あけましておめでおめでとうございます。なおすけです。
まさか今年にはいって記事を更新していないなんて、おどろ木ももの木さんしょの木です。
今年最初の記事は、イベント参加記です。今年もよろしくお願いします。
SECCON2015 intercollege決勝大会参加
なんこれ
これの学生大会です。
競技としては、A&D(Attack&Defence)でした。
自分はチームAquariumで参加しています。
当日のタイムスケジュール
- 11:30 受付
- 12:00 競技開始
- 16:00 競技終了 この間片付け
- 16:30 表彰式
- 17:00 懇親会
競技の様子
脆弱サービス
今回は3つのサービスが走っていました。
どれも脆弱なものだったらしい。
1. keiba
これについては自分は特に触っていないので、どんなことがあったのか不明。
id:Dltn id:igutoあたりの記事を見てください。
2. ブログ
誰でもブログと称して、誰からでも投稿できるWikiのような何かです。
管理ページとかログインページとかあって、怪しい匂いがぷんぷんでした。
3. sbox2015
phpとかperlとかのスクリプトファイルをアップロードして、実行するらしい。
clientファイルもあって、それはUnityで作られた2048のアプリケーションでした。
クライアントの方は特に触ってないけど、アップロードされたスクリプトファイルを受け取る/実行するあたりがあやしい。
自分のうごき
自分は主に特に他チームをアタックせず、自チームの鯖を守る側の動きをしていました。
DB周りをバックアップしたり、ブログやsboxを眺めたり。
そんなことしていてしばらくすると、mysqlのinformation_schemaがふっとばされました
これに気づいたのも、ダッシュボード眺めてるとディフェンスポイントがどんどん減っていたからという。
大急ぎでmysql_install_dbをして、再セットアップ。バックアップは最初にとっておいたので、それを流しこむだけでした。
その後、チームメンバと話をしながらSQLiを探したりしました。
そうこうしてるうちにタイムアップになりました。
そのためAttack点は0! かなしい!
所感
サービス周りの知識が圧倒的不足
あんまり実システムのコードを書いたり読んだりが殆ど無く、サービスの修正など力になれなかったです。
アタックはできないにしても、この辺はもっと勉強しておきたいなと思いました。
抜け落ち
mysqlのルートパスワードの設定をし忘れていました。
そのせいでdbふっとばされたんですけどね。
チームで、事前に方針の相談とかもしたんですけど、なぜかそこは抜けていました。実システムだと許されない事案なので、気をつけたいです。
A&D形式のCTF
初めて経験したのですが、想像以上に楽しかったです。
機会があれば今後も参加していきたいなと思いました。
AMATERAS改
かっこ良すぎです。
友利奈緒
会場に咲いた4輪の華でした(混乱)。
写真一緒にとってもらえばよかった。
今後の課題
防御の知識をつけていきたいです。
攻めを知ることで守ることができるって一般的に言われますが、フラグ収集の自動化とかをするってよりも、自分とこの脆弱なサービスを修正していくほうが自分はあっている気がします。
-あとは友利奈緒力を付ける必要がありますかね-
東京滞在中の名言
- 「新鮮なフラッグ」
- 「作戦名は友利奈緒だ」
- 「スイートポテトがアリならアルマゲドンでもいいじゃない!」
メンバーの記事
- iruca3
- iguto
- mi
