Cuộc thi CTF và hình thức thi CTF
CTF là gì?
- CTF (viết tắt của Capture The Flag) là một dạng cuộc thi kiến thức chuyên sâu về Bảo mật thông tin được tổ chức theo mô hình thi đấu, thử thách người chơi tìm ra lời giải cho một vấn đề trong An ninh mạng.
- CTF có thể chơi theo đội hoặc cá nhân dưới hình thức thi đấu tìm ra Flag (hay mật mã) giấu bên trong server, hoặc phía sau một trang web. Mỗi Flag tương ứng với số điểm, đội nào tìm ra Flag nhanh hơn, đạt nhiều điểm hơn sẽ giành chiến thắng vòng thi.
- Trong cuộc thi CTF thường cập nhật các thông tin về lỗ hổng bảo mật, các kỹ thuật mới trong hacking và security. Do đó, qua mỗi lần thi CTF người chơi học hỏi, cập nhật kiến thức security và hacking, giao lưu, chia sẻ qua các bài write-up (các bài giải) với mọi người, rèn luyện khả năng tư duy, giải quyết vấn đề.
Hình thức thi đấu phổ biến của CTF
1. Trả lời thử thách theo từng chủ đề (Jeopardy-style):
Thực hiện thử thách với chủ đề khác nhau như: Web, Forensic, Crypto, Binary, Stegao… Trong mỗi chủ đề sẽ có nhiều bài thi theo mức độ, tương ứng với các mức điểm tăng dần theo độ khó. Các đội sử dụng các kỹ năng, kinh nghiệm để giải đề và nhận được "flag” giấu trong mỗi bài thi. Với mỗi "flag” thì đội chơi sẽ được ghi nhận điểm, kết quả sẽ được cập nhật trên bảng điểm của mỗi đội, kết thúc vòng thi đội nào có số điểm cao nhất sẽ dành chiến thắng. Trong trường hợp bằng điểm nhau thì kết quả được tính dựa trên thời gian gửi "flag”. Cuộc thi CTF theo hình thức này thường được tổ chức trong 1 đến 2 ngày (24- 48 tiếng).
2. Tấn công & phòng thủ (attack & defence):
Đây là hình thức chơi khó hơn, gần với thực tế như trường hợp các hacker thực hiện tấn công vào hệ thống, các nhà quản trị mạng/chuyên viên bảo mật có nhiệm vụ chống lại các tấn công từ bên ngoài và vẫn phải bảo đảm duy trì hoạt động của hệ thống…
Người chơi ngoài các kỹ năng tìm kiếm lỗ hổng bảo mật, khai thác các lỗ hổng, cần có khả năng khắc phục các điểm yếu lỗ hổng, bảo vệ hệ thống của mình trước các tấn công từ các đội khác. Cách tính điểm được phân loại khác nhau như: Điểm tấn công, điểm phòng thủ, điểm thưởng,… Sau khi kết thúc cuộc thi đội nào có điểm cao nhất sẽ dành chiến thắng.
3. Hình thức thứ 3 là sự kết hợp của hình thức 1 và 2, chẳng hạn như kết hợp giữa hình thức chỉ có tấn công (attack only) với các dạng thử thách khác nhau.
Các kênh tham khảo CTF:
- Giới thiệu về các kỹ thuật CTF phổ biến như mật mã, steganography, khai thác web - https://github.com/ctfs/resources
- Mẹo và thủ thuật liên quan đến các thách thức & kịch bản điển hình của CTF - https://trailofbits.github.io/ctf/forensics
- Tổng hợp những Bài giải (write-up) các thử thách CTF trước đây - https://ctftime.org/writeups
- Series học tập CTF - https://securitydaily.net/chu-de/capture-the-flag/
- Tổng hợp các thử thách CTF khác nhau do người dùng đóng góp - https://ctflearn.com
- Một loạt các thử thách khó dần kiểu pwn-style - https://overthewire.org/wargames/
-
Theo dõi sự kiện CTF - https://ctftime.org
Công cụ phổ biến
- BurpSuite – Công cụ phổ biến nhất cần phải biết khi chơi CTF. Bộ công cụ Burp cung cấp khá đầy đủ các tính năng kiểm tra xâm nhập web (pentest).
- Binwalk – Phân tích và giải nén tập tin
- Stegsolve – Vượt qua nhiều bộ lọc khác nhau qua hình ảnh để tìm văn bản ẩn
- GDB – Binary Debugger
- Các công cụ và tài liệu đọc thêm - https://github.com/ctfs
