Привет, Хабр! Я Ваня, ведущий инженер по информационной безопасности в Selectel. 10 октября мы провели свой первый CTF-турнир в рамках конференции Selectel Tech Day 2024. Участникам предстояло разгадать семь задач по информационной безопасности — например, найти в море сокровище, приготовить блюдо при 256 градусов, набрать 6x6x6 в костях и другое.

Поскольку ИБ — не основной профиль мероприятия, мы решили ограничить количество заданий и сделать их несложными. В тексте рассказываем, как организовали онлайн- и офлайн-стенд для решения тасков и показываем сами задания.


Офлайн-стенд CTF-турнира.

Используйте навигацию, чтобы выбрать интересующий раздел:

→ Подготовка к турниру
→ Онлайн-стенд
→ Офлайн-стенд
→ Задания с турнира
→ Заключение

Подготовка к турниру

В этом году мы сосредоточились на четырех направлениях: серверы и оборудование, облачные технологии, информационная безопасность и машинное обучение. Чтобы организовать интересную активность по нашему профилю, при этом не «загрузить» сложными заданиями посетителей, нам нужно было выполнить несколько требований.

• Задания должны варьироваться от очень простых до средних. В первом случае пользователи могут найти решение за один ход, во втором — за два и более.
• Задания должны быть интересны и под силу тем, кто не разбирается в информационной безопасности.
• Задания можно решить без специального инструментария.

Как я упомянул ранее, ИБ — не основной профиль мероприятия, поэтому делать что-то кроме привычных веб-приложений казалось бессмысленным. В качестве инфраструктуры решили использовать продукты Selectel. А чтобы и посетители, и зрители трансляции могли принять участие, организовали два формата турнира: офлайн и онлайн. Расскажем о каждом подробнее.

Онлайн-стенд

Архитектура онлайн-стенда выглядит следующим образом:


Архитектура онлайн-стенда.

В публичном облаке Selectel развернули три виртуальные машины (далее — ВМ) произвольной конфигурации:


Характеристики облачных серверов.

На каждой разместили по одному сетевому интерфейсу, установили Nginx и Docker. Задание в турнире — это отдельный Docker-контейнер, поэтому на ВМ подняли по семь контейнеров:


Docker-контейнеры задач.

Все Docker-образы имели следующую структуру:

task__4
├── Dockerfile
├── requirements.txt
└── src
    ├── app.py
    ├── static
    │   ├── images
    │   │   ├── 4.png
    │   │   ├── b-2.png
    │   │   ├── flame.svg
    │   │   ├── img4.jpeg
    │   │   ├── logo-1.svg
    │   │   └── vector.svg
    │   ├── intlTelInput
    │   │   ├── intlTelInput.css
    │   │   ├── intlTelInput.min.js
    │   │   └── utils.js
    │   ├── scripts
    │   │   ├── jquery.js
    │   │   └── main.js
    │   └── styles
    │       ├── main.css
    │       └── task__4.css
    └── templates
        ├── error.html
        └── index.html

Пример четвертого задания.

В Dockerfile описан порядок сборки контейнеров, а в requirements.txt — пакеты, которые необходимо установить. Приложение в контейнере требует наличие Flask, поэтому в файле указываем только этот фреймворк.

В каталоге src находится файл app.py. Он содержит логику приложения и каталоги со статичным контентом: картинками, JavaScript, CSS-файлами и HTML-страницами.

Все изображения для заданий сгенерировали с помощью искусственного интеллекта.

Готовые образы контейнеров расположили в Container Registry.


Задачи в Container Registry.

При необходимости их можно быстро доставить на ВМ:

docker pull cr.selcloud.ru/ctf/task_1:final

Nginx мы использовали как reverse-proxy, чтобы публиковать задачи:

server {
        server_name deep.slcctf.fun;
        location / {
            proxy_pass       http://127.0.0.1:8001;
        }
}
server {
        server_name 256degrees.slcctf.fun;
        location / {
            proxy_pass       http://127.0.0.1:8002;
        }
}
server {
        server_name secretpath.slcctf.fun;
        location / {
            proxy_pass       http://127.0.0.1:8003;
        }
        location = /flag.txt {
            rewrite     /flag.txt /impasse;
        }
}
server {
        server_name air.slcctf.fun;
        location / {
            proxy_pass       http://127.0.0.1:8004;
        }
}
server {
        server_name future.slcctf.fun;
        location / {
            proxy_pass       http://127.0.0.1:8005;
        }
}
server {
        server_name dice.slcctf.fun;
        location / {
            proxy_pass       http://127.0.0.1:8006;
        }
}
server {
        server_name geo.slcctf.fun;
        location / {
            proxy_pass       http://127.0.0.1:8007;
        }
}

Все ВМ мы подключили к балансировщику нагрузки и настроили балансировку по L4. Белый IP-адрес балансировщика спрятали за фильтр DDoS-Guard.


Балансировщик нагрузки.

В итоге мы получили надежную облачную инфраструктуру, которую можно масштабировать как за счет увеличения нод с контейнерами, так и самих заданий в новых контейнерах. Конечно, можно было использовать Managed Kubernetes. В следующих задачах, вероятно, перейдем именно на него.

Офлайн-стенд

Не все участники приносят на конференции свои ноутбуки. Есть и смартфоны, но решать задачи с изменением HTTP-запросов на них неудобно. Поскольку у нас уже был стенд по информационной безопасности, мы решили разместить турнир прямо там. Добавили две плазменные панели, соединили их с Raspberry Pi и дополнили периферией.

К Raspberry Pi подключили систему охлаждения и проводной Интернет. Дополнительно установили Kali Linux, чтобы участники могли использовать любые знакомые и удобные инструменты. Хотя для решения задач достаточно использовать только браузер.


Фото «малинки» со стенда.

В результате получили готовый стенд для CTF-турнира:

Задания с турнира

Все задания доступны на странице мероприятия. Решения предварительно спрятали под спойлером, чтобы вы могли выполнить их самостоятельно. Полученные флаги можно сдать Telegram-боту @SelectelTechDayBot.

Deep

Задание

Погрузитесь глубже и найдите сокровище! Формат флага: slcctf{}


Перейти к задаче →

256 Degrees

Задание

Только шеф может брать этот рецепт! Лучше всего блюдо получается при готовке на 256 градусах! Получить рецепт

Формат флага: slcctf{}


Перейти к задаче →

Secret Path

Задание

Найдите секретный путь и выйдите к flag.txt. Формат флага: slcctf{}


Перейти к задаче →

Air

Задание

Мы ожидаем пилота для вылета! Если вы пилот, срочно пройдите по пути регистрации! Затем поднимайтесь в кабину и готовьтесь к вылету!

Формат флага: slcctf{}


Перейти к задаче →

Future

Задание

T-Rex! Тебе необходимо отправиться в будущее для поиска ценного сообщения! Я буду давать тебе инструкции по настройке телепорта. Будь внимателен! Для начала укажи точку назначения — локацию 'Cloudtown'!

Формат флага: slcctf{}


Перейти к задаче →

Dice

Задание

Наберите 6x6x6 в костях! Сыграть в игру

Формат флага: slcctf{}


Перейти к задаче →

Geo

Задание

日本語を話してください. Формат флага: slcctf{}


Перейти к задаче →

Заключение

На этом все! Надеюсь, статья будет полезна тем, кто планирует организовывать подобные мероприятия. А если у вас уже есть опыт организации CTF-турниров в компаниях, поделитесь им в комментариях.

Также хочу сказать спасибо всем участникам, которые посетили конференцию и участвовали в наших активностях. Увидимся через год на Selectel Tech Day 2025!


Конференция Selectel Tech Day 2024.