четверг, 8 апреля 2010 г.

РусКрипто CTF(2)

Забыла написать.

Было бы здорово, если бы флагами был не просто md5, а префикс+md5, например, FLGd41d8cd98f00b204e9800998ecf8427e.

А то мы теперь гадаем был ли Serial Number флагом, который мы не заметили или нет. А если был, то будь он с префиксом, его бы точно не пропустили.

5 комментариев:

  1. >префикс+md5

    Подумаем как сделать заметным, но нерегэкспоискательным. Возможно добавим возможность верификации "своих" флагов.

    PS. Фотки-видео
    http://devteev.blogspot.com/2010/04/2010-ctf-just4fun.html

    ОтветитьУдалить
  2. Я опять же иду от ictfов (например, Spam2005), где флаги регэкспоискательные, но там эта фича, а не бага. Так флаги обновлялись в среднем раз в полминуты и были спрятаны, в том числе, среди какого-то текста. Фишка была в написании эксплойта и автоматизации сабмита флага scorebotу, а для этого надо его было отрегэкспить , что и позволял сделать префикс.

    Конечно, побочным эффектом является то, что можно искать у себя на машинах места, где лежат флаги. Но это только добавляет азарта, так как мало знать место где лежит флаг, надо еще понять как его вытащить у соперников и спрятать у себя.

    Как я понимаю, это два разных подхода, так что это дело вкуса ;)

    ОтветитьУдалить
  3. >> Возможно добавим возможность верификации "своих" флагов.

    Сереж, работаем на опережение:) у команд была возможность верификации флагов! Интерфейс выдавал соответствующее предупреждение и не принимал флаг, если он отсутствовал в базе или являлся флагом команды, которая его пытается отправить.

    >> А то мы теперь гадаем был ли Serial Number флагом

    да, это был флаг

    >> Так флаги обновлялись в среднем раз в полминуты и были спрятаны, в том числе, среди какого-то текста.

    вопрос, что вам больше интересно, красиво проэксплуатировать уязвимость с целью последующего выполнения команд на сервере и захватом флага или писать регекспы, демонстрировать знания search, сидя в одном месте?

    ОтветитьУдалить
  4. Тут член комманды просит выложить где-нибудь стоимости флагов.

    ОтветитьУдалить