Hacken kun je leren, maar dit lukt alleen door veel proberen en experimenteren. Door hacken op de juiste manier, bij de juiste organisaties en in een veilige omgeving, help je mee om cybercrime tegen te gaan en mogelijk zelfs op te lossen, zonder de wet te overtreden. Eén van die manieren is een capture the flag-hackcompetitie. Lees hier meer overCTF challenges.

Security CTF’s oftewel capture the flag-competities hebben in deze context niks te maken met schietspelletjes op de computer of met het veroveren van de vlag bij het paintballen. Het zijn uitdagende opdrachten, ook wel challenges genoemd, waarbij je nieuwe hackingtechnieken kunt leren.

Vaak vinden CTF’s plaats tijdens een van de vele securityconferenties over de hele wereld. Al in 1996 werd er een CTF georganiseerd tijdens Def Con, een grote en bekende cyberbeveiligingconferentie die jaarlijks wordt gehouden in Las Vegas. Naarmate het internet groeide, groeide ook de CTF-competities en kon ook het internet gebruikt worden om waar dan ook ter wereld mee te doen. Tegenwoordig zijn CTF’s voor iedereen en overal bereikbaar en kun je online direct deelnemen.

In dit artikel leggen we je uit welke challenges er zijn en hoe je zelf CTF’s kunt vinden om te spelen, zowel online als offline.

Deelnemen aan een CTF

De meeste deelnemers aan CTF’s zijn hackers of hebben ervaring met hacken. Maar er komen ook veel studenten die een IT-opleiding volgen, al dan niet in de richting van security. Uiteraard is er ook niks mis mee om als volledige nieuweling mee te doen aan CTF’s, er is altijd wel iemand die je wil helpen of waar je bij kunt aanschuiven om mee te kijken en wat van kunt leren.

Uiteindelijk leer je wel het meest door het zelf te doen en proberen. Maar in het begin is het erg lastig, je weet niks en het lukt je maar niet om de challenges op te lossen. Maar aan het einde van elke CTF worden er write-ups gemaakt door de deelnemers, een volledige beschrijving van hoe anderen een challenge hebben weten op te lossen. Vaak voorzien van de gebruikte exploitcode, korte video’s of een complete stap-voor-stap YouTube-video. Deze zijn heel leerzaam en het beste kun je in het begin veel van deze beschrijvingen lezen en video’s bekijken om het zelf proberen na te doen, zodat je begrijpt hoe het moet en hoe het kan, en je daarna zelf mee aan de slag kunt.

Vaak zijn er aan de online CTF’s ook forums en IRC-kanalen verbonden. Hier worden de verschillende challenges besproken, maar altijd zonder dat er echt een hint of antwoord wordt prijsgegeven. Vragen naar flags, oplossingen of hints is niet netjes en vaak zelfs niet toegestaan. Zeker niet wanneer het voor anderen ook te lezen is.

Benodigdheden

Om mee te kunnen doen aan de online CTF’s, moet je weten waar ze te vinden zijn, vaak moet je een account aanmaken om in te kunnen loggen zodat ook je scores bijgehouden kunnen worden. Voor de Jeopardy stijl-challenges (uitleg verderop) heb je vaak niet meer nodig dan je computer of laptop en toegang tot de website. Bij de attack/defense- of penetratie-challenges heb je vaak een installatie van Kali nodig, het besturingssysteem voor hackingdoeleinden. Daarop zijn dan ook veel programma’s en tools te vinden die je nodig hebt. Overige tools kun je downloaden van bijvoorbeeld Github op het moment dat je ze nodig hebt.

Bekende tools zijn Nmap voor een eerste scan om informatie over porten en services te vinden, het Linux-tooltje smbclient voor meer informatie over samba shares, Wireshark voor het analyseren van netwerkverkeer, Nikto om webservers te scannen, hashcat voor het decoderen van wachtwoorden en sqlmap om geautomatiseerd SQL-injections te ontdekken.

©PXimport

Je kunt ook een volledige virtuele machine om mee te oefenen downloaden, die worden vaak als iso-bestand aangeboden. De machine is al helemaal voorbereid en je kunt hem op je eigen computer of laptop draaien. Zo heb je de beschikking over je eigen kwetsbare server, waar geen andere deelnemers op zitten. Deze downloadbare kwetsbare machines vind je bijvoorbeeld op de website vulnhub.com, hier staan inmiddels meer dan driehonderd .iso-bestanden op die elk hun eigen uitdaging en moeilijkheid hebben.

Soorten CFT challenges

Er zijn verschillende soorten challenges. Bij reverse engineering krijg je meestal een bestand, een uitvoerbaar programma, dat je lokaal kunt draaien. Met de juiste input voor het programma wordt uiteindelijk de flag onthuld. Door het reverse engineeren van het programma leer je hoe het algoritme werkt en weet je welke input je moet geven om de flag te vinden.

Bij cryptochallenges gaat het om cryptografie, vaak uiteenlopend van simpele of zelfgemaakte encryptie tot zwakke random generators. Maar het kan ook heel geavanceerd en wiskundig worden, waarbij je snel het spoor bijster bent als je niet volledig van dit soort technieken op de hoogte bent.

Bij pwning challenges krijg je meestal ook een uitvoerbaar programma, maar ook een ip-adres en een poort waar het programma op een server draait. Met het uitvoerbare bestand kun je lokaal proberen om het programma te exploiten en zo remote code execution te krijgen. Vervolgens gebruik je je ontwikkelde exploit code om op afstand een toepassing binnen te dringen en een actie uit te voeren. Als je op de server gekomen bent, kun je het bestand met de flag vinden en uitlezen. Vaak lopen deze challenges uiteen van een simpele buffer overflow tot erg geavanceerde heap overflows.

Een forensics challenge kent allerlei varianten. Bij een memory dump is het de bedoeling om een bestand te analyseren en bijvoorbeeld alle gebruikersnamen en wachtwoorden die op het moment van de dump in het geheugen van die computer waren geladen, eruit te halen. Bij netwerk packet analyse moet je analyseren hoe de communicatie tussen twee servers eruitzag en moet je bijvoorbeeld een gebruikersnaam en wachtwoord die in deze communicatie werd meegestuurd, vinden. De flag kun je vinden door de verborgen informatie uit de bestanden te lezen, alsof je een forensisch onderzoek aan het doen bent. Voor beginners zijn deze challenges vaak lastig.

Web challenges werken aan de hand van URL’s en kennen challenges zoals authenticatie bypass; het omzeilen van het inloggen met een gebruikersnaam en wachtwoord, en SQL- of XML-injections.

De IoT- (Internet Of Things) challenges zul je vaker bij een bedrijf of organisatie op kantoor vinden, omdat je hiervoor fysiek toegang tot het IoT-apparaat nodig hebt. Vaak is dit een combinatie van een web challenge, omdat er een administrator interface op zit, reverse engineering, omdat de firmware onderzocht kan worden, en een hardwarehack via bijvoorbeeld de netwerkaansluiting of UART, een seriële poort op een IoT-apparaat.

©PXimport

Er zijn eigenlijk twee veelvoorkomende soorten CTF’s. Namelijk Jeopardy-stijl CTF’s en attack/defense-CTF’s. Er zijn CTF’s die meer lijken op een werkelijke security penetratietest en er zijn gemengde competities; een combinatie van meerdere soorten CTF’s.

Bij de Jeopardy-stijl CTF is het de bedoeling om verschillende opdrachten (challenges) op te lossen van verschillende categorieën. Vaak kun je jezelf door het oplossen van de challenges toegang verschaffen tot een server, waar je dan een bepaalde tekst kunt vinden, die vlag (flag) heet. Vandaar ook de naam ‘capture the flag’. Deze flag kun je vervolgens uploaden als bewijs dat je de challenge gehaald hebt. Hiermee verdien je punten voor jezelf of je team.

De attack-/defense- CTF’s werken anders. Vaak worden ze gespeeld in teamverband. Elk team heeft zijn eigen kwetsbare servers en services. Als team moet je je eigen systeem verdedigen tegen andere teams die jouw systeem aanvallen. Tegelijkertijd kun je als team de server van andere teams proberen aan te vallen.

Bij de penetratietest-CTF probeer je individueel of met een team via vooraf bepaalde kwetsbaarheden een systeem binnen te komen. Een aantal veelvoorkomende kwetsbaarheden zijn het gebruik van zwakke wachtwoorden, gedeelde harde schijven zonder de juiste ACL’s, gesimuleerde eindgebruikers of bufferoverflows. Ook bij deze vorm van CTF is het niet toegestaan om elkaar aan te vallen, maar alleen de machines die voor de CTF beschikbaar zijn gemaakt.

De Jeopardy-stijl CTF’s gaan vaak over meer dan security alleen. Er komen ook veel raadsels en wiskundige breinkrakers in voor. De verschillende categorieën waarin challenges voorkomen zijn onder meer reverse engineering, cryptografie, pwning, forensics, web, IoT enzovoort. Hoe meer challenges je weet op te lossen, hoe moeilijker ze zullen worden. Moeilijker challenges leveren meer punten op. Degene met de meeste punten wint. Het is bij de Jeopardy-stijl CTF overigens niet toegestaan om elkaar aan te vallen, iedereen gebruikt over het algemeen zijn eigen laptop en logt in op de server of servers waar de challenges op staan.

Online CTF’s

Wil je zelf aan de slag met CTF, dan is een online-variant het makkelijkst om mee te beginnen. Er zijn wel honderden voorbeelden te noemen van websites die CTF’s hosten. Hier noemen we een aantal van de grootste en meestgebruikte websites.

Google heeft een CTF waarbij de beste tien teams na een online kwalificatieronde uitgenodigd worden om onsite de finale te spelen. En hier zijn leuke prijzen te winnen, maar het begint wel eerst online en daar kan iedereen aan mee doen.

CTF time is gemaakt door de CTF-community voor de CTF-community. Hier vind je CTF’s zowel online als offline, die binnenkort zullen plaatsvinden. Hoe en waar je je kunt inschrijven staat er ook, net als historische CTF-events en onder meer de ranglijst van deelnemende CTF-teams.

Overthewire is een verzameling van zogenoemde wargames. Elke challenge is te bereiken via een eigen ssh-poort. Er zijn verschillende levels die steeds moeilijker worden naarmate je verder komt. De Bandit-challenge is uitermate geschikt voor iedereen die net begint.

©PXimport

W3challs is een trainingsplatform met verschillende realistische challenges met verschillende moeilijkheidsgraden (easy, medium, hard). Deze heeft ook een forum waar je met andere deelnemers over de challenges kunt discussiëren.

Root-Me heeft meer dan 200 hack-challenges en ook nog 50 virtuele omgevingen waar je je skills kunt oefenen.

Op Hackthebox staan zowel kwetsbare servers als challenges in verschillende categorieën. Toegang krijgen tot de website is al een challenge op zich. Er zijn teams en ruim 150.000 mensen van over de hele wereld die dagelijks proberen de challenges te kraken.

Onsite CTF’s

Nog leuker is het natuurlijk om een on-site CTF bij te wonen of zelf aan deel te nemen. Er is een aantal bekende CTF’s. Secure by design organiseert elk jaar een CTF waar ongeveer 250 deelnemers op afkomen. Afgelopen jaren was het een uitgebreide penetratietest-stijl CTF in een studio in Hilversum.

Het Platform voor InformatieBeveiliging organiseert ook jaarlijks een CTF in Jeopardy-stijl. Aan meedoen zitten wel wat kosten verbonden, tenzij je lid bent, maar daarvoor krijg je wel een gezellige avond waar veel mensen aan deelnemen.

Hack in the box is een jaarlijkse hackingconferentie in Nederland, waar naast de conferentie ook een CTF wordt georganiseerd. Tijdens het tweedaags evenement wordt in teamverband geprobeerd de Jeopardy-stijl CTF te hacken.

Nog leuker is meedoen aan de CTF tijdens een van de hackingconferentie in de Verenigde Staten, zoals het eerder genoemde Def Con. Hiervoor moet je wel naar de VS, maar naast de CTF kun je ook de conferentie zelf bezoeken en er zijn leuke prijzen te winnen.

Tekst:Joost van ‘t Zand

Bij ID.nl zijn we gek op producten voor een mooie prijs of die iets extra's of bijzonders te bieden hebben. Daarom gaan we een paar keer per week voor jullie op zoek naar leuke deals. Tegenwoordig is overal een app voor, zelfs wasmachines kun je voor een groot deel op afstand bedienen met je smartphone. Wij bekijken vijf van zulke exemplaren voor minder dan 500 euro.

Het bedienen van je wasmachine door middel van een app is handig. Zo kun je bijvoorbeeld zelf aangeven wanneer je je programma start, kun je deze tussendoor pauzeren als je wil dat de was op een bepaald tijdstip klaar is, zodat je je wasgoed kunt ophangen en krijg je een signaal wanneer de machine klaar is. Wij bekijken vijf via een app te bedienen wasmachines die minder kosten dan 500 euro.

Hoover H‑WASH 500 HWE 49AMBS/1‑S

Met de Hoover H‑WASH 500 HWE 49AMBS/1‑S kun jij wassen via wifi en een smartphone‑app. De machine heeft een capaciteit van 9 kg en een toerental van 1 400 rpm. Dankzij de Eco‑Power‑invertermotor werkt hij energiezuinig en valt hij in energieklasse A. Via de app stel je de startuitstel tot 24 uur in en kun je het wasprogramma of de resterende tijd bekijken.

Het Mix Power System + mengt water en wasmiddel voor een efficiënte reiniging. Daarnaast zijn er programma’s voor wol, katoen, snelle was of stoom. Een trommelreinigingsfunctie helpt om geurtjes te voorkomen en een resttijd‑indicator laat zien hoelang het programma nog duurt.

Hoover H‑WASH 500 HW 49XMBB/1‑S

De Hoover H‑WASH 500 HW 49XMBB/1‑S is een voorlader met 9 kg trommelinhoud. Het toerental bedraagt 1400 rpm en het energie‑etiket is A. Dit model is uitgerust met Wi‑Fi; via de Hoover‑app op je smartphone kun je programma’s kiezen, extra cycli downloaden en een startuitstel instellen. De invertermotor zorgt voor een stille werking en een lange levensduur.

Er zijn speciale programma’s voor bijvoorbeeld wol, een snelle cyclus of een antiallergie-programma. Een resttijd‑indicator en trommelverlichting maken het gebruik eenvoudiger, en een automatische waterniveau‑sensor past het waterverbruik aan de lading aan. Door het toerental van 1400 rpm blijft het restvocht laag en hangt de was minder lang te drogen.

Beko B5WT5941082W

De Beko B5WT5941082W heeft een trommel van 9 kg en een maximaal toerental van 1400 rpm. Dit apparaat is voorzien van een Bluetooth‑module voor bediening via de HomeWhiz‑app. Via deze app kun jij programma’s selecteren, het resterende verloop volgen en extra programma’s (zoals mix, gordijnen of lingerie) downloaden. De wasmachine valt in energieklasse A (‑10 %) en gebruikt een stille inductiemotor.

Dankzij de Aquatech‑technologie wordt water en wasmiddel effectief over het wasgoed gesproeid. Er zijn 15 standaardprogramma’s, waaronder handwas, wol, dark en Outdoor/Sport. Je kunt kiezen voor opties zoals stoom, extra spoelen of trommelreiniging. Het digitale display toont de resterende wastijd, er is startuitstel tot 24 uur en een aquasafe‑functie sluit de watertoevoer af bij lekkage.

Hisense WF5I8043BWF

De Hisense WF5I8043BWF is een slanke voorlader (ongeveer 47 cm diep) met een laadvermogen van 8 kg en een toerental van 1 400 rpm. De machine valt onder energieklasse A(‑30 %) en is uitgerust met wifi om hem via de ConnectLife‑app te bedienen. In een review wordt als voordeel genoemd dat je de wasmachine met een app op afstand kunt bedienen om het soort was en de centrifugeerstand te kiezen, en dat je een melding krijgt wanneer de was klaar is.

Het product heeft een stoomfunctie om kreuken te verminderen en een trommelverlichting zodat je geen sokken vergeet. Dankzij de compacte diepte is het model geschikt voor kleinere ruimtes. De app maakt het mogelijk extra programma’s te downloaden en het energieverbruik te volgen. Met 8 kg capaciteit is de machine geschikt voor een middelgroot huishouden; de maximale
centrifugesnelheid zorgt ervoor dat het restvocht beperkt blijft.

Samsung EcoBubble WW80CGC04AAH

De Samsung EcoBubble™ WW80CGC04AAH is een voorlader met een trommelcapaciteit van 8 kg en een centrifugesnelheid van 1400 rpm. Het apparaat gebruikt EcoBubble‑technologie om wasmiddel op te lossen en belletjes te creëren voor een grondige reiniging bij lage temperaturen. Het energieverbruik bedraagt volgens de specificaties 47 kWh per 100 cycli. Op de officiële Samsung‑pagina staat dat je via de SmartThings‑app de AI Energy Mode kunt inschakelen; daarmee monitor je het energieverbruik en kun je de temperatuur verlagen, de programmaduur
verleng‑ en en tot 70 % energie besparen.

In de app zie je jouw dagelijkse, wekelijkse en maandelijkse stroomverbruik per apparaat. Behalve de app‑bediening biedt de wasmachine een programma voor hygiënestoom, 10 % extra energiebesparing ten opzichte van oudere modellen en een digitale inverter‑motor voor een lager geluidsniveau. Met een geluidsniveau van circa 72 dB tijdens het centrifugeren en een A‑label behoort de machine tot de stille en zuinige klasse.

Bluetooth-speakers zijn er in overvloed, waardoor fabrikanten zich maar moeilijk kunnen onderscheiden. Met zijn kersverse Grip doet JBL een dappere poging. Volgens het Amerikaanse merk is deze draadloze luidspreker met ingebouwde verlichting erg krachtig. Bijzonder, want de behuizing is niet veel groter dan een colablikje. Maakt JBL zijn belofte waar?

De Grip is een begrijpelijke toevoeging binnen het uitgebreide gamma van de bekende audiofabrikant. Ten opzichte van de goedkopere GO 4 en Clip 5 is dit nieuwe model weliswaar iets groter, maar je krijgt daar een voller geluid voor terug. Vergelijken we de Grip met de iets duurdere Flip 7, dan is de cilindervormige behuizing van 6,4 × 15,3 × 6,5 centimeter juist weer iets compacter. Logischerwijs zag JBL dus een kans om dit gat in zijn assortiment te vullen. De speaker heeft een adviesprijs van 99,99 euro.

©Maikel Dijkhuizen

Luistertijd en bouwkwaliteit

Wie de JBL Grip koopt, moet zelf voor een usb-c-kabel zorgen, want deze kabel zit niet in het productdoosje. Eenmaal opgeladen gaat de accu van 2600 mAh op een gemiddeld volumeniveau ongeveer veertien uur mee. Normaal gesproken hebben JBL-speakers een stevige constructie. Dat is bij de Grip ook het geval, al kunnen we de behuizing op bepaalde plekken diep indrukken. Gelukkig veren het textiel en kunststof soepel terug. Wellicht verklaart het flexibele materiaal het lichte gewicht van 385 gram. Toch gaat deze luidspreker naar verwachting niet zo gauw stuk. JBL claimt dat de Grip een val van één meter hoogte op beton moeiteloos overleeft. Bovendien voldoet dit product aan de eisen van de IP68-norm. Het speakerkastje is dus volledig dompel- en stofdicht. Zeker voor luistersessies in de buitenlucht is dat natuurlijk een pluspunt. Dankzij de geïntegreerde lus hang je de Grip makkelijk ergens aan op.

©Maikel Dijkhuizen

Muziek luisteren

Zodra de Grip met een bluetooth-bron is verbonden, bedien je de muziekweergave eenvoudig vanaf de speaker. Boven het JBL-logo vind je twee volumeknoppen en een play/pauze-toets. Door tweemaal op laatstgenoemde knop te drukken, kun je nummers skippen. Bovenop is er nog een optie om een andere geschikte JBL-speaker draadloos te koppelen. Je profiteert dan van een grootser geluid. Hoewel veel cilindervormige luidsprekers een zogeheten 360 graden-geluid ondersteunen, is dat bij dit exemplaar helaas niet het geval. De achterkant klinkt beduidend minder dan de voorkant.

Bij eenvoudige muziekcomposities, podcasts en luisterboeken is de geluidskwaliteit goed. Het is nogal verrassend hoeveel volume dit kleine apparaatje kan produceren. Met name bij opzwepende genres als dance en hiphop komt dat goed van pas. Verder zijn mensen duidelijk te verstaan, zodat je bijvoorbeeld een radioshow of audioboek makkelijk kunt volgen. Bij bombastische muziekstukken met veel instrumenten schiet de Grip iets tekort. Denk bijvoorbeeld aan genres als rock, metal en klassiek. Logisch, want het is ondoenlijk om de benodigde audiofrequenties uit een enkele fullrange-audiodriver te persen. Zeker op een wat hoger volumeniveau klinken dergelijke nummers ietwat chaotisch. Geen schande, want dat is vrijwel bij alle bluetooth-speakers met slechts één actieve audiodriver het geval.

©Maikel Dijkhuizen

Sfeerverlichting en app

Op de achterkant zit een ledstrip van zo'n 6,5 centimeter. Dat geeft met name in het donker een leuk effect. Druk meermaals op de bijbehorende lichtknop voor verschillende thema's. Via de JBL Portable-app pas je optioneel de lichtintensiteit en kleur aan. Ook om andere redenen loont het de moeite om deze app op je smartphone te installeren. Je zet hiermee onder andere diverse equalizerinstellingen naar je hand. Kies bijvoorbeeld voor Chill, Vocal of Energetic. Tot slot stelt JBL vanuit de app regelmatig software-updates beschikbaar.

©Maikel Dijkhuizen

JBL Grip kopen?

Als je een compacte luidspreker met IP68-certificering wilt kopen, is de JBL Grip het overwegen waard. Je haalt voor amper honderd euro een degelijke speaker in huis die in alle weersomstandigheden blijft doorspelen. Overige pluspunten zijn de respectabele accuduur en geïntegreerde verlichting. Voor audiopuristen is de aanwezigheid van één actieve driver een nadeel. Dat geeft op audiovlak namelijk beperkingen. Zoek je een bluetooth-speaker die alle muziekstijlen op een hoog volumeniveau zonder vervorming laat horen, dan is de Grip niet de beste keuze.