ما هي مسابقات الـ CTF ؟ وكيف تبدأ فيها
أهلا بك . تعرّف على العديد من عناصر الأمن السيبراني وكيفية حل تحديات ”التقاط العلم“، حيث يمكنك تطبيق هذه المهمة في سيناريو واقعي.
يمكنك القيام بذلك
لعبة التقاط العلم هي إحدى هواياتي المفضلة. فأنا أحب متعة حل التحديات الصعبة ورؤية جميع قطع الأحجية تتناسب مع بعضها البعض. أريد أن يكون هذا المنشور مقدمة عن CTF لأولئك الذين يرغبون في البدء.
ما هي CTF؟
CTF (التقاط العلم) هي نوع من مسابقات الأمن السيبراني التي تتحدى المتسابقين لحل مجموعة متنوعة من التحديات، بما في ذلك تحديات الشبكة والويب والتطبيقات والتشفير. في هذه التحديات، عادةً ما يُطلب من المتسابقين العثور على نص معين قد يكون مخفيًا على خادم أو خلف صفحة ويب. يسمى هذا الهدف بالعلم، ومن هنا جاءت التسمية.
أنواع التحديات البسيطة
تنقسم تحديات CTF عادةً إلى فئات. أهمها ما يلي
- التشفير - عادةً فك تشفير أو تشفير جزء من البيانات.
- إخفاء المعلومات - العثور على معلومات مخفية في ملف أو صورة.
- الثنائيات - الهندسة العكسية أو استغلال الملفات الثنائية.
- الويب - استغلال صفحات الويب للعثور على المعرفة.
- Pwn - استكشاف الخوادم للعثور على الأعلام.
يعتمد تنسيق الأعلام أيضًا على المنصة التي يتنافس عليها المتسابق. كل منصة لها تنسيقها الخاص، لكن التنسيق الأكثر شيوعًا على معظم المنصات هو تنسيق flag{plaintext} للعلَم.
يمكن تقسيم ألعاب CTFs إلى فئتين بناءً على نوع التحدي:
- أسلوب الخطر
- أسلوب الهجوم والدفاع
- نمط مختلط من النمطين السابقين.
فيما يتعلق بتحدي الخطر، فهو معروف في الدول العربية على سبيل المثال تحديات من المجالات التالية: على سبيل المثال التشفير واختبار تطبيقات الويب والهندسة العكسية والتحليل الجنائي الرقمي وما إلى ذلك.
الهجوم-الدفاع هي مسابقة أخرى مثيرة للاهتمام، حيث يكون لكل فريق شبكة خاصة (مضيف) بها نقاط ضعف، يدافعون عنها ويجعلونها تعمل بشكل مثالي لتسجيل النقاط، وفي نفس الوقت يهاجمون شبكات الفرق الأخرى لتسجيل النقاط.
ما هو الغرض من لعبة CTF؟
- محاكاة الواقع من خلال تحديات عملية وتعلم الكثير.
- تكوين علاقات وخبرات مع الآخرين والمؤسسات الخاصة والشركات الكبيرة.
- اكتساب معرفة جديدة واستراتيجيات جديدة في الأمن الهجومي.
من خلال هذه التحديات ستستفيد كثيراً من جوانب الأمن السيبراني، وستطوِّر نفسك في الجوانب العملية وتتأهل وتهيئ نفسك لاجتياز شهادة عملية. ستتعلم أيضاً كيفية جمع المعلومات، والبحث عن الثغرات، واستغلال الثغرات، والوصول إلى الأجهزة، وفك التشفير وتصعيد الأذونات.
من أين أبدأ؟
إذا كنت قد أثرت فضولك، فقد جمعت قائمة بالمصادر التي ساعدتني على البدء في التعلم، ونشجع المخضرمين في مجال مكافحة القرصنة على إضافة مصادرهم الخاصة.
- التعلُّم
- http://ctfs.github.io/resources/ - مقدمة عن تقنيات CTF الشائعة مثل التشفير وإخفاء المعلومات واستغلال الويب، إلخ.
- https://trailofbits.github.io/ctf/forensics/ - نصائح وحيل تتعلق بتحديات وسيناريوهات نموذجية في CTF.
- https://ctftime.org/writeups - وصف الحلول لتحديات CTF السابقة.
- المراجع:
- https://github.com/apsdehal/awesome-ctf - قائمة شاملة بالأدوات.
- الأدوات الشائعة:
- binwalk - تحليل الملفات واستخراجها.
- مجموعة أدوات بيرب - إطار عمل لاختبار اختراق الويب مليء بالميزات.
- Stegsolve - فلاتر متعددة على الصور للبحث عن النص المخفي.
- GDB - مصحح أخطاء ثنائي.
- موجه الأوامر
انواع التحديات
- الويب: تعلّم كيفية البحث عن الثغرات في المواقع واستغلالها مثل xss و sqli وتحميل الملفات و LFI/RFI وغيرها من الثغرات الشائعة.
- التشفير: تعلم كيفية فك التشفير باستخدام طرق مختلفة، بما في ذلك base64 و MD5 و SHA256 وغيرها من طرق التشفير. من خلال ذلك، ستتعرف على أنواع آليات التشفير وفك التشفير المفيدة لبرمجيات الفدية الخبيثة.
- البرمجة: بعض هذه الأنواع من المهام مصممة لتطوير مهارات البرمجة، حيث يتطلب بعضها كتابة كود خاص لحل المهمة.
- التحليل الجنائي: تعلم كيفية البحث في الملفات وتحليلها بحثًا عن مؤشرات الاختراق وملفات السجلات، إلخ. مفيد جداً لهواة الدفاع.
- الهندسة العكسية: تدريب الطلاب على تفكيك التطبيقات، مثل الهواتف المحمولة وأجهزة الكمبيوتر، باستخدام أدوات خاصة للبحث عن الثغرات الأمنية.
- OSINT أو المعلومات العامة: تعلم كيفية البحث في عالم الإنترنت، بما في ذلك منصات التواصل الاجتماعي، والقنوات الإخبارية، والاقتصاد وغيرها من المواقع التي تهدف إلى توفير معلومات مفيدة.
- Binary Exploitation:
- Web:
- Forensic:
- Miscellaneous
- Cryptography