;)
  thinkIT.ru — первый IT-портал города  
 
 
Первый IT-портал города
 
 
Почта:
Пароль:
    Забыли пароль?
  • Звездные войны: Эпизод I 3D
  • Путешествие-2 3D
  • Значит, война
  • Код доступа «Кейптаун»
  • Такие разные близнецы
  • Хроника
  • На Байкал
  • На грани
  • Все любят китов
  • Одержимая
  • Ржевский против Наполеона 3D

Кино в Таганроге

 

Рубрика: новости

34
UFOCTF2009

UFOCTF2009


28 июня завершился первый чемпионат по компьютерной безопасности на юге России "UFOCTF2009"

Автор: fang | Добавлено: 02 Июля, 2009 | Очень много комментариев | Просмотров: 1086
27 июня в ТТИ ЮФУ прошли первые на юге России соревнования по компьютерной безопасности Capture The Flag "UFOCTF2009".
Задача соревнований состояла в том что бы команда набрала как можно больше очков, которые начисляются за:
-корректное функционирование собственных сервисов;
-захват флагов с сервисов других команд;
-описание найденных уязвимостей, способов их исправления и использования;
-выполнение квестов (дополнительных заданий).

В соревнованиях принимали участие команды:

Hackerdom
Hackerdom (УрГУ, г. Екатеринбург)
 
Wild Ride (ЧелГУ, г. Челябинск)
 
iNSANiTY (СевКавГТУ, г. Ставрополь)
 
Scythian (ТТИ ЮФУ, г. Таганрог)
Console Enemies (ТТИ ЮФУ, г. Таганрог).
 

В начале соревнований захватила первенство команда Hackerdom, они смогли быстро поднять сервисы и написать эксплоиты для атаки на сервисы других команд, это им дало огромный отрыв от команд соперников.
Между командами Wild Ride и Scythian сохранялась интрига, кто будет обладателем второго места. Команды Console Enemies и iNSANiTY уже сражались за третье место.Исход сражения стал известен после завершения игрового времени и обработки полученных данных.

Таким образом:

Команда Hackerdom заняла первое место.
Команда Scythian и Wild Ride - второе место.
Команда iNSANiTY - третье место.
Команда Console Enemies - четвертое место.
Команды занявшие призовые места, кроме команды Scythian, которая по своему желанию играла вне зачета, были награждены картами флэш-памяти,а команда Console Enemies получила приз зрительских симпатий.
Команде Hackerdom был так же вручен кубок, как победителям первых южных соревнований UFOCTF2009.

Теги: CTF, UFOCTF2009, IT | Оценка: (6) |

Комментарии:

Больше новостей, хороших и разных :)
quadroD quadroD | 02 Июля 2009 23:35ссылка сюда
какие на машинах были установлены оси? Что представляли из себя флаги?
fang fang | 02 Июля 2009 23:51ссылка сюдаответ на
на машинах была установлена Ubuntu 8.10, в игровых образах ArchLinux.
Флаги представляли(как и всегда) набор символов который надо было достать из чужого сервиса.
николай николай | 03 Июля 2009 09:01ссылка сюдаответ на
ну вот что такое "набор символов достать из чужого сервиса"? Это называется подразнить читателя и дать ему почувствовать себя полным дураком :-( У нас же все таки технический сайт!
Например сервис - это web server httpd. Я подключаюсь к нему браузером и выкачиваю index.html Это как, я достал набор символов из чужого сервиса или нет? Вроде бы достал :-) Или не это подразумевается? Или я должен на машине клиента запустить червя, который просмотрит виртуальную память сервиса и найдет в ней некие (наверное зараннее обговоренные сигнатуры) и потом еще умудрится отослать их на мою машину?
fang fang | 04 Июля 2009 20:39ссылка сюдаответ на
Конечно, не так сурово, что бы прям браузером забрать флаг=)), но в целом мысль верна.Попробую конкретизировать.
Есть БД, в которой скажем храниться пароль к кредитке Васи Пупкина,вот этот пароль и есть флаг. Если его достали, отправляете на сервер жюри и Вам начисляются очки. И конечно же гораздо быстрее и приятнее если к уязвимости БД написан скрипт котрый сам коннектится и шлет флаги)
николай николай | 04 Июля 2009 22:51ссылка сюдаответ на
ну из вас прям все выпытывать приходится... пока не спросишь ничего толком не расскажете... :-)
Ниже like_a писал, что все сервисы являются самописными. А вот интересно они пишутся здесь же во время соревнований на скорость или это домашняя заготовка? Мне кажется, что если это домашняя заготовка, то вероятность допустить серьезный баг практически приближается к нулю.. Ну по крайней мере сделать дома такой баг, что бы противник за день найдет...
Никто из вас это не написал, и приходится догадываться и выдумывать.. Видимо было некое тех задание (у всех одинаковое?), которое выполняется (дома?) и у жюри есть некая программа чекер, которая проверяет функциональность.. Если так, то более или менее понятно - понятно где у противника сервис и что делает..
Anatoly Anatoly | 04 Июля 2009 23:15ссылка сюдаответ на
на то и программа чтобы были ошибки, большой нет разницы - домашняя загтовка или нет. Ошибки есть всегда))) вопрос количества
николай николай | 04 Июля 2009 23:35ссылка сюдаответ на
не спорю, что во всякой программе есть баги, мне просто кажется, что в домашней заготовке не может быть грубых багов, которые можно выявить быстро, за несколько часов во время соревнований.
like_a like_a | 04 Июля 2009 23:40ссылка сюдаответ на
На практике увидели - может быть и такое. Был такой баг ;)
it_3.0 it_3.0 | 04 Июля 2009 23:16ссылка сюдаответ на
насколько я знаю, сервися пишут организаторы, а участники с ними знакомятся как раз на соревнованиях и должны найти оставленные (специально или случайно) организаторами баги, найти и использовать в своих грязных целях. Сервисы у всех одинаковые, поэтому обнаружить баг раньше == исправить его у себя и воспользоваться им у тех, кто не успел его исправить
николай николай | 04 Июля 2009 23:34ссылка сюдаответ на
а... ну вот так, по крупицам, может совместно и доберемся до истины и наконец поймем "что это было"...
like_a like_a | 04 Июля 2009 23:43ссылка сюдаответ на
Правил много. Что бы их описать нужен длиииинный faq. Надеюсь когда-нибудь на сайте опишу "исчерпывающие правила". Пока что ориентировались на правила уже проведенных соревнований: cipher-ctf.org и ructf.org (как правило правила друг другу не противоречат). Все спорные вопросы мы обговаривали с командами на установочном семинаре.
like_a like_a | 04 Июля 2009 23:39ссылка сюдаответ на
it 3.0 довольно точно ответил на вопрос. Подведу итоги. Жюри ( они же разработчики игры ) готовятся к игре заранее (пару месяцев). Создают игровой образ (некоторая ось) с некоторыми сервисами. Сервисы жюри старается писать качественно, но оставляет в них специально уявзимости, о которых им (жюри) известно.
Игроки ищют уязвимости ( у себя в образе, потому как верно подметил it 3.0 у всех образы одинаковые). У себя они их прикрывыют, а другие команды атакуют.
Но как верно заметил Anatoly "ошибки есть всегда" :) Поэтому на прошедшей игре даже был момент, когда команда сообщила об ошибке в сервисе, котурю Жюри специально не закладывала (а просто ошиблась). Разумеется, за это сообщение команда так же получила большое количество очков.
николай николай | 05 Июля 2009 00:07ссылка сюдаответ на
вот спасибо - теперь почти все стало понятно!
николай николай | 02 Июля 2009 23:39ссылка сюда
извините за назойливость... я уже как-то спрашивал но никто не ответил мне...
Мне интересны хотя бы минимальные технические сведения.. Без этих сведений новость мне кажется какой-то абстрактной.. Молодцы конечно, но все таки...
Вот, например, не понятно, что такое "поднять сервисы"? Какие сервисы? Куда ставить? С чего ставить? Мне представляется туча разных вариантов - например всем выдали "голые винды" и интернет - где хотите берите выкачивайте и ставьте.. Или был линукс? Или у всех в запасе пачки DVD дисков на все случаи жизни?
Что такое написать эксплойты? Мне почему-то кажется, что это не может быть делом часов или даже дня.. На чем писалось? Компиляторы уже стояли или нет? Видимо были какие-то домашние заготовки?
Что такое захват флагов? Вообще не понятно..
fang fang | 03 Июля 2009 00:12ссылка сюдаответ на
поднять сервис=привести его в рабочее состояние(включить). В которых содеражаться уязвимости, которые надо обнаружить и залатать и эти сервисы нужно атаковать на компьютерах противников.
Вообще все садятся за голые убунты, далее через некоторое время спустя раздается игровой образ, который представляет собой виртуальную машину, на UFOCTF2009 это был ArchLinux в VirualBox'е у которого внутри и были те самые сервисы которые нужно поднять.
А так все верно, на свои машины команда могла поставить что угодно, от куда угодно, пачки DVD на все случаи жизни так же не возбранялись...
Anatoly Anatoly | 03 Июля 2009 08:42ссылка сюдаответ на
А подробнее можно какие именно сервисы в ArchLinux 'поднимались' ? И какая версия ArchLinux была и по-крупному что было из нее поставлено?
like_a like_a | 03 Июля 2009 09:36ссылка сюдаответ на
Все сервисы на играх CTF являются самописными, т.е. их пишут разработчики с нуля (по возможности), это исключает возможность использовать публично известные уязвимости.
В игровом образе UFOCTF2009 было 5-ть сетевых сервисов:

1) Интернет магазин (php)
2) Стеганографический сервис обмена сообщений (cli)
3) драйвер ядра + приложение пользователя ( легенда сервиса дланная, но в итоге он возвращает некую техническую информацию )
4) еще одна свяка драйвер + приложение ( с такой же хитрой историей )
5) IRC-бот, написаный на perl.

Все эти сервисы завязаны в одну предысторию, что бы было интереснее. Истории фантастические - уязвимости реальные, которые могут встретиться где угодно.
Anatoly Anatoly | 03 Июля 2009 09:42ссылка сюдаответ на
спасибо, еще очень интересно про ArchLinux... какая версия и в какой конфигурации
like_a like_a | 03 Июля 2009 09:45ссылка сюдаответ на
Не готов ответить на этот вопрос. Как админ подтянется - расскажет подробно.
Anatoly Anatoly | 03 Июля 2009 09:52ссылка сюдаответ на
на работе в аппаратуре широко ArchLinux использую, поэтому такой интерес. В свое время долго выбирал дистрибутив, ArchLinux показался оптимальным, самый понятный и простой. А Питон вы никак не используете?
like_a like_a | 03 Июля 2009 10:05ссылка сюдаответ на
В игре каждый сервис для разработчика состоит из двух частей. Первая - непослредственно сетевой сервис, который находится на игровом сервере команд. Вторая - т.н. "чекер", система, которая проверяет работоспособность сервиса (для начисления баллов). Вот "чекер", как правило, на python пишеться.
Anatoly Anatoly | 03 Июля 2009 10:22ссылка сюдаответ на
Python это класс))) а какие модули checker использует? Для HTTP запросов в том числе как я понимаю ( проверка интернет магазина )
like_a like_a | 03 Июля 2009 10:25ссылка сюдаответ на
Нет, там чекер на php.
Anatoly Anatoly | 03 Июля 2009 10:29ссылка сюдаответ на
и часть чекеров на Питоне? А они какие сетевые модули используют?
Anatoly Anatoly | 03 Июля 2009 10:30ссылка сюда
статья интересная, большое спасибо)))
it_3.0 it_3.0 | 04 Июля 2009 23:18ссылка сюда
Такой вопрос - те самые чекеры проверяют не только с сервера жюри, а откуда угодно? или что мешает зафаерволить все кроме машин жюри?
like_a like_a | 04 Июля 2009 23:43ссылка сюдаответ на
Мешают правила :) Они гласят: нельзя фильтровать трафик по принципу "от источника".
like_a like_a | 04 Июля 2009 23:45ссылка сюдаответ на
Подсети соеденены через Vpn-сеть. Подсеть получает пакеты из других подсетей с одним и тем же адресом источника (адресом vpn-сервера).
Так же команды не знают за каким айпишником находится какая команда. Это исключает "личные счеты" и т.д.
Брэд Питт Брэд Питт | 06 Июля 2009 10:49ссылка сюда
А почему такие мероприятия не проводятся на реальных живых сервисах? Т.е., например, задампили всю информацию на thinkit.ru и давай добывать из него какую-нибудь важную информацию.
like_a like_a | 06 Июля 2009 13:32ссылка сюдаответ на
Проводятся. Сходу не готов дать тебе ссылки. Я поищу. Попадались сообщения периодически о том, что какая-нибудь фирма выставила свой продукт "на растерзание" и еще за это призы раздает внушительные.
like_a like_a | 06 Июля 2009 13:33ссылка сюдаответ на
CTF интереснее тем, что в нем шаблонов меньше. Если реальные ресурсы содержат как правило публичные компаненты (на которые уже есть публичные экспы), то в сервисах написаных с нуля приходится баги искать самому.
николай николай | 06 Июля 2009 13:47ссылка сюдаответ на
и не жалко thnkit? растерзают же! :-)
like_a like_a | 06 Июля 2009 18:04ссылка сюдаответ на
C think.ru важную информацию можно и без хаков добывать - заходи и читай. Все важно. Все интересно ;)
Авторизуйтесь чтобы не быть Серой Анонимностью!

 

Играть в тетрис бесплатно он-лайн, без регистраций и смс =)






Время играть в тетрис!

Играть в тетрис проще простого. Жмем на иконку и вперед.


Найди нас везде!

Теперь ты можешь найти нас во всех популярных социальных сетях. Читай thinkit.ru где тебе удобно!


Банкоматы Таганрога

Теперь ты сможешь легко узнать, где именно находится ближайший банкомат.

 

 
  CreativeCUBE - разработка и поддержка сайтовПроизводство и поддержка сайтов
cCube.ru
  При воровстве с этого сайта ссылка обязательна.
Copyright © 2008-2012 thinkit.ru
Связаться с нами