Kategorie CTF i sposób myślenia

Capture The Flag (CTF) to konkurs z zakresu cyberbezpieczeństwa, w którym rozwiązuje się zadania związane z bezpieczeństwem, aby odzyskać ukryty token nazywany flagą.

Flagi mają ustalony format, dzięki czemu systemy punktacji mogą je automatycznie weryfikować, na przykład:

• flag{this_is_the_answer}
• CTF{s0me_l33t_string}

Przesyłają Państwo flagę do tablicy wyników, aby zdobyć punkty. CTF-y są legalnym, odizolowanym środowiskiem do ćwiczenia technik ofensywnych przeciwko celom, które zgodnie z zasadami wolno atakować.

Dwa dominujące formaty CTF to:

• Jeopardy — tablica niezależnych zadań pogrupowanych według kategorii i wartości punktowej. Zadania rozwiązuje się samodzielnie i przesyła flagi. To najlepszy format do nauki.
• Attack-Defense — każdy zespół uruchamia identyczną podatną usługę. Naprawiają Państwo własną kopię, jednocześnie wykorzystując podatności u przeciwników, aby kraść ich flagi. Jest to format prowadzony w czasie rzeczywistym, wymagający intensywnej współpracy zespołowej i rozbudowanej infrastruktury.

Większość początkujących zaczyna od wydarzeń Jeopardy na platformach, które je organizują, a następnie przechodzi do attack-defense po zdobyciu podstawowych umiejętności.

Tablice Jeopardy są uporządkowane według powtarzających się kategorii. Ich znajomość pomaga wybierać zadania odpowiadające Państwa mocnym stronom:

• Web — wykorzystywanie podatności aplikacji internetowych (SQLi, XSS, SSRF, obejście uwierzytelniania).
• Crypto — łamanie schematów kryptograficznych lub niewłaściwe ich wykorzystanie.
• Reversing (rev) — analizowanie skompilowanych plików binarnych w celu zrozumienia ich logiki.
• Pwn / binary exploitation — wykorzystywanie błędów związanych z uszkodzeniem pamięci.
• Forensics — odzyskiwanie danych z plików, zrzutów pamięci i przechwyconych pakietów.
• OSINT — znajdowanie flag za pomocą informacji pochodzących z otwartych źródeł.
• Misc / stego — wszystkie pozostałe zadania, w tym ukrywanie danych w plikach multimedialnych.

Każde zadanie zawiera krótki opis, a często także plik lub adres URL. Należy traktować opis jako wskazówkę, a nie ozdobnik. Warto zwrócić uwagę na:

• Kategorię i liczbę punktów — liczba punktów w przybliżeniu wskazuje poziom trudności.
• Załączniki — plik binarny, archiwum ze źródłami lub pcap wskazuje zestaw narzędzi, który będzie potrzebny.
• Docelowy endpoint — adres IP i port lub adres URL aplikacji internetowej oznaczają działającą usługę.
• Sformułowania nawiązujące do określonego motywu — nazwy takie jak RSA, base64 lub odniesienie do filmu często wskazują konkretną technikę.

Proszę zapisać swoje obserwacje przed użyciem jakichkolwiek narzędzi. Połowa CTF-a polega na uważnym czytaniu.

Doświadczeni gracze przeprowadzają dokładną enumerację przed wykorzystaniem podatności. Zasada brzmi: najpierw zbierzcie wszystko, co można tanio zebrać.

W przypadku celu sieciowego lub usługi typowym pierwszym krokiem jest skanowanie portów i usług:

Nie da się zapamiętać każdego exploita. Zamiast tego warto rozwijać rozpoznawanie wzorców i przyporządkowywać wskazówki do rodzin technik.

• Formularz logowania, który odsyła wprowadzone dane — spróbuj wstrzykiwania (SQLi, XSS).
• Mały wykładnik publiczny i współdzielony moduł — klasyczne ataki na RSA.
• Okrojony 64-bitowy plik ELF z wywołaniem gets() — przepełnienie bufora stosu.
• Plik pcap pełen ruchu HTTP — wyodrębnij przesłane pliki lub dane uwierzytelniające.

Po rozpoznaniu danej rodziny wiadomo, po jakie narzędzia i hasła wyszukiwania sięgnąć. Szybkość wynika z tego mapowania, a nie z mechanicznego przypominania sobie informacji.

Punkty są ograniczone, dlatego warto rozsądnie poświęcać swój czas:

• Najpierw przejrzyj zadania o niskiej wartości. Pomagają nabrać tempa i potwierdzić, że narzędzia działają.
• Obserwuj liczbę rozwiązań. Zadanie o dużej liczbie punktów, które rozwiązało wiele osób, często jest łatwiejsze, niż sugeruje jego wartość.
• Dynamiczna punktacja — podczas wielu wydarzeń wartość zadania spada, gdy rozwiązuje je więcej zespołów, więc wczesne rozwiązania są więcej warte.
• Ustal limit czasu — jeśli przez 30–45 minut nie pojawia się żadna nowa wskazówka, przełącz się na inne zadanie i wróć do tego później ze świeżym spojrzeniem.

Rabbit hole to pozornie sensowna ślepa uliczka, która pochłania wiele godzin. Autorzy zadań czasem umieszczają zmyłki, ale większość takich ślepych uliczek powstaje z winy rozwiązującego.

Jak ich unikać:

• Przed testem sformułuj hipotezę, a następnie sprawdź wyłącznie ją.
• Prowadź na bieżąco plik z notatkami dotyczącymi sprawdzonych i wykluczonych możliwości, aby nie wracać w kółko do tych samych prób.
• Jeśli dana ścieżka wymaga mało prawdopodobnego łańcucha założeń, najpewniej jest błędna. Rozwiązania zadań CTF są zwykle przejrzyste.
• Poproś członka zespołu o sprawdzenie, czy Państwa rozumowanie jest sensowne, zanim poświęcą Państwo na nie kolejną godzinę.

CTF-y są legalne właśnie dlatego, że mają określony zakres. Przekroczenie tej granicy zmienia ćwiczenie w przestępstwo i może skutkować banem.

• Atakuj wyłącznie udostępnione cele. Nigdy nie skanuj ani nie wykorzystuj podatności tablicy wyników, infrastruktury lub innych zespołów, chyba że zasady wyraźnie na to zezwalają.
• Nie udostępniaj flag ani nie stosuj brute force wobec endpointu przesyłania.
• Nie przeprowadzaj ataków DoS na serwery zadań — zalewanie usługi ruchem psuje ją wszystkim uczestnikom i niemal zawsze jest zabronione.
• Najpierw przeczytaj stronę z zasadami. W razie wątpliwości zapytaj organizatorów na czacie wydarzenia.

Umiejętności zdobyte w CTF-ach bezpośrednio przekładają się na profesjonalną defensywną i ofensywną pracę z zakresu bezpieczeństwa:

• Zadania webowe rozwijają te same intuicje, których pentester lub inżynier AppSec używa do znajdowania rzeczywistych podatności.
• Forensics odzwierciedla pracę związaną z reagowaniem na incydenty i threat huntingiem.
• Reversing stanowi podstawę analizy złośliwego oprogramowania.
• Pwn uczy dokładnie, w jaki sposób błędy pamięci przekształcają się w exploity, dzięki czemu można lepiej chronić systemy i przeglądać bezpieczny kod.

Rywalizacja jest bezpieczną siłownią, a wypracowane umiejętności są prawdziwe.

Regularność jest skuteczniejsza niż nauka na ostatnią chwilę. Zrównoważona rutyna może wyglądać tak:

• Wybierz jedną kategorię i przez kilka tygodni dokładnie ją zgłębiaj, zamiast pobieżnie zajmować się wszystkimi.
• Zawsze czytaj write-upy zadań, których nie udało się rozwiązać — poznanie zamierzonej ścieżki jest najszybszym sposobem rozwoju.
• Tydzień później rozwiąż od początku zadania, które zostały już rozwiązane, aby utrwalić technikę.
• Prowadź własną ściągę z poleceniami i payloadami, które ciągle odtwarzasz od nowa.

Traktuj nierozwiązane zadania jak listę lektur, a nie jak porażkę.

Proszę sprawdzić, czy rozumieją Państwo formaty CTF i sposób myślenia potrzebny podczas rywalizacji.

Znają już Państwo podstawy udziału w CTF-ach:

• Flaga to token w określonym formacie, który odzyskuje się i przesyła za punkty.
• Wydarzenia typu Jeopardy oferują niezależne zadania podzielone na kategorie, a wydarzenia typu attack-defense stawiają działające usługi naprzeciw siebie.
• Główne kategorie to web, crypto, reversing, pwn, forensics, OSINT i misc/stego.
• Zwycięskie podejście polega na tym, aby najpierw przeprowadzać enumerację, rozpoznawać wzorce, ustalać limity czasu, unikać ślepych uliczek i trzymać się zakresu.
• Każda zdobyta umiejętność przekłada się na rzeczywistą defensywną i ofensywną pracę z zakresu bezpieczeństwa.

W następnej części zaczną Państwo rozwiązywać rzeczywiste zadania webowe i kryptograficzne.