हमने CTFZone-2020 का योग्यता चरण कैसे तैयार किया

30 नवंबर - 1 दिसंबर को CTFZone टूर्नामेंट के योग्यता चरण को पारित किया गया, जिसने दुनिया भर से 1043 टीमों को पंजीकृत किया। हमारे आंकड़ों के अनुसार, जिम्बाब्वे (26 अद्वितीय आईपी) में भी समस्याओं का समाधान किया गया था। गहरी खुदाई करते हुए, यह ब्यूलेवो शहर से एक विश्वविद्यालय टीम थी।

इस साल CTFZone DEF CON CTF का क्वालिफाइंग चरण बन गया, इसलिए फाइनल जीतने वाली टीम (इसे 16-17 अप्रैल, 2020 को OFFZONE में आयोजित किया जाएगा) लास वेगास में टूर्नामेंट के लिए जाएगी। भाग्यशाली लोगों को वीजा प्राप्त करने के लिए समय के लिए, सम्मेलन की तारीखों को पहले की तारीख में स्थानांतरित कर दिया गया था।

DEF CON CTF कई टीमों के लिए सबसे पुरानी और सबसे सम्मानित सुरक्षा प्रतियोगिता है। विजेताओं को एक हथेली शाखा नहीं दी जाती है, लेकिन इसके बिना भी सब कुछ ठीक चल रहा है। अब दुनिया में केवल 6 टूर्नामेंट हैं जिनके माध्यम से आप डीईएफ कॉन सीटीएफ के लिए अर्हता प्राप्त कर सकते हैं।

अवधारणा के बारे में

अंतरराष्ट्रीय सीटीएफ आंदोलन में, ऐसा हुआ कि विभिन्न क्षेत्रों की टीमें कुछ क्षेत्रों में विशेषज्ञ हैं। उदाहरण के लिए, ऐतिहासिक रूप से, रूसी वेब को सुलझाने में बेहतर हैं, जबकि एशियाई और अमेरिकी टीमें PWN में अधिक मजबूत हैं। एक ही DEF CON पर, लगभग सभी कार्य बायनेरी हैं। शायद इसीलिए हाल ही में अमेरिकी और एशियाई टीमों ने वहां बेहतर प्रदर्शन किया है। हम CTFZone में यह दिखाने की कोशिश कर रहे हैं कि CTF न केवल PWN है, बल्कि कई अन्य दिलचस्प श्रेणियां भी हैं: वेब, क्रिप्टोग्राफी, रिवर्स, OSINT, फोरेंसिक, PPC।

वेब

वेब-आधारित असाइनमेंट में, लेखक - काम के घंटों के दौरान पैठ परीक्षण विशेषज्ञ - वास्तविक दुनिया की परियोजनाओं से कमजोरियों को स्थानांतरित करने की कोशिश की। उदाहरण के लिए, वेब-शॉप कार्य में हमने लोकप्रिय अजगर-मार्कडाउन 2 पुस्तकालय का उपयोग किया, जहां हमारे विशेषज्ञ ने प्रतियोगिता से कुछ हफ्ते पहले एक्सएसएस फिल्टर को बायपास करने के लिए शून्य-दिन की भेद्यता पाई। सीटीएफ के दौरान, हालांकि, चार निर्णायक टीमों में से प्रत्येक को इस भेद्यता का अपना संस्करण मिला, जो हमें पुस्तकालय में छानने की गुणवत्ता के बारे में सोचने देता है।

वेब-कार्ड नौकरी के लिए, हमने मानक जावा एक्सएमएल सत्यापन वर्ग में शून्य-दिन की भेद्यता का उपयोग किया। यह एक वास्तविक वेब अनुप्रयोग फ़ायरवॉल का परीक्षण करते समय पता चला था, इसलिए हमने प्रतिभागियों को WAF को बायपास करने के लिए आमंत्रित किया, जिसे हमने विशेष रूप से कार्य के लिए विकसित किया था। राइटअप का विस्तृत संस्करण बाद में होगा।

खैर, एमराल्डरश टास्क में दिखाया गया है कि गितलाब और गितूब पिछले साल की तरह हो गए हैं - रूबी से जुड़ी कमजोरियां, जिस पर वे दोनों लिखे गए हैं। उनमें से एक CVE-2018-18649 पर आधारित है (हालांकि, इसके लिए कोई खुला उपयोग नहीं है), दूसरा हाल ही में हैकरऑन प्लेटफॉर्म पर खोजा और प्रकाशित किया गया है (विवरण के लिए, लेख देखें )। बेशक, डेवलपर्स को प्रतियोगिता से पहले इन दोनों और अन्य सभी वेब कमजोरियों के बारे में सूचित किया गया था, जिम्मेदार प्रकटीकरण के सिद्धांतों के अनुसार।

क्रिप्टो

बदले में, क्रिप्टोटैस्क विकास टीम ने आरएसए कार्यान्वयन से संबंधित सीटीएफ में न केवल लगातार बग का सामना किया, बल्कि हाल के वर्षों के सनसनीखेज हमलों को भी आधार बनाया। उदाहरण के लिए, टास्क OCB2 को उसी नाम के सममित एन्क्रिप्शन सिस्टम पर एक हमले से निपटना था, जिसकी खोज के लिए क्रिप्टो सम्मेलन में उन्होंने बेस्ट पेपर अवार्ड दिया था।

और एनटीआरयू कार्य में, एक असममित जाली प्रणाली पर हमले का अध्ययन करना आवश्यक था। उसे सितंबर में वर्णित किया गया था, लेकिन संबंधित लेख को खोजने और पढ़ने के लिए पर्याप्त नहीं था। समस्या के लेखक को खुद समस्याओं का सामना करना पड़ा जब यह पता चला कि प्रकाशन ने वर्णन के लिए सबसे सुविधाजनक मामला लिया, जो अंतिम कार्य में चयनित मापदंडों के साथ काम नहीं करता था। मुझे एल्गोरिथ्म को फिर से करना पड़ा! यह दिलचस्प है कि प्रतिभागियों में से एक (एलसी / बीसी टीम से एलेक्सी उदोवेंको) ने एक लेख के बिना समस्या को हल किया, एक ही सिद्धांत के आधार पर थोड़ा अलग समाधान विधि के साथ आया।

फोरेंसिक

खैर, हमारे CTF पर सबसे मुश्किल श्रेणी फोरेंसिक थी। सभी को यह सोचने के लिए उपयोग किया जाता है कि ऐसे कार्यों को तीन उपयोगिताओं का उपयोग करके हल किया जाता है: सबसे महत्वपूर्ण, अस्थिरता और तार। लेकिन हमारे पास अलग-अलग कार्य थे - उदाहरण के लिए, एक असामान्य इन-शैडोज़ कार्य, जिसके समाधान के लिए यहां वर्णित तकनीक से निपटना आवश्यक था। विवरण भी जिला समिति में बाद में जारी किया जाएगा।

प्रशिक्षण के बारे में

CTFZone योग्यता के लिए प्रत्यक्ष तैयारी में कई मुख्य चरण शामिल थे (एक परियोजना टीम को इकट्ठा करना, विकास कार्य, परीक्षण और बुनियादी ढांचे को तैनात करना, एक रॉकेट को अंतरिक्ष में लॉन्च करना) और कई सहायक व्यक्ति (प्रेरणा की खोज, संचार स्थापित करना, पीड़ा और संदेह करना, अवसाद, मौजूदा संकट पर काबू पाना)।

आम बैठक की शुरुआत से तीन महीने पहले, तारीखें चुनी गई थीं - 7 और 8 दिसंबर। टीम इस नतीजे पर पहुंची कि कुछ भी समय नहीं होगा, लेकिन फिर भी व्यापार में कमी आई। और सात दिन बाद, इन अवास्तविक समय-सीमा को एक सप्ताह पहले स्थानांतरित कर दिया गया था, चूंकि चयनित तिथियां और सभी निम्नलिखित पहले से ही अन्य सीवी ले चुके हैं। वह सब बना रहा जो आपके दांतों को मुस्कुराना, त्रिगुणित ऊर्जा के साथ काम करना था। कोई पीछे नहीं हटना था;

नतीजतन, कार्य सामान्य से अधिक था - 30 टुकड़े। प्रत्येक कार्य अद्वितीय है, लेकिन बहुत लंबे समय तक नहीं रहता है: 3 महीने की तैयारी और केवल 36 घंटे की उड़ान। लेकिन क्या! जिन बटनों को आपने ध्यान से सामने के छोर पर चित्रित किया है, उन्हें दुनिया के अग्रणी CTFers द्वारा स्पर्श किया जाएगा - वे आपके विचार में खुद को विसर्जित कर देंगे और आपको एक व्यक्तिगत प्रतिक्रिया देंगे। यह एक महान अनुभव है और एक बड़े समुदाय के साथ अपने काम के बारे में बात करने का अवसर है। आखिरकार, अक्सर कार्यों में निहित कमजोरियों के साथ, किसी तरह की कहानी जुड़ी हुई है। कुछ कार्य इतने कठिन थे कि कोई भी उनका पता नहीं लगा सकता था। अनसुलझी समस्याओं की योग्यता के अंत तक, दो बने रहे: लोकप्रिय फॉरेंसिक और वेब-कार्ड ।

आधारभूत संरचना के बारे में

टूर्नामेंट के बुनियादी ढांचे के संगठन को विभिन्न तरीकों से संपर्क किया जा सकता है। उदाहरण के लिए, पुराने तरीके से, कार्य डेवलपर्स के लिए आभासी मशीनों को काटें और उन्हें वहां पहुंच दें। इस स्थिति में, प्रत्येक डेवलपर लोकलहोस्ट का एक संतुष्ट प्रशासक बन जाता है, वह जो चाहता है, सब कुछ काम करता है, और यह केवल नेटवर्क कनेक्टिविटी प्रदान करने के लिए रहता है। हालांकि, यह स्पष्ट है कि इस मामले में किसी भी प्रतिकृति और दोष सहिष्णुता की बात नहीं है। हमारे बुनियादी ढांचे के लिए ज़िम्मेदार, 2016 में ज़ीरोनाइट्स में सीटीएफ में से एक असफल रहा, और इस बार, कड़वे अनुभव द्वारा सिखाया गया, चीजों को अलग तरीके से करने का फैसला किया।

हमने लंबे समय तक तय किया कि हम कहां रहेंगे, और अंत में हमने बादल में घूमने का फैसला किया। कारण स्पष्ट हैं: हैकर्स के लिए प्रतियोगिताओं, इसलिए Google को तोड़ना बेहतर है, और जश्निक में पहले से ही तैयार किए गए विकास थे। प्लेटफ़ॉर्म बनाने का मुख्य उपकरण टेराफ़ॉर्म था, जो आपको घोषणात्मक प्रारूप में कोड के रूप में बुनियादी ढांचे का वर्णन करने की अनुमति देता है, और अन्य सभी इशारों का ख्याल रखता है। उदाहरण के लिए, आपको यह सोचने की ज़रूरत नहीं है कि Google API पर कैसे जाएं और उसे यह बताएं कि आप कितनी और किन वर्चुअल मशीनों को तैनात करना चाहते हैं।
यह भी तय करना आवश्यक था कि कार्यों को कैसे शुरू किया जाए। हम बहुत भाग्यशाली थे कि सभी डेवलपर्स पहले से ही डॉकर में कार्य लिखने में सक्षम थे। यह एक ऐसा प्रचारक कंटेनर है जो आपको एक अलग वातावरण में सभी निर्भरताओं के साथ एक सेवा पैक करने की अनुमति देता है जो पुनरारंभ के बीच नहीं बदलता है। डॉकर के साथ काम करने के कई तरीके नहीं हैं: ये मुख्य रूप से ऑर्केस्ट्रेटर जैसे कंपोज़ और के 8 हैं। सब कुछ सुंदर बनाने के लिए, अर्थात् बैलेंसिंग, प्रतिकृतियां, दोष सहिष्णुता और अन्य उद्यमों के साथ विशलिस्ट को लागू करने के लिए, ऑर्केस्ट्रा की पसंद स्पष्ट थी - कुबेरनेट्स।

हालांकि, हालांकि, बुनियादी ढांचे के निर्माता और डेवलपर्स के बीच कुछ गलतफहमी थी। पेंटेस्टर्स आईटी दुनिया की एक विशेष जाति हैं: वे आंशिक रूप से प्रशासक, नेटवर्कर्स की तरह हैं, और जानते हैं कि कैसे डेटाबेस है, और प्रोग्रामिंग में उन्मुख हैं। सामान्य तौर पर, लोग नहीं, लेकिन स्विस चाकू। वे बेहद असाधारण और महत्वाकांक्षी हैं, लेकिन, दुर्भाग्य से, जब प्रत्येक कार्य के लिए हेल्म लिखने का फैसला किया गया था, तो यह किसी भी तरह से भूल गया था कि पेंटेस्टर्स अभी भी पेशेवर व्यवस्थापक नहीं हैं। इससे एक छोटा युद्ध हुआ, जिसके दौरान यह स्पष्ट करना आवश्यक था कि क्यों कुछ निर्णय जबरन लिए जाते हैं और प्रतिबंध लगाए जाते हैं।

दोस्तों को हेल्म लिखने का कोई अनुभव नहीं था, लेकिन वे सभी जानते थे कि कंपोज़ कैसे लिखा जाता है। आप स्वयं समझते हैं कि स्थानीय कम्पोज़ और हेलम-चार्ट के बीच सामग्री का अध्ययन करने के कई हफ्तों या महीनों का अंतर होता है। यह पहली घंटी थी जिसने संकेत दिया कि कुछ समस्याएं थीं (जहां सीटीएफ उनके बिना होगा, खासकर जब टीम और व्यवस्थापक लगभग हर बार नए होते हैं)।

समय की कमी के कारण, सब कुछ स्वचालित करना संभव नहीं था - कुछ चीजें खुद डेवलपर्स के कंधों पर पारित की जानी थीं। पंचों को सभाओं में बैठना पड़ता था जहाँ उन्हें बताया जाता था कि उन्हें कैसे लिखना है, जबकि वे स्वयं, जाहिर है, इस भक्ति को शाप देते हैं कि प्रकाश क्या है। लेकिन, सब कुछ के बावजूद, हम सफल हुए - सभी कार्यों का वर्णन किया गया और हेल्म चार्ट में पैक किया गया, निगरानी को ग्राफाना और प्रोमेथियस के रूप में कॉन्फ़िगर किया गया। सत्य का क्षण आ गया है।

और यहां, सभी को राहत देने के लिए, यह पता चला कि परिणामस्वरूप बुनियादी ढांचे का प्रबंधन करना बहुत आसान है। जब Google पर सब कुछ वर्णित और तैनात किया गया था, तो हमने ड्यूटी पर रहने वालों के लिए एक ब्रीफिंग की। उनमें से दस थे, और सभी ने बहुत अच्छा काम किया: उन्होंने गिरे हुए संग्रह को उठाया, और सही किए गए संस्करण को एक घन में बदल दिया।

फाइनलिस्ट के बारे में

परिणामस्वरूप, फाइनल के लिए 10 स्टार टीमों का चयन किया गया। तारकीय क्यों? तथ्य यह है कि 10 में से 6 टीमें सीटीएफटाइम में शीर्ष दस विश्व चैंपियनशिप में हैं, और शेष चार शीर्ष दस से थोड़ा पीछे हैं, लेकिन शीर्ष में भी हैं।

टूर्नामेंट की मुख्य विशेषता यह थी कि सबसे भयंकर संघर्ष शीर्ष तीन में जगह के लिए नहीं था, बल्कि दसवीं पंक्ति के लिए था। प्रतिभागियों के लिए फाइनल में पहुंचना महत्वपूर्ण था, और वहां स्थिति रीसेट हो गई है, और योग्यता प्रतियोगिताओं के परिणामों के आधार पर हमारे पास सीटों का वितरण बहुत बदल सकता है।

आगे क्या है?

आगे यह थोड़ा साँस छोड़ना संभव होगा, फिर एक गहरी साँस लेने के लिए और फाइनल की तैयारी शुरू कर देगा। यह हमला / रक्षा प्रारूप में आयोजित किया जाएगा, और यह पूरी तरह से अलग कहानी है। कोई पूछ सकता है: यह सब क्यों है? सवाल अच्छा है, लेकिन इसका कोई तार्किक जवाब नहीं है। यह सिर्फ इतना है कि अगर कम से कम 5 सेकंड के लिए आप वास्तव में क्या हो रहा है पर उच्च प्राप्त कर सकते हैं, जीवित महसूस करें और देखें कि आप किस टीम का हिस्सा हैं, तो यह व्यर्थ नहीं है!