存在哪些“黑客”竞赛/挑战？

信息安全 职业教育 开发 会议
2021-08-17 00:10:31

我一直很喜欢尝试访问我不应该玩的东西。我很久以前就发现了Hack This Site ，我从中学到了很多。我对 HTS 的问题是他们很长时间没有更新他们的内容，而且挑战非常相似。我不再是 13 岁了，我想要更大、更复杂的挑战。

我在考虑像网络安全挑战和美国网络挑战这样的挑战（ @sjp 在元数据上写了这些）

另外，除了Def Con的那场之外，还有什么大型的社会工程比赛吗？

当前列表：

战争游戏：

  • Over The Wire他们有很多小的黑客挑战，例如：分析代码、简单的 TCP 通信应用程序、密码破解。
  • We Chall We Chall 类似于 Over The Wire。很多挑战。他们还有大量其他面临类似挑战的网站。
  • 粉碎堆栈
  • 蜘蛛网

下载：

比赛：

阴极射线管：

像这样的其他列表：

其他有趣的网站：

请帮我在列表中添加更多内容。

4个回答

我不知道指向进一步阅读的好参考。因此，我将尝试列出一些我个人喜欢的浪费时间的方法。

在下文中，我将允许自己区分各种风格的黑客比赛。我不知道这是否是一种规范的方法，但它可能有助于解释我所知道的方法之间的差异：

战争游戏

这些游戏发生在给定的服务器上，您从 ssh 登录开始并尝试利用 setuid-binaries 来获得更高的权限。这些游戏通常 24/7 全天候可用，您可以随时加入。

基于挑战的比赛

这些游戏将向您展示许多您可以单独解决的任务。挑战主要来自利用、CrackMes、加密、取证、网络安全等。这些游戏通常仅限于几天，完成任务最多的团队将被宣布为获胜者。我会列出我最喜欢的，因为我非常相信你会很容易找到更多的。列出的一些刚刚发生，其他将在接下来的几个月中发生。

夺旗

这些实际上需要您捕获和保护“标志”。最著名的可能是 iCTF，它在过去几年中经历了一些规则变化。这个游戏也有一定的时间范围。参赛者通常配备一个虚拟机，用于连接到 VPN。你的任务是分析所呈现的机器，找到安全漏洞，修补它们并利用你 VPN 中其他机器上的漏洞。“标志”由中央游戏服务器存储和检索，该服务器检查团队的可用性以及先前存储的标志是否没有被盗。

  • iCTF（通常在 12 月）
  • CIPHER CTF（今年将由新的组织者更新）
  • RuCTF 和RuCTFe（俄罗斯 CTF 及其国际版本）

其他

还有一堆可下载的虚拟机可以离线播放，我想这是 3) 和 2) 之间的某种混合。

编辑：

标签

我刚刚遇到了第五种游戏类型，我在其他任何地方都没有见过。所有球队在几轮比赛中相互竞争，每轮比赛是两支球队之间的比赛。阶段 1：两个团队都在 Linux 系统上扎根，并尝试在 15 分钟内隐藏尽可能多的后门。在这 15 分钟之后，团队交换 PC 并尝试发现并删除尽可能多的后门（也具有 root 访问权限）。在第三阶段，每个团队取回其服务器（没有 root 访问权限），并且应该利用尽可能多的后门再次获得 root 访问权限。可远程利用的后门获得奖励积分:)

过去几年在德国举行的LinuxTag Linux 大会期间似乎已经开展了类似的游戏。

此处对场景进行了更详细的说明（仅限德语​​！）

/编辑

我希望这篇文章不会因为篇幅太长而变得太混乱；）

黑客竞赛列表的无序列表：

我一直很享受：http ://exploit-exercises.com/

从他们的网站：

  1. Nebula - Nebula 涵盖了各种简单和中级挑战，包括 Linux 权限提升、常见脚本语言问题和文件系统竞争条件。
  2. Protostar - Protostar 在没有启用任何形式的现代漏洞利用缓解系统的“旧式”Linux 系统下引入了基本的内存损坏问题，例如缓冲区溢出、格式字符串和堆利用。
  3. Fusion - Fusion 继续内存损坏、格式化字符串和堆利用，但这次专注于更高级的场景和现代保护系统。

如果您想要“谜题”，例如OverTheWire.org上的那些，您可以搜索“战争游戏”关键字。

以下是其他一些挑战网站的列表：

不幸的是，除了你已经提到的那些，我不知道其他高调的比赛。

顺便说一句，我认为这个问题适合社区 wiki状态。

iCTF： http: //ictf.cs.ucsb.edu/
DC3（正在进行中）： http:
//www.dc3.mil/challenge/ NetWars SANS： http: //www.sans.org/netwars/

在 Shmoocon、DEFCON 等大型会议上也有很多安全 CTF 比赛。我建议您去一些 cons 了解更多信息。

这真的取决于你想要什么最终目标，无论是 CTF、取证、实时响应等。

其它你可能感兴趣的问题
上一篇为了充分防止 KRACK 是需要修补客户端、AP 还是两者兼而有之？ 下一篇没有漏洞利用的软件可能吗？