Александр Менщиков. Как мы делали Pentest CTF

KrasCTF Meetup 2017, Красноярск

Transcript

1. Как сделать Pentest CTF
2. «Есть два формата проведения соревнований по компьютерной безопасности»
3. Cyber Readiness Challenge Пентест лабы
5. 1. VPN 2. Борда 3. Интернет (~5 точек доступа)
6. Два основных таска на вход (простой и сложный) Один основной таск на внутрянку Побочки
10. Распределить роли и таски по людям Админ Борда (хинты, зависимости) Покушать Интернет Оборудование (сетевые карты)
12. Старый сервак в Норвегии (16 ядер, 16гб рам) 26 виртуалок на 105 гигов (LXC + KVM для трёх виндовых машин) Хватило бы 4 ядра и 6гб рам
14. Структура сети и перезаливка тасков
15. Сложности 1. Перепутали ядро 2. Долго искали уязвимый WiFi роутер 3. Plan9 4. Лимит сертификатов Let’s Encrypt 5. Допил борды в последнюю ночь 6. Однопоточный питон
16. Ошибки 1. Формат лучше подходит для командного 2. Перестарались со сложностью и количеством 3. Были косяки с тасками 4. Непродуманные хинты 5. Канал связи забивался 6. Балансировка тасков (в начале самые легкие) 7. Шаристым цтферам скучно сканить сетку и делать рутинные действия 8. Не делать таски на известные баги 9. Роутинг
17. Для хороших цтф t.me/spbctf