読者です 読者をやめる 読者になる 読者になる

ふるつき

記事と内容がないです

SECCON FINAL Intercollegeでした

SECCON FINAL Intercollegeでした

 そういう大会(ググり推奨。すごい大雑把に、誤解を恐れずに言うとハッキングコンテスト)に出ました。師匠と崇めている御方がいて、その人がサイバー甲子園という、18歳以下の大会ですごい頑張ってくれて準優勝したので、本戦といえるこれに出ることができました。  せっかくそういう権威ある大会に出られたので、感想(Writeupでない)を書きます。

結果

 18のチームがいた中で、15位でした。全然だめ、まるでだめと言えます。おわり。

少し詳しく。

 insecureというチームで出場しました。学校を同じくする四人で構成されたチームです。師匠以外はとても弱いです。

競技

 Attack and Defenseという形式でした。各チームにサーバが割当てられ、そのサーバでサービスを運用します。それらのサービスにはセキュリティホールが存在しています。私達は、脆弱性を発見して、修正して、また発見した脆弱性を利用して他のチームのサーバに攻撃を仕掛けます。

Defense Point

 サービスを運用していると、時折、利用者が訪れます(SLAと言ったはず)。正しく(仕様に従って)運用できていれば、「サービス運営ポイント」Defense Pointが得られます。Defense Pointは連続でサービスを稼働させるほどに増えます。

Attack Point

 他のチームのサービスの脆弱性を突くと、例えば顧客情報を入手できてしまいます(他にも、本来運営のみが見られるはずのデータにアクセスできることがあります)。そのようなデータを入手すると、Attack Pointとなります。Attackに成功すると、被害チームの総得点の3%が攻撃チームに移動します。

サービス

ブログ

 誰でも投稿できるようなブログを運営します。

keiba

 競馬でお金を稼ぐサービスです。馬券を買ったことがないので、使い方がわかりませんでした。

sbox2015

 サービスにアップロードしたスクリプトRubyPHPPython)の実行結果から得られた値を用いて、2048を解くサービスです。意味がわからん。おもに、他の問題を攻略するためのスクリプトを走らせるサービスでした。

流れ

 私のやったことを適当に書きます。

 とりあえず、keibaは自分で起動する必要があったので起動しました。nodejsで書かれていた(expressとかいうなにかでかんとからしい)のでnode app.jsとかそういうコマンドを打ちました。するとdevelopmentモードで起動したので「まずそうだぞ」と思って、productionモードで走らせる方法をぐぐりました。NODE_ENV=production node app.js。developmentだとエラーが見えるらしいのですが、エラーの起こし方もわからなかったしnodejsわからない(javascriptわからない)のでここに時間を割くのは失策だったかも。

 しばらくkeibaのソース眺めてました。わかる人にはSQLiがあることがわかるらしいのですが私にはわかりませんでした。

 競技時間の1/4(つまり一時間)が過ぎた頃、師匠がブログのSQLiを発見したはずです。SQLiできると、ブログの管理パスワードがわかりました(詳しくは師匠がブログを書くはず)。管理者になると、SLAが残していったフラグを見ることができましたので、Attackしました。初めてのAttack Pointです(このころすでに上位チームは何千点ととっていた)。  keibaに飽きた私はsboxを見てました。スクリプトが実行できることがわかったので、ブログの管理パスワードを抜くようなスクリプトを書きました。それでm1z0r3というチーム(上位にいた)にたくさんAttackしました。またたく間にAttack Pointが増加して嬉しかったです。

 そしたら目をつけられてたくさん攻撃されました。Defenseはまるでだめだったので、一気にポイントを抜かれました。かなしみ。

 たくさん攻撃されて本当に辛かったので、サービスを止めました。

 競技が終わりました。だめだめでした。

反省

 Defenseできるようにならないとだめ。そのためには、ソースコードが読めないとだめ。

 サービスの概要をちゃんと把握しないとだめ。だめだめ。

雑感

 バイナリとか出ると思ってたのにWeb系しか出ない

 sshログインとかしそうかなと思ったのにしない

 ssh切れる……

 パケットのキャプチャ、どうやるんだろう?

 location.reload()うざいんですけど

 可視化エンジンすげぇ……NICTやべぇ……  

懇親会など

 懇親会楽しかったです。企業や企業じゃないところの方に声を掛けていただいて、お話を聞いていました。こちらが高専生なので、バイトやインターンの話になりがちでした。そういうのやりたいなーとおもいました(でも遠いのよね、という話をすればよかった)。

 プロ各位と少しだけおしゃべりしました。すごい人ばっかりで(しかも若い!)焦る焦る。

疲労

 とても疲れました。とてもとても。

友利奈緒

 どきどきしました。

この記事を書いての反省

 もっと詳しく臨場感あふれた文章を書け。参考にならない文章なのに楽しさすらないぞ。