CTF Kategorileri ve Zihniyet

Bayrağı Yakala (CTF), gizli bir bayrak adı verilen belirteci elde etmek için güvenlik görevlerini çözdüğünüz bir siber güvenlik yarışmasıdır.

Bayraklar, puanlama sistemlerinin bunları otomatik olarak doğrulayabilmesi için sabit bir biçimi izler; örneğin:

• flag{this_is_the_answer}
• CTF{s0me_l33t_string}

Puan kazanmak için bayrağı puan tablosuna gönderirsiniz. CTF'ler, saldırmanıza açıkça izin verilen hedeflere karşı saldırı tekniklerini uygulamanın yasal ve yalıtılmış bir yoludur.

En yaygın iki CTF biçimi şunlardır:

• Bilgi yarışması — kategori ve puan değerine göre gruplanmış bağımsız görevlerden oluşan bir pano. Görevleri bağımsız olarak çözer ve bayrakları gönderirsiniz. Öğrenmek için en uygun biçimdir.
• Saldırı-Savunma — her ekip aynı güvenlik açığına sahip hizmeti çalıştırır. Rakiplerin bayraklarını çalmak için onların kopyalarını istismar ederken kendi kopyanızı düzeltirsiniz. Gerçek zamanlı, ekip çalışması ağırlıklı ve altyapı açısından yoğundur.

Yeni başlayanların çoğu, bunlara ev sahipliği yapan platformlardaki bilgi yarışması etkinlikleriyle başlar; temel becerileri kazandıktan sonra saldırı-savunma biçimine geçer.

Bilgi yarışması panoları, düzenli olarak tekrarlanan kategorilere ayrılır. Bu kategorileri bilmek, güçlü yönlerinize uygun görevleri seçmenize yardımcı olur:

• Web — web uygulamalarını istismar etme (SQLi, XSS, SSRF, kimlik doğrulama atlatma).
• Kriptografi — kriptografik şemaları kırma veya kötüye kullanma.
• Tersine mühendislik — mantığı anlamak için derlenmiş ikili dosyaları analiz etme.
• İkili dosya istismarı — bellek bozulması hatalarını istismar etme.
• Adli bilişim — dosyalardan, bellek dökümlerinden ve paket yakalamalarından veri kurtarma.
• OSINT — açık kaynak istihbaratını kullanarak bayrakları bulma.
• Çeşitli / steganografi — ortam dosyalarındaki gizli veriler de dahil olmak üzere diğer her şey.

Her görev kısa bir açıklamayla ve çoğu zaman bir dosya veya URL ile birlikte sunulur. Açıklamayı süs olarak değil, ipucu olarak değerlendirin. Şunları arayın:

• Kategori ve puan — puanlar yaklaşık olarak zorluk seviyesini gösterir.
• Ekler — bir ikili dosya, kaynak arşivi veya pcap, hangi araçlara ihtiyaç duyacağınızı gösterir.
• Hedef uç nokta — bir IP ve bağlantı noktası ya da web URL'si, çalışan bir hizmet anlamına gelir.
• Temalı ifadeler — RSA, base64 veya bir film göndermesi gibi adlar çoğu zaman kullanılacak tekniğe dair ipucu verir.

Herhangi bir araca başvurmadan önce gözlemlediklerinizi yazın. CTF'nin yarısı dikkatli okumaktır.

Güçlü oyuncular istismar işleminden önce kapsamlı bir keşif yapar. Kural şudur: önce toplanması kolay olan her şeyi toplayın.

Bir ağ veya hizmet hedefi için tipik ilk adım, bağlantı noktası ve hizmet taramasıdır:

Her istismarı ezberleyemezsiniz. Bunun yerine örüntü tanıma becerisi geliştirin: ipuçlarını teknik aileleriyle eşleştirin.

• Girdinizi olduğu gibi yansıtan bir giriş formu varsa enjeksiyon deneyin (SQLi, XSS).
• Küçük bir açık üs ve ortak bir modül varsa klasik RSA saldırılarını düşünün.
• gets() çağrısı içeren, sembolleri kaldırılmış 64 bitlik bir ELF varsa yığın arabellek taşması düşünün.
• HTTP ile dolu bir pcap varsa aktarılan dosyaları veya kimlik bilgilerini çıkarın.

Aileyi tanıdığınızda hangi araçlara ve arama terimlerine başvuracağınızı bilirsiniz. Hız, ham ezberden değil, bu eşleştirmeden gelir.

Puanlar sınırlı olduğundan çabanızı akıllıca harcayın:

• Önce düşük puanlı görevleri tarayın. Bunlar ivme kazanmanızı sağlar ve araçlarınızın çalıştığını doğrular.
• Çözüm sayılarını izleyin. Çok sayıda çözümü olan yüksek puanlı bir görev, puanının düşündürdüğünden daha kolay olabilir.
• Dinamik puanlama — birçok etkinlikte, daha fazla ekip çözdükçe görevin değeri düşer; bu nedenle erken çözümler daha değerlidir.
• Süre sınırı koyun — 30 ila 45 dakika boyunca yeni bir ipucu bulamadan takılırsanız görevi değiştirin ve taze bir bakışla geri dönün.

Çıkmaz yol, makul görünen ancak saatlerinizi tüketen yanlış bir yoldur. Tasarımcılar bazen yanıltıcı ipuçları yerleştirir; ancak çıkmaz yolların çoğunu kişi kendi oluşturur.

Bunlardan kaçınmak için:

• Test etmeden önce bir varsayım ortaya koyun, ardından yalnızca o varsayımı test edin.
• Denediğiniz ve elediğiniz şeyleri sürekli güncellediğiniz bir not dosyasında tutun; böylece aynı döngüye girmezsiniz.
• Bir yolun olasılığı düşük bir varsayımlar zinciri gerektirdiğini görüyorsanız muhtemelen yanlıştır. CTF çözümleri genellikle nettir.
• Bir saat daha harcamadan önce bir ekip arkadaşınızdan akıl yürütmenizi mantık açısından kontrol etmesini isteyin.

CTF'ler tam olarak kapsamları belirli olduğu için yasaldır. Sınırı aşmak, çalışmanızı suça dönüştürür ve yasaklanmanıza neden olur.

• Yalnızca sağlanan hedeflere saldırın. Kurallar açıkça izin vermedikçe puan tablosunu, altyapıyı veya diğer ekipleri asla taramayın ya da istismar etmeyin.
• Bayrak paylaşmayın veya gönderim uç noktasına kaba kuvvet uygulamayın.
• Görev sunucularına hizmet engelleme saldırısı yapmayın — bir hizmeti trafikle doldurmak herkes için sistemi kullanılmaz hâle getirir ve neredeyse her zaman yasaktır.
• Önce kurallar sayfasını okuyun. Emin olmadığınızda etkinlik sohbetinde organizatörlere sorun.

CTF becerileri, profesyonel savunma ve saldırı güvenliği çalışmalarına doğrudan aktarılabilir:

• Web görevleri, bir sızma testi uzmanının veya AppSec mühendisinin gerçek güvenlik açıklarını bulmak için kullandığı sezgileri güçlendirir.
• Adli bilişim, olay müdahalesini ve tehdit avcılığını yansıtır.
• Tersine mühendislik, kötü amaçlı yazılım analizinin temelini oluşturur.
• Bellek istismarı, bellek hatalarının nasıl istismarlara dönüştüğünü tam olarak öğretir; bu da sizi daha iyi bir savunmacı ve güvenli kod inceleyicisi yapar.

Yarışma güvenli bir antrenman salonudur; geliştirdiğiniz kas gerçektir.

İstikrar, son anda yoğun çalışmaktan daha etkilidir. Sürdürülebilir bir rutin şöyle olabilir:

• Tüm kategorilere yüzeysel bakmak yerine bir kategori seçin ve birkaç hafta boyunca derinlemesine çalışın.
• Çözemediğiniz görevlerin çözüm yazılarını mutlaka okuyun; amaçlanan yolu öğrenmek en hızlı gelişim yoludur.
• Çözdüğünüz görevleri bir hafta sonra tek başınıza yeniden çözerek tekniği pekiştirin.
• Sürekli yeniden çıkardığınız komutlar ve yükler için kişisel bir başvuru notu tutun.

Çözülmemiş görevleri başarısızlık olarak değil, bir okuma listesi olarak değerlendirin.

Artık CTF oynama temellerini anlıyorsunuz:

• Bayrak, elde edip puan karşılığında gönderdiğiniz, belirli bir biçime sahip belirteçtir.
• Bilgi yarışması etkinlikleri bağımsız ve kategorilere ayrılmış görevler sunar; saldırı-savunma etkinlikleri ise çalışan hizmetleri birbirleriyle karşı karşıya getirir.
• Temel kategoriler web, kriptografi, tersine mühendislik, bellek istismarı, adli bilişim, OSINT ve çeşitli/steganografi kategorileridir.
• Kazandıran zihniyet önce keşif yapmak, örüntüleri tanımak, süre sınırı koymak, çıkmaz yollardan kaçınmak ve kapsam içinde kalmaktır.
• Geliştirdiğiniz her beceri, gerçek savunma ve saldırı güvenliği çalışmalarına aktarılabilir.

Sırada gerçek web ve kriptografi görevlerini çözmeye başlayacaksınız.