3070 घंटे हैक खोज, रिपोर्ट और प्रतिभागियों की कहानियां

साइबर रेडीनेस चैलेंज में से एक में प्रतिभागी ऑफलाइन हैकिंग टूर्नामेंट

शुक्रवार को, ऑनलाइन हैकिंग गेम साइबर रेडीनेस चैलेंज, जो कि सिमेंटेक और सीआरसी द्वारा आयोजित किया गया था, समाप्त हो गया।

अक्सर हैकक्वेस्ट होते हैं जो लोग पेशेवर सूचना सुरक्षा से दूर होते हैं। इस तरह के quests को अनुमान लगाने के कार्यों से पहचाना जा सकता है: पास करने के लिए भाग्य के रूप में बहुत अधिक कौशल की आवश्यकता नहीं है और यह अनुमान लगाना कि लेखक के मन में क्या था। और यहाँ, ऐसा लगता है, एक बहुत ही दुर्लभ बात सामने आई: प्रतियोगिता उन लोगों द्वारा की गई, जिन्होंने सूचना सुरक्षा के माध्यम से अफवाह फैलाया था, लेकिन एक ही समय में सीटीएफ दुनिया से दूर था। नतीजतन, कार्य एक तरफ भोले हो गए, लेकिन एक ही समय में तकनीकी रूप से सही। एक प्रतियोगिता में, "ग्रिड को स्कैन करें" जैसे कार्य। हमारे पास नेटवर्क पर कितनी कारें हैं? ”और एक कट्टर की तरह“ क्रॉस्ड बेस 64 ब्लॉक को डिक्रिप्ट करें, मल्टीबाइट एक्सोर कुंजी अज्ञात है। ”

व्लाद "वोस" रोसकोव

एक बड़े EDC निगम के नेटवर्क का अनुकरण करने वाले एक सिम्युलेटर से जुड़े प्रतिभागी। परिदृश्य के अनुसार, ईडीसी सुरक्षा प्रणाली में कई घटनाएं हुईं। कंपनी ने सूचना सुरक्षा के क्षेत्र में सर्वश्रेष्ठ विशेषज्ञों को यह समझने के लिए काम पर रखा है कि हैकिंग की संभावना को साबित करने या नकारने के लिए क्या हुआ।

सामान्य तौर पर, खेल में लगभग 3070 घंटे लगते थे (प्रतिभागियों द्वारा खर्च किया गया कुल समय)। कुल मिलाकर, रूस के विभिन्न क्षेत्रों के 143 खिलाड़ियों ने टूर्नामेंट में भाग लिया, जिनमें से लगभग दो तिहाई ने सक्रिय रूप से भाग लिया।

विजेताओं

मैं जगह - वोस - व्लाद रोजकोव - सेंट पीटर्सबर्ग;
द्वितीय स्थान - VY_CMa - इगोर कन्यागिन - ओम्स्क;
तृतीय स्थान - AV1ctOr - मास्को से विक्टर एलुशिन।

ऑनलाइन भाग के परिणामों के अनुसार, व्लाद रोसकोव ने जीता, उपनाम वोस के तहत बोल रहा हूं। वह लगभग तुरंत लीड में चला गया और इसे बहुत अंत तक रखा, जहां वह 38.800 संभावित बिंदुओं में से 36.800 से आया, यह 90 में से 88 कार्य हैं (किसी ने अंतिम दो झंडे नहीं लिए)। अब, हम 10 सितंबर को टूर्नामेंट के ऑफ़लाइन भाग के लिए व्लाद की प्रतीक्षा कर रहे हैं।


शीर्ष 20। पहले खिलाड़ियों के बीच की खाई पर ध्यान दें।

टूर्नामेंट के बारे में व्लाद की कहानी

यहां व्लाद ने खुद पत्रकारों को खेल के बारे में बताया:

"मेरी राय में, कंप्यूटर सुरक्षा प्रतियोगिताओं (CTF) में एक कठिन विजेता प्रतिभागी, खेल आश्चर्यजनक निकला: कार्य अनुभवहीन थे, लेकिन एक ही समय में आकर्षक थे। ऐसा बहुत कम होता है। जो कोई भी सरल और उसी समय तकनीकी रूप से सक्षम IS कार्यों में अपना हाथ आजमाना चाहता है, उसे अगली बार साइबर चैलेंज लेने की अत्यधिक अनुशंसा की जाती है। मैं रुचि के साथ ऑफ़लाइन चरण की प्रतीक्षा कर रहा हूं, और मैं शांत खोज के लिए Symantec और CROC को धन्यवाद देता हूं। "

और यहाँ उसने मुझे पहले से ही हबर के लिए कहा था (इसके बाद ये संक्षिप्त रूप हैं और कई पत्रों की एक सभा है जहाँ संवाद चल रहा था):

इस चुनौती पर मेरी अपनी राय है, जले हुए CTF सदस्य की व्यावसायिक विकृति से थोड़ा विकृत है। सीमांतेक हैकक्वेस्ट ने आश्चर्यचकित किया: यह भोला और दिलचस्प दोनों निकला। यह दुर्लभ है।

वह सारी रात सोया - यह पवित्र है :)

वास्तव में, हम पहले दिन में 85 से अधिक कार्यों को हल करने में तेजी से आगे निकलने में कामयाब रहे, (सिमेंटेक के समर्थन के लिए धन्यवाद, जिसने कार्यों की सूची तक पहुंच के साथ समस्याओं का तुरंत जवाब दिया)। उसके बाद, ईमानदार होने के लिए, मैं आधे-अधूरे और लंबे समय तक 34300 अंकों के साथ लटका रहा और 15 वें पर ध्वज की अंतिम डिलीवरी हुई। आखिरी दिन मैं अभी भी उठा, 3 कार्यों को पूरा किया।

रिश्तेदारों ने लैपटॉप पर पूरे दिन बिताए नाक की सराहना नहीं की: -डी

गेम वीपीएन कनेक्ट होने पर सबसे आसान काम इंटरनेट एक्सेस की कमी है।

पंजीकरण करते समय 3 अक्षरों से अधिक लंबे उपनाम के साथ आना सबसे बड़ी कठिनाई है।

मैंने 88, 89 के कार्यों पर संकेत पढ़े। इससे कोई फायदा नहीं हुआ।

मुझे पसंद आया और एक दूसरे से खिलाड़ियों के बुनियादी ढांचे के अलगाव को चकित किया। मुझे अभी भी समझ नहीं आया कि इसे कैसे लागू किया गया था। क्या सैकड़ों खिलाड़ियों में से प्रत्येक के लिए आभासी मशीनों का एक सेट उठाया गया है?

सबसे अधिक मुझे यह पसंद आया कि जो कार्य सरल थे, शब्दांकन में मुझे अपने दिमाग को स्थानांतरित करने और इसे हल करने के लिए एक असामान्य तरीके के साथ आना पड़ा। और यह एक बहुत अच्छा लग रहा है जब एक विचार पहली बार काम करता है।

विक्टर एलुशिन (तृतीय स्थान):

मैं हर रात सोता था, लेकिन एक रात लैपटॉप ने काम किया - मैंने पासवर्ड को mysql पर उठाया। सिद्धांत रूप में, सब कुछ सरल है, केवल मेटास्प्लोइट, XSS, mysql के लिए पासवर्ड चयन और 4 पर कम से कम 3 झंडे)।

मैंने एक ही बार में लगभग सब कुछ कर लिया, मुझे नहीं पता था कि ऑनलाइन mysql पासवर्ड का चयन कैसे करें ... जब आपके बॉट ने काम नहीं किया, और मैंने सोचा कि कैसे banter.edc को हल किया जाए, तो मुझे लगा कि मुझे IIS 4.0 को क्रैक करना होगा। नोट: हम 78 और 79 झंडों के बारे में बात कर रहे हैं - जैसे ही पर्याप्त संख्या में प्रतिभागी उनके पास पहुँचे, समस्या को पहचानने और उसे ठीक करने के लिए यह निकला। युक्तियाँ और एक ही समय में स्कोर बहाल।

सबसे ज्यादा मुझे यह पसंद आया कि मैं बहुत दूर चली गई और मुझे बोर नहीं होना पड़ा। और यह भी कि स्कोरबोर्ड कुकी और banter.edc को हैक किया। एल्गोरिथ्म का अनुरोध उस पर कुछ छेद को बदलने और धकेलने के लिए नहीं था, लेकिन अब कुकी के डिक्रिप्शन ने कुकी एलेक्स को चोरी करने की क्षमता के अलावा कोई विशेष भेद्यता प्रदान नहीं की।

ऑफलाइन? बेशक, बस आमंत्रित करें) मैं मास्को में रहता हूं, इसलिए बहुत दूर नहीं जाना चाहिए।

तेमुर खीरखबरोव (चतुर्थ स्थान) की कहानी

अंतिम 4 स्तर पर पहुंच गया, यह 5 में से 2 झंडे लेने में कामयाब रहा। सामान्य तौर पर, मैंने 87 झंडे एकत्र किए, जिससे मुझे 4 वां स्थान प्राप्त करने की अनुमति मिली। यह कहना मुश्किल है कि मैंने खेल पर कुल कितना समय बिताया। उन्होंने केवल 3 दिनों से पूरी तरह से खेलना शुरू कर दिया, और केवल शाम में, दोपहर में काम करना आवश्यक था। मैं कल रात ही नहीं सो पाया था, मैं बाकी काम पर नहीं जा सकता था, सुबह 6 बजे काम पर जा रहा था मेरे लिए मुख्य समस्या काम के कारण समय की कमी थी। यह अच्छा होगा यदि खेल शुरू हुआ, उदाहरण के लिए, बुधवार को, सप्ताहांत पर कब्जा करने के लिए, जब आप खेल के लिए पर्याप्त समय दे सकते थे। मुझे लगता है कि जो लोग खेले या जो खेलना चाहते थे, उनमें से कई मेरे साथ सहमत होंगे, क्योंकि उनमें से कई कामकाजी और परिवार के लोग हैं।

सबसे सरल कार्य उस श्रेणी के थे जिसमें किसी विशेष सॉफ़्टवेयर के संस्करण को सर्वर पर स्थापित किया गया था या नेटवर्क में कितने होस्ट थे। सबसे बड़ी कठिनाई 3 कार्यों के कारण हुई। उनमें से एक MySQL DBMS उपयोगकर्ता का bruteforce पासवर्ड है। मैंने लगभग 2 दिनों के लिए एक पासवर्ड खोजने की कोशिश की, अंत में यह पता चला कि मैंने जिस ब्रूट फोर्स टूल का उपयोग किया था वह सही तरीके से काम नहीं करता था और यहां तक ​​कि एक प्रभावी पासवर्ड भी याद नहीं करता था। टूल को बदलने के बाद, पासवर्ड को कुछ मिनटों में चुना गया था। 3 चरण से 2 अन्य कार्य गेम सर्वर पर तकनीकी समस्याओं के कारण बहुत लंबे समय तक पूरा नहीं किया जा सका। इस वजह से, यह स्पष्ट नहीं था कि मैं कुछ गलत कर रहा था या क्या गेम सर्वर वास्तव में दुर्घटनाग्रस्त हो गया था। नतीजतन, यह आखिरी निकला।

पर्याप्त ज्ञान था, कई बार व्यावहारिक कौशल का अभाव था। मुझे इस या उस उपयोगिता का उपयोग करने के "google" उदाहरणों की आवश्यकता थी।

सबसे ज्यादा मुझे खेल का तीसरा और चौथा चरण पसंद आया, जहां ऐसी पहेलियाँ थीं जो वास्तव में आपको सोचने पर मजबूर करती हैं। और निश्चित रूप से, खेल के अंतिम घंटों की ड्राइव, जब शीर्ष दस रेटिंग के प्रतिभागियों के बीच एक गंभीर संघर्ष सामने आया।

ऑफलाइन? सबसे अधिक संभावना नहीं है। मैं मास्को से बहुत दूर क्रास्नोयार्स्क में रहता हूं।

यहाँ आंद्रेई लियोनोव (VII जगह) की कहानी है, पत्रकारों के लिए भी नहीं:

उन्होंने 86 झंडे लिए। सभी युक्तियों का उपयोग करते हुए उनमें से कई को बिना चश्मे के लिया जाना था।

मुझे लगता है कि कुल मिलाकर पूरे गेम को खेलने में 50 घंटे लगते हैं। लेकिन काफी समान गति से। मैं दिन में चार घंटे सोता था।

जैसा कि अपेक्षित था, मैं नेटवर्क के बुनियादी ढांचे और लिनक्स टूलकिट का विश्लेषण करने में बहुत अच्छा नहीं हूं। उत्तरार्द्ध के कारण, 87 ध्वज को ले जाना संभव नहीं था (मुझे समझ में आया कि मुझे 1.1.2.19 मशीन के माध्यम से बंदरगाहों को पुनर्निर्देशित करने की आवश्यकता है, और यहां तक ​​कि यह भी समझ में आया कि इससे मुझे मदद मिल सकती है, लेकिन मैं समय पर ठोस कार्यान्वयन नहीं पा सकता था, या तो एनसी या सोसाइटी के माध्यम से), जो बहुत निराशाजनक है। स्टैंडिंग में अधिक वृद्धि होगी।

मैं क्या बदलूंगा? कार्यों का एक हिस्सा, विशेष रूप से सरल लोगों से, मुझे अत्यधिक सुरक्षा और / या सूचना सुरक्षा के क्षेत्र से काफी नहीं लग रहा था।

अन्य टूर्नामेंटों से क्या अंतर हैं? वैज्ञानिक लोकप्रियता में। ज्ञान की एक न्यूनतम राशि के साथ भी भाग लेना संभव था, लेकिन एक महान इच्छा, और न केवल टूर्नामेंट स्कोरबोर्ड में, बल्कि नए ज्ञान प्राप्त करने के मामले में भी खराब परिणाम प्राप्त करना।

कठिनाइयाँ ... ठीक है, सब कुछ सरल है - मैंने निम्नलिखित झंडों पर 2 या 3 युक्तियां बिताईं:
- आंतरिक नेटवर्क पर कितने होस्ट ऑनलाइन हैं
- netadmin डेटाबेस उपयोगकर्ता का पासवर्ड - यहां हाइड्रा ने वास्तव में मुझे निराश कर दिया, इसे 200K पासवर्ड खिलाया, और वह चुप रही। हेल्पडेस्क ने उत्तर दिया कि पासवर्ड सामान्य पासवर्ड के शब्दकोशों में से एक है। ब्रूट टूल को मेटास्प्लोइट / mysql_login में बदलने पर, कुछ मिनटों में जवाब मिल गया। और मैंने इस ध्वज पर एक दिन बिताया)
- ध्वज 78 - कई लोगों ने उसे शपथ दिलाई। लेकिन कठिनाई यह नहीं है कि मुझे समझ में नहीं आया कि क्या करना है, लेकिन बॉट के अजीब काम में। लेकिन यहाँ - जैसा भी है। सबसे अजीब बात यह है कि आखिरी मिनट में भरी हुई लेवल टेबल में, मुझे यह जानकारी नहीं है कि मैंने तीनों संकेतों का इस्तेमाल किया है। चमत्कार?) (नोट - यहाँ सब कुछ उसी समस्या से समझाया गया है जो ऊपर वर्णित है)।

व्यक्तिगत रूप से, मेरा व्यावसायिक हित वेब अनुप्रयोगों में अधिक कमजोरियां हैं। अच्छा और अलग। XXE कहां है? :) आप एक साधारण WAF (अच्छी तरह से, कम से कम इतना है कि urlencod'it के लिए उद्धरण चिह्नों की आवश्यकता है) कहाँ चाहेंगे? गैर-महत्वपूर्ण कार्यों में, अपेक्षाकृत कुछ नया देखना दिलचस्प होगा - SSRF। उदाहरण के लिए। या कम स्पष्ट वैक्टर। हालाँकि यह पहले से ही मेरा प्रश्न है - मैं इसे समझता हूं, मेरे पास mod_rewrite के माध्यम से एक-लाइन यूनियन काम कर रहा है, जो कि एक हाथी की गोली है =) अब, अगर आपको इसकी आवश्यकता है, तो वेक्टर को समझें, और यह महसूस करते हुए कि ऑपरेशन mod_rewite से नहीं हुआ है, एक स्क्रिप्ट भेजें जिसमें डेटा प्रसारित किया जाता है, यहां यह अधिक दिलचस्प होगा।

ऑफलाइन? पंजीकरण करना आवश्यक है =)। निजी तौर पर, खुद को दिखाएं और दूसरों को देखें। मैं हाथों को स्वर से हिलाना चाहता हूं। ऐसे रोचक पांच दिनों के लिए आप सभी का बहुत-बहुत धन्यवाद। पायलट श्रृंखला उत्कृष्ट थी - हम अगले की प्रतीक्षा कर रहे हैं :)

आंद्रेई ने कुछ बातें भी बताईं, जिन्हें हम अभी तक प्रकाशित नहीं करेंगे, क्योंकि ये स्पष्ट स्पॉइलर हैं (पहला ऑनलाइन टूर्नामेंट रूस में आयोजित किया गया था, लेकिन अन्य देशों में होगा)।

हमारा अनुभव

जैसा कि मैंने कहा, पहली बार सीआरसी ऑनलाइन टूर्नामेंट आयोजित किया गया था। कई प्रतिभागियों ने संचार के लिए आईआरसी चैनल को बढ़ाने के लिए कहा, साथ ही एक गलत संकेत के साथ एक मिसकैरेज भी था (कई ने क्रूर बल के पासवर्ड की जटिलता के बारे में शिकायत की)। हम इन और अन्य टिप्पणियों को ध्यान में रखेंगे, साथ ही जब हम सभी प्रतिभागियों द्वारा पारित होने के आंकड़ों का विश्लेषण समाप्त कर लेंगे, तो हम कार्यों और सुझावों को संशोधित कर सकते हैं। इसके बाद, टूर्नामेंट न केवल हमारे देश में आयोजित किया जाएगा।

टूर्नामेंट किसने और क्यों आयोजित किया?

Symantec Corporation (सुरक्षा समाधान, डेटा बैकअप और उच्च उपलब्धता में विश्व नेता) और CROC (2002-2012 के लिए IDC रिपोर्ट के अनुसार सिस्टम एकीकरण सेवाओं के लिए रूस में आईटी इन्फ्रास्ट्रक्चर बनाने के क्षेत्र में रूसी नेता, नंबर 1) । रूस और दुनिया भर में साइबर रेडीनेस चैलेंज का मुख्य लक्ष्य शैक्षिक है। पिछले विश्व टूर्नामेंटों की रिपोर्ट यहां पाई जा सकती है । ऑनलाइन दौर में, मैं जितना संभव हो सके क्षेत्रों को कवर करना चाहता था - आखिरकार, ऑफ़लाइन हिस्सा बिल्कुल मॉस्को में होगा, और हर कोई भाग नहीं ले पाएगा।

भाग कैसे लें?

10 सितंबर 2013 को, मास्को में एक ऑफ़लाइन चैम्पियनशिप आयोजित की जाएगी, जिसमें 18 वर्ष से अधिक उम्र का कोई भी हिस्सा ले सकता है। यह कुछ अधिक जटिल होगा - प्रतिभागियों को आरके इंडस्ट्रीज नेटवर्क में सेंध लगाने और एक प्रतियोगी पर हमले में अपनी भागीदारी को साबित करने या इनकार करने में चार घंटे लगेंगे।

ऐसे टूर्नामेंट की सलाह कौन देगा?

व्लाद रोसकोव : शुरुआती लोगों के लिए आदर्श, प्रो-पास्ट के लिए एक अच्छी कसरत।
आंद्रेई लियोनोव : मैं उन लोगों को ऐसे टूर्नामेंट की सलाह दूंगा, जो अंतरात्मा की आवाज के बिना सूचना सुरक्षा के क्षेत्र में अपनी यात्रा शुरू कर रहे हैं। इसका मतलब यह नहीं है कि टूर्नामेंट सरल था। लेकिन इस तथ्य को देखते हुए कि एक पूरे के रूप में कार्य एक से दूसरे का अनुसरण करते हैं, और सुराग थे, कभी-कभी एक पूर्ण उत्तर वाले, बहुत सारे नए ज्ञान प्राप्त करना संभव था। या यह समझें कि कोई सुझाव भी नहीं था :)
विक्टर एलुशिन : मैं बिल्कुल हर किसी को सलाह दूंगा - शुरुआती लोगों से लेकर पेशेवर पिंटिस्टर्स और सिर्फ उन लोगों के लिए जो हैकिंग के लिए अपना हाथ आजमाना चाहते हैं। उत्तरार्द्ध के लिए, मैं चरण-दर-चरण निर्देश बनाने की सलाह दूंगा [विशेष रूप से मेटास्प्लोइट के लिए] चलो कार्य की लागत का 110% के लिए कहना है;)।
तैमूर खेरीखाबरोव : उन सभी के लिए जो सूचना सुरक्षा के विषय के प्रति उदासीन नहीं हैं, और विशेष रूप से इसके व्यावहारिक पक्ष ... मैंने पहली बार इस तरह के आयोजन में भाग लिया।

आप यहां ऑफ़लाइन भाग के लिए पंजीकरण कर सकते हैं । अभी भी कमरा है।

सीआरसी साइबर सम्मेलन

समानांतर में, सीआरसी साइबर सम्मेलन आयोजित किया जाएगा, जहां विशेषज्ञ सूचना सुरक्षा मुद्दों पर चर्चा करेंगे। सभी घटनाओं का उद्देश्य रूसी निवासियों की गोपनीय डेटा की सुरक्षा के महत्व के बारे में जागरूकता बढ़ाना है।