thái

Challenge 2 Challenge 2 is simple yet interesting. The initial target is a Python 2.2 byte-compiled file, so the first job is to decompile it to get the source code. Fortunately, decompyle just works: $ decompyle newbie.pyc Thu Aug 27 02:13:25 2009 # emacs-mode: -*- python-*- import urllib def some_cryption(arg): pass a = 'http://' dummy = 'http://korea' b = 'uxcpb.xe' b = b.encode('rot13') c = 'co.kr' cs = '.com' d = '/vfrp/uxuxux' dt = '/hackers' d = d.encode('rot13') dx = 'coolguys' ff = urllib.urlopen(((a + b) + d)) f_data = ff.read() file = open('hkhkhk', 'w') file.write(f_data) some_cryption(f_data) file.close() You can see that the purpose of this script is to download some data from a fixed URL, and save them to a file named hkhkhk . We ran the script, and it indeed downloaded this file . As the script suggests, the content of hkhkhk is encrypted by some cipher. Opening hkhkh...

This post is about challenge 8 which made gamma95 and I feel so lost when it comes to web hacking. Challenge 8 (not accessible atm) is the only web hacking challenge in WOWHacker's CTF. In hindsight it's not very difficult, but in fact it took us almost 1 day to solve it. This is a classic PHP local file inclusion attack. If you set the parameter ty and the cookie 71860c77c6745379b0d44304d66b6a13 to the same file name, the vulnerable PHP script in challenge 8 would try to include that file. Here's what the code looks like: $ty = $_GET["ty"]; $page = $_COOKIE[" 71860c77c6745379b0d44304d66b6a13 "]; if ($ty != $page) { echo "Error!"; } else { if (include($ty) != 'OK') { echo "Can't find that page!"; } } Update : gamma95 has just noticed me this challenge may not be a PHP local file inclusion attack. Maybe it's just a vulnerable readfile call like this: $ty = $_GET["ty"]; $page = $_COOKI...

Last week team CLGT took part in the WOWHacker CTF. I was in charged of crypto challenges, so I decide to write something about challenge 1 and challenge 10. 1. Challenge 1 Challenge 1 is...crazy hahaha. Only one or two teams could solve it until the author (hello hinehong :-D) gave out a list of 7 hints. I have designed some web-related crypto challenges (which you will see soon ^^) so I think the difficulty of challenge 1 relies on how fast people can guess the meaning of the cookie. It would be easier for the teams if the author sets the cookie as cookie = cipher + "|" + key. BTW, here's my solution. When you access the link above, you'll see a bunch of javascripts. After decoding those javascripts (which I leave as exercise for readers), you'll see a form whose target is http://221.143.48.96:8080/you_are_the_man_but_try_again.jsp. This form accepts a parameter named "hong" which is either true or false. If you set hong=true, the server sends ...

Sau khi mém vào vòng chung kết CodeGate 2009, rồi chỉ lọt vào top 20 của Defcon 2009, lần này, sau 02 ngày thi đấu liên tục, team CLGT đã xuất sắc vượt qua vòng loại của WOWHacker 2009 trong khuôn khổ ISEC 2009 !!! vị trí cuối cùng của CLGT là hạng 8/45+ đội. ISEC là một trong những hội thảo an toàn thông tin lớn nhất châu Á, với sự tài trợ của các cơ quan an ninh đầu não của Hàn Quốc. Năm nay hội thảo có thêm cuộc thi Capture The Flag, do nhóm hacker lừng danh WOWHacker làm ban giám khảo. Mình sẽ viết tường thuật chi tiết sau. Các báo cáo kỹ thuật có thể xem ở trên trang của team CLGT . PS: Team CLGT đang tìm mạnh thường quân để tài trợ chi phí cho chuyến sang Hàn Quốc du đấu vòng chung kết vào đầu tháng 9, bạn nào có thông tin liên quan thì vui lòng liên hệ với mình nha. khó khăn lắm đội mới vượt qua vòng loại, nên nếu chỉ vì không đủ tiền mà không đi đấu chung kết thì rất uổng phí.

cái bài này muốn viết lâu rồi, mà lười quá nên không viết, nhưng hôm nay không muốn làm toán nữa, thành ra viết blog trở thành lý do rất tốt để mà chay lười :-P. tôi thấy hype ở các nước phát triển thường mất vài năm mới đến VN. ví dụ như trào lưu blogging bùng nổ ở nước ngoài vài năm thì mới lan đến VN bằng sự xuất hiện của Yahoo! 360. rồi web 2.0, lùng bùng từ 2003-2004, đến tận 2006-2007 ở xứ mình mới manh nha vài công ty và cá nhân nói và bàn về web 2.0. và bây giờ là cloud computing. trào lưu nói và bàn về cloud computing bùng nổ trên thế giới khi amazon ra mắt dịch vụ amazon s3 vào tháng 3/2006. và bây giờ, tháng 8/2009, ở VN bắt đầu có nhiều người nói và bàn về cloud computing. cứ theo cái đà này, tôi dự đoán chắc khoảng 2-3 năm nữa, các dịch vụ micro-blogging như twitter, các dịch vụ location-based gắn với điện thoại như Loopt hay các công nghệ như document-oriented database như CouchDB, MongoDB hay NoSQL mới bắt đầu được bàn tán nhiều ở đây. nói nhảm đủ rồi, giờ quay về chủ đ...

Chào các bạn, Hiện tại Ngân hàng Đông Á cần tuyển 02 nhân viên làm việc ở vị trí giám sát an toàn thông tin. Bạn nào muốn ứng tuyển vui lòng gửi CV (tiếng Anh hay tiếng Việt đều được) về địa chỉ email thaidn AT dongabank.com.vn. CV đạt yêu cầu sẽ được mời phỏng vấn trong khoảng thời gian từ 15/08/2009 đến 30/08/2009. Làm việc tại Tp.HCM, chính thức bắt đầu vào đầu tháng 10/2009. 1. Mô tả công việc : xây dựng và quản lý hệ thống giám sát an ninh cho Ngân Hàng Đông Á và các công ty con, bao gồm: * Làm việc với các đối tác để xây dựng các công cụ cần thiết cho công việc giám sát an ninh. * Quản trị với tiêu chí "tự động hóa" các bộ công cụ hỗ trợ việc giám sát an ninh. * Tham gia xây dựng và triển khai các chính sách an toàn thông tin. 2. Yêu cầu chuyên môn * Thông thạo lập trình. Không yêu cầu phải có kinh nghiệm làm việc thực tế, chỉ cần chứng minh được là đã từng được đào tạo trong các lĩnh vực sau: toán rời rạc; cấu trúc máy tính; cấu trúc dữ liệu và giải thuật; ngôn ngữ lập...