Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2605 Danke!
herzlich willkommen zu einer neu neuen
Folge Chaos family ich bin kalisi und
ich sitze heute hier wieder mit sehr
vielen Gästen auf unserer Couch bei
Chaos family stellen wir euch immer
Projekte villages assemblies na ja was
auch immer die Veranstaltung gerade sagt
über die Gruppierung vor und heute haben
wir alles
hier kein Witz das hat in der Regie auch
schon für sehr viel Verwirrung
gesorgt ich habe hier die okay Tim und
Thomas
und die drei sind alles aber ich glaube
da gehen auch noch ein paar mehr Leute
dazu schön dass ihr heute da seid danke
schön danke und ja was ist eigentlich
alles ja wir sind ein CTF Team CTF
sollten vielleicht erstmal erklären das
ist ein das sind Wettbewerbe im Bereich
von der IT security da hat man dann
verschiedene Challenges kriegt man dann
und bei diesen challenges geht's dann
darum eine Webseite zu hacken oder ein
Programm zu hacken oder ein Server okay
also ihr seid ein CTF Team das heißt ihr
spielt ctfs vielleicht noch mal für alle
CTF steht eigentlich für Capture the
Flag und ihr spielt CTF aber ihr macht
auch ctfs habe ich das richtig in
Erinnerung genau also ab und zu
organisieren wir dann auch ctfs wie z.B
dieses Jahr haben wir das Camp CF
organisiert so wie wir das auch die vor
vier Jahren gemacht
haben ja okay und wie kann man sich das
vorstellen so ein CTF also ist es dann
so muss ich mich da irgendwo anmelden
macht man das im Team macht man das
allein gibt es da unterschiedliche Arten
von ctfs meistens spielt man im Team es
gibt auch ctfs ein den wir organisieren
ganz große da kann man auch alleine
spielen aber typischerweise spielt man
im Team und der Spielmodus den man
typischerweise spielt der nennt sich
jopy da werden online auf der CTF
Plattform ganz viele Aufgaben
veröffentlicht und die kann man dann
unabhängig voneinander lösen das heißt
man macht so eine Aufgabe da kann es
drin sein so hier hast eine Webseite les
mal die Datenbank aus da ist die
sogenannte Flag drin und die Flag ist d
meistens ein Zeichensatz den klaubt man
sich gibt ih ab und dann kriegt man
Punkte dafür und das Team mit den
meisten Punkten ist dann dit oben okay
relativ simpel so von den Spielregeln
jetzt stell mir natürlich Frage okay wie
ist es eigentlich so ein CTF sich
auszudenken wie macht ihr das Wie geht
ihr da
dran
also CTF besteht ja größtenteils aus den
aus den Aufgaben die man stellt und
typischerweise findet man im Laufe
seiner Arbeit oder seines Studiums oder
was auch immer sich beschäftigt mal
immer wieder so coole Aufhänger wo man
sich denkt so hm das ist doch unerwartet
und schon irgendwie interessant wie ein
bestimmtes Programm funktioniert oder
bestimmte bestimmte Hardware sich unter
bestimmten Voraussetzungen verhält und
dann versucht man das im Rahmen von so
einer Aufgabe
nachzubauen das heißt man baut eine
Aufgabe wo man genau das was man gerade
herausgefunden hat was interessant ist
herausfinden soll also die Tim das
rausfinden soll man baut den Rahmen der
Aufgabe so dass die Teilnehmer da
einigermaßen drauf kommen also sei jetzt
vielleicht eine Schwachstelle die man
gefunden und gemeldet hat und die
inzwischen behoben ist oder irgendein
lustiges Verhalten bei irgendeiner
bestimmten Option die man setzen kann
schreibt mal eine Aufgabe die dann so
konzipiert ist dass die Teilnehmer da
nach einer Zeit und nach ein bisschen
eigener Forschung an dem an der Aufgabe
drauf kommen und sich dann ausdenken wie
man diese Schwachstelle oder dieses
seltsame dieses seltsame Verhalten
irgendwie ausnutzen kann um an Daten zu
kommen die man nicht kommen sollte also
vielleicht kann man das ja mal irgendwie
so ganz konkret machen wenn wir
irgendwie ein ztf haben was irgendeine
Website ist dann W wahrscheinlich so SQL
Injection so eins von den low hanging
fruits genau vielleicht kannst du ja mal
erklären was eine SQL Injection ist oder
einer von euch dreien wer auch möchte du
hast nicht so viel Redeanteil gehabt
also ich mache melde mich zum alles CTF
an und dann gehe ich auf den alles Shop
und
suche eine Flagge und
AU was würde man dann so machen also
typischerweise wenn man jetzt eine
aufgab konstruieren würde hätte man
wahrscheinlich so ein Shop wo man eine
Flagge kaufen kann die kostet irgendwie
1000 Tokens man hat aber nur 100 das
heißt man kann sich halt gar nicht
kaufen so im kompletten Spiel eigentlich
überhaupt nicht und dann muss man
erstmal ein bisschen na man schaut sich
halt erstmal an okay was was macht den
diese Website überhaupt und dann geht
man weiter und sieht okay ich habe hier
irgendwie Eingabefelder mit den ich
irgendwie interagieren kann und SQL
Injection bekannte vulnerability das
heißt man testet jetzt einfach mal dafür
und gibt mal diese Eingabefelder einfach
mal Irin Quatsch ein und da kommt
vielleicht mal ein Fehler zurück der
irgendwie unerwartet ist wo dann
irgendwie so so ganz normale
Fehlermeldung die aber schon bisschen
verrät wie diese Webseite im Hintergrund
funktioniert und das SQL Injection
spezifisch wäre etwas es gibt Hal dieses
SQL damit frage ich Datenbanken an was
da drin steht da würde ich dann s z.
sagen select product from product table
oder sowas und dann würde ich quasi alle
Produkte aus der Produktdatenbank
zurückbekommen und häufig gibt's da so
Filter wo man d sagen kann zeig mir nur
alle Produkte an die Flagge im Namen
haben oder sowas und wenn ich dann
genügend Kontrolle über diesen Parameter
habe kann ich da andere Sachen
reinschreiben dann kann ich einfach
sagen diese erste SQL Anfrage quasi ist
vorbei ich mache noch eine zweite und in
der zweite kann ich reinschreiben was
ich will das ist vielleicht was was
Entwickler gar nicht so berücksichtigt
hat dass ich hier irgendwie zwei
Anfragen auf einmal senden kann oder die
verbinden kann oder sowas und dann kann
ich mir vielleicht auch Produktdetails
Anzeigen von Produkten die ich noch gar
nicht gekauft
habe genau und dann würde ich so an die
an die Flagge rankommen ja wir prüfen
das im Frontend das immer gute
Ideen typisch auch Prüfung Backend die
halt fehlerhaft ist aber genau Front
klassischer
Fehler ja okay also so kann man sich das
ungefähr vorstellen das ist in so einem
Hacker jepardy vielleicht oder in
jepardy das haben wir nicht gesagt da
gibt's auch einfach unterschiedlich
viele Punkte für unterschiedliche
Aufgaben da kann man sich das dann auch
raussuchen das ist immer ganz gut für
Teams gerade wenn die Erfahrungen
unterschiedlich sind in Teams dann
können die neueren Leute sich die
einfacheren Tickets sozusagen rausziehen
und die alten Hasen machen dann
irgendwelche crazy reverse Sachen und
hauen sich irgendwie
whatever welche Programmiersprache
gerade innen ist um die
Ohren wie seid ihr denn dazu gekommen
CTF zu spielen und jetzt auch selber CTF
zu machen alle auf die gleiche Art und
Weise glaube ich ja ja ja
über ein der Wettbewerbe den wir
inzwischen mitorganisieren oder vor dem
wir die orer mehr oder weniger adoptiert
habeners fragt wann habt ihr wie lange
macht ihr schon
CTF ich habe das erste Mal
2016 gespielt glaube ich 2017 angefangen
und bin dann quasi 2018 durch diesen
Wettbewerb mit in alles reingekommen und
vorher habe ich so ein bisschen alleine
gemacht und dann Hal mit in alles wieder
in Anführungsstrichen gesetzt alles
meint das Te alles meint unser
ctfam genau ich selber bin erst relativ
neu im Gegensatz zu den anderen dabei
ich bin erst seit 2020 dabei
okayff okay und dann habt ihr sozusagen
alle zusammen irgendwie an diesem
Wettbewerb teilgenommen und habt seit da
stecken geblieben genau also dieser
Wettbewerb speziell der ist da da spielt
jeder alleine für sich und dort haben
wir uns dann qualifiziert fürs
Finale und sind dann darüber in das Team
alles gekommen okay und trefft ihr euch
auch regelmäßig wie kann man sich das
vorstellen so mus man dafür trainier ist
ein bisschen wie eSports oder wie stellt
man sich so ein CTF Training Team
Treffen vor also ich weiß dass mein CTF
Team meistens eher so am socializing
hängen bleibt und nicht so richtig viel
CTF aber
das liegt auch an der Flauschigkeit dem
flauschigkeitsgrad wie ist das bei
euch ja also treffen ist bei uns
meistens eher schwieriger weil
wir wir ein Team sind welches in ganz
Deutschland verteilt ist aber versuchen
uns so einmal im ja was jetzt in Corona
etwas schwieriger war oder auch öfter zu
treffen und vor allem gibt's dann auch
häufiger
mal Finale von ctfs also wo man erstmal
eine Qualifikation hat undo man sich
danach in ein Finale für ein Finale
qualifiziert hat welches dann auch oft
vor Ort irgendwo stattfindet im Ausland
oder auch in
Deutschland okay und jetzt noch mal
darauf zurückzukommen ihr macht ja auch
sozusagen selber ctfs jetzt haben wir
irgendwie darüber gesprochen wie euch
die
Aufgaben a denkt ne häufig irgendwelche
challenges die man vielleicht selber
schon gelöst hat oder wenn man
sicherheitsforscherin ist bei anderen
Firmen mal gefunden hat aber wie kann
man sich das den mit der Infrastruktur
vorstellen also ich meine ihr stellt da
ja sozusagen Infrastruktur zum Hacken
hin sie brennt das ist Zusammenfassung
sie brennt immer Infrastruktur CTF ist
inzwischen bei uns relativ stabil weil
wir diese Plattform die wir haben
einfach schon zum zehn Mal
hintereinander verwendet hatte niemand
Probleme bei diesem TTF gest aber also
vielleicht noch mal von Anfang an also
ihr denkt euch jetzt die Aufgaben aus
keine Ahnung Hacker jepardy wir haben
unterschiedliche Schwierigkeitsgrade und
irgendwie sind dann natürlich dann auch
Maschinen auf die man sich verbinden
kann und dann kann man sich da irgendwie
drin bewegen und irgendwie versucht man
da ja was kaputt zu machen damit man die
Flagge bekommt so und ihr betreibt diese
Infrastruktur wahrscheinlich auch selber
richtig Ex ja okay und wie kann man sich
das vorstellen also wie stellt man
Infrastruktur hin die dafür intended ist
kaputt gemacht zu werden wo man aber
auch irgendwie ja doch wahrscheinlich so
ein bisschen Kontrolle haben will aber
irgendwie auch nicht da gibt jetzt quasi
verschiedenste Möglichkeiten viele CTF
Teams wir auch denken sich halt okay wir
sind Hacker wir basteln jetzt unser
eigenes weil wir können das besser als
alle anderen kann natürlich keiner
deswegen brennt
alles aber was was wir jetzt ganz
konkret machen ist wir spawnen für jedes
Team jede Aufgabe einzeln in einen
Container okay also Container ist diese
Virtualisierungstechnologie wo man
relativ viel Sandboxing hat wo
vielleicht noch mal sagen was Sandboxing
ist für die Hörer H
ine Cour man sein Memory Limit und
trotzdem ist man halt quasi auf auf
einem viele verschiedene Container auf
einem PC aber alle sind unabhängig
vinander und können eigentlich erstmal
nicht miteinander
interagieren zumindest wenn die Sandbox
sicher ist aber davon gehen wir meistens
in unsen ctfs dann aus wenn wir da die
neuesten Versionen verwenden geh nie
kaputt die gehen noch nie kaputt genau
sonst hat man halt die bonusflagge
gewonnen
oder und da gibt's quasi dann für jeden
für jedes Team für die Aufgabe kann das
Team quasi sagen ich will diese Aufgabe
bearbeiten und dann spawen wir wirklich
für dieses Team extra diese Aufgabe in
einem eigenen Container und die sind
auch wirklich nur für sich dann da drin
und können das Ding komplett kaputt
machen machen damit was Sie wollen wenn
es zu kaputt ist löschen die das Ding
wieder setzen es neu auf und dann ist es
wieder neu da okay das ist sehr angenehm
fürs Bauen der Aufgaben weil man sich
nicht so Gedanken machen muss dass
irgendwie viele Teams auf ein auf eine
Aufgabe zugreifen und dann einige ein
Team das für ein anderen Team kaputt
machen kann oder so
m okay aber ihr betreibt das alles
irgendwie selber habt ihr da habt ihr
eigene Server irgendwo stehen oder wie
macht ihr das mietet euch da was oder
die Server kriegen wir meistens alle
gesponsort von Firmen die auch ctfs cool
finden m genau
okay und wie kommt das dann zustande
dass ihr also ihr hab jetzt gesagt jetzt
habt ihr gerade das Camp CTF organisiert
macht ihr auch für ein Kongress das CTF
oder macht das dann andere komm kommt
ihr dazu ctfs zu organisieren kommen da
Leute auf euch zu oder sagt ihr so ja
ist jetzt gerade wieder so langweilig in
der Uni Bachelorarbeit prokrastinieren
läuft und jetzt setzen wir ein neues CTF
auf gen also da gibt's eine so eine
Webseite CTF time ist das da kann
jeder seinen Wettbewerb quasi anmelden
und irgendwann haben wir uns einfach
gedacht
wir spielen häufiger bei diesen ctfs mit
und eigentlich wäre es auch ganz lustig
mal die andere Seite zu zu sehen und zu
sehen wie es von der orger Seite ist und
man hat ja auch immer tolle Ideen für
challenges und möchte auch mal Leute
leiden
lassen
okay genau und so kommt man da halt
irgendwie
dazu okay und wie stell ich mir das vor
wenn ihr jetzt so ein CTF organisiert
was macht ihr dann also ihr stellt dann
das da alles hin aber wie ist dann so
der Aufwand hinter den Kulissen so ein
CTF zu organisieren und zu betreuen
Gruß also die Meister die Meister Arbeit
geht eigentlich darin ganz viele
challenges zu bauen also in jeder
Challenge sitzt man halt dann je nachdem
wie komplex man sie macht eine Stunde
bis paar Wochen also wenn man ein ganzes
Videospiel drum herum schreibt dann
dauert das eine ganze Weile länger
die meiste Aufgabe geht die meiste Zeit
geht wirklich daran Aufgaben zu bauen
und diese die die Plattform die dahinter
die das ganze orchestriert die baut man
dann einmal und dann tut sietisch B bis
sie halt jedes Mal wieder abfackelt weil
man irgendwas vergessen hat aber aktuell
ist zwischen ziemlich stabil diesmal hat
wir Probleme mit AU x aber außer x
ja müsst alles erklären worüber ihr
lacht das ist euch hoffentlich klar oder
ja also wir hatten ein Problem dieses
Jahr mit einer Challenge die hat x die
das eine Software ich weiß gar nicht
genau was die tut Thomas die stellt so
ein Programm zu okay wenn ich ein
Programm Lokal bei mir laufen lasse habe
ich vielleicht so ein schwarzes Feld wo
ein bisschen Text drin steht ich kann
Text reintippen Text kommt zurück wenn
ich das Ü Internet machen brauch ich
irgendwas was dieses Programm quasi
dieses textinterface dann ins Internet
quasi
freigibt und weil das Programm
normalerweise das dann halt nicht kann D
GI quasi Software die ich davor tun kann
z.B xD Das würde das dann machen dann
würde ich diese Software mit X starten
so davor dann kann ich mich von außen
hin connecten und dann eigentlich mit
dieser Software ren die dahinter läuft
das ist ja typisch bei so TTF Aufgaben
wenn ich irgendwie Lokal mit dem Service
interagieren will aber eigentlich bin
ich gar nicht auf dem Server sondern ich
bin zu Hause bei mir und ja wir haben
immer x verwendet die Software die die
kann das so wir hatten jetzt andere
Ressourcen liimits auf unseren Servern
konfiguriert die haben x die sehr
verwirrt und uns auch und deswegen haben
unsere challenges alle 10 Minuten
gebraucht man hat gesagt ich will die
Challenge haben musste 10 Minuten warten
bis sie zur Verfügung stand war ein
bisschen schade das haben wir auch erst
beim live gehen des CTS bemerkt dass das
ein Problem ist und die ja unsere unsere
Spieler waren halt so jo ich kann nicht
auf diese Aufgabe zugreifen und wir so h
das muss funktionieren das hat schon
immer funktioniert im Endeffekt hat
einex die in einer endlos Schleife alle
alle Dateien die existieren können ossen
das macht überhaupt keinen Sinn weil es
war überhaupt Null Dateien offen und das
weiß es auch und W wenn eine Datei offen
gewesen wäre wä es abgestürzt aber es
hat es getan und auf unserem Server
kannst du sehr viele Millionen Dateien
offen haben weil ist ein großer Server
und deswegen war sehr langsam okay also
jede Menge Stress alles
brennt ja deswegen das
T-Shirt aber sitzt ihr dann irgendwie
alle zusammen wenn ihr so ein CTF
organisiert hat oder macht ihr das dann
dezentral oder wie ist das dann meistens
laufen die auch manchmal über mehrere
Wochen oder Monate ne also also je
nachdem wenn es ein Qualifier ist dann
läuft das ja schon eine ganz schön lange
Weile wie macht ihr das wie manag ihr
das meistens wenn wir nicht gerade
Vorort zusammenitzen in in unserem Zelt
dann läuft das natürlich alles dezentral
und man arbeitet auch asynchron wenn man
der in dem Moment wo derb wo der
Wettbewerb live geht und man startet
sind meistens ein paar Leute da weil das
meistens der Punkt ist an dem es
entweder gut läuft oder alles anfängt zu
brennen es gibt nichts dazwischen
anscheinend nein okay es gibt das Gutl
eigentlich nicht okay ja das
ist das Zielsetzung als ein Zustand man
weiß dann nur nicht wo es brennt ja
genau das oder das ist schon brennt
schon brennt okay genau aber meistens
sitzt man die zentrale dran und auch
auch asynchron wir sind über ganz
Deutschland verteilt das heißt e schwer
Vorort zusammen zu sitzen wenn dann
sitzen wir halt in dem discord Channel
zusammen und wenn wie z.B die cscg ist
ein Wettbewerb den wir mit organisieren
läuft der läuft über zwei Monate da sitz
wir auch nicht zi Monate lang in dem
discord Channel also und auch nicht im
Zelt auch nicht im
Feld
okay kommt man dann immer mal wieder
online wenn was brennt ja okay das ist
ja ganz schön viel Technik wenn ich
jetzt sag okay eigentlich habe ich gar
nicht so viel Ahnung vom Computern ich
sag mal so unser wir reden über erstes
erstes semester Informatik aber
irgendwie finde ich CTF klingt ziemlich
cool und was würdet ihr so sagen wie
steigt
man besten ein in so diese CTF Szene
also man kann sind ja nicht alle so
crazy wie ihr und ichan
CSG C
spielen CSG hat tatsächlich ziemlich
viele einsteigeraugaben die auch von
Null auf erklären wie man an diese
Aufgaben rangehen soll dann gibt's aber
auch andere auf andere Wettbewerber die
genau dasselbe auch tun also da gibt Pic
CDF das ein anderes
CF die MA
auch sehr relativ einfache Aufgaben für
Einsteiger gedacht okay das heißt
einfach anfangen zu spielen ist so euer
Tipp genau
vielleicht likeeminded people suchen die
auch Lust haben mal da reinzusteigen an
vielen Universitäten gibt es CDF Teams
die und die in einem schon in einer in
einem Team spielen und schon Leute haben
mit Erfahrung mit denen man dann die
dann einem auch was erklären können und
so weiter okay und was muss ich so
mitbringen wenn ich so anfangen will mit
CTF so auch so von also ich meine es
gibt natürlich immer wieder diese
Situation man kommt in den Hacker space
und dann sitzt da so ein althacker und
dann sagt er zu also wenn du kein Wim
benutzt dann kannst du hier nicht
mitmachen so das ist ja irgendwie so der
Klassiker aber ich glaube das ist
irgendwie so ein bisschen Quatsch so was
muss ich mitbringen und wovon sollte ich
mich auch einfach also Wim ist total gut
ich benutze auch
Wim aber das ist ein ganz anderes Thema
ich habe aber diese Situation auch
erlebt in einem Hacker space und ich
glaube man darf sich nicht davon mutigen
lassen dass da irgend so ein grummeliger
Typ sitzt der meint Wim ist das Beste
seit geschnitten Brot aber was sollte
man denn
machen was sollte man machen das
wichtigste was ich Motivation mitbring
Motivation also du musst halt wirklich
ich glaub wir alle wir hatten alle null
Ahnung von computer security als wir
angefangen haben ich ich habe immer noch
in großen Bereichen null Ahnung in
vielen in einigen Bereichen habe ich
jetzt aber inzwischen Ahnung aber ihr
habt Ahnung von Computern also wir gehen
jetzt aber vorher auch nicht so ich
hatte halt du hast halt PC Spiele
gespielt und ne hast halt immer immer
sch immer schön Game immer schön zocken
immer ein paar Dateien und vielleicht
hast mal ein Spiel irgendwo gecrackt so
aber dann Hal so ja wie funktioniert das
überhaupt was ist denn hier überhaupt so
ein Kopierschutz und auch so ja einfach
wie wie funktioniert so ein Computer
also einfach quasi für mich persönlich
war sehr viel einfach Neugier wie
funktioniert das alles überhaupt wo
zumindest für mich Schule halt absolut
nutzlos war so weil das ist ja auch ist
klar das ist ein sehr sehr spezifisches
nchentha das das ist nicht breite Breite
bevölkerungsfähig und so CTF ist halt
einfach eine Möglichkeit wo man die
Möglichkeit hat so eine Aufgabe zu haben
wo man einfach komplett bei scheitert
aber am Ende guckt man sich an was
andere Leute gemacht haben und lernt
super super viel dabei weil man hat sich
selber schon ein Tag zwei Tage mit
dieser Aufgabe auseinandergesetzt hat
sich selber super viele Gedanken gemacht
hat Dokumentation gelesen hat ganz viel
Zeug verstanden aber hat irgendwie
trotzdem nicht geschafft und am Ende
sieht man dann trotzdem so was man hätte
noch tun müssen um es halt doch zu
schaffen und dann weißt du jetzt was du
wenn du das nächste Mal wieder ähnliches
Problem hast erinnerst du dich dann
zurück okay damals gab es irgendwie
dieses Tool noch das kannte ich noch gar
nicht oder genau also einfach so diese
Lösungswege und das finde ich was bei
ttfs für mich persönlich so super
motivierend ist dass man einfach so eine
Aufgabe hat wo man sich die Zähne dran
ausbeißen kann und selbst wenn man sie
nicht schafft hinterher weißt du so
hätte ich es machen können und nächstes
Mal schaffst du es dann selbst wenn man
also ich würde auch sagen es ist
eigentlich der Default dass man an
Aufgabe rangeht und erstmal keine Ahnung
was man tut tun soll wenn man viel CDF
gespielt hat dann findet man hin wieder
so schemaf Aufgaben wo man sagt so okay
ja habe ich schon in abgew Form mal
gemacht schmeiß ich das drauf fertig ist
5 Minuten ist die Aufgabe offen aber
eigentlich ist auch ob man jetzt das
erste Mal CTF spielt oder halt das seit
Jahren macht und da kommt eine neue
Aufgabe um die Ecke fängt man meistens
erstmal an mit
so und dann geht's halt darum dass man
sich halt auch über Stunden oder wenn
man halt so eine Qualifier mitspielt der
über ein paar Monate geht auch gerne mal
ein paar Tage sich einfach einliest in
Zeug dass man geht von ich habe dieses
Program ich hab dies Programm Sprache
was ist das überhaupt für eine
Architektur keine Ahnung hingeht zu okay
wie gehe ich da dran was finde ich du an
Dokumentation da ist steht irgendwie
online guide da ist YouTube da irg
Software Projekt mit ein paar example
Files dass man sich einfach einliest wie
das Zeug funktioniert und dann nach und
nach an diese Lösung ranarbeitet also
dass man nicht weiß was man tun soll ist
eigentlich der Standard und das soll da
muss man auf dass ein das am Anfang
nicht abschrckt weil das bleibt auch
so also vielleicht ist der takeaway so
wir haben eigentlich alle keine Ahnung
uress
zuwi und Python scpte helfen sehr viel
manchmal ich glaube das S wahscheinlich
alle einig wenn man mal eben schnell
irgendwas zusammenhacken muss man lernt
aber auch schnell schnell zusammen zu
hacken aber python ist euer Freund auf
jeden Fall kann ich aus eigener
Erfahrung
sagen was ist denn so eure coolste CTF
Challenge
gewesenon uns nee so die ihr auch selber
vielleicht gelöst hab wo ihr gedacht hab
boah krass ich habe hier so so also man
lernt natürlich immer sehr viele neue
Sachen wo aber wo i so völlig so
mindblown
wart vielleicht ist nicht mindblown aber
das eine Sache die bei mir ser hängen
geblieben ist war eine GAM haacking
Aufgabe bei dem cscg Wettbewerb die von
Life overflow auch mitentwickelt wurde
vielleicht müssen wir einmal noch mal
kurz genauer erklären was cstg ist okay
sorry cstg ist dieser Wettbewerb Cyber
Security Challenge Germany das ist der
wo wir drei alle mitgespielt haben
woraus jetzt quasi auch alles dann
irgendwann mal entstanden ist das ist so
eine deutschlandweite
Qualifikation wo dann am Ende auch Leute
ausgewählt werden für ein quasi
deutsches Team was dann bei einer
europäischen Meisterschaft
mitspielt genau das existiert jedes Jahr
die Qualifiers sind immer im Februar
oder März oder märz beginnen die genau
gehen dann halt immer Z D Monate je
nachdem wie viel Aufgaben wir gerade
fertig
haben komm auch manchmal welche dazu ne
also wir sagen schon am Anfang fest wel
welcher Zeitrahmen das ist und jeden
Monat gibt's dann quasi eine neuen neuen
Stapel Aufgaben dazu okay genau das ist
tscg und da gab es vor ein paar Jahren
mal eine GAM haacking Aufgabe und ich
selber hatte vorher noch nie irgendwie
gameehacking selber Betrieben war halt
aber immer schon interessiert weil wenn
du irgendwie Counterstrike spielst und
dann ist er der Gegner und der hackt
irgendwie und dann macht er dein Aimbot
und keine Ahnung das ist ja scheiße für
dich aber ist Hal trotzdem technisch
interessant so wie funktioniert denn das
überhaupt wie würde ich jetzt hingehen
und so ein Spiel mal irgendwie unter
aber das ist interess Inter weil ich
habe das Gefühl viele Leute kommen über
Game hacking so zu CTF und hacking jetzt
mal mit jemandem zu sprechen der auf der
anderen Seite war und schon vorher CTF
gemacht hat und irgendwie so ein
bisschen rumgehackt hat und jetzt erst
sozusagen darüber kommt spannend okay
erzähl weiter genau aber das war halt
einfach das waren ich weiß z Aufgaben
oder sowas halt im Rahmen von so einem
Spiel wo man irgendwie dann man musste
mal durch eine Wand durchglitschen oder
man musste mal irgendwie ganz schnell
irgendwo hinrennen man musste irgendwie
was war das alles musste fliegen musste
unverwundbar werden also so die ganzen
typischen Sachen die man vielleicht
Spiel irgendwie so machen kann mal
irgendwie alle so interessant irgendwie
irgendwie dargestellt das fand ich
einfach super super beeindruckend hat
mir Spaß gemacht und
genau das dann doch viel weiter hab ihr
auch noch
lieblingschallenges mir das ist relativ
noch gar nicht so noch so gar nicht so
weit weg das war letztes Jahr da gab es
Hackes Set es war so ein Wettbewerb der
wird das ist da geht's darum Satelliten
zu hacken ähm also die Idee war
dass Satelliten ein ziemlich wenig
erforschtes Gebiet in Richtung Security
ist und dass man ja mehr Security Leute
in die in die Satellitentechnik bringen
sollte und da haben sich dann leute
überlegt wir könnten ja mal ein
Wettbewerb daraus machen und haben dann
in einem simulierten in einer
simulierten Umgebung äh uns quasi
virtuelle Satelliten zurfügung gestellt
und dann warten wir uns dafür das Finale
qualifiziert und ich erere mich gut wie
wir letztes Jahr haben wir dann auf ein
auf einen Bildschirm
gestart und gewartet bis unser Satellit
endlich in Reichweite unserer bas
Station auf dem Boden war damit sie
endlich unsere Exploits also unsere
dagegen werfen testen können und dagegen
werfen können und ich weiß nicht fand
das einfach ziemlich cool dass man dann
da warten musste und
irgendwie hat sich ziemlich real gefühlt
obwohl es als so simuliert war
alles das ist sehr cool habe ich auch
noch nie über drüber nachgedacht dass
man natürlich auch in Reichweite sein
mus klar macht auch total viel Sinn
okay hast du
auch mus ich muss gerade drüber
nachdenken wenn ich eine wähen würde
würde ich sie nicht wählen wegen der
Challenge sondern wegen der Erfahrung
drumhum beim letzten Congress als hxp
das CTF gemacht hat hatten wir eine
Challenge an der h ich glaube ich 24
Stunden bestimmt also die die die hat
mich alles gekostet diese Challenge aber
die war extrem geil weil sie aus vielen
kleinen Schichten hintereinander bestand
und wir da mit vielen verschiedenen
Leuten dann gearbeitet haben also es
sind immer wieder Leute dazugekommen s
immer wieder Leute weg wir zeitweise
sßen glaub ich mit sechs sben Leuten vor
einem Bildschirm und haben irgendwas
gemacht und von hinten rief da einer der
mit Laptop so so da guck mal da und dann
haben wir noch so ein Puzzelteil dazu
gekriegt über 24 Stunden immer wieder
Leute gegangen und gekommen auf Kongress
hat natürlich auch noch anderes zu tun
ähm und dann nach 24 Stunden ist dann
mal die Fleck gepppt und das war
ziemlich geil das war ziemlich geiles
glüer also nicht weil die CH so cool
weil die so viel Schichten bestanden hat
und wirklich an diesem Tisch Lokal mit
den Leuten zu sitzen und da kommen immer
wieder Leute dazu und haben irgendwie
eine coole Idee oder irgendwi kenn das
ich schon mal benutzt hier so wenn du
die Option das verhält sich dann anders
also das macht was und da guckst du nach
und
woW ist schon die Erfahrung bei TTF
schon geil das auch so wirlich so wenn
du
Fleck am Ende kriegst irgendwo ist
eigentlich der der geilste Moment in so
CTF wenn du Ewigkeiten 24 Stunden an so
eine Aufgabe gearbeitet hast und dann
geht die auf wunderbares Gefühl okay und
wenn man jetzt hier gerade auf dem Camp
ist und Lust bekommen hat CTF zu machen
kann man euch irgendwo finden alles bei
mil da bitte genau also wir haben Zelt
mit bisschen Sitzmöglichkeiten beim
miliws aber im alles will das findet man
auf der Karte bestimmt
irgendwo genau und da können gerne Leute
vorbeikommen und sich hinsetzen da sind
auch andere Leute die auch kein eigenes
Team haben so auch Leute suchen mit
denen man mitspielen kann und spielen
zusammen dann das Camp CF okay und ist
das Camp CDF auch Einsteigerin
geeignet so mittel also es ist es hat
keine sehr sehr schweren Aufgaben also
so ke wirklich wo man super Heap
exploitation von irgendwelchen Binaries
keine Ahnung was es sonst schon in so
Elite ctfs quasi gibt jetzt kein Defcon
CTF oder so es gibt relativ viele
einfache Aufgaben aber es sind immer
noch einfache im Rahmen von CTF Aufgaben
also ich glaube wenn man halt vorher
wirklich noch nie CTF gemacht hat wird
man sich auch an den einfachen Aufgaben
die Zähne ausbeißen aber das ist auch
wirklich gut also so ich mag das auch
mir bei Aufgaben zne auszubeißen haben
schon drüber geredet und ich denke auch
bei dem CTF ist durchaus gut machbar
sich mal so so eine einfache Aufgabe da
zuu nehmen und sich einfach mal
hinzusetzen und sagen okay ich werde
jetzt hier nicht im Scoreboard irgendwo
weit oben landen aber ich hätte diese
eine Aufgabe die hört sich cool an die
Macht den Technologie die ich
interessant finde damit wollte ich schon
mich mal immer beschäftigen die schaue
ich mir jetzt einfach mal an und dann
mache ich die und wahrscheinlich kann
man ja auch einfach bei euch
vorbeikommen und keine Ahnung Bandit
oder Pico CTF oder whatever den
Einstiegs Regen irgendwie spielen
einfach nur dass man irgendwie einen Ort
hat wo andere Menschen sind die auch CDF
spielen und vielleicht auch ein bisschen
flauschig sind wenn man irgendwie Fragen
hat und
man nicht danach schreint wegrennt weil
ich glaube das ist irgendwie so ein
bisschen wichtig dass man das ist halt
also die Frustrationstoleranz ist doch
manchmal die muss wird auf eine harte
Probe gestellt wenn man versucht so eine
CTF Aufgabe zu lösen und wenn dann
irgendjemand so grummelig neben einem
Sitz sagt ja dann liest doch mal die
manpage
dann ist das manchmal so ein bisschen
kritisch vielleicht für die eine oder
andere Einsteigerin die irgendwie gerade
eh an ihrem Technik Knowhow äh zweifelt
ähm und ich glaube das ist irgendwie
ganz nett also ja
Dokumentations dokumentationslesen ist
füh sich immer sehr unsexy an aber
meistens hilft es halt
doch man muss sich das man muss das nur
manchmal ein bisschen positiver angehen
glaube ich also man darf sich auch nicht
doof fühlen wenn man in die
Dokumentation gucken muss oder nicht
nichts findet und m ich glaube
vielleicht jetzt so aus meiner ganz
persönlichen Perspektive ist auch eher
früher irgendjemanden fragen wenn man
gerade komplett am absaufen ist und
sagen können so hey ich versuche dir die
und die Challenge zu lösen die Sachen
habe ich alle schon probiert ich komme
nicht weiter was kann ich machen
m und dann kommt man dann meistens doch
relativ schnell weiter weil die alten
Hasen dann doch wissen dass man gerade
dreimal falsch abgebogen ist und ja das
können wir auch super super gerne machen
also wenn Leute quasi mit Fragen zu uns
kommen über irgendwelche Aufgaben jetzt
spezifisch für das camcttf Ken wir das
leider nicht machen als Organizer für
ein Live Wettbewerb das haben wir jetzt
schon paar mal dass Leute quasi kommen
und sagen ja ich hab es jetzt hier
fastst und ich habe das und das schon
probiert genau das was du erzählt hast
da tut man schon ein bisschen weh zu
sagen sorry das gerade ein Live
Wettbewerb da gibt's ein scorbard da
können wir dir jetzt gerade nicht bei
helfen aber klar wenn ihr Pico CTF
spielt wenn ihr andere von diesen
zaufgaben spielt die jetzt nicht
spezifisch für dieses Livecam CTF gerade
sind helf sehr sehr gerne
weiter genau also keine Angst vor
Hackern die sind meistens sehr sehr nett
und wenn ihr Lust habt euch irgendwie
mit Technologien auseinanderzusetzen und
nicht so Lust auf programmieren habt
also
ihr müsst keine guten Programmierer sein
um CTF zu spielen ist glaube ich ein ein
wichtiges
takeaway sondern einfach nur Lust haben
euch mit Technologien zu beschäftigen
dann lasst euch davon nicht abschrecken
und ich glaube auch wenn ihr noch nie
ein Terminal von innen gesehen habt
selbst dann kann man trotzdem ganz gut
einsteigen also so ein Webshop
auseinander nehmen das geht auch ohne
irgendwie Terminal Erfahrung hätte ich
fast gesagt
m dann geht zu den netten Menschen im
alles CTF village schaut da mal vorbei
wenn ihr zu Hause seid sucht euch jetzt
ein CTF Team ist jetzt der Aufruf wir
können immer mehr davon gebrauchen und
es macht auf jeden Fall sehr sehr viel
Spaß möchtet ihr den Zuschauerin noch
irgendwas
mitgeben
spielcg spielt mir ctfs spielt CF fin
ich
gut und bildet flinter CTF Banden das
ist der explizite Aufruf ich habe gerade
die Hoodie Girls heißen sie glaube ich
oder ich habe gerade vergessen wie
dieses CF CTF Team es git ein sehr
cooles flinter ctfteam
wir reichen es nach aber wir freuen uns
auch über flinter CTF Teams auf jeden
Fall ich glaube da ist für jedem was
dabei und es macht wirklich wirklich
viel Spaß und gerade wenn ihr Bock habt
euch mal mit Sicherheit zu beschäftigen
ist das so das richtige environment weil
da kann auch nichts passieren und da
müsst ihr auch nicht mit dem CCC
Sprecherteam sprechen wenn ihr irgendwas
kaputt gemacht habt weil das ist alles
nicht ganz so schlimm aber es ist eine
gute Fingerübung und damit würde ich
sagen vielen Dank und zurück zum
infobeamer