Ecosyste.ms: Awesome
An open API service indexing awesome lists of open source software.
https://github.com/USTC-Hackergame/hackergame-challenge-docker
nc 类题目的 Docker 容器资源限制、动态 flag、网页终端
https://github.com/USTC-Hackergame/hackergame-challenge-docker
ctf ctf-docker ctf-platform pwn pwn-deploy pwn-xinetd
Last synced: 21 days ago
JSON representation
nc 类题目的 Docker 容器资源限制、动态 flag、网页终端
- Host: GitHub
- URL: https://github.com/USTC-Hackergame/hackergame-challenge-docker
- Owner: USTC-Hackergame
- License: mit
- Created: 2021-04-05T07:10:36.000Z (over 3 years ago)
- Default Branch: master
- Last Pushed: 2024-03-19T11:42:49.000Z (9 months ago)
- Last Synced: 2024-06-06T20:57:58.815Z (6 months ago)
- Topics: ctf, ctf-docker, ctf-platform, pwn, pwn-deploy, pwn-xinetd
- Language: Python
- Homepage:
- Size: 56.6 KB
- Stars: 69
- Watchers: 5
- Forks: 7
- Open Issues: 4
-
Metadata Files:
- Readme: README.md
- License: LICENSE
Awesome Lists containing this project
- awesome-hacking-lists - USTC-Hackergame/hackergame-challenge-docker - nc 类题目的 Docker 容器资源限制、动态 flag、网页终端 (Python)
README
# Hackergame nc 类题目的 Docker 容器资源限制、动态 flag、网页终端
## 快速入门
### 配置证书
证书用于验证用户 Token。请确保这里的证书文件(cert.pem)与 [Hackergame 平台](https://github.com/ustclug/hackergame) 配置的证书相同,这样 Hackergame 平台为每个用户生成的 Token 才可以通过这里的用户验证。
如果你仅仅想测试一下,可以使用 [dynamic_flag/cert.pem](dynamic_flag/cert.pem) 自带的证书,以及这个 Token:
`1:MEUCIQCjK1QcPFro86w3bKPb5zUZZd96ocp3EZDFcwLtJxNNDAIgEPk3Orw0mE+zHLQA7e31kSFupNtG9uepz2H4EqxlKWY=`
在生产环境中,请使用自己生成的证书,方法如下:
生成私钥 `openssl ecparam -name secp256k1 -genkey -noout -out private.pem`
生成证书 `openssl req -x509 -key private.pem -out cert.pem -days 365`
然后将生成的 `cert.pem` 文件放在 [dynamic_flag/cert.pem](dynamic_flag/cert.pem)。
### 配置题目
如果你仅仅想测试一下示例题目,那么可以跳过此步骤。
本项目的目录结构设计为可以被 [Hackergame 平台的题目导入命令](https://github.com/ustclug/hackergame/blob/master/frontend/management/commands/import_data.py) 直接导入。
[dynamic_flag](dynamic_flag) 目录中包含了题目容器化、连接限制、动态 flag 相关的逻辑。
[web_netcat](web_netcat) 目录中包含了网页终端的逻辑。
如果仅仅是使用本项目,那么以上两个目录中的内容都不需要修改,它们也不会被 Hackergame 平台导入(因为没有 `README.md` 文件)。
示例题目在 [example](example) 目录中,其中的 [example/docker-compose.yml](example/docker-compose.yml) 中引用了以上两个目录中的内容。你可以把 example 目录复制多份为不同的名字,它们在被导入到 Hackergame 平台后会显示为多道题目。
题目是 Docker 化的,注意每次运行题目 Docker 时 **只启动一个题目的实例,通过标准输入输出交互,你的题目不需要监听端口,也不需要做任何资源限制。** 参见 [example/Dockerfile](example/Dockerfile) 和 [example/example.py](example/example.py)。
你需要修改 [example/.env](example/.env) 文件,针对题目的情况进行配置,包括 nc 的端口(`port`)、网页终端的端口(`web_port`)、运行时间和资源限制、flag 文件位置、动态 flag 规则、题目的容器名称等。动态 flag 的生成方法可以由你自己决定,可以使用类似 `'flag{prefix_' + sha256('secret'+token)[:10] + '}'` 的方案,示例中使用了 Python 的 f-string。对于多个 flag 的情况,`flag_path` 中路径和 `flag_rule` 中 Python 表达式都用 `,` 分隔即可。容器名称(`challenge_docker_name`)是 docker-compose 自动命名的,请设置为目录名 + "_challenge"。对于每一个连接,如果 Token 合法并且连接频率没有超过限制,那么你的题目容器会以指定的资源限制启动,动态生成的 flag 会被挂载到指定的路径,选手的 TCP 连接将会被连接到容器的标准输入输出上。如果你的题目需要获得用户 Token,直接读取 `hackergame_token` 环境变量即可。
[example/README.md](example/README.md) 是用于导入 Hackergame 平台的,里面配置的 flag 需要与 `.env` 中配置的 flag 相同,端口也需要进行相应修改。
### 运行题目
在 [example](example) 目录中运行 `docker-compose up --build` 即可,然后你可以通过 `nc 127.0.0.1 10000` 来连接,也可以使用 [http://127.0.0.1:10001/](http://127.0.0.1:10001/) 的网页终端。
## 本项目的背景
与很多 CTF 比赛类似,USTC Hackergame 需要运行选手与服务器交互的 nc 类题目。然而 CTF 比赛中常见的做法有以下问题:
- 通过求解 PoW 来做题目的连接限制,对新手不友好,也在某种程度上影响比赛的体验
- pwn 题缺少真正有效的资源限制。我调研了很多开源的 Docker 化方案,也咨询了很多比赛的出题人,结论是现有的方案都无法真正防止针对性的资源耗尽攻击(所谓“搅屎”)。很多 pwn 题的部署方案会限制选手能够使用的命令,这只是增加了资源耗尽攻击的难度而已,并没有从根本上解决问题。
- 动态 flag、监听端口很多时候是题目逻辑的一部分,而我想做到这部分逻辑对出题人是透明的,这样也可以让题目更统一、更稳定。
因为以上提到的原因,我在 Hackergame 2019 前开发了这套系统,并且在 Hackergame 2020 前进行了一些改进,但是这部分代码一直没有开源。
如今,我把这份代码以 MIT 协议开源出来,欢迎大家测试、使用和改进。
## 本项目的功能
- 对用户 Token 进行验证,只有合法的 Token 才可以运行题目
- 根据 Token 中的用户 ID 进行连接频率限制
- 根据 Token 动态生成 flag,并自动挂载进题目 Docker
- 限制题目的资源使用,包括限时、进程数限制、内存限制、不允许联网等
- 保证题目的稳定性和安全性,用户无论在题目 docker 中做什么,都不会影响其他用户做题
- 为题目提供一个网页终端,方便新手直接在网页上尝试做题,配合 Hackergame 平台可以实现 Token 的自动填充。
## 本项目的限制
本项目只适用于每个连接启动一个进程的题目,包括 pwn 题和其他的 nc 连接服务器类题目。
如果你的题目是一个一直运行的应用,例如 flask app,那么请自己进行 Token 的验证和动态 flag 生成。
Token 的验证方法见 [dynamic_flag/front.py](dynamic_flag/front.py) 中的 `validate` 函数。由于 Token 是非对称签名,所以证书和验证代码完全可以公开。
如果不需要进行连接限制,那么不验证 Token 的合法性也无妨。
自己实现对用户的连接限制时,注意请按用户 id 限制,不要按 Token 限制,因为签名系统不保证每个 id 只有唯一的合法签名。
## 已知问题
- 证书是否过期不会被检查
- Windows 系统上可能无法正常使用,Linux 和 macOS 经测试没有问题