Những điều cần biết về CTF trước khi bắt đầu cuộc chơi

DUY PHAN
1:06 22/06/2018

CTF ngày càng trở nên quen thuộc và gần gũi với các bạn học sinh, sinh viên có niềm đam mê học hỏi trên lĩnh vực an toàn thông tin. CTF dần trở thành một sân chơi bổ ích nhằm trau dồi, nâng cao khả năng và hiểu biết về an toàn thông tin.

1.     CTF (Cature the Flag) là gì?

Có nhiều định nghĩa khá phổ biến về CTF nhưng nhìn chung lại, đó là “ Capture the Flag (CTF) is a computer security competition ” . Đó là một cuộc thi kiến thức chuyên sâu về bảo mật máy tính, được tổ chức theo mô hình trò chơi chiến tranh mạng, tập trung vào hai kỹ năng tấn công và phòng thủ mạng máy tính của người chơi.

CTF là viết tắt của Capture the Flag nghĩa là cướp cờ, là tập hợp một loạt các các bài thi khác nhau được phân ra thành nhiều chủ đề khác nhau liên quan đến an toàn thông tin như: Web, Forensic, Crypto, Binary, Stegano … Trong các bài thi có chứa Flag, tìm và submit flag lên hệ thống sẽ được điểm. Người chơi có thể lập nhóm và chơi theo nhóm hoặc tham gia với tư cách cá nhân tùy quy định của từng giải CTF.

Cuộc thi CTF lần đầu tiên được tổ chức tại hội thảo bảo mật nổi tiếng DefCon (Mỹ) lần thứ 5 năm 1997. Ngày nay hàng năm có rất nhiều các cuộc thi CTF được tổ chức trên toàn thế giới theo các quy mô khác nhau. Đơn vị tổ chức thường là các tổ chức, các trường đại học- học viện, viện nghiên cứu…và rất nhiều các cuộc thi CTF được tổ chức bên lề các hội thảo về Security và Hacking. Chúng ta có thể điểm qua một số cuộc thi CTF như: DEF CON CTF Qualifier, DEF CON CTF, Codegate YUT Preliminary, UCSB iCTF, RuCTFe … Các cuộc thi này có thể tổ chức dưới hình thức online (chơi qua internet) hoặc offline (chơi trực tiếp). 

CTF có 3 kiểu chơi Jeopardy (tìm flag trong cách thử thách được ban tổ chức đưa ra), Attack-Defence (Tấn công và phòng thủ) và tổng hợp của 2 dạng trên.

  • Attack-Defence

Trong một cuộc thi CTF dạng tấn công - phòng thủ, các đội tham gia CTF sẽ được cấp một máy chủ (hoặc một mạng máy chủ) đã cài đặt sẵn nhiều chương trình chứa các lỗ hổng bảo mật. Nhiệm vụ của đội chơi là tìm ra các lỗ hổng đó, tấn công các máy chủ của các đội khác để ghi điểm, đồng thời phải nhanh chóng vá các lỗ hổng trên máy chủ của đội nhà, để tránh bị tấn công bởi các đội khác.

  • Jeopardy:

Ở hình thức chơi này, đề bài sẽ là một tập hợp các bài thi ở nhiều chủ đề khác nhau: Web, network, forensic, crypto, binary,... Các bài thi sẽ có độ khó khác nhau mà cũng có điểm số khác nhau. Mục tiêu của mỗi người chơi (hoặc đội chơi) là sử dụng tất cả các kỹ năng, kinh nghiệm của mình để tìm kiếm flag được giấu. Khi tìm được flag thì sẽ ghi điểm, và chiến thằng sẽ dành cho đội nào có điểm cao nhất. Ngoài ra, một số cuộc thi CTF cho điểm thưởng rất cao cho người chơi có thể tìm được flag trong khoảng thời gian ngắn.

Ngoài ra, trong mỗi chủ đề này sẽ có nhiều bài thi khác nhau được sắp theo theo độ khó tăng dần và điểm số của các bài thi đó cũng được sắp sắp tăng dần theo độ khó. Các bài này hầu hết là các lỗi, các vấn đề do các chuyên gia về lĩnh vực an toàn thông tin tổng hợp lại trong quá trình làm việc như Pentest, dịch ngược, Maintain hệ thống; từ những lỗi thường gặp, dễ phát hiện đến đến các lỗi hiếm khi thấy.

[caption id="attachment_679" align="aligncenter" width="1279"] A team competing in the CTF contest at DEFCON 17 in Las Vegas.[/caption]

 

Nhiều bài toán CTF giúp rèn luyện kỹ năng giải quyết vấn đề, để đưa ra được lời giải điều cần thiết là cần có kinh nghiệm và kiến thức chuyên sâu về vấn đề đó. Các lĩnh vực về an toàn thông tin rất rộng, một người không thể một mình bao quát hết các lĩnh vực, đây là lý do vì sao CTF thường là giải thi đấu tập thể. Và mỗi người nên chọn cho mình một số lĩnh vực để chơi và là những kỹ năng hỗ trợ cho công việc sau này.

2. Những lợi ích mà CTF mang lại cho người chơi

CTF hấp dẫn giới hacker và người làm bảo mật bởi nó phản ánh chân thật công việc hàng ngày đòi hỏi người chơi các kĩ năng cần thiết. CTF mang lại nhiều lợi ích, trong đó có:

  • Được học hỏi các kiến thức cần thiết, cập nhật về security và hacking, biết được các kiết thức còn thiếu, là cơ hội giao lưu chia sẻ kinh nghiệm.
  • Được thực hành các kiến thức lý thuyết được học để hiểu rõ hơn bản chất của chúng
  • Sự yêu cầu rộng bao gồm không chỉ security mà có cả lập trình, mạng nên đây là cơ hội bổ sung kiến thức tốt
  • Rèn luyện tính sáng tạo, tăng cường khả năng tư duy, giải quyết vấn đề

3. Chơi CTF, bạn cần những gì?

Chơi CTF yêu cầu các kiến thức về các mảng trong lĩnh vực an toàn thông tin, vì vậy:

 

Sau đó hãy sẵn sàng để vượt qua các thử thách của CTF, các giải mới nhất cùng write-up luôn được cập nhật trên https://ctftime.org/ .

No tagNo tag. Use category_name
TIN LIÊN QUAN
Cảnh báo: Bài viết này có văn phong phóng khoáng, có chứa một số từ ngữ teen code, nếu bạn không quen teen code hãy làm quen trước khi đọc, và quay lại sau nhé .    From kzy with love <3 Cuối tuần định về quê bung lụa xong...
We’ve created a small guide to get you started with CTF and more or less infosec in general. There are a few selected resources for each of the major CTF disciplines that should help you get up to speed in those. Prerequisites Basic Linux/Unix skills and some knowledge of programming...
WHAT IS “HACKING?” Hacking is all about curiosity, exploration, and deeply understanding how something works. Most people who identify as “hackers” are working very hard to protect people and to make technology easier and safer to use. Unfortunately, when most people hear or read about hacking in the news, the story is about people...