Impressum | Datenschutz | Hinweisgebersystem (HinSchG)
All Rights Reserved. WK IT GmbH
Capture the flag – IT-Sicherheitslücken spielerisch aufspüren und anwenden
Das Spiel „Capture-The-Flag“ (kurz: CTF) ist eigentlich schon uralt und wird bevorzugt draußen gespielt. Ziel ist es, die Fahne des Gegners zu stehlen und zur eigenen Basis zu bringen. In der IT-Security beschreibt CTF eine Lernmethode, um Sicherheitslücken aufzuspüren. Man schlüpft in die Rolle eines Hackers und versucht Schwachstellen im System zu finden und auszunutzen. Schlussendlich soll der Spielende Textdateien, sogenannte „Flags“ innerhalb des Systems/Servers auslesen.
Welche Flagarten gibt es?
Im Regelfall werden zwei Arten von Flags versteckt: Die User- und die Admin-Flag. Bei beiden Flags müssen die entsprechenden Rechte (Benutzer- oder Administratorrechte) erst erlangt werden, um sie auslesen zu können. Die User-Flag ist im Kontext eines Standardnutzers zu finden. Sie liegt im Ordner eines normalen Users, der über keine Adminrechte verfügt. Die Admin-Flag befindet sich dagegen im Administratorkontext („ROOT“). Der Nutzer verfügt folglich über Adminrechte.
Vorgehen und Ziel
Als möglichen Leitfaden und Standard im Rahmen des CTF empfehlen wir den PTES-Standard (Penetration Testing Execution Standard). Zunächst startet der Spielende mit der Informationsgewinnung, indem das zu übernehmende System eingehend untersucht wird. Dabei gilt es u. a. folgende Fragen zu klären: Welche Dienste sind gehostet? Was kann ich angreifen? Er versucht Zugriff auf das System zu erlangen, indem Schwachstellen aufgespürt und gezielt ausgenutzt werden. Dabei hat er stets das Ziel im Blick, die erste User-Flag zu finden. Sobald dies gelungen ist, versucht er seine Rechte zu erweitern (Privilege Escalation) und Administrator oder ROOT auf dem betroffenen System zu werden. In diesem Kontext befindet sich meist die Admin- oder auch Root-Flag. Ab diesem Zeitpunkt hat der Spielende unbegrenzten Zugriff auf das gesamte System.
CTF ausprobieren
Grundsätzlich ist es verboten, ohne Auftrag Systeme anzugreifen. Aber es gibt legale und teilweise kostenlose Angebote, um CTF bzw. das Hacking zu testen.
Unsere Experten empfehlen:
