O que é um CTF (e como começar)
As competições de segurança em que você procura bandeiras escondidas, e por onde começar sem se perder.
CTF vem de Capture The Flag, "capture a bandeira". Em segurança da informação, é uma competição em que você resolve desafios para encontrar uma flag: um texto secreto, quase sempre num formato como flag{...}, escondido num site, num arquivo, num programa ou numa mensagem cifrada. Achou a flag e enviou, ganhou os pontos.
Os dois formatos mais comuns
- Jeopardy: um quadro de desafios separados por categoria e dificuldade. É o formato mais comum e o melhor para começar.
- Ataque e defesa: cada time cuida de um servidor, protege o seu e tenta atacar os dos outros. É mais intenso e mais indicado para quem já tem experiência.
As categorias
- Web: falhas em sites e aplicações.
- Criptografia: mensagens cifradas ou codificadas.
- Forense: pistas escondidas em arquivos, imagens ou capturas de rede.
- Engenharia reversa: entender um programa sem ter o código dele.
- Exploração (ou pwn): fazer um programa se comportar de um jeito que não deveria.
- Redes: analisar o tráfego e os protocolos.
Por que vale a pena
CTF é aprender fazendo. Cada desafio obriga você a entender de verdade como alguma coisa funciona: um protocolo, um formato de arquivo, um erro comum de programação. E tudo acontece num ambiente preparado para isso, onde atacar é permitido.
Uma regra que vale sempre: só teste a segurança de sistemas que você tem permissão para testar. Fora de um CTF ou de um trabalho autorizado, invadir um sistema é crime.
Por onde começar
- picoCTF: feito pela Universidade Carnegie Mellon para iniciantes, com desafios para praticar o ano todo.
- OverTheWire: Bandit: ensina o terminal do Linux, nível por nível.
- CyberChef: uma "cozinha" para codificar e decodificar textos, como base64 e hexadecimal. Ajuda em muitos desafios.
- CTFtime: o calendário das competições que estão acontecendo pelo mundo.
Uma dica: anote o que você aprendeu em cada desafio. Muitos truques se repetem.
Tem um CTF neste site
Escondi um desafio pequeno aqui no portfólio, pensado para quem nunca jogou. A flag está dividida em três pedaços, cada um codificado de um jeito. Para começar, vá até o terminal da página inicial e digite ctf. Boa caça! 🚩
Arthur Medeiros, estudante de Ciência da Computação na UNIPAMPA. Dúvidas ou sugestões? Fale comigo.