Ecosyste.ms: Awesome

An open API service indexing awesome lists of open source software.

Awesome Lists | Featured Topics | Projects

https://github.com/USTC-Hackergame/hackergame-challenge-docker

nc 类题目的 Docker 容器资源限制、动态 flag、网页终端
https://github.com/USTC-Hackergame/hackergame-challenge-docker

ctf ctf-docker ctf-platform pwn pwn-deploy pwn-xinetd

Last synced: about 2 months ago
JSON representation

nc 类题目的 Docker 容器资源限制、动态 flag、网页终端

Awesome Lists containing this project

README 

        
# Hackergame nc 类题目的 Docker 容器资源限制、动态 flag、网页终端



## 快速入门



### 配置证书



证书用于验证用户 Token。请确保这里的证书文件（cert.pem）与 [Hackergame 平台](https://github.com/ustclug/hackergame) 配置的证书相同，这样 Hackergame 平台为每个用户生成的 Token 才可以通过这里的用户验证。



如果你仅仅想测试一下，可以使用 [dynamic_flag/cert.pem](dynamic_flag/cert.pem) 自带的证书，以及这个 Token：



`1:MEUCIQCjK1QcPFro86w3bKPb5zUZZd96ocp3EZDFcwLtJxNNDAIgEPk3Orw0mE+zHLQA7e31kSFupNtG9uepz2H4EqxlKWY=`



在生产环境中，请使用自己生成的证书，方法如下：



生成私钥 `openssl ecparam -name secp256k1 -genkey -noout -out private.pem`



生成证书 `openssl req -x509 -key private.pem -out cert.pem -days 365`



然后将生成的 `cert.pem` 文件放在 [dynamic_flag/cert.pem](dynamic_flag/cert.pem)。



### 配置题目



如果你仅仅想测试一下示例题目，那么可以跳过此步骤。



本项目的目录结构设计为可以被 [Hackergame 平台的题目导入命令](https://github.com/ustclug/hackergame/blob/master/frontend/management/commands/import_data.py) 直接导入。



[dynamic_flag](dynamic_flag) 目录中包含了题目容器化、连接限制、动态 flag 相关的逻辑。



[web_netcat](web_netcat) 目录中包含了网页终端的逻辑。



如果仅仅是使用本项目，那么以上两个目录中的内容都不需要修改，它们也不会被 Hackergame 平台导入（因为没有 `README.md` 文件）。



示例题目在 [example](example) 目录中，其中的 [example/docker-compose.yml](example/docker-compose.yml) 中引用了以上两个目录中的内容。你可以把 example 目录复制多份为不同的名字，它们在被导入到 Hackergame 平台后会显示为多道题目。



题目是 Docker 化的，注意每次运行题目 Docker 时 **只启动一个题目的实例，通过标准输入输出交互，你的题目不需要监听端口，也不需要做任何资源限制。** 参见 [example/Dockerfile](example/Dockerfile) 和 [example/example.py](example/example.py)。



你需要修改 [example/.env](example/.env) 文件，针对题目的情况进行配置，包括 nc 的端口（`port`）、网页终端的端口（`web_port`）、运行时间和资源限制、flag 文件位置、动态 flag 规则、题目的容器名称等。动态 flag 的生成方法可以由你自己决定，可以使用类似 `'flag{prefix_' + sha256('secret'+token)[:10] + '}'` 的方案，示例中使用了 Python 的 f-string。对于多个 flag 的情况，`flag_path` 中路径和 `flag_rule` 中 Python 表达式都用 `,` 分隔即可。容器名称（`challenge_docker_name`）是 docker-compose 自动命名的，请设置为目录名 + "_challenge"。对于每一个连接，如果 Token 合法并且连接频率没有超过限制，那么你的题目容器会以指定的资源限制启动，动态生成的 flag 会被挂载到指定的路径，选手的 TCP 连接将会被连接到容器的标准输入输出上。如果你的题目需要获得用户 Token，直接读取 `hackergame_token` 环境变量即可。



[example/README.md](example/README.md) 是用于导入 Hackergame 平台的，里面配置的 flag 需要与 `.env` 中配置的 flag 相同，端口也需要进行相应修改。



### 运行题目



在 [example](example) 目录中运行 `docker-compose up --build` 即可，然后你可以通过 `nc 127.0.0.1 10000` 来连接，也可以使用 [http://127.0.0.1:10001/](http://127.0.0.1:10001/) 的网页终端。



## 本项目的背景



与很多 CTF 比赛类似，USTC Hackergame 需要运行选手与服务器交互的 nc 类题目。然而 CTF 比赛中常见的做法有以下问题：



- 通过求解 PoW 来做题目的连接限制，对新手不友好，也在某种程度上影响比赛的体验



- pwn 题缺少真正有效的资源限制。我调研了很多开源的 Docker 化方案，也咨询了很多比赛的出题人，结论是现有的方案都无法真正防止针对性的资源耗尽攻击（所谓“搅屎”）。很多 pwn 题的部署方案会限制选手能够使用的命令，这只是增加了资源耗尽攻击的难度而已，并没有从根本上解决问题。



- 动态 flag、监听端口很多时候是题目逻辑的一部分，而我想做到这部分逻辑对出题人是透明的，这样也可以让题目更统一、更稳定。



因为以上提到的原因，我在 Hackergame 2019 前开发了这套系统，并且在 Hackergame 2020 前进行了一些改进，但是这部分代码一直没有开源。



如今，我把这份代码以 MIT 协议开源出来，欢迎大家测试、使用和改进。



## 本项目的功能



- 对用户 Token 进行验证，只有合法的 Token 才可以运行题目



- 根据 Token 中的用户 ID 进行连接频率限制



- 根据 Token 动态生成 flag，并自动挂载进题目 Docker



- 限制题目的资源使用，包括限时、进程数限制、内存限制、不允许联网等



- 保证题目的稳定性和安全性，用户无论在题目 docker 中做什么，都不会影响其他用户做题



- 为题目提供一个网页终端，方便新手直接在网页上尝试做题，配合 Hackergame 平台可以实现 Token 的自动填充。



## 本项目的限制



本项目只适用于每个连接启动一个进程的题目，包括 pwn 题和其他的 nc 连接服务器类题目。



如果你的题目是一个一直运行的应用，例如 flask app，那么请自己进行 Token 的验证和动态 flag 生成。



Token 的验证方法见 [dynamic_flag/front.py](dynamic_flag/front.py) 中的 `validate` 函数。由于 Token 是非对称签名，所以证书和验证代码完全可以公开。



如果不需要进行连接限制，那么不验证 Token 的合法性也无妨。



自己实现对用户的连接限制时，注意请按用户 id 限制，不要按 Token 限制，因为签名系统不保证每个 id 只有唯一的合法签名。



## 已知问题



- 证书是否过期不会被检查



- Windows 系统上可能无法正常使用，Linux 和 macOS 经测试没有问题