CTF *

Positive Hack Days CTF — международные соревнования по защите информации, которые проводятся по игровому принципу Capture the Flag. Несколько команд в течение заранее отведенного времени защищают свои сети и атакуют чужие. Основная задача участников — выявлять уязвимости в системах противников и получать доступ к секретной информации (флагам), при этом обнаруживая и устраняя подобные уязвимости в своей системе.

В сегодняшнем топике мы представим разбор некоторых интересных заданий, с которыми сталкивались участники прошедших соревнований.

История и география

В этом году PHDays CTF состоится уже в четвертый раз. Впервые соревнования прошли во время форума Positive Hack Days в 2011 году, тогда победителями стали участники американской команды PPP, в следующем году победила российская команда Leet More, а на PHDays III чемпионами стали Eindbazen из Голландии. Каждый год в PHDays CTF принимают участие команды со всего мира — от США до Японии.

Для участия в отборочных соревнованиях в этом году зарегистрировалось больше 600 команд.

Задания и атмосфера

По сложившейся традиции игровые задания и инфраструктура подготавливаются в соответствии с легендой соревнований — специальной сюжетной линией, которая превращает простой набор задач PHDays CTF в увлекательное состязание, у которого есть цель. Например, в прошлом году участники спасали от гибели вымышленный мир D’Errorim. Предстоящие соревнования продолжат этот сюжет.

Настала пора подвести итоги онлайн-тура NeoQUEST-2014, в том числе:
— разобрать все 7 заданий квеста (на каждый день недели!);
— поведать о победителях и их наградах;
— рассказать, что ждет участников и гостей мероприятия в очном туре NeoQUEST-2014, который пройдет 3 июля в Санкт-Петербурге в Политехническом Университете.

Привет, Хабр! Наверняка, яркая и динамичная Олимпиада, проходящая в Сочи, зажгла во многих из вас дух соревнования, жажду победы и желание как-то проявить себя. Мы предлагаем «компьютерный» вариант, а именно — очередной этап ежегодного хакерского соревнования NeoQUEST-2014! Уже 24 февраля стартует онлайн-тур NeoQUEST-2014, а регистрация на него открыта здесь.

Как и в прошлом году, лучшие участники онлайн-тура пройдут в очный тур, победа в котором принесет лучшему из лучших поездку на одну из международных хакерских конференций, по выбору участника! Победитель NeoQUEST прошлого года, AVictor, выбравший поездку в Амстердам на конференцию RSA, прекрасно провел там время и, к счастью, не испытал на себе всю «прелесть» урагана «Святого Иуды», возвратившись живым, здоровым и довольным!

О том, что ждет участников NeoQUEST-2014 – под катом!

Интерактивные соревнования по защите информации PHDays CTF Quals проходили на протяжении 48 часов с 12:00 25 января до 12:00 27 января. Победителями сенсационно стали участники польской команды Dragon Sector, второе и третье место заняли PPP (США) и More Smoked Leet Chicken (Россия).



Главным отличием нынешних отборочных соревнований от всех предыдущих CTF Quals стал специальный квест, который участники должны были выполнить, чтобы заработать баллы. Эти баллы можно было использовать, чтобы открывать сами задания CTF, за выполнение которых начислялись уже итоговые очки. Сюжет квеста стал продолжением легенды финальных соревнований PHDays III CTF. На этот раз участникам предстояло в составе оперативной группы Golem расследовать инцидент, связанный с распространением червя Detcelfer.

PHDays IV все ближе: началась продажа билетов, в самом разгаре Call For Papers и прием работ на конкурс молодых ученых Young School. Но это еще не все! Уже совсем скоро стартует CTF Quals — отборочный этап международных соревнований по защите информации PHDays CTF, финал которых состоится 21 и 22 мая 2014 года в московском техноцентре Digital October во время форума Positive Hack Days.

Правила

Отборочные соревнования PHDays CTF Quals будут проходить на протяжении двух дней 25 и 26 января. По их итогам лучшие команды выйдут в финальную часть турнира. В ходе CTF Quals участники столкнутся с множеством интересных заданий: для их решения одновременно понадобятся глубокие теоритические знания современных технологий и развитые практические навыки.

Обход беспарольной авторизации уже давно будоражит умы компьютерных энтузиастов. При мыслях о биометрике по спине проходит холодок: ну а вдруг как отрежут палец или вырвут глаз? А самый гуманный и уже никого не удивляющий способ — это, конечно, USB-ключи.

На очном туре NeoQUEST-2013 мы предложили участникам взломать авторизацию на базе созданного нами USB-ключа, сделанного из Arduino. Для успешного прохождения задания участникам нужно было самим подделать USB-ключ, реализовав на Arduino довольно примитивный механизм авторизации, заключающийся в перемножении нескольких матриц. На первый взгляд, всё просто, однако задание было не без «подводных камней». О том, как тривиальная задача перемножения матриц на Arduino может вызвать затруднения у крутых специалистов, способных без проблем написать драйвер, хакнуть ботнет, и вообще обойти практически любую технологию защиты, читайте под катом.

В одном из заданий очного тура хакерского соревнования NeoQUEST-2013 участникам квеста противостоял грозный противник — гипервизор! Для побега из тюрьмы им нужно было всего лишь считать строчку из памяти процесса. Но было несколько НО… Гипервизор всячески усложнял нашим конкурсантам жизнь, а именно:
• не давал просто так читать память процесса, контролируя адресное пространство
• выполнял роль антиотладчика
• проверял целостность образа процесса, вычисляя хэш его секции
• осуществлял привязку программы к компьютеру, и т.д.

Участникам пришлось как следует поломать головы, чтобы найти нетривиальное решение обхода гипервизора! Представим себя на их месте и сразимся с гипервизором, шаг за шагом, набивая «шишки», то и дело возвращаясь на шаг назад, и, в конце концов, добьемся победы и получим ключ! Под катом — детальное рассмотрение того, как гипервизор контролировал доступ к ключу, и какие способы его обхода пытались применить участники.

Мы продолжаем свой рассказ о подготовке соревнований CTF, которые состоялись в рамках форума Positive Hack Days. Сегодня мы поговорим о создании интерфейса, удобстве его использования (юзабилити), а также разработке визуализации хода состязаний.

Первая часть

Пользовательский интерфейс

Очень важной частью разработки CTF являлось создание пользовательского интерфейса для команд (UI). С его помощью игроки должны осуществлять все действия, связанные с игровыми механиками. По личному опыту мы знали, что общее впечатление о CTF во многом зависит от качества UI, поэтому мы очень серьезно отнеслись к проработке дизайна и юзабилити.

23 и 24 мая 2013 года в рамках ежегодного международного форума по практической информационной безопасности Positive Hack Days III прошло одно из крупнейших соревнований по принципу Capture the Flag — PHDays III CTF. В этом году на организацию соревнования было потрачено очень много сил, и результат не оставил равнодушным ни одного из участников. По прошествии этого события мы решили рассказать о том, как проходила подготовка соревнования и представить взгляд из-за кулис.

CTF — это соревнование по обеспечению ИБ в формате, схожем с командной игрой. Каждой команде предоставляется своя сетевая инфраструктура с предустановленными уязвимыми сервисами. Команды должны изучать сервисы, искать в них уязвимости и, используя их, атаковать сервисы своих соперников. В то же время им необходимо поддерживать собственные сервисы в работоспособном состоянии и исправлять в них ошибки, чтобы защититься от атак соперников.

При совершении успешной атаки на вражеский сервис команда получает некоторые секретные данные, называемые «флагом». Флаг является доказательством успешной атаки. Также, помимо сервисов, командам дается набор заранее подготовленных заданий, которые могут принести дополнительные флаги.

Осталась ровно одна неделя до NeoQUEST-2013 и мы решили поподробнее рассказать о некоторых докладах, которые мы собираемся там представить:

«Кротовые норы в компьютерных джунглях: поиск слабых мест защиты, стратегия поиска путей проникновения, пентест масштабных информационных систем». В докладе будет рассмотрено, насколько связаны между собой задания хак-квестов, хакерские атаки и работа пентестеров. Представим специфику пентеста информационных систем уровня большого государства.

«Выявление скрытых гипервизоров с помощью анализа влияния аппаратной виртуализации на работу кэша процессора». Расскажем, в чём заключается разработанный метод выявления скрытых гипервизоров и продемонстрируем на практике, каким образом наличие гипервизора влияет на работу кэша процессора.

Приветствуем всех в Новом Году! Утомили затянувшиеся праздники? Кипит возмущенный бездельем разум? Есть шанс направить накопленную энергию на решение интересных задач. Регистрация на NeoQUEST-2013 объявляется открытой, а сам хак-квест начнется уже совсем скоро – 4-го февраля! По результатам NeoQUEST-2012 мы получили большое количество feedback-ов (за что огромное вам всем спасибо), постарались их учесть и сделать NeoQUEST-2013 еще лучше.

Под катом – вся информация о квесте.

15—17 декабря 2012 года прошли отборочные соревнования под названием PHDays CTF Quals. Более 300 команд боролись за право участия в конкурсе PHDays III CTF, который состоится в мае 2013 года в рамках международного форума PHDays III. В течение последних двух месяцев наша команда усиленно разрабатывала задания для отборочных соревнований, и эту статью мы решили посвятить разбору одного из них – Binary 500. Данное приложение весьма необычно, поэтому ни одна команда не смогла достать флаг, спрятанный в ее недрах.

Исполняемый файл представляет собой MBR-буткит, использующий технологию аппаратной виртуализации (Intel VT-x). В связи с этим мы решили сразу предупреждать пользователей, что приложение может нанести вред системе, и что его нужно запускать на виртуальной машине или эмуляторе.



Предупреждение и лицензионное соглашение

Время от времени специалисты по защите информации встречаются на соревнованиях, проводимых по принципу Capture the Flag, чтобы лицом к лицу узнать, кто лучше умеет защищаться или нападать. Такие состязания привлекают все больше зрителей.

Вы знакомы с поиском уязвимостей и желаете поучаствовать?

В декабре стартует PHDays CTF Quals — отборочный этап международных соревнований по защите информации PHDays CTF. Шансы равны у всех: не только известные команды, но и начинающие исследователи могут попробовать завоевать путевку в финальную стадию хакерской битвы. Турнир пройдет в конце мая 2013 года на международном форуме Positive Hack Days III.

Формируйте свою команду, подавайте заявку — и вперед!

Компания Stripe, занимающаяся онлайн платежами, запустила сегодня занятное онлайн соревнование.

В CTF версии Stripe разработчики приложений должны будут обнаружить и попытаться проэксплуатировать уязвимости в специально созданных веб-приложениях. Соревнование было запущено вчера, и в первые 6 часов зарегистрировались 4 500 человек. Соревнование продлится неделю. После этого компания планирует выпустить исходные коды, чтобы люди смогли проанализировать их или запустить самостоятельно.

26-29 июля в Лас-Вегасе (штат Невада) проходила одна из крупнейших хакерских (в прямом смысле своего слова) конференций — DEFCON, в рамках которой так же проходили соревнования CTF. В этому году в них приняло участие 4 команды из России — Leet More + Smoked Chicken, SiBears и HackerDom.

Содержание

• Общий обзор
• Бейдж от Parallax
• Capture The Flag
• Материалы
• Послесловие

Warning: Трафик, объемный пост

Битва хакеров по принципу Capture The Flag стала гвоздем программы форума PHDays 2012: на протяжении двух дней и одной ночи в режиме нон-стоп 12 команд из 10 стран взламывали сети противников и защищали свои.

Условия PHDays CTF, в отличие от многих других подобных соревнований, были максимально приближены к боевым: все уязвимости не выдуманы, а действительно встречаются в современных информационных системах. Кроме того, участники могли решать игровые задачи вслепую — атаковать системы не обладая доступом к ним, но самое главное: в этом году соревнования были построены по принципу «Царь горы» (очки начислялись не только за захват систем, но и за их удержание).

Нет, это не про Quake. Статья будет интересна тем, кто уже знает, что такое соревнования CTF и принимал участие хотя бы в одном подобном мероприятии. Для тех, кто не знает, CTF(Capture The Flag) — соревнования в сфере информационной безопасности, основной целью которых является захват т.н. «флагов», которые в дальнейшем превращаются в очки.

Соревнования длятся 24–48 часов, часто без перерыва, что требует от участников обладания огромным багажом знаний и опыта. Немаловажным фактором является возможность быстрого обмена информацией/знаниями в режиме реального времени. Таким образом, CTF можно рассматривать как модель сжатого во времени процесса, связанного одновременно с анализом данных, мозговым штурмом, поиском и эксплуатацией уязвимостей, разработкой ПО.

Желаете узнать, как взламывают и защищают информационные системы? Или вы опытный хакер, готовый продемонстрировать свой опыт и преподать урок новичкам? В последний день марта состоится workshop компании Positive Technologies, посвященный итогам PHDays CTF Afterparty 2011.

Формат
На площадке будет развернута виртуальная сеть, аналогичная той, что использовалась на отборочных соревнованиях CTF Afterparty 2011. Вы сможете не только выяснить секреты создания дьявольски сложных эксплойтов, но и порешать задания по ходу действия, поэтому не забудьте захватить ноутбук.

Что?
Эксперты Positive Technologies расскажут о заданиях на конкурсе по защите информации PHDays CTF Afterparty 2011, по косточкам разберут их и оценят полученные решения.

Информация о докладчиках и времени/месте проведения под катом.

На днях завершились две крупные хакерские конференции: BlackHat 2011 и DEFCON 19, которые проходили в Вегасе.
На конференции DEFCON, помимо докладов, ежегодно проходят самые знаменитые хакерские (whitehat) соревнования Capture The Flag (CTF). DEFCON является своеобразной альма-матер данных соревнований.

Если вы подумали, что я вам расскажу о великом «мочилове» в каком-нибудь крутом 3D-шутере, или дворовой игре с палками и тряпками — вы ошиблись. Речь пойдёт о соревнованиях в области компьютерной безопасности. В России.