┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━┳━┳━┳━┓ ┃■ SECCON メールマガジン【Vol.17】 発行:2015.07.10(金) ┃_┃ロ┃×┃ ┣━━━━━━━━━━━━━━━━━━━━━━━━━━━━┻━┻━┻━┫ ┃…………………………………………………………………………………………┃ ┃… 各種CTF勉強会の情報や、予選告知、結果速報、Write Up などを発信 …┃ ┃…………………………………………………………………………………………┃ ┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛ …………………………… [ C O N T E N T S ] ………………………………… 0x01 CTF for ビギナーズ 2015 札幌 開催報告 0x02 協賛企業「株式会社ドワンゴ」様より - 文字化けではございません? 0x03 「CTF for ビギナーズ東京・長野」開催終了 0x04 次回より新企画!「CTF for GIRLS運営メンバーからの一言」 ──────────────────────────────────── 0x01 CTF for ビギナーズ 2015 札幌 開催報告 ──────────────────────────────────── 2015年6月14日(日)に札幌市産業振興センターにて CTF for ビギナーズ 2015 札幌 を開催しました。開催日当日は札幌の一大イベントである YOSAKOI ソーラン 祭りの最終日と言う事もあり、運営スタッフの移動や宿泊に若干の不安がありまし たが全員無事に予約ができ、当日も参加者の移動も含めて特に混乱することなく開 催することができました。今回は CTF の解説から始まり、バイナリと Web の講義 を行ってから簡易 CTF にチャレンジする半日コースでした。 まず初めに CTF とはと題して三村氏からの解説です。CTF の種類や内容と言った ことから、法律や倫理面についても解説があり、ルールを守って楽しむものと強調 していました。その後のバイナリ講義は「バイナリアンが何を言っているかわから ない件」と題し引き続き三村氏から解説がありました。 CTF 初心者を対象としているため、まずは「そもそも、バイナリファイルとは?」 から始まり、ファイルの判定に使用する file コマンドや文字列を抽出する string コマンドの解説から行われました。その後にプログラムの動く仕組みや実行ファイ ルの解析へと解説が続き、IDA Pro の操作あたりから、操作が遅れる参加者が出始 めました。そのような参加者へは当日スタッフが中心となりフォローしつつ進めら れました。 続いては「Webマンがエスパー過ぎて生きるのが辛い」と題し前田氏によるWeb の解説が行われました。 ここでも注意事項として一般サイトに対して攻撃を行わない事や、攻撃を試してみ たい場合は CTF やバグバウンティ制度などを利用することが強調されました。そし て実際の流れとして最初に行う調査から解説が行われました。その中では Google の活用方法や BurpSuite と言ったプロキシツールの使い方、調査のための攻撃手法 についての説明方法が一通り行われ、そのあと題名にもある「Webマンがエスパー」 についての説明がありました。前田氏によればバイナリ問題は逆アセンブルでロジック を確認できるが、Web 問題はソースコードが提示されない場合が多く経験や勘が必要 とされる局面があるため「エスパー」と表現しているとのことでした。ここからは、 Web 問題に使用する一般的な手法、SQL インジェクションから始まり、ディレクト リトラバーサル、コード実行、XSS によるセッションハイジャックなど解説が行われ ました。 休憩をはさみ15時40分からはお手製簡易 CTF が開始されました。問題は練習問題 も合わせて15問が出題され、参加者はまず練習問題で FLAG の入力方法を確認して から問題に取り掛かりました。 開始早々200点問題が解かれるなど初心者向けとは思えないペースで問題が解かれて いき、30分経過時点でトップは700点となっていました。途中、運営側からのヒント もあり17時10分に競技は無事終了しました。最終的に一番問題を解いたのは ww24 氏で2400点となりました。 競技の後は参加者を含めた答え合わせが行われました。ここではすべての問題について 解説せず、参加者が興味のある問題を中心に答え合わせを行いました。そのなかでは、 今日の講義で行わなかったネットワーク問題で使用する WireShark の使い方について 解説があったり、あまり解かれなかった Web 問題については作成者の八木橋氏から の解説が行われ、参加者は熱心に聞いていました。答え合わせは17時半過ぎまで行わ れ、その後無事に CTF for ビギナーズ 札幌は終了しました。 アンケートの結果では、知識が深まった、難しかった、CTFの世界を少し覗くことが できたなどの意見をいただくことができました。                  (CTF for ビギナーズ運営スタッフより) ──────────────────────────────────── 0x02 協賛企業「株式会社ドワンゴ」様より - 文字化けではございません? ──────────────────────────────────── =E8=35=00=00=00=48=69=6E=74=3A=20=78=38=36=0A=46=6C=61=67=3A=20????????= ????????????????????????=0A=00=90=90=90^=83=C6=10=E8=84=00=00=00=3D=94= =3D=F9v=0F=85v=00=00=00=E8t=00=00=00=3D7=0A=DE=0A=0F=85f=00=00=00=E8d= =00=00=00=3DPz=C9b=0F=85V=00=00=00=E8T=00=00=00=3D8=A34=08=0F=85F=00=00= =00=E8D=00=00=00=3D=DA=1A=F1=D9=0F=856=00=00=00=E84=00=00=00=3D=85=B6>`= =0F=85&=00=00=00=E8$=00=00=00=3Di=A1=9BK=0F=85=16=00=00=00=E8=14=00=00= =00=3Di=A1=9BK=0F=85=06=00=00=00=B8%%=00=00=C33=C0=C3=AD=8B=C8=C1=E1=0D= 3=C1=8B=C8=C1=E9=113=C1=8B=C8=C1=E1=053=C1=C3                         (株式会社ドワンゴ様より) ──────────────────────────────────── 0x03 「CTF for ビギナーズ東京・長野」開催終了 ──────────────────────────────────── 7月4(土)に「CTF for ビギナーズ東京」そして翌日の5日(日)には「CTF for ビギナーズ長野」が終了しました。なぜ2日連続開催なのか?という疑問を抱く ヒマもなく、東京の撤収が終わり次第打ち上げをする時間的余裕も無くスタッフは 重たい機材を手分けして持ち、新幹線に乗って長野へ移動しました。長野でホテル へチェックイン後も、本日の反省と修正箇所を夜中までスタッフで話し合い、翌日 の長野開催を迎えました。 アンケートの結果では、解説をもっとやって欲しい、講義のスピードが速かった、 などの意見もいただきました。参加されたみなさん、スタッフはアンケートの結果 はきちんと受け止めていますのでご安心下さい! 今回会場をご提供いただき、開催に向けて多大なるご支援をいただいた東京電機 大学様、株式会社電算様、本当にありがとうございました。 なお、東京での開催の模様は、7/11(土)のフジテレビ「みんなのニュースWEEK END」で放映される・かも・しれません。                    (SECCON実行委員会 運営事務局より) ──────────────────────────────────── 0x04 次回より新企画!「CTF for GIRLS運営メンバーからの一言」 ──────────────────────────────────── 次号より新企画として「CTF for GIRLS運営メンバーからの一言」が始まります。 テーマは、世界の女性向けCTFについて触れてみる・最近の新製品について触れて みる・アセンブラ短歌・セキュリティに関するトリビアなどなど(注:全て案です セキュリティ業界で働く女性目線での一言コラムの連載を行う予定です。 ご期待下さい!                      (CTF for GIRLS運営メンバーより) ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ▼ SECCON実行委員会は、多くの皆様からの無償のご支援と、スポンサー企業様   からの協賛金・寄付金によって運営されています。 ……………………………………………………………………………………………… ▼ メルマガの配信停止はこちらよりお手続き下さい。 http://2014.seccon.jp/optout.html ……………………………………………………………………………………………… Copyright (C) 2015 SECCON 実行委員会 All rights reserved. 掲載内容の無断転載を禁じることはありませんのでご安心下さい