¿Qué es un CTF de ciberseguridad?

El equipo quackbomb ha participado en la pasada III Cyberleague de la GC y en el evento CTF (CITIC Cyber Competition) organizado por el CITIC con la colaboración del centro AtlantTIC da Universidade de Vigo, a Cátedra R en Ciberseguridade e o MUNICS (Máster Inter-Universistario en Ciberseguridade), ¡consiguiendo el tercer premio!

¡Los integrantes de quackbomb nos contarán su experiencia!

El equipo está formado por Ignacio Borregán Naya, Daniel Feito Pin, Pablo Longueira Failde, Clara Barrios Hermida y Santiago J. Iglesias Portela.

• Ignacio Borregán Naya es estudiante de cuarto del Grado en Ingeniería informática, interesado en pentesting y OSINT.
• Daniel Feito Pin, también de cuarto curso del GEI en la mención de TI, está interesado en programación y ciberseguridad.
• Pablo Longueira Failde es estudiante de tercero del Grado en Ingeniería Informática por la UDC, interesado en la administración de sistemas y en pentesting, posiblemente futuro estudiante del MUNICS.
• Clara Barrios Hermida estudiante de tercero del Grado en Ingeniería informática, cursando la mención de TI. Especial interés en criptografia y esteganografía. Una vez terminada la carrera, quiere realizar el máster de ciberseguridad que ofrece la universidad.
• Santiago J. Iglesias Portela, estudiante del grado de ingeniería informática, cursando actualmente la mención de TI en la UDC. Interés en la forensia y ciberseguridad general.

¿Qué es un CTF de ciberseguridad?

Un CTF, Capture The Flag o Atrapa La Bandera, es una competición consistente en retos en los que deben aplicarse técnicas y conocimientos de ciberseguridad para conseguir un pequeño texto que hace de bandera, o flag.

¿Qué aspectos suelen abarcar los CTFs?

Depende del CTF, pero existen categorías recurrentes como restos de Web, Criptografía, Forense, OSINT y Esteganografía.

¿Cómo surge la idea de formar un equipo para participar en un evento tan atractivo en el mundo de la ciberseguridad como el C3TF?

Todos los integrantes de nuestro equipo empezamos a participar en en CTFs de forma individual por curiosidad o diversión. Algunos llegamos a conocer su existencia gracias a profesores y otros compañeros de la carrera. Al ver que había CTFs por equipos decidimos simplemente juntarnos y probar suerte y nos quedamos por lo bien que nos lo pasamos realizando los retos.

¿La resolución de los retos la hacéis de forma individual o en grupo? ¿Os especializáis en diferentes áreas?

Preferimos repartirnos los desafíos por temática para realizarlos en paralelo y aprovechar mejor el tiempo, de forma que como mucho dos personas colaboran en el mismo reto simultáneamente. Todos tenemos conocimientos en las distintas áreas pero también cada uno nos solemos centrar en las que se nos dan mejor. Por ejemplo, Yago se encarga de los retos de forense, Pablo los de red y Clara y yo los de criptografía y OSINT. Nacho por su parte es polivalente.

¿Cuál ha sido el reto que os resultó más asequible?

Algunos retos podían resolverse con un simple comando. En esta competición hubo un reto que con utilizar "strings" (un programa que te muestra las cadenas de texto de cualquier fichero) sobre una imagen, conseguías la flag.

¿Cuál fue el reto que más complejo os pareció?

Era un reto en el que se nos otorgaba un archivo ZIP con la flag. Al intentar extraerla se producía un error que indicaba que el archivo estaba corrupto. Al ver esto, Nacho decidió examinar la firma hexadecimal del principio del ZIP (para los más interesados: magic bytes) y descubrió que no era correcta. Tras corregirla probamos a extraer de nuevo y aunque entonces ya no daba ningún error, se nos pedía una contraseña. Leyendo el enunciado se daba a entender que esta se podía encontrar en cierta página de la Wikipedia. Para obtener la flag había que ir probando palabra a palabra.

Fuera de la competición, ¿compartís vuestra experiencia al resolver nuevos retos o incluso, os los proponéis entre vosotros?

Siempre comentamos cada reto, sobre todo los que hemos realizado de manera individual para que los demás sepamos como se llagaba a la solución. A veces les mando mensajes en Base64 para hacer la broma y alguna vez Nacho nos ha enviado una imagen de su mano en el espectro de un fichero de audio.

¿Cómo valoraríais la experiencia?

Muy positiva. Ha resultado ser de los mejores CTFs en los que hemos participado.

¿Repetiríais?

T2J2aWFtZW50ZSBz7S4=