CTF и практические задания

Тёплые, ясные летние вечера лета начинают становиться прохладными и более тёмными. Ночь и прохладная тьма мало-помалу начинают господствовать над силами света. В одну из таких ночей Игорь не спал. Бессонница истязала его в тот момент, это было частое явление. Работа в качестве сетевого админа часто выматывала его. Эх, если бы невозможность уснуть была единственной причиной того, почему в эту ночь он не спал.

Сообщение в Telegram'e захватило его, бот новостного канала прислал занимательную статью про расследование киберпреступления. Там он разузнал о существовании форензики и логов, просмотрев логи windows, ему стало не по себе. Оказывается, windows хранила столько информации о его жизни за ПК. В голову начали приходить мысли о том, как же перейти на более безопасный вариант операционной системы, а именно что-то с Linux подобных. Отличия нашего героя от основной массы людишек не сосчитать, потому он начинает со свойственной ему индивидуальности, скачав себе на флешку Parrot Security OS вместо Kali linux, как это делают многие. Запустил и ушёл спать:

Всем хорошего времяпрепровождения!

Новая статья апрель 2025 год по ссылке: Полное руководство по стеганографии для CTF: инструменты и методы поиска скрытых данных

Недавно образовалась команда новичков по ctf нашего любимого форума, в связи с этим своей статьей хотел бы начать обмен опытом, так сказать, по решению тасков той или иной направленности. Ведь всегда есть некий алгоритм, которому вы следуете при решении тасков, который приводит, на легком и среднем уровне, к найденному флагу. Это тот уровень, который находится между «пфф, изипизи» и тем, когда вы начинаете видеть заговоры иллюминатов во всех хинтах и файлах.

И так, я попробую рассказать вам основы стеганографии. Точнее сказать, основы в моем представлении. Приятного чтения

1. Область применения

Что такое стеганография рассказывать не буду, дабы не захламлять статью. Просто поясню, что это метод сокрытия информации в объектах(картинка, музыка, видео, кожа головыJ(это не шутка) и т.д.) в которых непосвященный человек не сможет...

В этом году наша команда обязательно посетит это замечательное мероприятие. Поставим стенд, будем раздавать стикеры. Допускаю, что один из участников команды выступит с докладом. Кстати, еще можно успеть подать заявку на доклад. Еще подготовим небольшие задания, которые сможете решить на месте. Призы гарантируем. Пригласим моделей, с которыми сможете сфоткаться

Отзыв одного из участников форума, который был на офзоне в прошлом году:

Кратко мероприятии:

16 и 17 апреля 2020 года в Москве пройдет третья международная конференция по практической безопасности OFFZONE 2020.

На этот раз местом встречи для специалистов, исследователей и...

Нажмите, чтобы раскрыть...

ВНИМАНИЕ! Перенос сроков проведения PHDays 10

Привет, codeby !
Первоисточник: Hacking Articles - Raj Chandel's Blog
Перевод: выполнен от команды Codeby
Примечание от команды форума:

• Статья является переводом.

Привет! Сегодня мы рассмотрим еще один CTF, который проходил в Лондоне на конференции Bsides London в 2017. Главной задачей является получение root привилегий на ВМ.
Виртуальную машину можно скачать здесь.

Начнем с того, что нам нужно узнать IP виртуальной машины (здесь я использую 192.168.0.7, но вам нужно указать свой).
Запустим сканер nmap, чтобы найти открытые порты и команду –sV, чтобы определить версии сервисов установленных на портах.

nmap -p- -sV 192.168.0.7

Мы видим, что на машине открыт 80 порт, на котором находится наш сервер.
Откроем в браузере 192.168.0.7



На главной странице мы находим подсказку и с помощью программы dirb и команды raft-large-directory перечесляем директории и узнаем дополнительную информации о них.

dirb http://192.168.0.7 raft-large-directories

[ATTACH...

Спикерами мероприятия являются участники форума кодебай @Vander и @Sunnych

Далее текст от оргов:

Здравствуйте, мы являемся группой студентов ОНПУ специальность Информационная Безопасность. У нас появилась идея провести что то связанное с ИБ.

Кратко о мероприятии:участников ожидают выступления спикеров со всей Украины, профи своего дела список докладчиков вы можете увидеть у нас на сайте, так же мы подготовили практические квесты по различным темам php инъекции, sql инъекции, xss, обход авторизации и тд. Все это конечно же будет сопровождаться ценным и интересными призами.Вот наш сайт на котором можно узнать больше информации (www.phoenix-hackathon.pw ).

На кого ориентированно мероприятие?

Материалы докладчиков будут доступны как для начинающих так и для продвинутых и вход на мероприятие бесплатный так как это некоммерческий проект а сделан он с целью развития сектора ИБ.

Так же наш instagram (www.instagram.com/hackathon.)...

Доброго времени суток, codeby.
Первоисточник: hackingarticles.in
Перевод: Перевод выполнен от команды Codeby
Примечание от команды форума:

• Статья является переводом.

Приветствую друзья: сегодня мы поиграем в CTF “Game of Thrones”
Образ VM и подробное описание можно найти тут
Автор VM: OscarAkaElvis

Приступим.
Для начала, узнаем IP виртуальной машины (В статье она находится по адресу 192.168.1.133)

Далее используем nmap чтобы найти открытые порты и сервисы расположенные на них



Мы видим, что на 80-ом порту находится веб-сервер, поэтому мы открываем ip в нашем браузере.



Посмотрев на исходный код страницы, мы увидим синтаксис флага.



Далее, найдём директории и другие web-объекты используем dirb



Dirb нашёл файл...

Всем привет!

На днях проходил конкурс по SQL-injection. И сегодня я расскажу вам как нужно было проходить задание. Этот райтап будет больше чем прохождение конкретного таска. Здесь я буду освещать логический подход к внедрению произвольного кода sql. Многие из вас, смогут для себя узнать полезные детали.

Рассказывать буду подробно, шаг за шагом.

Шаг 1 - найти точку входа в инъекцию.

На странице таска мы не видим какой-либо формы в явном виде, также в исходном коде нет скрытой формы.

Стало быть с большой долей вероятности уязвимость будет в GET запросе. Чаще всего обращение к базе идёт через какой-нибудь параметр. Пробовать нужно всегда с самого простого и распространённого, что я и сделал в таске. Получилось, вывод на странице поменялся. Попали с первого раза. Кто не догадался, тот легко мог узнать страницу с параметром с помощью какого-либо фаззера.
/?id=1

Теперь нужно проверить, а есть ли здесь инъекция? Конечно же начинать нужно опять с самого...

Всем привет!

В продолжение серии статей 1 2 3 4 5 6 я решил приготовить вам сюрприз в виде таска. По моей оценке сложность задачи 8 из 10 баллов. Предлагаю всем желающим пошевелить мозгами, и испытать свои навыки по внедрению произвольного кода в базы данных.

Условия конкурса

1. Взломать базу данных, и вытащить оттуда secret_key
2. Прислать своё решение мне в л.с. (подробное прохождение)
3. Дать свою оценку сложности таска по 10 балльной шкале

Конкурс продлится 10 дней...

Доброго времени суток, codeby. Не так давно в моем городе “отгремел” локальный хакатон в одном из универов и мне хотелось бы поделиться одним из полезнейших навыков для комфортного участия в таких мероприятиях - настройкой инфраструктуры для непрерывной доставки и развертывании.
Итак формат хакатона следующий: за отведенное время (26 часов) участникам (командам) предлагается решить одну из задач (головных болей) бизнеса (читай заказчика). Разумеется чем более готовый продукт, тем более выше шансы на успех. При таких данных, хочется максимально минимизировать затраты на прогон всех тестов и время для развертывания приложения. Хочется заняться более интересными и трудозатратными вещами: архитектурой, кодингом, анализом проблемы, поиском решения и так далее.

Статья заточена на стек .Net(Core) и React. База данных не делилась на продуктовую и тестовую (вместо этого изначально предполагалось запускать её в контейнере, но от этого решения принято было отказаться в процессе разработки, за избыточностью).

В качестве системы CI\CD был выбран Travis, за счёт простоты настройки и того факта что предоставляет бесплатно свои услуги для open source проектов, приложение разворачивалось на...