- CTF-ji so praktična učna okolja, kjer se rešujejo tehnični izzivi za pridobitev zastavic.
- Idealna pot se začne na vodenih platformah, kot je TryHackMe, in se razvija proti kompleksnim okoljem, kot je Hack The Box.
- Bistveno je obvladati ključne kategorije, kot so spletna varnost, kriptografija, forenzika in OSINT.
- Lokalni laboratorij, ki temelji na sistemih Kali Linux in VulnHub, izboljšuje avtonomno učenje.
Če vas zanima svet etičnega hekanja, pa ne veste, kje začeti, se verjetno počutite nekoliko preobremenjeni z vsemi orodji in nenavadno terminologijo. Resnica je, da vam ni treba biti računalniški genij, da bi naredili prve korake; vse, kar potrebujete, je ... Pripravljenost za popravljanje in veliko potrpljenja da ne bi vrgli brisače v koruzo, ko izziv postane težak.
Za tiste, ki začenjamo iz nič, sta igri CTF ali Capture the Flag postali priljubljena pot. V bistvu so to igre, kjer morate poiščite skrivne kode, imenovane zastave Reševanje tehničnih ugank je najbolj prijeten način učenja, saj preidete iz dolgočasne teorije v čisto akcijo, kar vam omogoča ... delanje napak v varnih okoljih brez strahu, da bi pokvarili kaj pomembnega ali imeli pravne težave.
Kaj točno je CTF?
CTF je v bistvu tekmovanje v kibernetski varnosti. Predstavljajte si ga kot lov na digitalni zaklad, kjer je cilj izkoriščanje ranljivosti za dostop do določene datoteke ali podatka (zastava). Ti izzivi običajno dodeljujejo točke glede na njihovo težavnost ali hitrost rešitve. Obstaja več glavnih formatov:
- Nevarnost: To je najpogostejša oblika za začetnike. Imate seznam izzivov v različnih kategorijah in zbirate točke, ko jih dokončate.
- Napad-obramba: Tukaj postanejo stvari resne. Zaščititi moraš svoj strežnik, medtem ko poskušaš ... prikradanje v tujeTo je čisti adrenalin in strategija.
- Mešano: Mešanica vojnih iger, izzivov s strojno opremo in drugih zanimivih načinov.
Osnovne kategorije, ki jih morate obvladati
Da se izognete negotovosti, je ključnega pomena razumeti, kaj vsak izziv zahteva od vas. Hekanje je ogromen svet, zato je razdeljen na specializacije:
- Spletna varnost: Osredotočate se na napake aplikacij, kot so SQL injekcija ali XSSTam je največ materiala za začetek.
- Kriptografija: Igra je tukaj v dešifriranju skritih sporočil z uporabo algoritmov ali Odpravljanje šibkih implementacij šifriranje.
- Digitalna forenzika: Sestoji iz opraviti forenzično analizo sistemov analiziranje ostankov podatkov, kot so zajem omrežnega prometa (.pcap) ali izpise RAM-a za rekonstrukcijo napada.
- Reverzni inženiring: To vključuje analizo izvedljive datoteke (.exe ali .apk), da bi razumeli, kako deluje interno in izvleči zastavico iz binarne datoteke.
- Izkoriščanje (Pwn): Cilj je ustvariti prilagojeno zlorabo za prevzem nadzora nad sistemom, pri čemer se veliko igra z upravljanje pomnilnika in sklada.
- OSINT: Gre za umetnost raziskovanja z uporabo odprtih virov. V bistvu gre za to, da znate iskati v Googlu, družbenih omrežjih in forumih, da bi poiščite javne informacije ampak skrito.
- Steganografija: Izziv je najti skrite podatke v drugih datotekah, na primer besedilo, skrito na sliki.
Priporočene platforme glede na vašo raven
Vsi laboratoriji niso enaki. Če se prvi dan lotite naprednega stroja, boste razočarani. Zato je idealno slediti ... progresivna učna pot.
Za tiste, ki ne vedo ničesar (začetniki)
Če ste na kilometru nič, se odločite za vodene ploščadi. Poskusi HackMe Je dragulj v kroni, ker vas vodi skozi izobraževalne poti. Imate tudi picoCTFzasnovan posebej za študente in OverTheWire (še posebej izziv Bandit)kar je super za učenje navigacije po Linux terminalu, ne da bi pri tem umrli.
Za višjo raven (srednja)
Ko se boste s konzolo počutili udobno, je čas, da jo preizkusite. Hack The Boxkar je industrijski standard in ponuja zelo realistična okolja. Druga fantastična možnost je Root-Meki ima na stotine zelo raznolikih brezplačnih izzivov, ali Akademija PortSwigger, ki je brezplačna biblija za učenje spletnega hekanja, saj so ustvarjalci programa Burp Suite.
Lokalna okolja in ranljivi stroji
Včasih je bolje imeti laboratorij doma. VulnHub Omogoča vam prenos virtualnih strojev (.ova) za zagon v VirtualBoxu. Znotraj tega ekosistema izstopajo naslednji: Metasplotable (idealno za vadbo z Metasploitom), Trgovina s sokovi OWASP (spletna trgovina polna lukenj) in DVWAkar je odlično, ker omogoča prilagajanje težavnostne stopnje izzivov.
Močni viri v španščini
Če vam angleščina predstavlja izziv, imamo neverjetno hispansko skupnost. Hack4u (iz S4vitarja) Verjetno je to najobsežnejši vir v našem jeziku, z usposabljanjem na ravni OSCP. Za tiste, ki imajo raje nekaj lažjega, Dockerjevi laboratoriji Ponuja kontejnerske stroje, ki jih je mogoče postaviti v sekundi. Obstajajo tudi skupnosti, kot je Vulnyx ali TheHackerLabs ki delijo zapise in izzive v španščini, da se ne boste počutili izgubljene.
Kako ustanoviti svoj hekerski laboratorij
Za vajo, ne da bi pri tem pokvarili osebni računalnik, je najbolje uporabiti virtualizacija ali kontejnerjiPotrebovali boste vsaj 8 GB RAM-a (čeprav je 16 GB idealno) in programsko opremo, kot sta VMware ali VirtualBox. Standardna distribucija je Kali Linuxki ima vsa orodja že nameščena. Če želite nekaj sodobnejšega in hitrejšega, se naučite uporabljati Lučki delavec graditi ranljive storitve brez porabe toliko virov.
Metodologija za reševanje izzivov brez obupanja
Skrivnost najboljših hekerjev ni v tem, da vedo vse, ampak da znajo iskati. Delovni tok je običajno naslednji: natančno preberite opis problema, naredite celovito izvidovanje z NmapOblikujte hipotezo o neuspehu in jo preizkusite. Če se zataknete, ne skrbite; poiščite zapis (pojasnjena rešitev)Vendar ga ne kopirajte. Analizirajte avtorjevo razmišljanje in ga poskusite ponoviti sami, da se bo znanje ohranilo.
Za začetek dela na področju kibernetske varnosti je treba radovednost združiti z dosledno prakso v laboratorijih, kot sta TryHackMe ali Hack The Box, pri čemer je treba izkoristiti latinskoameriško skupnost in orodja, kot je Kali Linux. Z obvladovanjem različnih kategorij, od spletne varnosti do obratnega inženiringa, in dokumentiranjem vsakega koraka naprej v obliki zapisov lahko vsak začetnik svojo radovednost spremeni v trdno in iskano kariero.
