CTF比赛经历(三)

时间:2019.7.1-8.28
比赛:中关村ctf,SuCTF,OGeek等
记录时间:2019.9.1

这里不分享技术,仅当作个人成长轨迹进行记录。

原本打算假期就钻研一下技术,看一下书而已,毕竟上学的时候很难找到连续的时间来学习。假期前几天,把很多之前比赛遇到的考点(不太懂以及新鲜刚听闻的)给看了一遍,顺便在攻防世界这样的平台刷一下题。但想不到的是,假期扎堆的CTF比赛,把人磨得身心俱疲。

对于攻防世界的题,只能说“卧槽还有这种操作”了,总喜欢把考点扭曲让人摸不着头脑。但收获也有很多,至少套路走多了也就熟悉了,最后还能利用套路了。技术方面的收获也是有很多,比如我从题目中能了解到各种PHP正则函数绕过的骚姿势,以及nginx解析漏洞,ssti模块注入漏洞等。对于刷题的感觉,就是摆脱了自己的眼界束缚,直接跳入未知领域,虽然一开始什么都做不出来,很丧,但事后看别人的writeup再深入了解一下漏洞,收获很大。

在假期两个月内,有印象的参加了的ctf似乎都有5场了,强度最高的时候一周双赛,在4天内打了3天比赛。难度也是有高有低,忘了是哪一场比赛了,web解出了5,6道题(都是队员给力)。有时候解出题确实非常鼓舞士气,打好了一场比赛能感到整个人斗志都变得激昂了。但很真实的一点是,越战越败,越败越勇这种事几乎不可能出现,所以我感觉打比赛心态非常重要,有时候做不出来就不要一直耗着了,感觉会起负作用。但这样并不是说遇到不会的就算了,坚持的前提是找到着手点了,或者是遇到技术瓶颈卡住了,绝不是那种毫无想法的消耗时间。

对于题目,现在见到了不少变种题,就稍微改了一下页面UI,加强了一点过滤。可以说,现在已经能把遇到的web题进行分类了,很多敏感点都是有迹可循的,快速识别题目,找到入手点可以节省很多时间和精力。但这种题往往更难做,因为变种题总会在原题已有的过滤上再过滤的严格一点,比如原题过滤了5个关键字,变种题能过滤7个关键字,利用范围缩小了。有时候甚至觉得已经变种到像是fix了一遍,无解了。

而对于大部分未见过的题(同时题目也没有hint),只能从网站功能上开始分析。一般常能遇到的类型是登录(但往往不是sql注入,有些帐号密码还不知道要搜到什么信息泄露才能获得,非常恶心这类题),留言功能,文件上传,传参等。很难的题就真的做到那种,连自己都不知道自己要做什么,即使绕过了利用了一个漏洞但还是不知道怎么拿flag。只能说自己太菜了。

同时一些脑洞题就是源码泄露(代码审计),在没拿到代码前很难猜测漏洞,但常常吃了经验不足的亏,其他队伍往往一上来就扫描一遍(也不知道主办方允不允许),但后来有个小窍门就是那种很多人解了但自己一点头绪都没有了,那就需要开扫了,一般是源码泄露。同时需要掌握一定的环境搭建能力,拿到源码最好自己改一下在本地跑一下,输出一下过滤,快速定位漏洞点。

同时聊一下现在的心态,听闻其他学校的战队都是大三当主力,大二大一一起协作(大神绕道),另外有些是背后有很多大佬支持这样去参赛的(我也好羡慕啊)。跟他们相比,我们一点优势没有,今年的比赛刚好师兄们都有事忙,真的只能靠自己了。虽然我觉得打好CTF与否重要性不大,打CTF目的也只是为了提升自己。但CTF打的太差了就需要反思一下,可能我们已经在固步自封了,缺少必要的交流,即使清楚自己的不足也很难弥补,这种无奈似乎还会遗留下去,真的令人不甘。在学校里面,能得到的支持并没有多少,圈子也很小,个人与工作室似乎发展到了一种瓶颈的感觉。希望能把这一届的知识积累分享给下一届,让下一届能有更好的发展平台,有更好的资源,不希望每一届都是一个新的开始,一切都需要从头开始。

希望下一届能走出这种困惑。

1 Reply to “CTF比赛经历(三)”

  1. 每一届都有瓶颈,天花板越推越高,但始终不能打破头顶的禁锢。
    知识的分享与积累,始于参加比赛的快速学习或钻研感兴趣的方面,然后到文字化的博客总结,随后整理思路汇总成学习的资料,考虑该以怎样的方式传给以后的成员。不同的人有不同的兴趣点,不同的执行力,资料的利用是一个大问题。最好的情况是新成员感兴趣,愿意针对学习资料进行扩展,举一反三,与其他人交流,但这往往是极少数。其次是随波逐流,有什么学什么,趋于平庸。学习资料如何利用,感觉根本不在于资料整理的好坏,而在于人的引导和交流。“没有兴趣就激发兴趣”?或许是一种思路。单纯从资料质量与积累下手,这条路走不通。
    其次是比赛的状况。现在线上比赛题目越来越偏,方向也从传统的web逆向二分拓展到了涵盖IOT、区块链等新技术,与之相比,线下赛却侧重于实践,真刀真枪的攻防,有概率不能使用参考资料。走比赛这条路,就得思考很多新的问题:是侧重于知识的广度还是某一方面的深度?针对实战攻防如何进行训练?怎样进行人员的分配和配套的知识获取和题目练习?——兜兜转转又回到第一个问题,如何积累?
    每次比赛的获奖就像是一个火种,有木料,可没干草。每次火花都是昙花一现,无法让木材燃烧。如何引燃,得等后人集思广益,寻找答案了。
    星星之火,可以燎原。

发表评论

电子邮件地址不会被公开。 必填项已用*标注