Security challenges

[Boudewijn]

Hoi medetweakers,


Dit topic is bedoeld als discussietopic voor security-challenges. Doel is erover discussieren, danwel het uitwisselen van nieuwe challenges.
Let hierbij aub wel op dat bij sommige challenges de inhoud niet besproken mag worden. Doe dit dan ook aub niet!

Ook challenges waarbij de oplossingen nog niet online staan uitwisselen kan niet de bedoeling zijn. Houd dan ook rekening met zowel de letter als de geest van de puzzle.
Voel je dan ook vrij je visie te geven op challenges, of nieuwe challenges aan te brengen.

Doel van challenges is je geest te slijpen op programmeer/security/crypto-gebied. Sommige challenges zijn diehard reverse-engineering, andere zijn bouwen vooral op je gezonde verstand. Voorbeeld hiervan is de jaarlijkse NBV puzzel.

Welke challenges zijn er allemaal?

Algemene challenges:

De NBV kerstpuzzels

• De jaarlijkse NBV kerstpuzzel, editie 2013: https://www.aivd.nl/organ...037/nbv-kerstpuzzel-2013/
• De jaarlijkse NBV kerstpuzzel, editie 2012: https://www.aivd.nl/organ...uws/nbv-kerstpuzzel-2012/


Er zijn ook oudere edities her en der online te vinden.
Deze puzzle is een combinatie van logica, gezond verstand en basiswiskunde. Desalniettemin vrij pittig.
Voorkennis is niet vereist, mensen lossen hem soms op papier of met Excel op. Ik zelf doe de meeste dingen in Ruby en op papier.

THTC's Cyber challenge

De 2014 versie:
plan: Politie en Tweakers ontwikkelen nieuwe Cybercrime Challenge


Ook team high tech crime van de politie had een leuke challenge vorig jaar (De cyberchallenge die zich deels hier op t.net afspeelde) maar die is na hun campagne helaas weer uit de lucht gehaald. Een overview is hier te vinden:
Boudewijns blogje: THTC Cyberchallenge: de oplossing Hopelijk komt er nog een keer zo'n gaaf opgezette professionele challenge.

NIeuws: Op 16 april 2014 komt er een nieuwe: http://tweakers.net/advertorials/hightechcrime

Hacking/exploiting challenges:

• http://blackbox.smashthestack.org:85/
• http://smashthestack.org/wargames/blowfish

Er zijn er nog meer hier te vinden: http://smashthestack.org/

Smash the stack is een verzameling challenges waar je met SSH op in kunt loggen waarbij je een UNIX systeem zover moet krijgen een password op te geven.
Dit kun je doen door een buffer-overflow te creeeren, een binary te reversen of setuid-bits te misbruiken. Best pittig, maar er zit wel een mooie leercurve in.
Het is wel van belang dat je voor deze challenges wat programmeer en UNIX ervaring hebt.

De Matasano embedded security CTF

Zelfde principe als smashthestack, maar nu door een commercieel bedrijf:

Given a debugger and a device, find an input that unlocks it. Solve the level with that input.

You've been given access to a device that controls a lock. Your job: defeat the lock by exploiting bugs in the device's code.

You're playing "Capture The Flag". You collect points for each level you beat, working your way through steadily more complicated vulnerabilities. Most levels showcase a single kind of real-world software flaw; some levels chain a series of them together.

Lekker reversen en overflowen dus . Ik denk dat reverse-engineering en assembly wel nodig zijn voor deze. Er zit een tutorial bij, maar die is vooral voor de omgeving. Het is een soort web-based IDA-achtige debugger.

De gevonden USB stick challenge hier op tweakers

Hij is commercieel, maar geen idee hoe en wat.
Het gaat er vermoedelijk om dat je wat forensics op een stickie doet.
[ADV] USB stick gevonden, hulp nodig!

De certified secure challenges

Aangedragen door LuckY:
Veel web maar ook wat server security, firewalls, forensics en coding:
https://www.certifiedsecure.com/frontpage

Crypto

Ook hier heeft matasano een aardige challenge, waarbij de vragen zelfs niet gedeeld mogen worden.
De challenges bestaan 8 sets vragen die je per mail op kunt vragen en per mail in moet leveren. Hierbij ga je standaard crypto-flaws uitbuiten. Er wat basiswiskunde en programmeervaardigheid voor nodig aldus een van mijn collegae die ermee bezig is.
http://www.matasano.com/articles/crypto-challenges/
Ik heb ze liggen en ze zien er best doable uit voor iemand die geen crypto-koning is.

Forensics

Leuke intro met een server compromise -> http://blog.handlerdiaries.com/?p=63
http://digital-forensics.sans.org/community/challenges
http://digital-forensics....-memory-challenge-dfircon
http://www.wyattroersma.com/?p=64

Ga hier dus niet om vragen bedelen of spoileren aub.


Mocht je nou nog een toffe challenge weten die echt in de lijst moet, geef aub een gil.

[Voor 11% gewijzigd door Boudewijn op 16-04-2014 22:12]

[Boudewijn]

De TS trapt af, mijn doelen voor komende weken zijn de beide matasano challenges.
Nee ik hoef niet bij ze te werken (heb al een prima baan) maar vind ze wel cool en merk dat er een enorme DoS op die gasten bezig is (3 man schijnt ~10k aan mailtjes met reacties gehad te hebben... lol ) en ik niet weet hoe lang ze dit blijven doen. Het is allemaal handwerk kennelijk , heel cool.


Mijn crypto is roestig en ik wil mijn ruby skills verbeteren door alle cryptomeuk in ruby te doen. Buiten dat is die embedded challenge leuk om weer eens wat nasty shellcode te coden. Tsja dat moet je ding zijn maar het is wel retevet. Zijn meer mensen hiermee bezig?

[TheVMaster]

Nu is dit voor mij (als Microsoft Windows man ) allemaal abracadabra.......waar moet ik beginnen om hier mee aan de slag te kunnen?

[Boudewijn]

Goede vraag . Ik zit zelf in de infosec maar ben wel een *NIX gebaseerde kerel.
Wat wil je bereiken?
UNIX shit leren? Probeer voorzichtig te beginnen met die smashthestack dingen... en denk vooral logisch na.

Wil je gewoon leuke uitdagingen? Probeer de NBV puzzle.
Wil je wiskunde? Matasano crypto.


Heb je trouwens als windows-man een leuke windows-challenge? Dat lijkt mij dan weer vet cool.

[StM]

Gewoon beginnen en zien waar je vastloopt Kunnen programmeren is wel een zeer grote pré, zeker voor de crypto. Wiskundekennis heb je in het begin nog niet nodig.

[johnkeates]

Wat ik me altijd afvraag is waarom de Microsoftmannen niet vaak bij Security Challenges te vinden zijn. Is het om dat security vooral uitbesteed wordt? Of gewoon iets wat niet in het Windows-werkveld by default nodig is.
Volgens mij zit er in software van MS net zo veel crypto en hackable spul als in elk ander OS... dus vandaar de vraag.

Wat de challenges betreft: staat er niet nog ergens een versie van de 0x7dd cybercrime challenge online? Die was ook best aardig opgezet, hoewel je veel meer voorgekauwde informatie krijgt.

[Boudewijn]

StM schreef op donderdag 23 januari 2014 @ 00:26:
Gewoon beginnen en zien waar je vastloopt Kunnen programmeren is wel een zeer grote pré, zeker voor de crypto. Wiskundekennis heb je in het begin nog niet nodig.

Welke challenge bedoel je specifiek? Ik ben net begonnen aan die embedded CTF, die ziet er wel vrij bruut uit. De tutorial begint met IDA achtige shit.

[Boudewijn]

johnkeates schreef op donderdag 23 januari 2014 @ 00:28:
Wat ik me altijd afvraag is waarom de Microsoftmannen niet vaak bij Security Challenges te vinden zijn. Is het om dat security vooral uitbesteed wordt? Of gewoon iets wat niet in het Windows-werkveld by default nodig is.
Volgens mij zit er in software van MS net zo veel crypto en hackable spul als in elk ander OS... dus vandaar de vraag.

Goede vraag. Imo is er minstens net zo veel te hacken als in Unix omgevingen. Aan de andere kant ken ik veel mensen in de infosec die veel met Linux doen en weinig met MS-systemen...

Wat de challenges betreft: staat er niet nog ergens een versie van de 0x7dd cybercrime challenge online? Die was ook best aardig opgezet, hoewel je veel meer voorgekauwde informatie krijgt.

Afaik niet. Hij was na vraag 7 ofzo wel aardig, toen je die binary moest gaan reversen werd het leuk. Ook het stuk met volatility vond ik niet voorgekauwd. Okay het was niet super moeilijk maar je moest je er wel echt even in verdiepen.

[StM]

Het maakt eigenlijk niet uit waar je begint aangezien ze eigenlijk allemaal heel simpel (prima googlebaar) beginnen maar dan heel rap op gaan bouwen. En dan is het imo gewoon doorzetten.

De embedded CTF is idd heel tof, al heb ik er pas 1 avond ofzo aan kunnen besteden en ben toen halverwege gekomen

[johnkeates]

Boudewijn schreef op donderdag 23 januari 2014 @ 00:30:
[...]

Goede vraag. Imo is er minstens net zo veel te hacken als in Unix omgevingen. Aan de andere kant ken ik veel mensen in de infosec die veel met Linux doen en weinig met MS-systemen...

Dat is dus ook wat ik zie. Het lijkt haast wel alsof infosec en MS-systemen niet in dezelfde dimensie bestaan, terwijl het haast wel moet. Misschien een Windows/MS-man hier die er een licht op kan schijnen?

Boudewijn schreef op donderdag 23 januari 2014 @ 00:30:

[...]

Afaik niet. Hij was na vraag 7 ofzo wel aardig, toen je die binary moest gaan reversen werd het leuk. Ook het stuk met volatility vond ik niet voorgekauwd. Okay het was niet super moeilijk maar je moest je er wel echt even in verdiepen.

De latere vragen waren inderdaad wel aardig. Ook het dwaalspoor voor de cryptokey in de RAM dump was leuk bedacht. Maar het feit dat je zomaar een pcap krijgt en fs/RAM dumps maken het wel een tikje makkelijk. Het is een beetje alsof het de 'loot' is na een geslaagde hack, waarbij er alleen geen hack was...

Wat dan wel weer duidelijk is, is dat het 'binnenkomen', 'verzamelen', en 'analyseren' echt losse stukjes zijn, die in een challenge vaak nooit alledrie tegelijk langs komen. Stel dat je ergens moet inbreken, daarna data moet verzamelen, en daarna met die data weer ergens anders zou moeten inbreken, dan is de cycle compleet, en moet je toch echt alles kunnen. Leuke extra zou zijn om je sporen te moeten wissen.

[StM]

Als je dat wilt moet je Attack&Defense CTF's gaan spelen.

[Boudewijn]

johnkeates schreef op donderdag 23 januari 2014 @ 00:35:

De latere vragen waren inderdaad wel aardig. Ook het dwaalspoor voor de cryptokey in de RAM dump was leuk bedacht. Maar het feit dat je zomaar een pcap krijgt en fs/RAM dumps maken het wel een tikje makkelijk. Het is een beetje alsof het de 'loot' is na een geslaagde hack, waarbij er alleen geen hack was...

Mwa ze hadden die laptop toch echt in beslag genomen bij de bad guy . Maarruh de res van de challenge was niet heel pittig en deze was relatief pittig. Imo een van de beste challenges, domweg omdat het goed in elkaar gezet was. ja niet super die-hard maar wel leuk.
Heb jij anders nog een toffe suggestie voor in de lijst?

Wat dan wel weer duidelijk is, is dat het 'binnenkomen', 'verzamelen', en 'analyseren' echt losse stukjes zijn, die in een challenge vaak nooit alledrie tegelijk langs komen. Stel dat je ergens moet inbreken, daarna data moet verzamelen, en daarna met die data weer ergens anders zou moeten inbreken, dan is de cycle compleet, en moet je toch echt alles kunnen. Leuke extra zou zijn om je sporen te moeten wissen.

Mja dan ga je bijna denken aan een horizontal pivot in een echte aanval. Dat soort dingen doe ik niet hoor . Punt is dat als je een geloofwaardig scenario wil maken over meerdere systemen je al heel snel heel erg veel resources nodig hebt om dat een beetje tof te maken. Dat lukt alleen bij de echt grote dingen.

[Boudewijn]

StM schreef op donderdag 23 januari 2014 @ 00:37:
Als je dat wilt moet je Attack&Defense CTF's gaan spelen.

Heb je een mooi voorbeeld hiervan?

[StM]

Hier staat een leuke invulling van een A&D CTF van een paar maanden terug: http://ictf.cs.ucsb.edu/ Ze zijn alleen behoorlijk zeldzaam, want het is veel meer werk als de reguliere opzet met losse challenges. Ik heb er ook nog nooit met 1 meegedaan.

[Voor 42% gewijzigd door StM op 23-01-2014 00:48]

[Boudewijn]

Yup leuke challenge, alleen helaas open voor studenten die ook nog eens een prof meekrijgen @ uni . Lastig om binnen te komen dus als je al even niet meer studeert .

[StM]

Jup, het ging alleen meer om de beschrijving Er is er namelijk de komende tijd geen.

[TheVMaster]

Boudewijn schreef op donderdag 23 januari 2014 @ 00:22:
Goede vraag . Ik zit zelf in de infosec maar ben wel een *NIX gebaseerde kerel.
Wat wil je bereiken?
UNIX shit leren? Probeer voorzichtig te beginnen met die smashthestack dingen... en denk vooral logisch na.

Wil je gewoon leuke uitdagingen? Probeer de NBV puzzle.
Wil je wiskunde? Matasano crypto.


Heb je trouwens als windows-man een leuke windows-challenge? Dat lijkt mij dan weer vet cool.

Ik ben op zich wel geinteresseerd in infosec gerelateerde zaken, vanuit m'n werk (Microsoft infra consultant) heb ik daar helaas vrij weinig mee te maken, zit meer in de deployment en desktop hoek maar security is en wordt alleen maar belangrijker. Ik zal eens naar die smashtestack gaan kijken.

[Boudewijn]

TheVMaster schreef op donderdag 23 januari 2014 @ 01:18:
[...]


Ik ben op zich wel geinteresseerd in infosec gerelateerde zaken, vanuit m'n werk (Microsoft infra consultant) heb ik daar helaas vrij weinig mee te maken, zit meer in de deployment en desktop hoek maar security is en wordt alleen maar belangrijker. Ik zal eens naar die smashtestack gaan kijken.

Ja dat is wel een goede. Die kun je (imo) ook hier prima bespreken.
Heb je programmeerervaring?

[StM]

Ik heb de afgelopen weken ook een aantal challs gemaakt, maar dat is ook weer linux only. Misschien een idee om eens een serie voor Windows te maken, maar dat gaat wss wel een jaartje duren eer ik daar tijd voor heb...

Ik denk dat het ook te maken heeft met dat je onder linux vrijwel standaard gdb beschikbaar hebt en onder Windows kom je al snel op betaalde debuggers uit of voor een beginner totaal onwerkbare gedrochten.

[Voor 32% gewijzigd door StM op 23-01-2014 01:24]

[Boudewijn]

Mwa ik vind olly en eventueel IDA best gratis en duidelijk? Vind gdb nastier dan dat eigenlijk ...


Maak jij zelf ook challenges?

[TheVMaster]

Boudewijn schreef op donderdag 23 januari 2014 @ 01:18:
[...]

Ja dat is wel een goede. Die kun je (imo) ook hier prima bespreken.
Heb je programmeerervaring?

Vroeger veel met basic en TurboPascal gedaan En meer recent met vbscript, powershell en (klein) beetje met C#

Overigens draai ik hier ook een Unbuntu server (t.b.v. spotweb, sickbeard, etc.), dus als het handiger is om dat vanaf een Linux doos te doen...tja dan deploy ik nog even een extra Ubuntu doos op m'n Hyper-V host

[Voor 24% gewijzigd door TheVMaster op 23-01-2014 01:27]

[StM]

Boudewijn schreef op donderdag 23 januari 2014 @ 01:25:
Mwa ik vind olly en eventueel IDA best gratis en duidelijk? Vind gdb nastier dan dat eigenlijk ...


Maak jij zelf ook challenges?

Olly vind ik maar niks, IDA is top maar verre van gratis

En heel soms maak ik weleens challenges ja.

[Boudewijn]

TheVMaster schreef op donderdag 23 januari 2014 @ 01:26:
[...]


Vroeger veel met basic en TurboPascal gedaan En meer recent met vbscript, powershell en (klein) beetje met C#

Overigens draai ik hier ook een Unbuntu server (t.b.v. spotweb, sickbeard, etc.), dus als het handiger is om dat vanaf een Linux doos te doen...tja dan deploy ik nog even een extra Ubuntu doos op m'n Hyper-V host

How about de matasano crypto dan ? Het is niet super1337 (iig de eerste 8 ) maar je gaat wel wat programmeren. Maakt volgens mij niet veel uit welke taal je daarvoor neemt.

StM schreef op donderdag 23 januari 2014 @ 01:30:
[...]


Olly vind ik maar niks, IDA is top maar verre van gratis

En heel soms maak ik weleens challenges ja.

Hier voor non-commercial use:
https://www.hex-rays.com/...t/download_freeware.shtml

We hebben hem op het werk met hex-rays licentie erbij. Dat is wel geil.

[TheVMaster]

Boudewijn schreef op donderdag 23 januari 2014 @ 01:32:
[...]

How about de matasano crypto dan ? Het is niet super1337 (iig de eerste 8 ) maar je gaat wel wat programmeren. Maakt volgens mij niet veel uit welke taal je daarvoor neemt.
[...]

Eh...ik denk dat ik daar maar aan begin, want SmashtheStack..eh.....geen idee wat ik zou moeten doen (Ja, ik heb wel connectie etc...pff.....doe mij maar wiskunde )

[Boudewijn]

Welke ben je begonnen? Ik kan je wel wat tips geven over een aantal challenges.

[TheVMaster]

Boudewijn schreef op donderdag 23 januari 2014 @ 01:42:
Welke ben je begonnen? Ik kan je wel wat tips geven over een aantal challenges.

Geen idee....heb de instructies gevolgd en had verbinding, misschien had ik eerst ff verder iets moeten lezen ofzo? Maar ik ga nu eerst eens pitten.... ga er komende dagen wel ff naar kijken. Als ik er niet uit kom dan kom ik wel om tips vragen....

[Voor 15% gewijzigd door TheVMaster op 23-01-2014 01:47]

[Boudewijn]

Gewoon gaan met die banaan en hier dingen vragen. Wel even duidelijk maken welke challenge je exact bedoelt.

[ImNotnoa]

Hier staan ook wel wat leuke challenges

[Thralas]

johnkeates schreef op donderdag 23 januari 2014 @ 00:28:
Wat ik me altijd afvraag is waarom de Microsoftmannen niet vaak bij Security Challenges te vinden zijn. Is het om dat security vooral uitbesteed wordt? Of gewoon iets wat niet in het Windows-werkveld by default nodig is.

Het feit dat Linux je in bepaalde opzichten een stuk meer vrijheid geeft in het gebruik (prominentere cli, open source dus makkelijker aanpasbaar, geen licentiekosten) maakt het nu eenmaal aantrekkelijk voor 'hackers'. Zelf heb ik altijd een Windows VM bij de hand, ook voor securitygeknutsel, maar ik geef de voorkeur aan Linux.

De 2 Matasano challenges die Boudewijn in z'n TS aanhaalt zijn overigens prima starting points om ervaring op te doen met exploitation resp. crypto.

Boudewijn schreef op donderdag 23 januari 2014 @ 00:52:
Yup leuke challenge, alleen helaas open voor studenten die ook nog eens een prof meekrijgen @ uni . Lastig om binnen te komen dus als je al even niet meer studeert .

De (online) attack & defense CTFs zijn op een hand te tellen, iCTF, rwthCTF, RuCTFE.

Ik heb met alle drie ervaring, en persoonlijk vind ik iCTF de minst interessante (en velen met mij), dus wat dat betreft mis je weinig.

Waar bij traditioneel A&D ieder team wordt voorzien van een virtual machine met vulnerable services, probeert iCTF er altijd een aparte draai aan te geven, bijvoorbeeld door een obscure state machine welke bepaalt wanneer je welke flags mag submitten, of de eis dat je al je exploits opstuurt in plaats van dat je zelf direct andere teams aanvalt. De organisatie van iCTF vindt zichzelf vernieuwend en trendsetting, vele anderen zijn echter van mening dat A&D nodeloos complex maken.

De overige twee zijn meer rechttoe-rechtaan A&D: je eigen services proberen te patchen terwijl je andere teams aanvalt. Hierbij is het hebben van een team een absolute must, en in mijn ogen is het soms net wat te stressvol.

Voor eigenlijk alle overige online CTFs geldt dat ze 'jeopardy style' zijn; losse challenges, meestal ingedeeld in een aantal categorieen (o.a. exploitation, reversing, crypto, forensics, network, web). Goed vergelijkbaar met alle challenges die je in de TS noemt, alleen dan in teamverband binnen een beperkt timeframe en met een scoreboard.

Het beste overzicht van CTFs is te vinden op CTFtime.

Mocht er hier nog iemand meelezen die <= 18 is of nog middelbaar onderwijs volgt: er is binnenkort een CTF gericht op scholieren (CODEGATE 2014).

[LuckY]

Ik mis nog een aantal webbased challenge sites:

Een mooi overzicht van sites:
http://www.wechall.net/active_sites

Veel web maar ook wat server security, firewalls, forensics en coding:
https://www.certifiedsecure.com/frontpage

Specifieke Digital Forensic challenges:
Leuke intro met een server compromise -> http://blog.handlerdiaries.com/?p=63
http://digital-forensics.sans.org/community/challenges
http://digital-forensics....-memory-challenge-dfircon
http://www.wyattroersma.com/?p=64


Over de windows CTF's:

Ik weet dat er een actief was (http://threatspace.net/), maar deze lijken nu meer bezig te zijn met de CCDC's (wat ook wel heel tof zou zijn als scholen/uni's dat in NL gingen doen).

Maar deze viel heel erg tegen, het was een soort king of the hill waarbij je punten kreeg voor het houden van een server, in tegen stelling tot het oplossen van challenges.
Daarnaast ging het hierbij om 'known' vulnerabilities in tegen stelling tot de vaak custom made vulnerabilities in normale CTF's.

Daarnaast heb ik één keer een CTF challenge gezien waarbij je uit een lockeddown RDP sessie moet breken.

Voor de rest zitten er wel veel EXE's in, maar dat is niet echt een specifieke windows challenge, meer reversing.

[Voor 5% gewijzigd door LuckY op 02-02-2014 12:21]

[Boudewijn]

Dank voor de links!
Ik ga ze morgen even bekijken en in de startpost zetten.

Vandaag heb ik met een paar collegas een officieel begin gemaakt aan de matasano embedded CTF (https://microcorruption.com). Gezien we geen van drieeen assembly-koningen zijn ben ik heel benieuwd hoe het ons zal vergaan.

Wel vind ik een webbased debugger nu nog even goed onhandig.

[Boudewijn]

Zo, ik heb vandaag weer een paar uur verprutst met bovenstaande challenge... iets met voornamelijk x86-dingen doen en nu op een TI-based simulator prutsen. Gevolg is dat ik niet nadenk over endianness en me daarna wel voor het hoofd kan slaan .

[Boudewijn]

Een collega van mij is echt smerig ver gekomen met de matasano embedded CTF, ik ga er dit weekend weer tijd in stoppen.

Ondertussen viel mijn oog op deze:

http://tweakers.net/advertorials/hightechcrime


Erg interessant, een nieuwe security challenge. "High impact" , hopelijk (zal wel goed zitten ) even vet als de 0x7dd challenge van vorig jaar.
Wie gaan er nog meer meedoen?

offtopic:
Ik ga proberen de startpost bij te houden nav het nieuws rond deze challenge

[Voor 12% gewijzigd door Boudewijn op 28-03-2014 16:04]

[Rukapul]

Leuk initiatief Boudewijn.

Persoonlijk vind ik die challenges een leuke manier om me scherp te houden op de praktische kant van infosec en tooling. Zo af en toe pak ik er eentje mee. En een project op het werk gedefinieerd waardoor er in de kelder nu een setup staat met apparaten ter evaluatie.


Je had deze trouwens nog gemist: [ADV] USB stick gevonden, hulp nodig!

[Voor 3% gewijzigd door Rukapul op 28-03-2014 16:12]

[Boudewijn]

Leuk rukapul, ik ga me ook even opgeven voor dat commerciele topic. Benieuwd of het wat is .
Tevens zet ik hem in de topicstart.

Ik ben trouwens bezig met 3 challenges atm:

1: De AD5Txx stick-challenge
2: matasano embedded CTF
3: matasano crypto-challenge (laag pitje, wegens tijdsgebrek)

Wie is nog meer bezig, en waarmee?

[Voor 44% gewijzigd door Boudewijn op 29-03-2014 01:51]

[Vihaio]

Ik heb matasano crypto challenge ruim een maand geleden gemaild, maar daar nog niks van gehoord. Mijn programmeerskils zijn niet echt geweldig en mij wiskundeskils zijn nog wat minder goed, dus ik moet nog even goed zoeken naar een geschikte challege.

[Boudewijn]

Mja die checken ze met de hand, en ze hebben de respons royaal onderschat. Dus dat kan kloppen... Waarom niet deel2 afwachten, er zijn meedere delen?

offtopic:
Mocht je een leuke vinden als alternatief voor matasano, wil je het dan hier even roepen? Zou erg tof zijn

[sh4d0wman]

Fuuu.. ik zie dit topic nu pas Er zitten wel leuke challenges in. Kunnen die links van LuckY ook in de startpost komen?

Ik heb een jaar geleden de smashthestack challenges gespeeld en dat heeft zeker wel wat geholpen om mijn kennis op Linux gebied te vergroten. Gdb valt wel tegen als je aan grafische tools gewend bent (Ida / Olly).

Binnenkort eens even kijken naar wat Forensic challenges aangezien ik daar weinig ervaring mee heb en het me wel leuk lijkt. Meer links zijn dus welkom

[Boudewijn]

De challenges van LuckY zijn net toegevoegd, had hem ook al gevraagd om wat meer tekst. Vrijwilligers om wat te tikken? Anders doe ik het binnenkort als ik vrij/vacantie heb .

Dank voor de reminder.

[Thralas]

Nog een, die vorig jaar licht vermakelijk was: MWR HackFu Challenge 2014

[zeef]

Cybercrimechallenge.nl

[Boudewijn]

Zijn we idd al mee bezig. Vermoed dat je mijn username er wel uitpikt .

[kasclark]

Boudewijn, zullen we racen? De technische track vs. de digitaal track? =)

[Boudewijn]

Ik zit in level 7 vriend. Maar prima. Een collega van me zit daar nu ook.

Ken ik jou trouwens?

[Voor 3% gewijzigd door Boudewijn op 17-04-2014 00:10]

[kasclark]

Nee, maar ik zie dat je vaker zulke puzzels doet. Lijkt me leuk om een keer te brainstormen.

[Boudewijn]

Meh ik zit bij THTC vast op de laatste vraag. Die eerste 6 heb ik er in een avondje doorheen geduwd, maar ik zit nu gewoon vast bij het analyseren van hetgeen je krijgt. Grmbl.


</frustratie>

[Boudewijn]

Huppa en opgelost met wat mooi handwerk. Heb hem nu in the end in 2-3 avonden gedaan (afgelopen week >12 uur per dag gewerkt en vanavond weer gaan zitten).

[zeef]

Jou zo lang bezighouden met de challenge, dat zie ik als een compliment.

[Rukapul]

Boudewijn schreef op woensdag 23 april 2014 @ 22:46:
handwerk

Lui als ik ben - en beperkt in m'n tijd - had ik lvl 5 dus geautomatiseerd. Ik had een scriptje dat de deeloplossing zou vinden, maar niet al te snel. Dus ingewisseld voor een off-the-shelve tool... die niet blijkt te werken Andere deeloplossing kwam wel keurig uit de andere tool gerold.

Moraal van het verhaal: test je tools even voor gebruik

[Voor 17% gewijzigd door Rukapul op 24-04-2014 08:59]

[Boudewijn]

zeef schreef op donderdag 24 april 2014 @ 00:40:


Jou zo lang bezighouden met de challenge, dat zie ik als een compliment.

Dank zeef. Nou ja ik ben lekker met allemaal forensics tools aan de gang gegaan en heb het uiteindelijk met wat grepwerk gevonden. in de forensicstools ben ik veel tijd kwijt geraakt, en een week er niet aan kunnen werken helpt ook niet .


Dat gezegd hebbende : mooie challenge! Erg verzorgd.
Mijn 2e alter ego is nu met de tactische track bezig trouwens, heb nu vrij.

Lui als ik ben - en beperkt in m'n tijd - had ik lvl 5 dus geautomatiseerd. Ik had een scriptje dat de deeloplossing zou vinden, maar niet al te snel. Dus ingewisseld voor een off-the-shelve tool... die niet blijkt te werken Andere deeloplossing kwam wel keurig uit de andere tool gerold.

spoiler:

Je hebt voor l5 2 dingen nodig, het stuk databestand en het stukje gegevens. Toen ik de data had wist ik waar ik op moest zoeken. Mijn truc bij dit soort dingen is altijd een strings $bestand > $bestand.strings . Dan kun je daarna een stuk sneller even zoeken of greppen.

Toen ik eenmaal het type van 'het stuk databestand' had ben ik gaan greppen in het image.... en ja dan vind je wel dingen.

Soms is overengineeren niet de efficientste weg . Ook al had ik graag mijn volatility certificering gebruikt om dit varkentje te wassen.

[Rukapul]

Het mooie van engineering is dat het herbruikbaar en interessanter is en je er meer van leert. Zoals gezegd had ik 2 tools draaien met strings als input. De eerste was in no time klaar op een klein gpu cluster De tweede had ik zelf gemaakt met 20 regels Python voor ik overstapte op een off-the-shelve tool. Helaas kreeg ik die zo snel niet werkend op de gpu infra, cpu mode dus, en achteraf blijkt die uiteindelijk dus niet te werken. Had ik m'n eigen bouwsel door laten lopen dan had ik op dezelfde dag m'n antwoord gehad als nu even handmatig

Met volatility betwijfel ik of je veel had gevonden. De run-time tool in kwestie laat geen kopie achter in het datasegment

[Voor 3% gewijzigd door Rukapul op 24-04-2014 11:54]

[Boudewijn]

How about de linux_bash plugin?

[mace]

Na de digitale track gedaan te hebben van de cybercrime challenge ben ik de tactische maar gaan doen. Zit nu bij level 5 vast. De vraagstelling is irritant vaag.

[Boudewijn]

Idd. vage crap met veel data.

Ik ga een OCR ding in elkaar hacken denk ik. Zin om mee te coden mace1337?

[mace]

Boudewijn schreef op zaterdag 26 april 2014 @ 01:23:
Idd. vage crap met veel data.

Ik ga een OCR ding in elkaar hacken denk ik. Zin om mee te coden mace1337?

Ik heb een geOCR'de versie, die is alleen wel wat brak en de datums missen omdat de ocr-software de 2 regels niet snapte.

[Thralas]

Dit weekend: https://ctf.dragonsector.pl/

[Boudewijn]

Oh nice ik ga daar denk ik mijn avond aan verprutsen .

[mace]

Goed, nu level 7 op de tactische track, en ik heb de info, maar misschien vul ik het verkeerd in ofzo want hij keurt het niet goed.

e: En opgelost. Invoerveld is erg kieskeurig IMHO.

Goed, beide tracks van de THTC challenge opgelost... NEXT

[Voor 31% gewijzigd door mace op 28-04-2014 14:03]

[sh4d0wman]

Hier een game welke wat lijkt op de smashthestack opzet: http://overthewire.org/wargames/

Drie verschillende niveau's van Linux exploitatie (denk aan Buffer/Heap overflow met/zonder protectie) : http://exploit-exercises.com/

Nog niet gespeeld dus geen idee hoe goed de kwaliteit is. Zal verslag uitbrengen zodra ik er eens tijd voor heb

[Booster]

Een hele kleine challenge van Google, helemaal gericht op educatie rondom XSS-vulnerabilities:
https://xss-game.appspot.com

Leuk, en kost niet veel tijd

[Boudewijn]

Heel cool, daar hoop ik wat van te gaan leren... ben echt geen XSS koning.

De eerste drie waren maar 10 minuten werk. Best makkelijk dus.

[Voor 30% gewijzigd door Boudewijn op 29-05-2014 22:06]

[Ghehe]

sh4d0wman schreef op donderdag 29 mei 2014 @ 15:59:
Hier een game welke wat lijkt op de smashthestack opzet: http://overthewire.org/wargames/

Hey, daar ben ik vandaag ook mee begonnen. Een vriend van me zei dat ik de 'vortex' moest proberen omdat ik liep te miepen dat een wargame over webdevelopment (xss, sql,...) te simpel was. Deze gaat wel over exploits dus eigenlijk niet echt vergelijkbaar met wargames over webdev (waar ik meer ervaring mee heb). Momenteel bij level 3.

Best wel leuke challenges al heb ik nog niet echt gekeken naar de andere wargames.

[Voor 21% gewijzigd door Ghehe op 29-05-2014 23:51]

[StM]

Nog mensen van hier die zich met FLARE-On bezig gaan houden? Het begint iig lekker simpel

http://www.flare-on.com/

[Boudewijn]

Ziet er leuk uit, ga er van de week eens mee spelen en kijken of ik daar wat meer over kan posten hier.

[Boudewijn]

Ik heb net in een uurtje of anderhalf de overthewire bandit uitgespeeld, en netjes mijn oplossingen genoteerd. Dit ga ik denk ik als basic CTF aan mijn nieuwe niet-technische collega's voeren, in de hoop hen in Linux en CTFs te interesseren. Ik ga dan zelf met wat andere diehards verder knallen aan microcorruption ed, zodat we wel kunnen helpen als de newbies vast zitten.
Hebben jullie ervaring met mensen op deze manier interesseren in CTFs?


Nieuwe collega's = mensen die niet diehard techneuten zijn maar wel geinteresseerd zijn in een aantal gevallen. Lijkt me erg leuk om ze met een groepje te laten puzzlen hoe het werkt . Leuke en verzorgde challenge.

[Voor 21% gewijzigd door Boudewijn op 09-07-2014 23:42]

[StM]

Mijn ervaring is dat de mensen die als ze eenmaal bekend zijn met het bestaan van CTF's en vanzelf mee gaan doen degene zijn die het ook op de wat langere duur blijven doen. De rest haakt na 1 of 2x bijna altijd weer af.

Maar wie weet dat het in groepsverband beter gaat

[Boudewijn]

Punt is wel dat ik in een security toko werk, waarbij veel nieuwe mensen binnen zijn gekomen zonder security achtergrond, en die wel aangeven meer te willen leren.

Ben benieuwd of het wat wordt .

[Thralas]

Als je niet-technische mensen een CTF laat spelen dan gaat 't ze heel snel ver boven de pet vrees ik. Die wargame is wel aardig, en als je toch graag een CTF wilt spelen is picoCTF misschien wel iets.

Stapje hoger (en in september pas): CSAW CTF. Ideetje voor jou & je collega's?

[Boudewijn]

Mwa het zijn wel mensen met basic Linux ervaring dus ze zijn niet compleet niet-technisch. Ik verwacht dat ze een heel eind met bandit gaan komen.

Die picoCTF ziet er wel grappig uit.

[Boudewijn]

Over challenges gesproken: ik ben van plan in mijn vrije tijd een analyse te doen van de gelekte tinba sources. Zijn hier meer mensen mee bezig?
Het is wel erg cool, een mitb in 20k asm code...

[Squ1zZy]

Jammer dat het topic niet erg actief is terwijl het wel de meest opkomende markt is al is die klein. Ik zit in dezelfde schuitje als VMMaster (Microsoft Consultant).

Ik ga me deze week ook bezig houden met challenges omdat ik het leuk vind en er wat van probeer te leren om dit eventueel toe te passen in mijn werk.

Achtergrond:

- Microsoft Consultant (werkend bij een joint-venture van Microsoft)
- Werk met Windows en Mac OS X
- Programmeertalen: Assembly, Objective C en C#
- Scripttalen: Voornamelijk Powershell

[Boudewijn]

LOL, kleine markt? .

Imo is het een van de meest booming dingen in de IT, zeker als je dingen kunt.
Wat voor challenges wil je doen?


Ik heb zelf nu nieuwe mensen in onze toko de bandit challenge van over the wire laten doen; dit zijn mensen die weinig IT-kennis hebben en er toch echt wat van op steken. Hierna krijgen ze wat XSS/SLQi dingen.

Ben zelf met een paar andere over the wire's bezig, en cryptopals. Zeker nu hij online staat (het mailproces was zo gruwelijk traag...) moet dat wel te doen zijn.

[Squ1zZy]

Boudewijn schreef op zaterdag 23 augustus 2014 @ 14:58:
LOL, kleine markt? .

Imo is het een van de meest booming dingen in de IT, zeker als je dingen kunt.
Wat voor challenges wil je doen?


Ik heb zelf nu nieuwe mensen in onze toko de bandit challenge van over the wire laten doen; dit zijn mensen die weinig IT-kennis hebben en er toch echt wat van op steken. Hierna krijgen ze wat XSS/SLQi dingen.

Ben zelf met een paar andere over the wire's bezig, en cryptopals. Zeker nu hij online staat (het mailproces was zo gruwelijk traag...) moet dat wel te doen zijn.

Booming is het zeker, maar ik bedoel met klein om daar echt groot in te worden. Ik zie het als een specialistische vak.

XSS en SQLi is meer waar ik al enig ervaring mee heb. Ik ben bezig een seminar te maken die ik wil uitvoeren bij mijn oude werkgever. Mijn oude werkgever was laaiend enthousiast en ik leer er ook wat van. Wordt meer een seminar waar ook korte discussies gevoerd kan worden door input van andere. Beetje sparren zeg maar.

Ik ga vanavond focussen op welke challenge ik wil gaan doen

Edit: Ik mis hackthis.

https://www.hackthis.co.uk

Die ga ik doen denk ik...

[Voor 3% gewijzigd door Squ1zZy op 23-08-2014 19:14]

[stroopwaffle]

Excuses voor het opgraven van dit topic, maar ik zag vulnhub.com er niet tussen staan! Hier kun je virtual machines downloaden die met opzet beveiligingslekken bevatten, om op te oefenen. Daarnaast worden er met enige regelmaat competities georganiseerd. Een aanrader!

[Boudewijn]

Ah die ga ik even toevoegen .


Ik ga trouwens met wat vrinden de CTF op http://9447.plumbing/ doen , dat is dit weekend een jeopardy stijl CTF in 36 uur. Heel nice dus. Zijn er nog meer mensen hier die mee doen?

[Thralas]

Maar natuurlijk.

Organisatie ken ik niet, maar de regels zien er vrij degelijk uit (vast flagformat e.d.). Meestal is dat een goed teken.

[Boudewijn]

Hij is erg cool, maar nogal pittig.

Inderdaad wel prof opgezet.

[Boudewijn]

Wij zitten nu met die 9447 op 501 punten, als 2e nederlandse team ... na eindbazen. Maar dit is vrij pittig zeg .

[Thralas]

Hij is inderdaad pittig (en zit goed in elkaar). Alleen niet echt een fan van de guessme-challenges (future bijvoorbeeld).

Nette first solve van coor coor trouwens

Wij staan momenteel 10e als eerste Nederlandse team

[Boudewijn]

Aah een eindbaas . Net werk heren.

Ik ga ivm eerdere plannen er helaas morgen niet mee verder (moet echt wat dingen in het echte leven doen), maar wens jullie erg veel succes. Die future... Tsja een van mijn teamgenoten (we zijn met 5) heeft er naar gekeken en is volgens mij best gefrustreerd want hij kan er niets mee...

[Boudewijn]

Wij gaan met 9447 nokken, het is nog maar een uurtje en we zijn er wel redelijk klaar mee (binnenkort weer NBV puzzle, daar leef ik altijdje naartoe).


Onze score :

code:

Challenge   Solved  Points
bashful (Web)   #136, 1 day, 8 hours after release (2014-11-30 19:27:10)    101
future (Misc)   #29, 1 day, 6 hours after release (2014-11-30 17:24:16)     50
coor coor (Misc)    First to solve this challenge! 7 hours, 36 minutes after release (2014-11-29 18:36:41)  400
tumorous (Web)  #96, 2 hours, 49 minutes after release (2014-11-29 13:49:54)    100
insanity_check (Reversing)  #267, 1 hour, 53 minutes after release (2014-11-29 12:53:43)    1

Met polydata en die nodejs zijn we ook een eind gekomen, maar helaas niet gelukt. Jammer.


@Thralas: wil je wat meer uitleggen als hij straks klaar is?

[Boudewijn]

Nu de boel afgelopen is:

Die coor coor is door ons team trouwens snel gekraakt door de OTR chats te vinden; een strings op de memory dump en daarna greppen op 9447 leverde al snel de IRC logjes op. Daarna hebben we met volatility en aeskeyfind wat mogelijke keys gevonden.

Een collega van me heeft deze in zijn chatclient weten te pruts0ren en toen aan die bot de flag gevraagd. Cool in elkaar gezet imo. Interessant trouwens dat er ook een key met een nogal lage entropy te vinden was (en zowel vmware tools als virtualbox tools op dezelfde bak ) .

[Voor 18% gewijzigd door Boudewijn op 01-12-2014 01:26]

[Thralas]

Ja, in retrospect was coor coor goed te doen. We lieten ons even misleiden door het feit dat het een VM in een VM was (VM discovery and introspection with Rekall werkte niet tot onze frustratie), en vervolgens duurde het even voor ik me realiseerde hoe OTR werkt en waarom die ircd ook up was

(was eerst naarstig op zoek naar de keys om de OTR messages uit de dump te decrypten)

Ansich een aardige challenge, wel jammer dat je pas de flag kreeg als je ook de 'originele' nickname had. Men had een automagische ban op de nickname in kwestie gezet zodat je 'm niet te lang kon claimen, het jammere was alleen dat je meteen banned werd als je ermee connectte. Oplossing was dus om snel nick te changen, en dan query en OTR-sessie te starten om de flag te krijgen.

Werkt wel, maar dat soort 'locking' wil je eigenlijk gewoon niet hebben in een goede challenge.

[stroopwaffle]

9447 was echt lastig... Mijn team heeft maar heel even mee gedaan (slechts een paar flags, writeups hier). Ik bleef keihard haken op die python jail. Dat vond ik echt jammer. Misschien gaat de volgende CTF beter

[Boudewijn]

Er staat een goede set writeups hier:

https://github.com/ctfs/write-ups/tree/master/9447-ctf-2014

Confronterend hoe eenvoudig dingen zijn die ons een halve middag gekost hebben...

[Voor 29% gewijzigd door Boudewijn op 04-12-2014 19:18]

[Thralas]

Boudewijn schreef op donderdag 04 december 2014 @ 19:18:
Confronterend hoe eenvoudig dingen zijn die ons een halve middag gekost hebben...

Hindsight

stroopwaffle schreef op woensdag 03 december 2014 @ 12:51:
Misschien gaat de volgende CTF beter

Is ook weer een 'nieuwe' CTF, ben benieuwd.

[Boudewijn]

Mja gezien het feit dat de aivd vermoedelijk over 1 week de NBV puzzle releaset gaan wij daar onze tijd komende maand in stoppen. Niet nieuw, wel briljant.

[Boudewijn]

En de NBV puzzle 2014 staat online. Dag kerstvacantie, dag

[dutchconan]

Boudewijn schreef op donderdag 04 december 2014 @ 23:29:
Mja gezien het dat de mivd vermoedelijk over 1 week de NBV puzzle releaset gaan wij daar onze tijd komende maand in stoppen. Niet nieuw, wel briljant.

het NBV is een onderdeel van de AIVD , allemaal kubu's daar

[photofreak]

Het lijkt erop dat de TU Delft nog twee challenges online heeft staan. http://securitychallenge.ewi.tudelft.nl/
Een web challenge en een reversing/exploitation challenge.
Is misschien de moeite wel waard om naar te kijken.

[Boudewijn]

Ach ja na komende dinsdag is de NBV puzzle weer klaar, dan gaan we daar eens onze tijd in steken Leuk man, doe jij ook mee? (en zo ja, in welke scene)

[photofreak]

Boudewijn schreef op donderdag 15 januari 2015 @ 00:03:
Ach ja na komende dinsdag is de NBV puzzle weer klaar, dan gaan we daar eens onze tijd in steken Leuk man, doe jij ook mee? (en zo ja, in welke scene)

Ik doe niet mee met de NBV puzzel, daar heb ik het geduld niet voor.
Maar die twee challenges van de TU Delft heb ik wel al opgelost.

[ReTechNL]

Gister avond begonnen met https://www.hackthis.co.uk
Inmiddels de volgende levels voltooid:
Main 1 t/m 6
SQLI 1 en 2
Crypt lvl 1
Real 1,2 en 5

[Boudewijn]

Nice. Ik ga over 2 weken met boston keyparty meedoen, zijn er nog meer liefhebbers hier?

[Boudewijn]

Echt niemand?

Ik ben even wat huiswerk aan het doen en me in de challenges van boston keyparty van vorig jaar aan het verdiepen:
http://sec.yka.me/ctf/writeup/2014/bostonkeyparty

Stevige kost... eens kijken of het een beetje wil dit weekend.

[ReTechNL]

Van het weekend coding 1 en 2 en Forensics voltooid van www.hackthis.co.uk. YEH!

[LuckY]

Mochten mensen zichzelf dit weekend nog vervelen:

https://twitter.com/HITBAMSCTF/status/573899063642472448
https://twitter.com/HITBAMSCTF/status/573548258703863808

Vanavond om 20:00 Nederlandse tijd start de Hack in the Box (www.hitb.nl / www.haxpo.nl) CTF TEASER.
Je kan je aanmelden op http://ctf.haxpo.nl en de CTF blijft een maand draaien.

[Voor 0% gewijzigd door LuckY op 06-03-2015 19:32. Reden: www niet ww]

[Boudewijn]

Oh nice, dan ga ik denk ik nog wel even los. Altijd leuk .

[Boudewijn]

Wij zitten met een paar vrienden te grinden sinds 1400 op de codegate CTF.
Die is best wel pittig zeg:
http://general.grayhash.com/html/Main.html?page=challenges

Ik heb van die 500 punten crypto unit (good crypto) eea gevonden, maar gewoon bij lange na geen flag . (wel een stuk hash...)

</frustratie>

[kowapanga]

Nieuwe challenge van de politie is online!
https://www.crimediggers.nl