|
[原创]看雪CTF从入门到存活(五)坦克与法师
简单说两句,我之所以对你的这种出题方式有意见,是因为我认为这种出题方式假设了“出题方可以出一个自己做不出来,甚至没有思路怎么去解的问题”。 我认为出题方需要做到在“完全忘记自己这个题是怎么出的”的情况下依然要能对如何解决这个问题有一个清楚的认识(可以不去实际做,但在必要的情况下要能在不加对本题的任何先验知识的情况下说明这个问题是可解的),也就是说要给出一种可以发现自己埋藏的秘密的路径,这个路径本身不能包含任何秘密,而不能只给出这个秘密本身。如果出题方不需要做到这一点的话,那禁止出一个“设计者拥有一个私钥”的题目又有什么意义呢?我大可以出一个伪装起来的我拥有一个私钥的题目,事后只要说我不小心设计出了一种在密码学意义上有一定强度的问题就可以了。简单来说,如果出题方不需要提出一种从零开始的攻击路径,你埋藏的这个“秘密”和私钥之间的界限,在比赛的意义下就是模糊的(当然我们都知道 obscurity != security,所以二者还是能区分的,但想一想,区分的方式是什么呢?) 。 而如果出题方需要做到这一点,那么你所谓的 “低成本地产出CM” 将不再成立,因为按照你这个思路出完题目之后,出题方需要对自己的题目进行攻击验证,这当然依然比做题的人需要耗的精力少不少(因为做题人往往缺乏相应的背景知识,需要现场学习),但并不会远低于破解者所需要付出的代价。一种例外情况是你去找一些现成的,已经做好的双向的结果,然后把它们出成 CrackMe (比如我赌五毛你肯定读过 Shcherbacov 全家桶)。 而对于 CrackMe,命题的题材最好是能在软件保护这个猫鼠游戏上给人带来一些启发的。而将同样的一种混淆手法更换问题背景反复使用并不符合这一点。举个例子,我大可以随便找一个已经被攻破到不成样子的密码算法(可能要稍微再削一削)来出个题;或者找一些存在 weak key 或一些条件下会变弱的密码算法出成题要求还原 key,然后让破解者观察、猜,然后实现对应的攻击去吧,彻底让这个比赛变成读纸大赛,意义又何在呢? 这样子“批量产生CM”的方法并不通用于软件保护的过程,这本来就是一个猫鼠游戏,我认为你想改变这一点的“执念”很难达成,而你现在的想法是一种“偷换概念”,所以我才说这是在打规则的擦边球。 ------------------------------------ 当然,作为一个兴趣稍微有点广泛的人,我是很愿意尝试解这样的题目的(前提是验证过真的可解),毕竟可以增长见识;而且从参与比赛的角度来看,由于看起来会的人不多,做出来之后就令人十分安心 :P
最后于 2018-12-19 04:24
被Riatre编辑
,原因:
|
|
看雪CTF.TSRC 2018 第七题 魔法森林 分析
看场雪 感谢楼主的抬举!看场雪从来“不说人话”[em_19] 楼主对看场雪人性深处的了解 是做出此题的一个先决条件 所谓金蛋和天书 其实就是一个引导破解者突破第一关的关键线索 如果不是楼主对看场雪的自h ...猜到“森林”两字并不是必要条件,我当然可以对这 2**20 种可能的 ctrl 都解一遍再验证,你这两部分其实完全是独立的。 至于设计目标,我指的是你所谓的“执念”而不是活多久。 至于 24 小时……你开心就好。我是觉得做出来的人 <= 5 的问题看最早被解出的时间基本没意义。因为愿意做的人太少,最早被解出的时间大部分取决于愿意做的这几个人这两天有没有时间,什么时候有时间,由于人数太少,随机性相当大。(比如事实上我在第一天晚上的时候已经解了第二部分,只是第二天一整天都有活动实在没空写代码解完而已)。
最后于 2018-12-15 16:07
被Riatre编辑
,原因:
|
|
看雪CTF.TSRC 2018 团队赛 第四题 盗梦空间 - 解答
qux 题太难,就不问了 想问下大佬,这个动态图怎么搞的用 https://github.com/NickeManarin/ScreenToGif 录屏,导出为 APNG。 |
操作理由
RANk
{{ user_info.golds == '' ? 0 : user_info.golds }}
雪币
{{ experience }}
课程经验
{{ score }}
学习收益
{{study_duration_fmt}}
学习时长
基本信息
荣誉称号:
{{ honorary_title }}
能力排名:
No.{{ rank_num }}
等 级:
LV{{ rank_lv-100 }}
活跃值:
在线值:
浏览人数:{{ visits }}
最近活跃:{{ last_active_time }}
注册时间:{{ user_info.create_date_jsonfmt }}
勋章
兑换勋章
证书
证书查询 >
能力值