【資安專題】Part1百度盃台灣冠軍隊~讓資安人有舞台發揮攻防實力

隨著網路應用普及,資安議題也越來越受到關注,日前在南京舉辦的第一屆「百度盃」網路安全技術對抗賽(BCTF),共有468隊參加初賽,來自台灣的學生隊伍HITCON217,在468隊參賽隊伍中,以總積分17685.12分,拿下冠軍,並創下大會紀錄,遙遙領先第二名上海交大Oops的5437.68分,甚至比第二名至第七名的總積分還高,被稱為「秦掃六國」。他們到底怎麼做到的?數位時代獨家專訪帶隊參賽的Alan,解析HITCON217以壓倒性勝利拿下百度盃BCTF冠軍的四大獲勝關鍵。

去年中國隊伍藍蓮花(Blue lotus)以預賽第四名打進全世界最大的網路攻防競賽 DEF CON ,所以藍蓮花找百度贊助他們到拉斯維加斯比賽,獲取CTF的經驗。一年後,藍蓮花就以舉辦BCTF比賽的方式分享他們的戰術和經驗。

這次百度盃採取的就是攻防賽制,參賽者的比賽環境皆相同,每個隊伍都有一台主機,一台主機有6個服務,每個服務都以旗子表示,各有2至10個漏洞不等。不過,參賽者不知道自己和別人的漏洞在哪裡,只能跟時間賽跑,不僅要找出漏洞修補自己,保護自己的服務,同時還要攻擊別人。

只要找到漏洞,把某個服務攻下,就可以搶下對方的分數,並插上自已的旗子。每五分鐘一輪算成績,計分板上的分數一直加減,每一隊都會知道隊伍彼此攻擊的情況。此外,比賽規定不能阻擋對方,主辦單位會測試選手的通訊埠是否可以使用,如果阻擋就會扣分。

比賽現場架設計分板、各戰隊搶旗狀況、即時攻擊監控面板等投影畫面,將一般人無法理解的網路攻防化為視覺畫面。

1、隊員基本功紥實

HITCON217雖然從未參與過CTF形式的現場攻防競賽,卻仍然可奪冠,最重要的關鍵就是隊員的基本功紮實。HITCON217團隊成員中,四個是台大,一個是台科大,全部都是資工背景,隊員都很聰明,能迅速撰寫攻防程式。CTF必須精通駭客攻擊技術,更要在時間內完成系統防護與修補。而過去半年,成員參加大小Jeopardy競賽,雖然與CTF的賽制不同,但兩種比賽所使用的逆向工程、漏洞分析互相可參照。

2、第一天就修補完所有漏洞

由於基本功紮實,也讓HITCON217得以率先找到其他隊伍也沒發現的漏洞。第一天HITCON217只被零星攻擊10至20次,拿下第一個0DAY(已被公開但尚未被修補的漏洞)之後,分數開始飆高。

Alan說,「我們把第一天的流量帶回去分析,整夜沒睡,除了看封包、分析流量之外,還找出所有漏洞並修補完畢。」也因為HITCON217利用時間找出漏洞,第二天占盡優勢,開始對其他隊伍發動第二波攻擊,得分持續跳。更厲害的是,HITCON217連續創下四次大會記錄,除了創下大會最高得分,還以100分、140分、200分打破單局(五分鐘一輪)最高記錄。

記分板中,骷髏頭表示打下對方的服務並插旗,綠色表示服務存活,紅色表示終止服務。台灣戰隊在第三個關卡把另外七大戰隊的服務都打下。

3、具備以流量分析漏洞的能力

Alan丟出一個問題:如果今天你是排名第三名的隊伍,找到一個漏洞的時候,為什麼只會攻擊第四、五、六名,而不攻擊前面一、兩名?因為前兩名分析漏洞的能力或技術比較強,若是你去攻擊前兩名,對方有能力透過流量分析去發現你的漏洞所在,等於給對方找到漏洞的機會。反過來說,競賽期間,別的隊伍只要攻擊HITCON217,位居第一名的他們就有辦法透過分析流量,進而知道對方如何攻擊,甚至找到對方的漏洞所在。

4、戰術運用得宜

網路攻防競賽,合法運用戰術技巧的力量不容小覷。Alan舉其中一個戰術為例,製造假漏洞或置入後門,當別的隊伍以為自己發現漏洞攻擊時,卻反而讓自己的主機資料被刪掉。

或者,故意用犯規避免其他隊伍超越自己的分數。舉例來說,當第一名跟第二名的分數差距很接近的時候,第二名只要找到漏洞,就會讓第一名扣20分,甚至翻轉名次,這時候,第一名就可以選擇「違規」關閉服務,失分將會分散給其他七個隊伍。以下收錄精采問與答:

Q:網路上有一說法,指出此次比賽是中國故意探測台灣駭客的實力,您的想法是?
:首先,大家會有這種疑問是因為對「駭客」一詞有誤解,其實駭客是一種你會研究到底的精神。駭客有分三種:第一種是組織型駭客,也就是國家級網軍,也是政府和資安公司常常在阻擋攻擊的對象。第二種是黑產,也就是臉書「賣包包」那種的詐騙集團。第三種則是「白帽駭客」,也就是資訊安全技術交流的社群,像是台灣駭客年會(HITCON),就是讓資安人有舞台發揮攻防實力,而不要誤入黑產或去打網戰。此次百度盃 網路攻防競賽就是高階資訊安全技術的比武大會。

其次,每年的漏洞是日新月異,對應的戰術所發酵的效果也不同。我們去比賽,他們當然會探測實力,但比賽很公正、賽制完整,辦得也很精采,我們是去見習和觀摩。此外,中國網站所分享的競賽技術文章,甚至比台灣還多,所有的資訊和解題都完整寫出來。而我們把題目和賽制的經驗帶回台灣,其實是我們收穫比較多。

照片來源:Alan提供

追蹤我們