『入門セキュリティコンテスト』とCTFの概要
こんにちは、はくたけです。
こんにちは、みつながです。
ゆるテクは、ゆるーく技術の話をするボットキャストです。よろしくお願いします。
よろしくお願いします。
はい、始めますよ。
はい、よろしくお願いします。
はい、さっきまでね、そろそろ大AI時代なんで、これからQAとセキュリティの時代だって自分は言ってたんですけど。
どうなんですかね、そろそろどころか、もうだいぶ前から大AI時代。
そうですね。
てことは、今日はそういう話でいく感じですか?
セキュリティの方へ行きます。
セキュリティの方、はいはい。
本を読んだという感じ、読んだというか読んでる途中なんですけど、
今日話すのは入門セキュリティコンテストっていう本を読んでいますという話をちょっとしようかなと思います。
なんか初めて聞く気がする。
すごいめちゃめちゃ古いわけではないですが、ちょっと前、2022年かな。
そしてなんか表紙がめちゃめちゃ可愛い。
このクマの、テディーベアっぽいけど、そういう感じの。
マリオカートにありそうなカートに乗ってるテディーベアですよね。
そうですね。可愛い感じの本になっています。
これは、僕あんまりこのタイプ見たことないんですけど、これ系のシリーズ本ですとかってあるんですか?
どうなんでしょう、自分もわかんないですけど、シリーズではなさそうな気がしましたけどね。
なるほど。
セキュリティコンテストなんですけど、三田さんセクコンとかCTFっていうのはご存知ですか?
僕はとんじゃあげないです。初めて聞いたかもしれない。
はじめにのところ、この読書メモ、今途中の読書メモを貼ってあるんですが、
CTFの問題形式と生成AI
はじめにのところに概要だけ書いてあったんで抜き出してるんですけど、
セクコンっていうのは、日本最大級のCTFの大会がセクコンっていうのがあって、
セクコンってセキュリティコンテストだと思うんですけど、
CTFっていうのはキャプチャー・ザ・フラッグっていう、フラッグを取れば勝ちみたいな感じの意味だと思うんですけど、
あれか、イスコンとかと同じタイプのやつ。
そうですね、コンテストなので。
自分のイメージというか感覚的な話で言うと問題がたくさん出されて、
それぞれに点数がついてるんで、解いたら何ポイント入るみたいな感じで、たくさんポイント取ったチームの勝ちという感じですね。
それぞれの問題は、基本的にフラッグというものを取ったらその問題を解いたことになるんですけど、
例えば何かのファイルが与えられて、そのファイルをどうにかして文字を取り出すみたいなことをやったりとかしますね。
なるほど。
その文字列のことをフラッグと言われているという感じですかね。
なるほどですね。
じゃあ、そういうコンテストの本だから、コンテストの歴史から実際中身としてどういうことをやっていくのみたいな、そういう説明が書かれているような感じなんですか?
そうですね。この本はチャプターが8まであるんですけど、チャプター0がCTF超入門って言って、CTFとは何ぞやみたいな、こういうジャンルがあってねとか。
実際、ジャンルとかを見てみると、リバースエンジニアリング技術とか、暗号化に関するものとか。
フォレンジック、あと我々なじみが深いウェブ系のやつですね。SQLインジェクションとか。
ネットワーク、これちょっと言葉のなじみが薄いかもしれないですけど、ポーナブルっていうのがあって。
あんまり聞かないですよね。
かっこエクスプロイトって書いてあるんですけど、脆弱性に対する攻撃ですね。
特定のプログラムの脆弱性をついてフラグを得るみたいな感じの問題が出ると。
これは方向性として解決していくっていうよりは突破していく方ですか?
これはそうなんじゃないですかね。
なるほどね。
形式がいろいろあるっぽくて。
さっきクイズを解いて得点が入るみたいな感じで言ったのは、スコアリングで点を取るみたいな感じのやつっぽいんですけど、
攻防戦形式と言われるやつがあるっぽくて、そっちの方だと、参加しているチーム間で攻撃し合う、攻防し合うみたいな競技形式があるらしいですね。
へー。
自分たちの脆弱性がありそうなサーバーがそれぞれ全チームに与えられて、相手のサーバーを落としていくみたいな。
すごい、本当に戦いですね。
本当の戦いみたいな。
すごい。
そういうのもあるっぽいですね。
すごい。
なんでその形式だけ聞いて面白そうじゃないですか。
ですね、ですね。
それで面白そうだし、一応自分もセキュリティ系の会社にいるので、興味はずっとあったんですよね。
これって読み進めているので、その後に出てくる可能性もあるのかなって思ってるんですけど、
全体的な方針として、こういうのはどれくらいAIとかを絡めてたりするんですかね。
それとも割と知識を、知識とか浪快なテクニックを活かしてっていうのを大事にしてるから、あんまりAI絡まないとかそんな感じなんですか。
これが出たのは2022年ってことがあって、おそらく今の発達した生成AIがこんな普及する前の話だから、
なるほど。
とりあえず自分はまだ、何章だ、チャプター4かな、4までしか読んでないんですけど、
その時点ではまだAIの絵の字も出てこないですね。
なるほど、確かに今僕らは博多家さんが書いた読書メモを見ながら収録とかしてるんですけど、
結構確かにこれは人が理解するとか、人が何とかする前提だったらこういう表現なんだなっていうのはすごいわかるんですけど、
確かに時代がちょっと変わっちゃったからってありそうですよね。
最近どうなるんでしょう。確かにこれAIにこのファイルがどうにかしてフラグを取得してって言ったら、
ほんと簡単な問題は一瞬で解かれてしまいそうな感じがしなくもないな。
逆にあれなんですかね、今度このAIに対するセキュリティとかが新しく出てきたりするんですかね。
確かに最近はそういうのがあってもおかしくないですよね。
プロンプトインジェクションをしてとか。
わかりやすいので言うとそういうのとかですよね。
その辺はどの点だな、その辺もちょっと調べてみようかな。
いいですね。
そうそう、その時代としてはちょっと前なんですけど、単純にその形式がCTFは面白いですよね。
クイズのような形式なんでね。
常設CTFと本の構成、ライトアップ文化
これはちなみにせっかくこういうのを読んでる最中だと思うんですけど、もし続いてたら実際やってみようかなとかになるんですか。
そうですね。どういうものかっていうのを自分はちゃんとは知らずに読んだんですけど、
結構時間がかかる大会が結構多いっぽくて、何時間とかもかかる。
チームでも出なきゃいけないとかいろいろ厳しそうだなと思ったんですけど、
その最初の解説のところに常設のものもあるよって書かれてて。
ほう、常設、はいはい。
常設とかあるんだと思って、だからなんかちょっとサインアップしてこういう問題を解くみたいなのが用意されてるんだなと思って。
それをちょっと最初はやってみようかなと思っています。
確かに、それはなんか面白そうですね。
あんまり常設だから時間に追われて、早く解かなきゃとか、誰かの攻撃が来るぞとかきっとないだろうし。
なるほどね。
なんで、そういうのからやってみようと思います。
やってみようかなと思える程度には、この本で読んでこういうやり方で進めますみたいな解説が面白いんですよね。
なるほどですね。
結構体系的にというか、大枠から理解してそれぞれのコンテンツにも対して一定解像度高く説明されているみたいな感じなんですよね、きっと。
そうですね。チャプターゼロで大枠、超入門なんでどういうものかを説明した後、
それぞれの章でジャンルごとに実際に出題された問題の解説がされています。
こんな問題です。で、一番早く解くにはまずこれです。
で、それの技術的な解説がその後に続くっていう感じですかね。
なるほど、いい。それは素敵な構成ですね、完全にね。
これも最初の入門のところに書いてあったんですけど、
CTFを解いたというか終わった後に、ライトアップって言って自分はこう解いたみたいな解説を、
まさにこの本でされているような解説を自分のブログとかに書く文化があるっぽくて。
面白い。
面白いなと思って、そういうのをちょっと探してみようかなと。
確かに自分が今まで読んだブログの中にもそういうの結構あったなと思って。
それはイメージはこういう問題があって、そこに対して多分自分がどう捉えて、
どういう過程でこうしたかっていうのを割と丁寧に書いている人とかもいたりとか、
あるいはシンプルにこうしたっていうのをスッと共有しているだけだったりもするっていう、
割と形式自体は自由な感じなんですかね。
だと思いますね。多分三沢さん読んだことあると思うんですけど、
ウェブの界隈でいうとイスコンの終わった後に書いている人とか見たことあると思うんですけど、
あれ系なんじゃないかなという気がしています。
なるほどなるほど。
リバースエンジニアリング問題の解法
面白かったですね。なんかちょっと最初の方で言うと何が面白かったかな。
ウェブセキュリティは完全にSQLインジェクションではいはいという感じの内容だったんですよね。
さすがに馴染みが深いというか。
それで言うと僕シンプルに気になっているのが、
チャプター1のリバースエンジニアリング問題ってもうタイトルからしてなんだって今なってますけど。
リバースエンジニアリングは実際その動作から要件というか仕様を推測するみたいな解析をするみたいな感じのやつですけど、
今回は実行可能なファイルExeが配られて、それだけなんですよね。
どうやってフラグを取るんだみたいな感じのところから始まるんですけど、
まずこのファイルコマンドでどういうファイルなのかはまず、拡張子とかだったらごまかされている可能性が普通にあるじゃないですか。
そうですね。
なので調べ、実行してもただメッセージが表示されるだけでこれ全然わからんねってなるんで、
次とりあえずまずやるのがストリングスコマンドでファイル中のASCII文字を表示するみたいな感じなんですよ。
なるほど。
そうすると縦読みでフラグが文字列が出てくるんで、今回の答えとしてはこれですが、みたいな。
このパターンは定石の一つではありますが、最速ではこれなんですが、もっと泥臭く成功法でやるとすると逆アセンブラで機械語をアセンブリ変換して読んでいきますみたいな。
面白いですね。
そもそも僕は冒頭の方のテクニックさえ、確かにそういうことすればできるなって聞いて初めて理解をしたんですけど、あんま観点としてなかったから、確かにそれ読んでみるだけでも発見としてはめちゃめちゃいいですね。
そうなんですよね。自分が読んだ中では結構ツールを使っていることが多くて、単純にバイナリを読むとかっていう力技もあるんですが、このツールを使うとこういうことができるみたいなのが結構あってですね。
すごいな。
暗号化ZIPと既知平文攻撃
次のチャプター2とかの問題でもそうなんですけど、自分が思ってもいない条件だけで相手には情報が抜き取られてしまうんだなということがよく分かるんですよ。
例えばこのチャプター2っていうのは暗号の問題なんですけど、ZIPファイルが渡されてるんですけど、ZIPファイルの中って暗号化されていたとしても、ファイル名は普通に見れるんですよね、まず。
この問題ではとりあえずファイル名でググってみたら、セクコンが出してるメルマガがインターネット上でヒットするから、それをダウンロードしてきて、ファイルサイズを見てみますと。
ファイルサイズを見てみたら一致するから、このZIPの中に含まれているテキストはこのメルマガで間違いないでしょうみたいな感じになるんですよね。
すげー。
ということですよ。
ここで論理の飛躍というか、そんな風になるんだって思うんですけど、暗号化されたZIPファイルとその中身の平文のファイルが手に入ったということは、
ここでCTFに慣れている人なら、基地平文公益が可能になるということが分かりますって書いてあって。
知ってるか知らないかがもう分数異例というかですね。
お金以外たぶんいっぱいあるから、それこそこういうのでインプットしていかないともはやって感じですよね。
だから意味としては理解できるんですけど、この基地平文公益とかも確かに暗号化前のやつと暗号化後のやつが分かれば、暗号化の手段がなんとなく分かりそうというのは想像つくんですが、
実際それができるというのがすごいなと。
ツールも変わるんですよね、PKクラックっていうやつが。
それで実際に解読できてしまうんですよね。
おもろ。
だからこれから何が分かるかというと、ZIPファイルにいくつかのファイルを入れるとするじゃないですか、我々が仕事とかで例えば。
で暗号化したとするじゃないですか。
そのパスワードがもし漏れないとしても、そのファイルにどうでもいいようなただのテキストファイルみたいなのが含まれてて、
それが漏れたらもう解読できてしまうということになるんですよね。
確かに。
ということが分かるから、これは気をつけなきゃいけないなみたいなその実際の仕事にも役立つセキュリティ知識というか。
確かに勝手に大丈夫だと思ってたけど、実はそんなに大丈夫じゃなかったっていう防衛策を平気でやってたかもしれないっていうところですよね。
さっきのZIPファイルの話に前提があって、ZIPファイルの暗号化って昔からずっと変わってないらしいんですよ。
弱いものがずっと使われ続けている。
強力なものもあるんだけどデフォルトは弱いやつのままでそれをわざわざ強いやつに変える人ほとんどいないから。
認知すらしてないまでありますよね。
だからこういう広域が成立しやすくなっているらしいですね。
読み物として面白いですね。
本の読みやすさと購入のきっかけ
面白いですよ。実際にやってみなくても。
買って読んでみようこれ。面白そう。
ちょっと面白かったですね。
これはちなみにどんなきっかけでたどり着いたんですか。
これ多分タイトルがすごい良いというか得しているというか。
CTF自体は自分は知ってたんでセクコンとかのやつ概要とか確かそんな感じの検索文言でググったときに普通に出てきました。
なるほど。
タイトルがヒットしそうなタイトルですね。
確かにな。確かに。
ヒットするし多分僕多分タイトルがヒットするのとこの表紙をパッて見たときに多分クリックしちゃうとりあえず。
良い表紙だ。
良い表紙だすごく。一瞬なんだってなる。
ありがとうございます。良いなこれ僕も買おう。今買った。
なんか本当ただ読んでいるだけでも面白かった。短いんですよ。200、300ないんですよこれ。
しかもなんかパッと見サイズ感的にもあれですよね。なんかどでかい系じゃなさそうに見えてるんですけど。
それあれですよね。半のサイズのことですよね。
ですです。
これいくつなんだろう。
B5ぐらい。
待ってくださいね今擬表のサイズ。A5です。
A5か。
ちょっと小っちゃいのか。
持ち歩くのにも別に大丈夫そうなサイズ。
たまに大きいやつとかだと持ち歩くのに結構体力いるから。
そんな今回はこのただの紹介だけで終わりです。
ありがとうございます。
今回は入門セキュリティコンテストという本を読んでるよという話でした。
ユルテクでは搬送や話してほしいことなどを募集しています。
Xでハッシュユルテクをつけて投稿するかMixi2のコミュニティまでお願いします。
今日はありがとうございました。
ありがとうございました。