CTF nedir? bu makalemde bu sorunun cevabını bulmaya çalışacağız. CTF'ler en sevdiğim hobilerimden biridir. Özellikle zor bir görevi çözme ve tüm yapboz parçalarının bir araya geldiğini görme hissini seviyorum. Bu yazının, Siber Liman topluluğunda ne olduğunu bilmeyenler için CTF'ye bir giriş niteliğinde olmasını istiyorum.
Peki CTF nedir?
CTF (Capture The Flag), yarışmacıları wikipedia'da bir hacker avından temel programlama alıştırmalarına, verileri çalmak için bir sunucuyu hacklemeye kadar çeşitli görevleri çözmeye zorlayan bir tür bilgi güvenliği yarışmasıdır. Bu zorluklarda, yarışmacıdan genellikle sunucuda veya bir web sayfasının arkasında gizlenebilecek belirli bir metin parçası bulması istenir. Bu hedefe flat(bayrak) denir, dolayısıyla adı ''bayrağı yakala'' olarak bilinir.
Birçok yarışmada olduğu gibi, CTF'lerin beceri seviyesi etkinlikler arasında değişiklik gösterir. Bazıları, siber güvenlik ekiplerinde çalışma deneyimi olan profesyonellere yöneliktir. Bunlar tipik olarak büyük bir nakit ödül sunar ve belirli bir fiziksel konumda tutulabilir. Diğer etkinlikler, lise ve üniversite öğrencilerini hedef alır ve bazen rekabette üst sıralara yerleşenlere eğitim için parasal destek sunar.
CTFtime , farklı CTF türlerini detaylandırır . Özetlemek gerekirse, Jeopardy tarzı CTF'ler, mücadeleleri tamamlayan bireylere veya takımlara, en fazla puana sahip gruplara ödül puanları listesi sağlar. Saldırı/Savunma tarzı CTF'ler, ya bir rakibin sunucularına saldırmaya ya da kendi sunucularını savunmaya odaklanır. Bu CTF'ler tipik olarak daha fazla deneyime sahip olanlara yöneliktir ve belirli bir fiziksel konumda yürütülür.
CTF'ler bireysel olarak veya takımlar halinde de olabilirler, bu nedenle arkadaşlarınızı da oyuna dahil etmekten çekinmeyin!
CTF'lerin herkese açık olduğunu vurgulamak isterim. Aşırı detay ve programlama bilgisi gerektirmez sadece bir problem çözme ve yaratıcı düşünme meselesidir.
Neden CTF oynamalıyım?
Bir CTF oyununda kullanacağınız teknikler, bir bilgisayar korsanı olarak çalışırken kullanacağınız tekniklerden bazılarıdır. Bayrağı Yakala yarışmalarında öğrendiğiniz beceriler, yerel uygulama ve web uygulaması sızma testi, tersine mühendislik yazılımı ve hata ödül programlarına aktarılabilir. Tüm bu roller, hazır olduğunuzda iyi ücretli işlerdir ve bir siber güvenlik kariyeri için sağlam bir temel oluştururlar! Ayrıca hack konusunda kendinzi geliştrebilirsiniz
Profesyonel bilgisayar korsanları için CTF ipuçları
İşte CTF yarışmalarının heyecan verici dünyasına girmek için bazı tavsiyeler.
- Bilgisayar korsanlığı hakkında pek bir şey bilmediğinizi düşünüyorsanız endişelenmeyin. Bir CTF yarışmasında başarısız olacağınızı düşünüyorsanız endişelenmeyin! Kendinize çok güvenmeseniz bile bir CTF deneyin. Kesinlikle kaybedecek hiçbir şeyiniz yok ve kazanacak birçok şeyiniz var. Ne kadar çok CTF'ye katılırsanız, becerileriniz o kadar iyi olur. İnsanlar nadiren ilk CTF yarışmasını kazanırlar. Sadece denemeye devam et, kaybetsen bile eğlenecek ve bir şeyler öğreneceksin. Bu anlamda, kulağa ne kadar bayat gelse de, bir CTF'ye katılan herkes kazanır!
- Hack The Box'ta, kutunun dışında düşünmeye inanıyoruz. Bayrak bulmakta zorluk çekiyorsanız beyin fırtınası yapmanız gerekebilir. Bilgi almak için bir web araması yapmayı deneyin veya yazılım korsanlığı araçlarından bazılarını çalıştırın ve farklı şeyler deneyin. Parrot OS'de deneyebileceğiniz çok sayıda araç var!
- Bir bayrak bulmak için kullanmanız gereken teknikler ve araçlar durumdan duruma, rekabetten rekabete, hedeften hedefe değişiklik gösterecektir. Kullanmanız gerekebilecek araçlardan bazıları, web tarayıcınız aracılığıyla web kaynak kodunu bulma, dosyaları bir metin düzenleyicide açma, dosyaları onaltılık düzenleyicide inceleme veya BASH gibi bir komut kabuğunda komut çalıştırmayı içerir. Ve bayrakları bulmanın başka yolları da var. Bayrakları bulmak, bir dedektif olmayı ve araç setinizle oynamayı gerektirir.
- Onlarda iyi olana kadar çok sayıda CTF girmek, çabaya değer. Bayrağı Yakala yarışmalarını kazanmaya başladığınızda, size çeşitli sektörlerde bir bilgisayar korsanlığı işi teklif edilebilir. Her iki durumda da, özgeçmişinize veya CV'nize katıldığınız Capture The Flag etkinliklerinin bir listesini kesinlikle koyabilirsiniz. Özellikle önceden deneyiminiz yoksa, pentest gerektiren bir iş arıyorsanız gerçekten yardımcı olur.
Bizimde makalesini yazdığımız işinize yarayacak yazılar:
Meydan okuma türleri
Tehlike tarzı CTF'lerin zorlukları tipik olarak kategorilere ayrılır. Yaygın olanları kısaca ele almaya çalışacağım.
- Şifreleme - Tipik olarak bir veri parçasının şifresini çözmeyi veya şifrelemeyi içerir
- Steganografi - Dosyalarda veya resimlerde gizlenmiş bilgileri bulma görevi
- İkili - Tersine mühendislik veya bir ikili dosyadan yararlanma
- Web - Bayrağı bulmak için web sayfalarından yararlanma
- Pwn - Bayrağı bulmak için bir sunucudan yararlanma
Nereden başlayayım?
Merakınızı uyandırmayı başardıysam, öğrenmeye başlamama yardımcı olan kaynakların bir listesini derledim. CTf'ciler, aşağıdaki yorumlara kendi kaynaklarınızı eklemekten çekinmeyin!
Öğrenme
- http://ctfs.github.io/resources/ — Kriptografi, steganografi, web açıkları gibi yaygın CTF tekniklerine giriş
- https://trailofbits.github.io/ctf/forensics/ - Tipik CTF zorlukları/senaryoları ile ilgili ipuçları ve püf noktaları
- https://ctftime.org/writeups - Geçmişteki CTF zorluklarına yönelik çözümlerin açıklamaları
Kaynaklar
- https://ctftime.org — CTF olay izleyicisi
- https://github.com/apsdehal/awesome-ctf — Kapsamlı araç listesi ve daha fazla okuma
Araçlar (Tavsiye Ettiğim)
- binwalk — Dosyaları analiz edin ve ayıklayın
- burp paketi - Özellik dolu web penetrasyon testi çerçevesi
- stegsolve — Gizli metni aramak için resimlerin üzerinden çeşitli filtreler geçirin
- GDB — İkili hata ayıklayıcı
- komut satırı :)
Uygulama
Üniversiteler ve şirketler tarafından düzenlenen “resmi” CTF'lerin çoğu zaman sınırlı yarışmalardır. Bununla birlikte, pratik ve öğrenme araçları olarak kullanılabilecek 7/24 çevrimiçi olan birçok CTF vardır. İşte yeni başlayanlar için arkadaşça bulduğum bazı şeyler. Bu siteler yabancı sitelerdir eğer ingilizceniz yoksa translete ederekte bilgilere ulaşabilirsiniz
- https://ctflearn.com - Yeni gelenlere yönelik, kullanıcı tarafından gönderilen çeşitli zorluklardan oluşan bir koleksiyon
- https://overthewire.org/wargames/ - Bir dizi giderek daha zor pwn tarzı mücadele.
- https://2018game.picoctf.com/ — Yıllık süre sınırlı CTF artık uygulama olarak kullanılabilir
