Este documento proporciona información sobre cómo participar en competiciones Capture The Flag (CTF). Explica las diferentes categorías de desafíos como criptografía, explotación de vulnerabilidades web, reversing, explotación y estenografía. También ofrece consejos estratégicos sobre cómo organizar un equipo y maximizar las posibilidades de éxito en cada desafío.

1. Capture The Flag
4 fun & profit

2. Presentación
Claves
Enfoque de la competición
Categorías
Ejemplos
Experiencia
Recursos
Index

3. Claves
Conocimiento: 100%
Pensamiento lateral: 100%
Estrategia: 100%
Actitud: 100%
Resultado: todo es importante

4. Enfoque

5. Estrategia: no hay muchas opciones, si no pasas la
prueba no se desbloquean las demás.
Pros: Conocimiento más amplio en las distintas
categorías.
Contra: Si te toca una categoría que no dominas.
Grupo: todos a una.
Enfoque (Pruebas
bloqueantes)

6. Conoce tus limitaciones.
Jugar con cabeza: una vez obtenida la flag guardárosla y
pasad a la siguiente. Cuando esté acabando el CTF validáis las
guardadas y tendréis puntos para superar al que esté delante.
Importante: tened en cuenta el recuento de puntos.
SIEMPRE*.
Grupo: dividid esfuerzos hasta el último día, donde las
pruebas que queden la deberíais de hacer juntos.
Enfoque (Pruebas no
bloqueantes)

7. Cuando estáis en equipo debéis asignar pruebas a cada
integrante o como mucho 2 integrantes por prueba. Ampliando
la zona de acción tendréis más probabilidades de sacar puntos.
Conocer muy bien las cualidades de los compañeros (categoría
que es especialista, modo propio de competir…etc).
Inteligencia colectiva > inteligencia individual.
Mantener informado al grupo de los progresos y la estrategia
usada. Una buena comunicación optimiza los tiempos
empleaos en la resolución del reto
Enfoque (Pruebas en
equipo)

8. Categorías

9. Crypto
Cifrados de todo tipo, desde
base64 hasta base91 (Q2k17),
RSA, Elgammal, Vingénere e
incluso haciéndote dibujar sobre
un teclado distinto.
Exige conocimiento matemático.

10. Web
Explotación de vulnerabilidades de SQLinjection,
CSRF, LFI…etc
Suele ser la más avanzadas de todas en cuanto a
dificultad ya que puede ser el ámbito más conocido
por los organizadores de CTF.
Suelen prohibir las herramientas automáticas, así que
depende del conocimiento sobre la materia en gran
medida.

11. Web
Común: SQLinjection (versión de la BD, una tabla en
concreto, un usuario…etc). Sobre este campo
concreto hay mucha información.
robots.txt (nunca está de más mirarlo)
Tener en cuenta todo el código (CSS, HTML, JS)
Herramientas: Burp Suite, Firebug, Edit This Cookie
(Plugin)

12. Web
SQLinjection y la prohibición de SQLMap: dado que
muchas veces tendréis prohibido el uso de
herramientas automáticas, el consejo es aprended el
procedimiento para este tipo de vulnerabilidad.
Burp Suite para revisar y/o modificar peticiones HTTP.
Familiarizarse con ataques XSS y CSRF

13. SQLi Tips & Tricks
‘ OR 1 = 1 # Comprobación
1’ AND 1 = 1 union select null, @@version # Versión del DBMS
1’ AND 1 = 1 union select database(), user() # nombre de la base de
datos usadas y usuario
1’ AND 1 = 1 union select null, table_name from
information_schema.tables # Todas las tablas de de la base de datos
1’ AND 1 = 1 union select table_name, column_name from
information_schema.columns where table_name=‘users’ # usuarios
de la base de datos

14. Web (XSS)
Normalmente JavaScript
Inyección directa en código
formulario + input +
POST(sin comprobación)
PoC:
<script>alert(“XSS”)</
script>
Robo de cookies y
sesiones

15. Reversing
Deberemos descubrir el proceso que sigue el
programa e interceptar la información en los lugares
adecuados mediante brakpoints o puntos de ruptura.
Herramientas: IDA Pro, Radare, Inmunity debugger +
mona.py
Libros: Secret of Reversing Engineering, Practical
Reversing

16. Exploiting
Nos dan un binario o ejecutable con la flag
entro del fichero, tendremos que explotar las
distintas vulnerabilidades de los binarios (Heap
Buffer Overflow, Stack Buffer Overflow…etc)
Conocimientos sobre estructuras de memoria
y ejecución de procesos.
Términos como: EIP (Puntero de instrucción),
ESP (Puntero de pila)
Herramientas: radare2(linux/win), IDA Pro,
Pwn (Python Lib)

17. Exploiting
EIP: Guarda una dirección de memoria, leyendo este
registro la CPU ejecuta la instrucción indicada en esa
dirección.
Controlar el registro EIP nos da control sobre el flujo de
la aplicación.

18. Exploiting
Ejemplo: encontramos que el binario de la prueba es vulnerable a un
desbordamiento de pila o Stack Buffer Overflow.
Teniendo en cuenta que tenemos el control del EIP, deberemos saber
donde “está” el EIP, su offset
Herramienta mona.py (Immunity Debugger Script).
Proporciona un patrón de caracteres para localizar donde se produce
exactamente el SBO y así conseguir su offset
La meta final es sobreescribir el registro EIP para que apunte a una
dirección que nosotros creamos conveniente (una consola de sistema,
nuestro propia shellcode…etc)

19. Exploiting
Script en python (Normalmente
se elige por su simplicidad y su
número de librerías disponibles)
Librerías como “pwn” son muy
recomendables ya que consigue
una capa de atracción para las
operaciones más complicadas.

20. Stego
Imágenes, sonidos, videos…que ocultan información, ejemplo:
planet.png de HackIT
Herramientas útiles: Audacity, GIMP, StegDetect, StegHide,
binwalk, foremost, Python…

21. Forensic
Desde una captura RAM, pasando por una imagen de
disco, hasta una “apk” de Android.
Metadatos
Capturas de red (PCAP)
Herramientas: volatility, strings, binwalk, foremost,
wireshark, exiftool…etc
Ejemplo: segunda parte del reto de “Una al mes”

22. Trivial + Misc
Son preguntas o pruebas que no encuentran su sitio
en ninguna categoría.
Puede caer cualquier cosa, normalmente las “ideas
felices” de los organizadores.
Modo de resolverlo: “Alone in the dark”.

23. Ejemplos (Forense/Stego)
HackIT: https://github.com/JulesDT/ctfWriteUps/tree/
master/Hackit%20Quals%202016/1magePr1son-
%20Misc%20-%20150%20pts ***
UAM: http://unaaldia.hispasec.com/2017/11/quieres-
jugar-un-juego-demuestra-tus.html
Amnesia (CTF FTWR Team): https://mega.nz/#!
hh0RFKaI!nGKDQXItaLQiZnw_WygT3-
ga7alXUKkisl2wC8uej6s

24. Experiencia
Cybercamp 2016 fase on-line
Cybercamp 2016 fase presencial
Equipo CTF Follow the White Rabbit
Equipo CTF Bashtinazo
Una al mes

25. Recursos
GitHub CTF: https://github.com/ctfs (2014-Actualidad)
Github CTF-Tools: https://github.com/ctfs/write-ups-tools (Herramientas usadas)
Forensic resources: https://github.com/cugu/awesome-forensics
Stego: steghide, stegdetect, strings, file….etc
Reversing: https://github.com/wtsxDev/reverse-engineering
DIY: herramientas propias a partir de experiencias con los CTF
CTF-Time: https://ctftime.org/
CTF Learn: https://ctflearn.com/
CyberChef: https://gchq.github.io/CyberChef/

26. Preguntas?

27. Mucha suerte
CYBERCAMP es vuestra