[資訊安全] Red Alert 72 資安攻防 – 競賽紀錄與賽後心得

InFoSec Taiwan Red Alert 72 資安攻防
InFoSec Taiwan Red Alert 72

由於曾經 IRCON,寫了一篇文章 「[資訊安全]IRCON King of The Hill CTF 初體驗」,隨後被邀請一同參加企業級場的 Red Alert 72 的 資安攻防 電競賽,也對模式感到好奇,以往參與的 CTF 從解題模式到 King of The Hill,該次比賽提供類 Attack and Defense 模式的紅藍隊大隊抗,主要參賽隊伍為籃隊。

目錄

前言

Red_Alert_72 是一個讓參賽者去防守特定機器的比賽,其中又穿插一些解題式的 CTF Pwn,主要比重還是偏向主機防守的部分,當服務被阻斷,便會開始扣分,響應的是企業被攻擊後,所損失的相對影響,由於第一次參與這種類型的 資安攻防 競賽,還是相當興奮。

活動資訊: https://csa.kktix.cc/events/redalert2019

Pwn 題

Pwn 共有 6 題,在這之前有些許不明白,為什麼要叫做 Pwn 題,然後題目的水平都不高,解出一題的平均時間都不會超過五分鐘,從 Log 到 VM,提示中都包含了不少資訊,其中被誤導的是 Flag 的格式不統一問題,以往參賽 Flag 的型式都是「Flag{}」,然而提示的 Flag 格式為 「red_alert_72_{flag}」,然後拿到一個完整的 Flag 像是「red_alert_72_123456」,還自動的把 Flag 加工成「red_alert_72_{123456}」,導致送出去的結果一直被拒絕…,不然應該可以拿首殺的。

  1. 日誌分析
  2. 惡意程式檔案分析
  3. 流量分析
  4. VM 流量分析(Flag 在外部伺服器)
  5. VM 分析(Flag 在系統中)
  6. VM 分析(Flag 為 User 密碼)

有興趣的話可以自行下載 Red_Alert_72 的題目備份,解壓縮密碼: By_MksYi_Backup

https://drive.google.com/file/d/1yo9eCGrx6zq8V4Af0SHLwLsfwfMZmZsv/view?usp=sharing

1 號主機

OS: Windows 2008 R2

一開始開放 CDX 主機連線之後,看到的是一台 Windows 主機,隨即將他開機…

Red Alert 72 資安攻防 - 主機 1

就是上圖所看到的藍白,好像藍的幾次才終於跳出了登入畫面。 修改預設密碼,檢查其他使用者。

1. 確認 Web Server,並換上隊伍 Flag。
2. 檢查工作排程器,確認沒有不必要的排程,並確認程式位置加以確認是不是被掛馬。
3. 檢查服務,關閉不必要的服務。
4. 設置防火牆。
5. 掃 Port,確認有沒有被開門。

6. 查看系統進程,確認是否有木馬正在執行,此外我們還誤用了打包在 VM 上的 notepad++。

7. 使用相關 AV 工具(OpenVAS、Nessus)對系統進行風險評估。
8. 修補相關弱點服務(更新)

該主機沒有被駭客入侵的跡象,唯一扣分的部分都是更新時跑重開機的時候服務中斷造成的,其中有發現主機中存在 MS15-034 弱點,修補上也遇到了一些困難,相關 Patch 上不了,最後就直接放生,還好也沒有被利用成功。

MS15-034 確認:

相關修補資訊:
https://docs.microsoft.com/zh-tw/security-updates/securitybulletins/2015/ms15-034

2 號主機

OS:Ubuntu 16.04 TLS

這台主機發生了很多事情,唯一不解的是,覺得已經安全的狀態,駭客卻還是可以一直干擾服務,以下流程為進入主機後的流程。

1. 連線至該主機,修改預設密碼。
2. 創建其他使用者,並加至 sudoers。
3. 清除預設使用者。
4. Web Server 換上隊伍 Flag。
5. 檢查 crontab 中的排程,並清除。

6. 查看系統進程,並且 Kill 可疑的程式運行。

7. 掃 Port,確認有沒有被開門。

隨後陸續發生攻擊事件,從主機開機到隔天清晨三點都沒有中斷過,幾乎是不眠不休的在跟 Red Team 資安攻防,簡單整理攻擊事件如下:

1. 服務上的攻擊
  * 移除 Web Server
  * 破壞 Web Server 設定
  * 修改防火牆規則
  * DDOS

資安攻防 - DDOS Logs

2. 修改 Flag

資安攻防 - Flag 被偽造

3. 放置惡意腳本

有次攻擊發生的很臨時,跟其他組員的 SSH 同時間被踢出連線,接著就發生以下的事情。

  1. SSH 被踢斷線
  2. Web Server(Apache2)相關設定檔被移除
  3. 所有帳戶被刪除
  4. 系統重新開機

最後使用 Boot 的 Recovery Mode 才重製 root 密碼。

參考資料:https://blog.csdn.net/qq_41325698/article/details/84196515

3 號主機

OS:Ubuntu 18.04 TLS

這台只有被攻擊過一次,就安逸的到比賽結束了,從主機開機開始到結束的流程如下。

  1. 連線至該主機,修改預設密碼。
  2. 創建其他使用者,並加至 sudoers。
  3. 清除預設使用者。
  4. Web Server 換上隊伍 Flag
  5. 更新、升級套件。

攻擊事件:

  1. SSH 被踢出
  2. Web Server 服務被關閉

回復作業:

1. 取回 root
2. 建立帳戶
3. 尋找駭客足跡
4. 清除後門
  * 後門程式

  * Web Shell

結論

一路走來的 CTF 經驗,不論是解題,還是 IRCON 的 King of The Hill,相關經驗也都是攻擊比較多,對於防禦相當生疏,甚至連 Linux 的防火牆都不熟悉,不免會害怕不能貢獻給團隊些什麼,還好還是能透過一些攻擊手法,驗證漏洞是否存在,是說大多都不是洞,而是系統中藏有 Red Team 預裝的木馬程式。

在此還是要客套一下,雖然不知道說給誰聽,還是感謝主辦單位舉辦這樣的活動,不過既然可以規劃成紅藍隊大對抗了,應該是有辦法透過 CDX 的平台來辦一場 Attack and Defense 的資安攻防賽才對,很期待未來有這樣子的模式,然後也希望真的要出 Pwn 題的話能有些深度,然後針對 Flag 格式嚴謹一些。

其餘的話是一些個人抱怨,競賽過程中充滿了不少疑慮,原先第二天結束前的名次都還是位居第二,直到開放第二台主機之後,被不間段的攻擊…直到掉出前十名以外,甚至一直無法掌握攻擊者行蹤,首先讓系統有弱點存在,進而被利用是我們 Blue Team 的疏失沒錯,但好奇的是,其他組沒有這樣子的漏洞嗎? 成了當下唯一被扣分的組別好一段時間…,究竟是主辦單位針對還是怎麼樣?

賽後發現

競賽的注意事項中提及,「不可移除或變更原本安裝之網站伺服器(Web Server) 」,也許是冒犯到規則了,但賽前賽後的直播也沒有強調。

Red Alert 72 資安攻防 賽注意事項

雖然競賽須遵守規則,但以企業的角度來說,維持服務還是第一優先才對吧,當下 Apache2 被打掛的時候,臨時想到使用 Nodejs 撐一下,以避免被扣分,如果真的是因為觸犯規則而遭到針對,那也應該在賽中、賽後直播時提及一下有隊伍觸犯規則吧?

成績

7/7 => 2
7/8 => 5
7/9 => 7
7/10 => 11

Red Alert 72 資安攻防

MksYi

透過網路分享知識的學習者。

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料