https://atnd.org/events/73804

1. ITF. 競プロCTF勉強会
#2
Web編
@_makky_

2. ⾃⼰紹介
2
http://makky.io

3. ToC
• CTFのおさらい
• 練習 1
• 強くなる⽅法
• 練習 2
• まとめ
3

4. CTFのおさらい
• Capture The Flag
• オンラインゲーム
• コンピュータセキュリティ技術
を競う競技
4

5. CTFの戦い⽅
基本中の基本
• 良くわからない問題は
とりあえずエディタで開いてみる
• 雰囲気で次の⼀⼿をつかめるようになる
5

6. 前回の問題の例
http://cpaw.spica.bz/index.php
6

7. 前回の問題の例
• Q8.[Misc] Can you open this file ?
7http://cpaw.spica.bz/questions.php?qnum=8

8. 前回の問題の例
• Q10.[Forensics] River
8http://cpaw.spica.bz/questions.php?qnum=10

9. 前回の問題の例
• Q11.[Network]pcap
9http://cpaw.spica.bz/questions.php?qnum=11

10. web問題について
最も⾼レイヤー（⼤抵の場合）
10
Binary
Forensics
Program
Web
Network
幅広い知識が必要
• 有名な脆弱性
• CTF特有の問題
• 時事ネタ
(SDカード埋めるやつとか)

11. 有名な脆弱性を知る
Webの場合
• SQLインジェクション
• OSコマンド・インジェクション
• ディレクトリ・トラバーサル
• セッション管理
• クロスサイト・スクリプティング
• クロスサイト・リクエストフォージェリ
• …
11http://www.websec-room.com/webappsec

12. CTF特有の問題
• 記号だけでプログラミング(JavaScript)
12http://perl-users.jp/articles/advent-calendar/2010/sym/3

13. CTF特有の問題
• 記号だけでプログラミング(JavaScript)
13http://perl-users.jp/articles/advent-calendar/2010/sym/3

14. CTF特有の問題
• 記号だけでプログラミング(JavaScript)
14http://perl-users.jp/articles/advent-calendar/2010/sym/3

15. CTF特有の問題
• 記号だけでプログラミング(JavaScript)
15http://perl-users.jp/articles/advent-calendar/2010/sym/3

16. CTF特有の問題
• Crawling Chaos (ksnctf)
16http://ksnctf.sweetduet.info/problem/3

17. 練習
XSS Challenges
• http://xss-quiz.int21h.jp/
17

18. 強くなる⽅法
⾃分で作ってみること
• そして破壊せよ
• 想定していない値を与えると？
• 負荷をかけ過ぎるとどうなる？
18

19. 強くなる⽅法
攻撃は最⼤の防御
• 仕組みを知らないと攻撃できない
• 特に暗号、認証・通信関係
• 仕組みを理解していれば正しく使える
• どんな影響が出る？
19

20. 答えは1つだけ？
別の⽅法で解決することは可能？
嫌がらせする⽅法を考える
GoogleのTop pageからmakky.ioにリダイレ
クトしたら⾯⽩く無い？ など
20

21. 辞書攻撃
• '"><script>alert(1)</script>
21
あくまでデバック⽤途です

22. 問題は⾄る所にある
22

23. 問題は⾄る所にある
23

24. 問題は⾄る所にある
24
報告しよう
http://www.ipa.go.jp/security/vuln/report/

25. 問題は⾄る所にある
25
報告しよう

26. ツールを知る
OS
Linux / Windows / OSX 各コマンド
Browser
Internet Explorer / Google Chrome / Firefox / Opera / 各種
バージョン
Software Wireshark / Fiddler / VirtualBOX / VMware
Program Language
Python / ruby /Perl / JS / SQL / c /
Search Engine Google / …
26

27. 実習2
• 適当に問題を解く
• http://ctf.katsudon.org/
• http://ksnctf.sweetduet.info/
27

28. まとめ
• CTFのweb問題について学びました
• (問題は解けなくても良いので)
攻撃⼿法や対策を広く浅く知ろう
28