OverTheWire Wargames

 (overthewire.org)
4 คะแนน โดย GN⁺ 2023-08-28 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • Wargames ของ OverTheWire เป็นพื้นที่การเรียนรู้ที่ให้ฝึกแนวคิดด้านความปลอดภัยในรูปแบบเกม พร้อมฝึก Unix/Linux, ความปลอดภัยเว็บ, วิทยาการรหัสลับ และรีเวิร์สเอนจิเนียริง
  • ในช่วงเริ่มต้นสามารถฝึกพื้นฐานด้วย Bandit ก่อน แล้วค่อยเลือกเรียนต่อในสายที่สนใจระหว่าง Natas, Krypton และ Leviathan
  • หลังจากนั้นจะขยับไปยัง Narnia, Behemoth, Utumno และ Maze ซึ่งมีความยากด้าน binary exploit และรีเวิร์สเอนจิเนียริงสูงขึ้น
  • รายละเอียดและข้อมูลการเชื่อมต่อของแต่ละวอร์เกมต้องตรวจสอบจาก หน้าเกมแต่ละเกม ในเมนูด้านซ้าย
  • เกมที่ใช้เชลล์จะใช้ พอร์ต SSH ต่างกัน จึงควรตรวจสอบคำแนะนำในหน้าเกมนั้นก่อนเชื่อมต่อ

เรียนรู้ความปลอดภัยผ่านเกม

  • ชุมชน OverTheWire เปิดให้ใช้งาน wargames สำหรับฝึกแนวคิดด้านความปลอดภัยด้วยตนเอง
  • กติกาและข้อมูลโดยละเอียดของวอร์เกมแต่ละเกมสามารถดูได้จากหน้าเกมที่ลิงก์ไว้ในเมนูด้านซ้าย
  • หากมีปัญหา คำถาม หรือข้อเสนอแนะ สามารถเข้าร่วมได้ทางแชต

ลำดับการเรียนที่แนะนำและวิธีเชื่อมต่อ

  • จุดเริ่มต้นคือ Bandit ซึ่งเป็นเกมสำหรับผู้เริ่มต้นที่ครอบคลุมพื้นฐาน Unix/Linux
  • เมื่อฝึกพื้นฐานแล้ว สามารถไปต่อยังหนึ่งในเกมต่อไปนี้ตามความสนใจ
    • Natas: ความปลอดภัยเว็บ
    • Krypton: วิทยาการรหัสลับ
    • Leviathan: รีเวิร์สเอนจิเนียริง
  • ในขั้นถัดไป ระดับความยากจะเพิ่มขึ้นไปสู่เกมที่เน้น binary exploit และรีเวิร์สเอนจิเนียริง
    • Narnia: พื้นฐาน binary exploit และรีเวิร์สเอนจิเนียริง
    • Behemoth, Utumno, Maze: binary exploit และรีเวิร์สเอนจิเนียริง
  • เกมที่ใช้เชลล์จะใช้ พอร์ต SSH คนละพอร์ต
    • วิธีเชื่อมต่อผ่าน SSH จะแสดงอยู่ที่มุมซ้ายบนของหน้าเกมแต่ละเกม

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2023-08-28
ความคิดเห็นบน Hacker News

  • แหล่งข้อมูลที่น่าดูประกอบกัน:
    https://linuxsurvival.com/
    https://old.reddit.com/r/linuxupskillchallenge/
    https://github.com/learnbyexample/TUI-apps — เป็นแหล่งข้อมูลที่ผมทำเอง มี แบบฝึกหัดแบบโต้ตอบ สำหรับ grep, sed, awk ฯลฯ

  • พูดถึง OTW แล้วจะไม่พูดถึง smash the stack ไม่ได้
    ส่วนที่ดีที่สุดของคอมมูนิตี้เหล่านี้คือช่อง IRC ที่อยู่คู่กัน แต่ตอนนี้ส่วนใหญ่ตายไปแล้ว
    มีคนดัง ๆ อย่าง Jduck, spender และถ้าทนบรรยากาศดุ ๆ ได้ ก็ได้เรียนรู้จากคนเก่งที่สุด
    ตอนนี้วงการนั้นแทบจะอยู่ในสภาพซอมบี้ เกมส่วนใหญ่ยังอัปเดตอยู่ แต่ความคึกคักไม่เหมือนเมื่อก่อน

    • สงสัยว่า “ถ้าทนบรรยากาศดุ ๆ ได้ ก็ได้เรียนรู้จากคนเก่งที่สุด” หมายความว่ายังไง
      เดาว่าน่าจะมีการพูดจาหยาบ ๆ แบบที่พบได้บ่อย หรือความเป็นพวกหัวกะทิอยู่บ้าง แต่ก็ไม่แน่ใจ
    • สงสัยว่ามีคอมมูนิตี้ยุคใหม่ในสายเดียวกันที่มี จิตวิญญาณและบรรยากาศ คล้าย ๆ กันไหม
    • สนุกดีจนกระทั่งไปถึงโจทย์สเตกาโนกราฟี
      ทุกวันนี้เวลาเล่น CTF ก็ยังเลี่ยง สเตกาโนกราฟี อยู่

  • บทความที่เกี่ยวข้อง:
    Wargames can help you to learn and practice security concepts through games - https://news.ycombinator.com/item?id=29724594 - ธันวาคม 2021, 26 ความคิดเห็น
    The Bandit Wargame - https://news.ycombinator.com/item?id=29708304 - ธันวาคม 2021, 1 ความคิดเห็น
    OverTheWire: Wargames to learn and practice security concepts - https://news.ycombinator.com/item?id=16252873 - มกราคม 2018, 23 ความคิดเห็น
    Wargames - https://news.ycombinator.com/item?id=9878302 - กรกฎาคม 2015, 17 ความคิดเห็น

  • เพิ่งเรียนจบหลักสูตรประกาศนียบัตรระดับบัณฑิตศึกษาด้าน ความมั่นคงปลอดภัยไซเบอร์ มาไม่นาน และช่วงต้นของภาคปฏิบัติจำนวนมากก็เป็นแค่การไล่ทำ OTW และทำบางบทเรียนให้เสร็จ
    เป็นแหล่งข้อมูลที่ยอดเยี่ยม และถ้ารู้ก่อนล่วงหน้า ผมอาจไม่จ่ายเงินแพงขนาดนั้นให้หลักสูตร แต่ไปทำแค่ แบบฝึก OTW ก็ได้

    • ถามด้วยความอยากรู้ล้วน ๆ ว่าคุณทำ OTW ครบทั้งหมดหรือเปล่า
      และอยากรู้ด้วยว่ารู้สึกว่ามันช่วยในหลักสูตรได้มากแค่ไหน
      แค่แบบฝึก Bandit ก็ทำให้ผมเรียนรู้อะไรได้มากแล้ว ทั้งที่เข้าใจว่านั่นเป็นระดับเริ่มต้น ถ้าทำครบทั้งหมดก็น่าจะน่าสนใจทีเดียว
    • นั่นน่าจะสะท้อน จุดอ่อนของหลักสูตรประกาศนียบัตรระดับบัณฑิตศึกษา อยู่ดี
      OTW กับสื่อของเขายอดเยี่ยมก็จริง แต่ก็ยังค่อนข้างใกล้ระดับเริ่มต้น

  • แหล่งเรียนรู้ที่ค่อนข้างใหม่และมี learning curve ดี:
    https://pwn.college/
    https://dreamhack.io
    https://guyinatuxedo.github.io
    https://www.picoctf.org/

  • ตอนที่กลุ่มแบบนี้ยังอยู่ในยุคแรก ๆ ผมได้อยู่ใกล้ ๆ อยู่บ้าง และมันเจ๋งมากที่เด็ก ๆ ส่วนใหญ่ที่เคยรันเว็บอย่าง hackr.org, darkdevelopments.com, ssgroup.org ในยุค 2000 ตอนนี้กระตือรือร้นที่จะสร้างสภาพแวดล้อมที่ดีให้คนอื่นได้เรียนรู้
    Hackthissite และ websec.fr ก็เป็นแหล่งข้อมูลยอดเยี่ยมที่คนในสายเดียวกันสร้างขึ้น

  • ขอเพิ่มของคลาสสิกตัวจริง อย่างน้อยก็สำหรับผม:
    https://www.hackthissite.org/

    • เมื่อก่อนเคยเป็นนักพัฒนาที่นั่น
      HTS คือสิ่งที่ทำให้ผมเริ่มเข้าสู่วิทยาการคอมพิวเตอร์

  • สิ่งที่คล้ายกันสำหรับ PowerShell:
    https://underthewire.tech/wargames

  • ยังจำได้ว่าหลังทำแต่ละเลเวลเสร็จ จะสามารถทิ้งชื่อกับข้อความสั้น ๆ ไว้ในไฟล์ .txt ในไฟล์ซิสเต็มได้
    ส่วนใหญ่ก็ประมาณ “Kilroy was here” แต่สำหรับเด็กวัยรุ่น แค่ได้เพิ่มชื่อตัวเองลงไปในนั้นก็รู้สึกเหมือนเป็น 1337 hacker มาก ๆ แล้ว จึงเป็นแรงจูงใจที่ดีทีเดียว
    https://microcorruption.com ก็น่าดู
    ไม่ต้องมีความรู้เฉพาะทางเกี่ยวกับ Linux และเริ่มเข้า แอสเซมบลี MSP430 ได้เลย เป็นบทนำเล็ก ๆ ที่ดีสำหรับการเจาะระบบไบนารีและระบบฝังตัว

  • บังเอิญเพิ่งเจอซอร์สที่หายไปของ โจทย์ reverse engineering ไบนารี ที่เคยทำไว้ในปี 2010
    แนะนำให้คอมไพล์ดูก่อน อย่าเพิ่งเปิดดูข้างใน
    ใช้บรานช์ “modern” แล้วทำตามคำแนะนำใน README สำหรับแพตช์ bomb.c
    https://github.com/RPISEC/csci-4971-bomb

    • เป็นแบบฝึกหัดที่ดีมากตอนเริ่มต้นใหม่ ๆ
      ขอบคุณที่ออกแบบไว้