CTF una visión de equipo
- 1. Capture The Flag 4 fun & profit
- 2. Presentación Claves Enfoque de la competición Categorías Ejemplos Experiencia Recursos Index
- 3. Claves Conocimiento: 100% Pensamiento lateral: 100% Estrategia: 100% Actitud: 100% Resultado: todo es importante
- 4. Enfoque
- 5. Estrategia: no hay muchas opciones, si no pasas la prueba no se desbloquean las demás. Pros: Conocimiento más amplio en las distintas categorías. Contra: Si te toca una categoría que no dominas. Grupo: todos a una. Enfoque (Pruebas bloqueantes)
- 6. Conoce tus limitaciones. Jugar con cabeza: una vez obtenida la flag guardárosla y pasad a la siguiente. Cuando esté acabando el CTF validáis las guardadas y tendréis puntos para superar al que esté delante. Importante: tened en cuenta el recuento de puntos. SIEMPRE*. Grupo: dividid esfuerzos hasta el último día, donde las pruebas que queden la deberíais de hacer juntos. Enfoque (Pruebas no bloqueantes)
- 7. Cuando estáis en equipo debéis asignar pruebas a cada integrante o como mucho 2 integrantes por prueba. Ampliando la zona de acción tendréis más probabilidades de sacar puntos. Conocer muy bien las cualidades de los compañeros (categoría que es especialista, modo propio de competir…etc). Inteligencia colectiva > inteligencia individual. Mantener informado al grupo de los progresos y la estrategia usada. Una buena comunicación optimiza los tiempos empleaos en la resolución del reto Enfoque (Pruebas en equipo)
- 8. Categorías
- 9. Crypto Cifrados de todo tipo, desde base64 hasta base91 (Q2k17), RSA, Elgammal, Vingénere e incluso haciéndote dibujar sobre un teclado distinto. Exige conocimiento matemático.
- 10. Web Explotación de vulnerabilidades de SQLinjection, CSRF, LFI…etc Suele ser la más avanzadas de todas en cuanto a dificultad ya que puede ser el ámbito más conocido por los organizadores de CTF. Suelen prohibir las herramientas automáticas, así que depende del conocimiento sobre la materia en gran medida.
- 11. Web Común: SQLinjection (versión de la BD, una tabla en concreto, un usuario…etc). Sobre este campo concreto hay mucha información. robots.txt (nunca está de más mirarlo) Tener en cuenta todo el código (CSS, HTML, JS) Herramientas: Burp Suite, Firebug, Edit This Cookie (Plugin)
- 12. Web SQLinjection y la prohibición de SQLMap: dado que muchas veces tendréis prohibido el uso de herramientas automáticas, el consejo es aprended el procedimiento para este tipo de vulnerabilidad. Burp Suite para revisar y/o modificar peticiones HTTP. Familiarizarse con ataques XSS y CSRF
- 13. SQLi Tips & Tricks ‘ OR 1 = 1 # Comprobación 1’ AND 1 = 1 union select null, @@version # Versión del DBMS 1’ AND 1 = 1 union select database(), user() # nombre de la base de datos usadas y usuario 1’ AND 1 = 1 union select null, table_name from information_schema.tables # Todas las tablas de de la base de datos 1’ AND 1 = 1 union select table_name, column_name from information_schema.columns where table_name=‘users’ # usuarios de la base de datos
- 14. Web (XSS) Normalmente JavaScript Inyección directa en código formulario + input + POST(sin comprobación) PoC: <script>alert(“XSS”)</ script> Robo de cookies y sesiones
- 15. Reversing Deberemos descubrir el proceso que sigue el programa e interceptar la información en los lugares adecuados mediante brakpoints o puntos de ruptura. Herramientas: IDA Pro, Radare, Inmunity debugger + mona.py Libros: Secret of Reversing Engineering, Practical Reversing
- 16. Exploiting Nos dan un binario o ejecutable con la flag entro del fichero, tendremos que explotar las distintas vulnerabilidades de los binarios (Heap Buffer Overflow, Stack Buffer Overflow…etc) Conocimientos sobre estructuras de memoria y ejecución de procesos. Términos como: EIP (Puntero de instrucción), ESP (Puntero de pila) Herramientas: radare2(linux/win), IDA Pro, Pwn (Python Lib)
- 17. Exploiting EIP: Guarda una dirección de memoria, leyendo este registro la CPU ejecuta la instrucción indicada en esa dirección. Controlar el registro EIP nos da control sobre el flujo de la aplicación.
- 18. Exploiting Ejemplo: encontramos que el binario de la prueba es vulnerable a un desbordamiento de pila o Stack Buffer Overflow. Teniendo en cuenta que tenemos el control del EIP, deberemos saber donde “está” el EIP, su offset Herramienta mona.py (Immunity Debugger Script). Proporciona un patrón de caracteres para localizar donde se produce exactamente el SBO y así conseguir su offset La meta final es sobreescribir el registro EIP para que apunte a una dirección que nosotros creamos conveniente (una consola de sistema, nuestro propia shellcode…etc)
- 19. Exploiting Script en python (Normalmente se elige por su simplicidad y su número de librerías disponibles) Librerías como “pwn” son muy recomendables ya que consigue una capa de atracción para las operaciones más complicadas.
- 20. Stego Imágenes, sonidos, videos…que ocultan información, ejemplo: planet.png de HackIT Herramientas útiles: Audacity, GIMP, StegDetect, StegHide, binwalk, foremost, Python…
- 21. Forensic Desde una captura RAM, pasando por una imagen de disco, hasta una “apk” de Android. Metadatos Capturas de red (PCAP) Herramientas: volatility, strings, binwalk, foremost, wireshark, exiftool…etc Ejemplo: segunda parte del reto de “Una al mes”
- 22. Trivial + Misc Son preguntas o pruebas que no encuentran su sitio en ninguna categoría. Puede caer cualquier cosa, normalmente las “ideas felices” de los organizadores. Modo de resolverlo: “Alone in the dark”.
- 23. Ejemplos (Forense/Stego) HackIT: https://github.com/JulesDT/ctfWriteUps/tree/ master/Hackit%20Quals%202016/1magePr1son- %20Misc%20-%20150%20pts *** UAM: http://unaaldia.hispasec.com/2017/11/quieres- jugar-un-juego-demuestra-tus.html Amnesia (CTF FTWR Team): https://mega.nz/#! hh0RFKaI!nGKDQXItaLQiZnw_WygT3- ga7alXUKkisl2wC8uej6s
- 24. Experiencia Cybercamp 2016 fase on-line Cybercamp 2016 fase presencial Equipo CTF Follow the White Rabbit Equipo CTF Bashtinazo Una al mes
- 25. Recursos GitHub CTF: https://github.com/ctfs (2014-Actualidad) Github CTF-Tools: https://github.com/ctfs/write-ups-tools (Herramientas usadas) Forensic resources: https://github.com/cugu/awesome-forensics Stego: steghide, stegdetect, strings, file….etc Reversing: https://github.com/wtsxDev/reverse-engineering DIY: herramientas propias a partir de experiencias con los CTF CTF-Time: https://ctftime.org/ CTF Learn: https://ctflearn.com/ CyberChef: https://gchq.github.io/CyberChef/
- 26. Preguntas?
- 27. Mucha suerte CYBERCAMP es vuestra