

Als je de familie herkent, weet je welke hulpmiddelen en zoektermen je moet gebruiken. Snelheid komt voort uit deze koppeling, niet uit alles letterlijk onthouden.

Het aantal punten is beperkt, dus besteed je inspanning verstandig:

• Werk eerst de uitdagingen met weinig punten af. Ze geven je vaart en bevestigen dat je hulpmiddelen goed werken.
• Let op het aantal oplossingen. Een uitdaging met veel punten die door veel spelers is opgelost, is vaak gemakkelijker dan het puntenaantal doet vermoeden.
• Dynamische puntentelling — bij veel evenementen daalt de waarde van een uitdaging naarmate meer teams die oplossen, dus vroege oplossingen leveren meer op.
• Beperk je tijd — als je 30 tot 45 minuten vastzit zonder nieuwe aanwijzing, schakel dan over naar een andere uitdaging en kom later met een frisse blik terug.

Een dwaalspoor is een aannemelijk ogend doodlopend pad dat uren kost. Ontwerpers plaatsen soms afleidingen, maar de meeste dwaalsporen ontstaan door jezelf.

Zo voorkom je ze:

• Formuleer een hypothese voordat je iets test en test daarna alleen die hypothese.
• Houd een doorlopend aantekeningenbestand bij van wat je hebt geprobeerd en uitgesloten, zodat je niet in een lus terechtkomt.
• Als een pad een onwaarschijnlijke keten van aannames vereist, is het waarschijnlijk verkeerd. CTF-oplossingen zijn meestal eenvoudig.
• Vraag een teamgenoot je redenering te controleren voordat je nog een uur verspilt.

CTF's zijn juist legaal omdat ze zijn afgebakend. Als je de grens overschrijdt, verandert oefenen in een misdrijf en word je verbannen.

• Val alleen de opgegeven doelwitten aan. Scan of misbruik nooit het scorebord, de infrastructuur of andere teams, tenzij de regels dat uitdrukkelijk toestaan.
• Deel geen vlaggen en voer geen aanval met brute kracht uit op het indieningspunt.
• Voer geen DoS-aanval uit op uitdagingsservers — een dienst overspoelen maakt die voor iedereen onbruikbaar en is vrijwel altijd verboden.
• Lees eerst de regels. Vraag het bij twijfel aan de organisatoren in de evenementchat.

CTF-vaardigheden sluiten rechtstreeks aan op professioneel defensief en offensief beveiligingswerk:

• Webuitdagingen scherpen dezelfde intuïtie aan die een penetratietester of AppSec-engineer gebruikt om echte kwetsbaarheden te vinden.
• Forensisch onderzoek lijkt op incidentrespons en dreigingsjacht.
• Reverse engineering vormt de basis voor malwareanalyse.
• Pwn leert je precies hoe geheugenfouten exploits worden, waardoor je een betere verdediger en beoordelaar van veilige code wordt.

De wedstrijd is de veilige oefenomgeving; de spier die je opbouwt is echt.

Consistent oefenen werkt beter dan stampen. Een vol te houden routine:

• Kies één categorie en ga daar enkele weken diep op in, in plaats van ze allemaal oppervlakkig te behandelen.
• Lees altijd uitwerkingen van uitdagingen die je niet kon oplossen — de bedoelde aanpak leren is de snelste manier om vooruitgang te boeken.
• Los opgeloste uitdagingen een week later opnieuw vanaf nul op om de techniek goed vast te leggen.
• Houd een persoonlijk spiekbriefje bij met opdrachten en payloads die je steeds opnieuw afleidt.

Beschouw niet-opgeloste uitdagingen als een leeslijst, niet als een mislukking.

Je begrijpt nu de basis van CTF-wedstrijden:

• Een vlag is een token met een vaste indeling dat je terugvindt en inlevert voor punten.
• Jeopardy-evenementen bieden zelfstandige uitdagingen per categorie; bij aanval-verdediging-evenementen nemen actieve diensten het tegen elkaar op.
• De belangrijkste categorieën zijn web, cryptografie, reverse engineering, pwn, forensisch onderzoek, OSINT en overig/steganografie.
• De winnende mentaliteit is eerst inventariseren, patronen herkennen, je tijd beperken, dwaalsporen vermijden en binnen de afbakening blijven.
• Elke vaardigheid die je opbouwt, is bruikbaar in echt defensief en offensief beveiligingswerk.

Vervolgens begin je met het oplossen van echte web- en cryptografie-uitdagingen.