Пользователь
0,0
рейтинг
12 июля 2009 в 10:55

Разработка → CTF в России

Если вы подумали, что я вам расскажу о великом «мочилове» в каком-нибудь крутом 3D-шутере, или дворовой игре с палками и тряпками — вы ошиблись. Речь пойдёт о соревнованиях в области компьютерной безопасности. В России.
Немного справочной информации:

CTF — это командные соревнования, целью которых является оценка умения участников атаковать и защищать компьютерные системы.
Каждой команде выдается сервер(образ для виртуалки), на котором имеется ряд сервисов(у всех одинаковые). Сервисы, как вы уже наверное догадались, имеют ряд уязвимостей, намеренно введённых их разработчиками. Обычно сервисы пишутся на 5-9 языках программирования.

Цель игры — обеспечить работоспособность своих сервисов, защитить флаги (некоторую информацию на сервере), захватить флаги противника. Тоесть по сути задача сводится к:
  • поддежание работоспособности сервисов, которая периодически проверяется жюри
  • разработка патчей для сервисов, устраняющих уязвимости
  • написание эксплойтов для использования уязвимостей, вытягивания флагов с вражеских серверов.

ОС на сервере, языки на которых будут написаны сервисы и тд. заранее неизвестно.
Соревнование длится обычно 7-8 часов.
Игра производится как локально, так и удалённо через интернет.

Собственно говоря CTF в России:

Что бывает страшнее русского пьяного хакера?:)
В России проводятся следующие соревнования:
UralCTF — с 2006 года суровые уральские студенты и аспиранты УрГУ и сборной Челябинска проводят соревнования регионального масштаба.
Официальный сайт UralCTF.

В 2008 году, при поддержку УрГУ и ряда спонсоров, команда HackerDom провела первые открытые межвузовские соревнования по защите информации RuCTF 2008. Тогда в соревновании приняло участие 9 команд.
В 2009 году заявку на участие в RuCTF 2009 подало уже 31 команда! Соревнование проходило в два этапа. Сначала проходил удаленный отборочный тур RuCTF Quals, на основании которого было отобрано 16 команд. Они прошли в основной этап соревнования, который происходил очно в УрГУ. Победила команда SiBears.
Официальный сайт RuCTF.

27 июня 2009 года в ТТИ ЮФУ прошли первые на юге России состязания такого рода — UfoCTF 2009. Принимало участие 4 команды. В одной из них был я. :)
Официальный сайт UfoCTF.

CTF зарубежом:

Там в CTF играют давно. На Defcon, крупнейшем в мире съезде хакеров, проходящем каждый год в Лас-Вегасе, CTF является одной из самых любимых частей.
К примеру, Defcon 2009 Quals — удаленная игра, которая длится двое суток. По сути является отборочным туром, по результату которого отбирается 9 команд со всего мира, которые едут в Лас-Вегас на очный тур. Счастливчики побывают на Defcon'e!
Официальный сайт Defcon CTF.

Так же очень популярны C.I.P.H.E.R и UCSB iCTF. В них могут принимать участие только студенты и аспиранты :) Соревнования происходят удалённо по интернету.

Официальный сайт C.I.P.H.E.R.
Официальный сайт UCSB iCTF

Теперь как наши участвуют в международных онлайн соревнованиях на примере двух команд — HackerDom и SiBears:
Обе команды участвуют в UCSB iCTF, C.I.P.H.E.R. и DEFCON.

Результаты:

2007 год, C.I.P.H.E.R.(3) — HackerDom 12/26 место.
2008 год, C.I.P.H.E.R.(4) — HackerDom 1/31 место. SiBears — 21/31.
2009 год, C.I.P.H.E.R.(5) — HackerDom 2/34 место. SiBears — 5/34 место.
2006 UCSB iCTF — HackerDom 19/25
2007 UCSB iCTF — HackerDom 3/36, SiBears — 10/36.
2008 UCSB iCTF — Sibears 2/39, HackerDom — 4/39.
2008 DEFCON — HackerDom 24/372
2009 DEFCON — 50/224 HackerDom, SiBears 55/224

Помимо этих двух команд в соревнованиях участвует ещё много команд с России. К примеру, на C.I.P.H.E.R.(5) из 33 команд — 12 русских. Скоро это станет русским соревнованием! :)

Подводя итог, могу сказать лишь то, что чертовски приятно, что CTF в России есть, и что он развивается! И чертовски приятно во всём этом участвовать!
В моём университете культура CTF только зарождается… Но мы приложим все усилия, чтобы это развить не только на уровне нашей команды, но и на уровне всего университета.

PS: Это мой первый пост тут, к тому же блогингом никогда не занимался, поэтому хотелось бы услышать объективные замечания, чтобы в дальнейшем не тянуть ошибки из поста в пост. Дополнительные вопросы по теме приветствуются. :)

Евгений @Castle
карма
9,7
рейтинг 0,0
Реклама помогает поддерживать и развивать наши сервисы

Подробнее
Реклама

Самое читаемое Разработка

Комментарии (39)

  • +1
    Спасибо за полезную информацию. Не слышал про CTF.
  • +4
    Никак не могу понять, как наши преподы могут научить, или организовать подобного рода соревнования. Они же делфи от с еле-еле отличают. Или это только у меня так?
    • 0
      в свое время, мне с преподами повезло, другое дело что кто то учиться не хотел…
    • 0
      Хакерами становятся, но с тягой к знаниям нужно родиться. Одно меня смущает: играют, в основном, университетские команды, и напоминает это соревнования университетские (тем более, что не допускают на некоторые не студентов). Я знаю много людей на разных проектах, которые действительно достойные специалисты, но не имеют «высшего» (либо из-за своих убеждений, либо просто нету на это средств и времени). А так же видел, как в институтах учатся на ИТ-безопасность не то что «не одаренные» в этой сфере люди, а просто к первому курсу не знающие, то такое уязвимость. Кто-то пробивался своими способностями в физике и математике, а кто-то чем-то другим. Идут туда ради денег и престижа…
      • 0
        Мы живём в России. В любом университете на любой специальности есть куча дуболобов. Наша специальсность — не исключение…
        Насчёт «университетских» — я делал упор именно на развитие CTF в университетах, где по сути CTF наиболее популярен.
      • 0
        Далеко не все соревнования в формате CTF — университетские. Например, Da-Op3n и контесты проводимые в рамках 25c3 и Defcon.
        • 0
          Ну это понятно. Все-таки это хакерские конференции. Кем они создавались понятно. (:

          Все-таки мне очень понравилась эта идея. Я даже попытаюсь организовать «доморощенный» CTF между двумя проектами. Все-таки это развивающая игра, а не простая фаллометрия.
          • +2
            Все-таки, идиот. Все-таки! ((:
  • +2
    К сожалению так почти везде. Однако встречаются преподаватели, которые утрут нос многим :)
    Насчёт подготовки к CTF, в большинстве случаев это проходит без участия преподавателей. Всё держится на студентах, аспирантах.
    К примеру, в качестве подготовки почти всегда создаются так называемые «кружки», на которых проходят неформальные лекции. На них обсуждаются те или иные вопросы.
    Так же в интернете можно скачать образы серверов, разборы игр. Всё в открытом доступе.
    Например, часть образов тут: ftp.hackerdom.ru/ctf-images/
    Можете скачать, проверить свои силы :)

    • 0
      Спасибо, не знал что у нас есть что то подобное.
      За ссылки на обрзы отдельное спасибо.
  • 0
    А вы с какой команды и университета?
  • 0
    iNSANiTY.
    • +2
      Совет: отвечая на конкретный комментарий лучше нажимать на кнопку «Ответить» под ним. Так ваш ответ быстрее дойдет до адресата в виде уведомления на почту, да и древовидная структура приятнее для восприятия.
      • +2
        Спасибо, не знал. Исправлюсь. :)
  • +1
    Перенесите в подходящий блог.
  • +2
    Учусь в уральском УГТУ, в CTF поигрываю с прошлого года. Команды StopUsToo/0xCUTEB00B.
    Принимал участие в UralCTF'08, iCTF'08, RuCTF'09, C.I.P.H.E.R. 5. Играть очень интересно :)
    Соревнования помогли поучить много навыков в администрировании и аспектах безопасности Linux, отдельное спасибо Хакердому за семинары.
    • 0
      Вот бы побывать на таких семинарах — материал наверняка интересный :)
      • 0
        или видео посмотреть… видеоконференцию организовать…
        • +2
          Открытые семинары если и возобновятся то вероятно только перед подготовкой к RuCTF'10. Впрочем вполне можно предложить организаторам записать пару обучающих видеоподкастов CTF-тематики.
          Семинары затрагивали устройство Linux, советы по организации игры и команды, популярные ошибки начинающих команд и т.п.
        • НЛО прилетело и опубликовало эту надпись здесь
  • 0
    интересно только я один при первом прочтении заглавия расшифорвал CTF как «Capture The Flag»?
    • 0
      Именно так он и расшифровывается :)
      • 0
        эммм… дык… я имел ввиду что сразу представл quake :)
        • +1
          флаги в данном случае — секретные данные, которые вы крадете у других комманд
          • 0
            начав читать я уже понял :)
            мысля очень интересна…
            да и вообще всегда различного рода соревнования в виде игры на порядок лучше\интересней\эффективней :)
  • +1
    Здорово, что проводятся такие соревнования. Студенту сложно где-то ещё проверить свои знания на практике, а тут все условия ещё и духом соревнований подогревается интерес.
  • 0
    Почему это в UralCTF участвовали команды УрГУ и ЧелГУ? Я как студент ЮУрГУ (уже бывший), возмущен этой неточностью. В команде Smoked Chicken этнически было 2 игрока из ЮУрГУ, поэтому команда была сборной двух университетов. Просьба поправить исходный пост.
    • 0
      Пофиксил. Ошибка закралась из презентации сего мероприятия. Примите мои извинения.
      • +1
        Ах эти злобные хакердомовцы :)

        Кстати, как для вашей команды прошел C.i.p.h.e.r. 5?
        • 0
          Мы в нём не участвовали.
  • 0
    Я бы хотел поучаствовать в чем-нибюудь таком :)
  • +1
    А я участвовал в этом году в RuCTF в Екатеринбурге :-) Опыта уйма, такие соревнования это очень хорошо. Хоть наша команда и в конце десятки, но тем не менее хотим поехать еще через год.
  • +4
    Привет из УрГУ (Хакердом).
    Если кому-нибудь интересно могу что-нибудь рассказать про то, как оно с точки зрения организаторов :)
    • 0
      Не просто хочется послушать, но и пощупать исходные данные для таких событий. Какие сервера и какой софт используете. Может быть есть где-то готовые образы для первоначального тестирования? Так что очень ждём!
      • +2
        Железо на RuCTF мы использовали самое обычное. Было 2 средние персоналки (точные характеристики я не помню, но могу посмотреть). Впрочем, в смысле серверов, на мат. обеспечение УрГУ нам жаловаться не приходится, у нас тут есть нормальные серверные платформы. Просто на RuCTF с персоналками было удобней.

        Софт, который используется на игровом образе — это обычно какой-нибудь открытый Юникс. Если я правильно помню, ничего кроме Линукса мы не использовали. Очень хотелось бы сделать игру на Windows (это было бы неожиданно :), но вопросы лицензирования нам этого не позволяют. Хотя, на тренировках мы на Windows играли (предвосхищая ваши вопросы, у нас подписка MSDN AA :-)

        Что касается софта на стороне жюри, на всех серверах у нас Debian GNU/Linux. Систему проверки на всех наших играх, кроме UralCTF4, использовали самописную. А на UralCTF4 мы использовали проверяющую систему c CIPHER. Сейчас мы думаем над отчуждением этого софта и выкладывания в OpenSource. Надеюсь, что скоро это произойдет. На RuCTF 2009 Quals мы еще использовали пул виртуальных машин на Linux Vserver (порядка 40 вирт. машин). Наверное, я про это как-нибудь напишу отдельно.

        Образы для тестирования можно посмотреть в нашей коллекции образов c различных CTFов. Тамже есть и образы с игр, которые мы готовили в т.ч. и с проверяющими системами. Или имелись ввиду какие-то другие образы?
    • 0
      Интересует возможность видеозаписи ваших последующих семинаров и выкладывание их в общий доступ. Или почти общий. :) Я думаю найдётся много желающих их посмотреть.
      • +1
        Нуу… Думаю, что техническая возможность у нас есть. Мы подумаем над этим :)
      • 0
        Спустя шесть лет некоторые мечты могут сбыться :D
    • НЛО прилетело и опубликовало эту надпись здесь

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.