Первый сезон CTF (МТУСИ)

Думаю можно начать именно с этого!

Чтож, друзья, думаю можно дать официальный анонс, что разработка первого сезона CTF под моим руководством началась!

Кто будет в составе команды которая будет мне активно помогать... пока сказать сложно, но я надеюсь тут я буду не один, иначе кажется я лопну...

Кружок CTF будет разбит на 2 части:

• Сезон ВЕБ
• Сезон РЕВЕРС / Факультатив "Реверс - инжиниринг" (при поддержке "Лаборатория Касперского" и "Перспективный мониторинг" (возможно еще и "АСТРА"))

Думаю не стоит объяснять, что и как будет на каждом из сезонов!

К сожалению пока не имею возможности раскрыть вам содержимое "Сезон РЕВЕРС / Факультатив "Реверс - инжиниринг"", но как только я получу на это добро, я сразу же это сделаю!

А вот касательно "Сезон ВЕБ" я уже могу поделиться с вами какими-то наработками, та и в целом какими-то мыслями касательно того, с чего мы начнем и как дальше будем двигаться!

Примерная программа "Сезон ВЕБ":

1) Что такое CTF и зачем он нам нужен?

• Тут мы расскажем для чего безопаснику играть в CTF, какие категории бывают, их особенности, возможный инструментал, анонсируем тренировки и разработку + сразу расскажем, как делать таски и как таски делать не нужно :( 

2) Что такое это ваше "Веб - приложение" и что у него там внутри?

Из чего состоит веб - приложение

• Базовые протоколы
• URL
• Cookie
• Кодировка
• Архитектура
• Веб - сервера

Механизмы защиты

• HTTP/HTTPS
• HSTS
• CORS
• SOP
• HPKP
• CSP

3) Типы уязвимостей и способы их эксплуатации (часть 1)

Типы уязвимостей и где их искать?

• OWASP
• WASC
• CWE

Эксплуатация уязвимостей на примере своих сервисов

• Command Injection
• Server Misconfiguration
• LFI
• Онлайн сервисы (root.me и т.д.)

4) Типы уязвимостей и способы их эксплуатации (часть 2)

Burp - Burp - Burp!

• Что это такое и зачем это нам нужно?
• Основные команды

Какие гадости сегодня изучаем?

• SQLI
• XXE
• NoSQL
• SSTi

Эксплуатация уязвимостей (Burp Suite)

5) Раскуриваем уязвимости веб - приложений (часть 1)

Какие гадости сегодня изучаем?

• SQLI
• XSS
• XML

Эксплуатация уязвимостей (Burp Suite)

6) Раскуриваем уязвимости веб - приложений (часть 2)

XML

• Encoding

XSS

• CSP

Template injection

• JWT
• Jinja

SSRF

Эксплуатация уязвимостей (Burp Suite)

7) Раскуриваем уязвимости веб - приложений (часть 3)

WAF

Сериализация

• PHP

Template injection

• JWT

SSRF

Эксплуатация уязвимостей (Burp Suite)

8) Раскуриваем уязвимости веб - приложений (часть 4)

Command injection

Web Cache

• Web Cache Poison

Эксплуатация уязвимостей (Burp Suite)

9) Раскуриваем уязвимости веб - приложений (часть 5)

NoSQL injection

Code Review

PHP wrappers

Code review 

Эксплуатация уязвимостей (Burp Suite)

10) Основы разработки

Контейнеры

Языки программирования

Достаточно важный момент который стоит отметить, в этом сезоне будут организованы внутренние, закрытые тренировки, где ребята будут решать прошлогодние (для начала) школьные задания, а после и заниматься разработкой своих заданий, которые мы будем публиковать для решений!

Думаю стоит провести парочку лекций с примером того как эти задания и делались, тут я очень рассчитываю на ребят, которые занимаются разработкой в этом году.

Стырим идею у летней школы CTF и постараемся интерпретировать это в нашей среде!

Но пока без понятия куда и как впихнуть эти лекции...

Ну как-то так...

Всем хорошего дня!