Web ve Kripto Zorlukları

Web ve kriptografi, CTF'ye giriş için en yaygın iki başlangıç noktasıdır.

• Web görevleri, size çalışan bir web uygulaması verir ve uygulamanın girdiyi, kimlik doğrulamayı veya güveni ele alış biçimindeki bir açığı bulmanızı ister.
• Kriptografi görevleri, size şifreli metin, bir şema ve bazen kaynak kodu verir; kriptografinin kullanım biçimindeki bir açıktan yararlanarak açık metni veya anahtarı elde etmenizi ister.

Her ikisi de yöntemli gözlem yapmayı gerektirir. Bu ders, her alanda tekrar eden bulmacaları ele alır.

Herhangi bir şeyi istismar etmeden önce uygulamanın haritasını çıkarın. Kaynak kodunu görüntüleyin, yanıtları inceleyin ve gizli içerikleri yoklayın.

SQL enjeksiyonu, kullanıcı girdisi kod ile veri arasında ayrım yapılmadan bir veritabanı sorgusuna birleştirildiğinde meydana gelir.

SELECT * FROM users WHERE name='INPUT' gibi bir sorgu oluşturan giriş sistemi, dizeyi kapatıp mantığı değiştiren bir girdinin kullanılmasıyla manipüle edilebilir:

CTF, enjeksiyonu nasıl kıracağınızı ve böylece nasıl savunacağınızı öğretir. Doğru savunma, kullanıcı verilerini sorgu yapısının tamamen dışında tutan parametreli sorgulardır (hazırlanmış ifadeler).

XSS, bir uygulama saldırganın kontrolündeki girdiyi yansıttığında veya depoladığında ve tarayıcı bunu betik olarak çalıştırdığında meydana gelir. CTF'de bir XSS görevi, genellikle çerezinde bayrağı taşıyan bir botun sizin yükünüzü ziyaret etmesini içerir.

• Yansıtılan — istekteki yük doğrudan geri yansıtılır.
• Depolanan — yük kaydedilir ve sonraki ziyaretçiler için çalıştırılır.
• DOM tabanlı — istemci tarafındaki JavaScript, girdiyi sayfaya güvenli olmayan bir biçimde yazar.

Savunma, bağlama duyarlı çıktı kodlaması ile İçerik Güvenliği Politikası kullanmaktır. <script>alert(1)</script> gibi bir deneme girdisi, girdinin etkisizleştirilip etkisizleştirilmediğini doğrular.

İki temel web konusu daha vardır:

• Sunucu Taraflı İstek Sahteciliği (SSRF) — bayrağa ulaşmak için sunucuyu sizin adınıza istek yapmaya kandırırsınız; genellikle http://127.0.0.1 gibi yalnızca dahili erişime açık adreslere veya bir bulut meta veri uç noktasına istek yaptırırsınız.
• Yol geçişi — ../ gibi dizilerle hedeflenen dizinin dışına çıkarak web kökünün dışındaki dosyaları okursunuz; örneğin ../../../../etc/passwd.

Her ikisi de bir kaynağı seçmesi için kullanıcı girdisine güvenmekten kaynaklanır. Savunma, katı izin listeleri kullanmak ve yolları kullanmadan önce standartlaştırıp doğrulamaktır.

Yeni başlayanların en sık düştüğü kriptografi tuzağı, kodlamayı şifrelemeyle karıştırmaktır. Kodlama, anahtara ihtiyaç duymadan herkes tarafından geri çevrilebilir; bu nedenle hiçbir gizlilik sağlamaz.

Biçimleri görür görmez tanımayı öğrenin:

• Base64 — harfler, rakamlar, + / ve çoğu zaman = dolgusu.
• Onaltılık — yalnızca 0-9 a-f.
• ROT13 / Sezar — okunabilir yapı ve kaydırılmış harfler.

Birçok kriptografi görevi, zayıf tarihsel şifreler veya özensiz uygulanmış modern şifreler kullanır:

• Sezar / Vigenère — frekans analiziyle veya 25 kaydırmanın tümünü deneyerek kırılabilen kaydırma şifreleri.
• Tek baytlı XOR — tüm mesajın tek bir baytla XOR işlemine tabi tutulması; 256 anahtarın tümünü kaba kuvvetle deneyip okunabilir çıktıyı seçin.
• Tekrarlayan anahtarlı XOR — anahtar uzunluğunu bularak, ardından her anahtar baytını tek baytlı XOR olarak çözerek kırılır.

Ders şudur: özel veya klasik bir şifre, bir analiste karşı gerçek bir güvenlik sağlamaz.

RSA yalnızca parametreleri doğru seçildiğinde güvenlidir. CTF kriptografisi size bozuk bir örnek sunmayı sever:

• Küçük modül — n yeterince küçükse özel anahtarı elde etmek için doğrudan çarpanlarına ayırabilirsiniz.
• Küçük üs, dolgu yok — e=3 ve kısa bir iletiyle şifreli metin tam küp olabilir ve tam sayı küp kökü alınarak elde edilebilir.
• Paylaşılan çarpanlar — iki açık anahtar bir asal sayıyı paylaşıyorsa modüllerinin en büyük ortak böleni bu sayıyı anında ortaya çıkarır.

Gerçek dünyadaki savunma şudur: büyük anahtarlar ve uygun dolgu (OAEP) kullanan, güvenilirliği doğrulanmış bir kütüphane kullanın; kendi uygulamanızı yazmayın.

Bir görev size parola özeti verdiğinde amaç, özgün girdiyi geri elde etmektir. Bir özeti tersine çeviremezsiniz; ancak girdileri tahmin edip karşılaştırabilirsiniz.

Her iki kategori için de tutarlı bir döngü kullanarak süreci birleştirin:

• Gözlemleyin — görev açıklamasını okuyun, kaynak kodunu görüntüleyin, kodlamayı veya şemayı belirleyin.
• Hipotez kurun — olası güvenlik açığı ailesini adlandırın.
• Küçük bir sınama yapın — tek bir deneme yükü gönderin, tam yanıtı izleyin.
• İstismar edin — işe yarayan deneme yükünü, bayrağı veren tam bir yüke dönüştürün.
• Belgeleyin — yükü ve akıl yürütmenizi henüz tazeyken kaydedin.

Bu döngü, çıkmazlara sapmanızı önler ve neredeyse zahmetsizce bir çözüm yazısı oluşturmanızı sağlar.

Web ve kriptografinin temellerini ne kadar kavradığınızı sınayın.

Tekrarlanan web ve kriptografi bulmacalarını ele aldınız:

• Web: önce haritalayın, ardından SQL enjeksiyonu, XSS, SSRF ve yol geçişi için denemeler yapın — bunların her biri, kullanıcı girdisine güvenmenin güvensiz olmasından kaynaklanır ve her biri kodu veriden ayırarak düzeltilir.
• Kriptografi: kodlama ile şifrelemeyi ayırt edin, zayıf klasik ve XOR şifrelerini kırın, RSA parametre hatalarından yararlanın ve özetleri kelime listeleriyle kırın.
• Tek bir gözlemle, hipotez kur, sınama yap, istismar et, belgele döngüsü her ikisi için de işe yarar.

Sırada tersine mühendislik ve ikili dosya istismarı var.