犹豫要不要加入计量现科信息安全协会?快来看看这个吧

犹豫要不要加入计量现科信息安全协会?快来看看这个吧

由于本人经过一学期学习,水平还不够写技术文章,水此文希望能帮到之后想要加入协会的朋友们。

CTF是啥

CTF 是 Capture The Flag 的简称,中文咱们叫夺旗赛,其本意是西方的一种传统运动。

在比赛上两军会互相争夺旗帜,当有一方的旗帜已被敌军夺取,就代表了那一方的战败。

在信息安全领域的 CTF 是说,通过各种攻击手法,获取服务器后寻找指定的字段,或者文件中某一个固定格式的字段,这个字段叫做 flag,其形式一般为 flag{xxxxxxxx},提交到裁判机就可以得分。

信息安全的 CTF 的历史可以说很长了,最早起源于 96 年的 DEFCON 全球黑客大会。

为啥要CTF

入门渗透,那肯定得各种练手对不对?但因为由于 「网络安全法」的颁布,随意扫描他人网站,或非授权渗透测试都有一定的风险。

所以记住千万不要乱扫国内的网站,尤其是教育、政府类网站。但初入门的同学学习渗透测试没有一个对应的环境也是不行的,而常见的靶机对于小白来说太过复杂,很容易不知如何下手。

这个时候 CTF 就非常适合了,CTF 一般是一个题目有一个或几个知识点相互糅合,相对来说目标性比较强。如果想要体会到安全的成就感和趣味性,促进自己边练边学,CTF 就是一个很好的选择。

CTF 的类型

CTF 题目类型一般分为 Web 渗透、RE 逆向、Misc 杂项、PWN 二进制漏洞利用、Crypto 密码破译,有志于渗透测试的同学一开始建议从 Web 渗透的题目开始,辅以 Misc 杂项和 Crypto 密码学。

CTF 主要分为两种模式,一是解题模式。对于 Web 安全来说,会要求你入侵网站或者靶机,攻击成功后系统会显示flag或者在某个目录 文件 数据库寻找 Flag,提交到答题系统得分。逆向工程题目一般形式是破解注册机、动态调试、dump 内存等等。这些题目可以百度或谷歌别人的解题报告( 关键字:CTF writeup)来认识一下。

二是攻防赛,也叫 AWD(Attack With Defense,攻防兼备)模式。你需要在一场比赛里要扮演攻击方和防守方,攻者得分,失守者会被扣分。也就是说,攻击别人的靶机可以获取 Flag 分数时,别人会被扣分,同时你也要保护自己的主机不被别人得分,以防扣分。

这种模式非常激烈,准备要非常充分,手上要有充足的防守方案和 EXP 攻击脚本。CTF 里面也有一血之说,谁第一个交 Flag 能获得分数加成,所以说手快也很重要。不过一般来说是没有别的大佬手快的。

至于每个类型有什么题目,你可以去参加一个 CTF 赛事,打了一次之后你就会有所了解了。

CTF 和现实渗透的对比

现实的渗透测试会有非常完整的流程,从信息收集、漏洞探测开始,再逐项攻击,很多时候会一无所获。相比之下,CTF 的目标会比较明确,中等难度以下的题目一般都会在题目描述中提示漏洞的发生处,没有提示的话检测点也不会很多,一个个筛查就可以了。

其次,有很多 CTF 题目会有点脱离现实渗透,套路、脑洞比较多,有的知识点并不实用……怎么说呢?

因此较为简单、脑洞略大的 CTF 题仅作扩充知识面就好了。话虽如此,现在 CTF 大赛都已经往实战的方向走了,高水准的 CTF 题目很多都会模拟真实的网站,让你更加有真实渗透的代入感,渗透手法也更加贴近实战。国内比较良心的 CTF 有 DDCTF、安恒杯月赛 CTF 等等。

CTF无疑是有门槛的,它不是看书做菜,有东西就能自己鼓捣。

不是劝退你,首先问问自己,真的喜欢吗?坚持得下来吗?

如果答案是No,那看看电视剧甜就完事了,没必要入这个坑。

如果答案都是Yes,那么你得先了解下CTF.

大体上CTF的题目分为五类:Web,杂项,逆向,Pwn,密码学。

Web,常见内容有语言特性,Web漏洞利用,还有一些杂七杂八的东西。要学习Web,首先得了解整个Web体系,即从前端的HTML,Javascript,CSS到后端的PHP,Python,还有数据库的SQL,另外还得熟练一门编程语言,最好是脚本语言,因为有些题目需要自己编写脚本解题。然后需要去了解常见的Web漏洞,它们的原理,利用,以及修复方式都需要深刻理解。最后就是一些常见的CTF套路,比如把hint藏在消息头里,藏在源码里等等。

逆向,二进制方面的安全门槛更高,首先学习C/C++(一个指针指到你崩溃),然后是汇编(就是那种没学过的人跟看天书一样的东西),后面就是各种技巧,什么静态分析动态调试等等。逆向的解题过程其实就是通过逆向工程找出程序的内在逻辑,然后根据逻辑得到flag,有时候甚至还会跟密码学挂钩……你以为这就完了?别忘了,程序是有平台的,安卓,Windows,Linux……

Pwn,就是一出手Web狗就得叫爷爷的存在。Pwn是一个黑客俚语,即拟声词“砰”,代表系统被攻破,实际上就是二进制方面的漏洞利用。我也不太懂这个,只能说逆向具备的那些基本知识这个也得有……
密码学,就是各种加密解密编码解码。这里也是我的知识盲区,只能说现在,现代密码学看不懂,古典密码学靠脑洞……

ACM和CTF哪个更值得入坑?

ACM相对于CTF,内容很单一,就算法与数据结构,知识面窄,但就是这很窄的知识面,大部分人直到退役都不能全部掌握,但是它门槛低,就算你大学之前毫无编程基础,大一开始刷天梯赛题集入门,保持刷牛客,cf,每场补题,到大三也能拿至少区域赛银了(目前国内xcpc水平不高,通常签到题顺畅就能银)但是要思考的是,这个银有多大意义?如果为了保研,ACM性价比绝对要比发论文低。毕竟在研究生面试的时候,导师们会更关注你的论文,而不是这种算法竞赛。如果为了工作,那么恭喜你,你所学的算法与数据结构是面试必考项目,你可以在这方面很突出,但同时很不幸,面试过后,你的项目能力可能不及其他人。项目里很少会用到算法竞赛里用的这些东西,反而可能会因为竞赛养成的某些坏习惯(变量命名,开空间)而被骂。最好要么把ACM当做锻炼自己思维以及编码能力的工具,要么就为了荣誉,在这里做出一番成绩,为了功利,性价比低。

CTF的话,不可能有一个人面面俱到,因为它的范围太广了,所以,这是一个看队友的比赛,这并不是说ACM不看队友,ACM是三人竞赛,但是通常做题是各做各的,实际上如果你一个人自己打,也不是不能,毕竟大部分知识是三人都会的。但是CTF不是,分工很明确,你web,他pawn,我reverse,我的领域你不懂,你的领域我发懵,所以,如果选择CTF,一定要确保你有可以坚持下去的队友,并且保证他能去专精他负责的方向,你能去专精你负责的方向,人人不当短板。其次,CTF更加考验团队合作能力,一道题可能综合多个方向的知识,有时候需要掌握不同知识的人通力合作才能做出。再然后,CTF很吃你的知识面,如果你知道的知识特别多(主要但不仅限于计算机知识),那么你就是适合CTF的。但假如你连linux都没用过,或者你不了解基本的计算机/网络组成原理,不会任意一门编程语言,并且没有引路人,那么你是不适合打CTF的。

作为CTF小白加密、隐写、逆向破解和web这几个方向的坑,基本是跳一个栽一个。

来自知乎大佬总结的一些值得CTF新手和CTF刚刚入门爱好者,学习的干货。

一、首先推荐:常去的【学习交流站点】

实验吧/www.shiyanbar.com/questions/干货论坛
CTF领域指南 | IDF实验室 博译有道
百度信息安全吧
http://CTFtime.org / All about CTF (Capture The Flag) 各种CTF赛事预告
XCTFtime 国内CTF联赛查询网站
Modern Binary Exploitation bin 干货区
吾爱破解・2016・安全挑战赛 『2016安全挑战赛』
360CTF训练营

二、常去的一些ctf的【线上练习平台】

ctf夺旗训练_CTF训练营 实验吧的决斗场
网络安全实验室 网络信息安全攻防学习平台
index of / ctf题目
梦之光芒/Monyer——Monyer’s Little Game 梦之光芒的小游戏
XCTF_OJ竞赛平台 XCTF_OJ练习平台
黑客游戏 Let’s Hack 习科黑客游戏
Jlu.CTF首页 Jlu.CTF
白帽学院 白帽学院ctf挑战赛
IDF实验室 CTF训练营 idf 实验室
欢迎参加比赛~ 米安网ctf
合天网安实验室-CTF挑战赛 合天ctf
黑吧安全网-红客闯关游戏 黑吧安全网-红客闯关游戏
http://202.108.211.5/ 实训竞赛系统

三、其他相关,挖洞人员【漏洞平台】

http://exploit-db.com
http://wooyun.org
www.sebug.org
https://butian.360.cn/
https://sobug.com/
http://www.exploit-id.com/
http://cve.mitre.org/
http://www.securiteam.com/
http://securityvulns.com/
http://securityvulns.ru/
http://www.securityfocus.com/
http://marc.info/?l=bugtraq
http://www.securitytracker.com/

经常去漏洞平台,可以让你随时了解国内外那些漏洞大事件。也可以尝试着提交一些漏洞,既锻炼技术还有额外奖励。

四、常用【在线类工具】

http://objectif-securite.ch/ 在线LMHASH破解
https://www.hashkiller.co.uk/ hash破解
https://github.com/ 全球知名在线管理开发平台
http://astalavista.box.sk 最好的注册码、注册机、序列号搜索引擎
http://www.s0ftpj.org/ 意大利老站
http://recover-weblogic-password.appspot.com/ 在线weblogic密文破解
http://tools88.com/safe/vnc.php 在线VNC密文破http://www.vpnhunter.com/ 在线查找VPN,mail接口
http://mailinator.com 一次性邮箱
http://www.yopmail.com/zh/ 一次性邮箱

五、国内外安全大牛的【个人博客】

http://www.insecure.org (Fyoderr的个人站点,即Nmap的老家)  
http://www.guninski.com/ 安全专家Guninski的主页,有大量系统漏洞工具具及源代码   
http://blog.gentilkiwi.com/ mimikatz
https://www.schneier.com/ Bruce,Schneier的博客(专业Blackhat会棍)
http://an7isec.blogspot.co.il/ “整蛊小黑必备” 博客 发现了WVS8版本远程溢出漏洞
https://fail0verflow.com/blog/index.html 一个硬件牛的BLOG
https://blog.0x80.org/ 破解过jeep车锁的大牛
https://www.netspi.com/blog 对MSSQL渗透有研究的大牛
http://hakin9.org
http://websec.ca/blog 渗透tips
http://www.derkeiler.com/
http://www.xssed.com/
http://adsecurity.org/ 内网渗透、域渗透牛人
http://securityxploded.com
http://www.devttys0.com/blog/ 国外路由器安全大牛

这些国内外大牛的个人博客,是一定要关注的,不管想当职业赛棍,还是仅仅是对ctf感兴趣,从中学些安全技术,这些是最宝贵的经验。

六、最后给大家推荐一些【综合类型网站】

http://www.blackhat.com/
http://shiyanbar.com(线上资源大部分免费,经常性的举办各种有奖活动)
http://packetstormsecurity.com (有大量exploit程序)
http://www.ussrback.com/ 比较活跃的安全站
http://www.attrition.org/ 内容全面的安全站  (更新至2013年)
http://www.social-engineer.org/ 社会工程学研究所
https://www.soldierx.com
http://www.windowsecurity.com/(windowsnetworking.com)包含论坛、博客、新闻、工具windowsnetworking.com
http://www.blackmoreops.com
http://www.securitytube.net 大量视频

以上内容转自知乎,希望对新人有所帮助。

相关推荐

发表评论

路人甲

网友评论(0)