TAFS Advent Calendar

SECCON14 予選 Writeup（Ez Flag Checker / Breaking Out） SECCON14 予選 Writeup（Ez Flag Checker / Breaking Out） はじめに 日本最大級のCTFである SECCON14予選 に参加してきました 結果は 267位（817チーム中） ChatGPT Plus（5.2）のみ使用 本Writeupも作成してもらいました(笑) 注意： 本稿はCTFの配布物（ローカルで解析可能な題材）を対象にしています。 実運用環境や第三者システムに対して同様の行為を行うことは、許可なく実施すると法令・規程違反になる可能性があります。 目次 Ez Flag Checker（rev） Breaking Out（rev） 学び 参考：解法に至ったプロンプト（スクリーンショット） （1）Ez Flag Checker カテゴリ Reversing（ELF） 狙い 入力検証ロジックを静的解析して「正しい入力（flag）」を導く ポイント 固定長 / prefix / suffix チェック + XOR系変換の逆算 概要 「flag checker（入力された文字列が正しいflagか判定するプログラム）」を解析して、 “正しいflagを逆算する” タイプの問題です。 アプリケーションの挙動...

防衛省が主催するCTF大会「防衛省サイバーコンテスト 2025」の開催が決定しました *CTF(Capture The Flag) 　-> 要はハッキングコンテストです 2025/2/2(日) 9:00-21:00(JST) 　　応募はコチラから 　　https://www.mod.go.jp/j/approach/defense/cyber/c_contest/ 本記事では 「防衛省サイバーコンテスト」ってどんなの？について 、2024年のコンテストに参加した私が紹介します 尚、申込期限が 12/16迄 の為、興味を持って頂いた方はお早めに申込お願いします(1分で出来ます) 1.参加方法 ・上記URLから応募フォームに入力するだけ(必要なのはメアドと住所だけ) ※2023年以前は日本国籍を有することを示す身分証明書が必要でしたが現在は不要      2.準備したほうがよいもの ・Kali Linux     ・ペネトレーションテスト用に設計されたDebian派生のLinuxディストリビューション      ・問題サーバにアクセスする為にVPN接続が必要(openvpn標準搭載)      ・ ハッキングツールが標準装備(充実)してます     　※本記事で紹介するWiresharkも標準搭載    私はだいたいCTFに参加する時はOracleVirtualBox上にKali Linuxいれてやってます 3.防衛省サイバーコンテストの特徴 最近のCTFは以下が主流(のように感じる) ・脆弱性を探してエクスプロイト→ シェル奪取   ※pwnといわれるジャンル ・Webアプリケーションセキュリティ 確かに現代セキュリティの花形かもだけど 少しとっつきづらい、、 特にインフラ系の仕事がメインだと、、 ※補足：脆弱性診断を専門にしてたり、Webアプリケーション開発に関わって いる場合は 必要なスキル。 また脆弱性が公表された際に構築、運用している環境に対しての影響判定にも上記の知識が有効。 つまりこれはこれでとても学習する価値のある分野です 　 　 所感ですが以前より、ネットワークというジャンルで通信ログを解析...

Webアプリケーションのセキュリティテストツールとして、その界隈ではメジャーなソフトです。 類似製品にZed Attack Proxy（ZAP）やFiddlerなどがあります。 私は10年ほど前にとあるセキュリティ勉強会に参加して、このツールの存在を知りました。 ツールはローカルプロキシとして動作し、トラフィックを透過的に監視・変更ができる機能や、過去のリクエストを再送信するテストに便利な機能、セキュリティスキャン機能などがあります。 初めて知った当時、ユーザリクエストやサーバレスポンスを変更できるというところに衝撃を受けました。 もちろんそれまでも知識としては知っていましたが、体験するとインパクトは大きかったです。 WebUIで入力値の制限をかけるだけではいくらでも改変できてしまうんだな…と。 興味のある人は無料のCommunity Editionがありますので試してみてください。 インストールは「次へ」だけでほぼ進めますし、設定・使用方法はググれば出てきます。 設定を変更しなくてもデフォルトでも動きますのでそのあたりは省略します。 ちょっと書くと、プロキシのリスナーポートがデフォルトだとループバックアドレスの8080なので、他と被ってるなど変更したい人は変更しましょう。 あとはブラウザのプロキシ設定を変更するだけです。 最後に2つほど注意点を。 テストに使用するブラウザは「綺麗」なものを使用しましょう プラグインてんこ盛りやアカウント同期などを使っていない素のブラウザを使いましょう。 余計な通信がなくて見やすいです。 テストは自身所有のサーバに対して行いましょう 当たり前ですが、よそ様のサーバに対して行ってはいけません。 犯罪とみなされる恐れがあります。