Progettazione di una cattura Il bersaglio della bandiera e il sistema di gestione del gioco

Come menzionato da questo.josh, puoi esaminare più applicazioni vulnerabili già esistenti in questa domanda o potresti provare per trovare i codici sorgente CTF esistenti, ad esempio, guarda le sfide hackademic di OWASP . Potresti semplicemente prendere uno di questi e modificarli leggermente per i tuoi studenti. Inoltre, prova a contattare gli autori dei precedenti CTF: potrebbero aiutarti fornendo i loro codici sorgente. Ecco un utile calendario delle varie sfide CTF con link appropriati.

Una volta mi sono imbattuto in una macchina VM OS chiamata Metasploitable, creata dai creatori di Metasploit e utilizzata come macchina target per esercitarsi.

È, e questa è una citazione dalla pagina:

Ubuntu 8.04 server install on a VMWare 6.5 image. A number of vulnerable packages are >included, including an install of tomcat 5.5 (with weak credentials), distcc, tikiwiki, >twiki, and an older mysql.

Se passi degli exploit, puoi assegnare queste attività ai tuoi studenti e dare loro alcune linee guida.

Ecco il link:

Metasploitable

E un link per il framework metasploit

Metasploit

E, ultimo ma non meno importante, Backtrack 5, se non hai ancora introdotto i tuoi studenti su questo sistema operativo e la compilazione del software pentest:

Backtrack

Invece di creare un nuovo sistema demo con vulnerabilità intenzionali da zero, dai uno sguardo prima a quelle esistenti:

Codelab di Google Gruyere, "Sfruttamento e difese di applicazioni Web" link

WebGoat di OWASP: link

Organizzatore di precedenti eventi CTF qui.

Per prima cosa, scrivi un semplice sistema di punteggio, quindi decidi quante e quali categorie vorresti avere sul tuo evento. Se guardi questa foto link < è l'ultimo CTF che ho organizzato su codebits.eu è stato un evento per 10 squadre con 4 elementi ciascuna.

Aveva 4 categorie:

• App Web
• Forensics
• Pwnables
• Trivia

Se vuoi dare un'occhiata ad alcuni esempi di sfide CTF, ho un elenco di siti web che posso fornirti:

-http: //balgan.eu/? page_id = 67 < < (Il mio sito web)

-http: //hackerschool.org/DefconCTF/17/B300.html

-http: //nopsr.us/

-http: //leetmore.ctf.su/hack-lu-2010/

-http: //www.routards.org/2010/06/defcon-17-quals-forensics-300.html

-http: //www.vnsecurity.net/2010/05/defcon-18-quals-writeups-collection/

-http: //www.vnsecurity.net/c/capture-the-flag/

Spero che sia di aiuto, sentiti libero di fare più domande se hai bisogno di aiuto!

Puoi dare un'occhiata a International Capture The Flag gestito da persone presso UCSB.

Se qualcuno ha ancora bisogno di un sistema di gestione in ingame per CTF, il mio team di ricerca ha scritto il nostro tabellone che abbiamo reso disponibile al mondo su: link