Trochę kontekstu ad znalezisko (widzę, że w oryginalnym artykule go zabrakło) - Pwn Adventures to "gra" tworzona na potrzeby Ghost In The Shellcode CTF*. Konkretniej, Pwn Adventures 3 było w tym roku (https://ctftime.org/event/165).

Rozwiązania poszczególnych zadań z Pwn Adventures 3 można znaleźć np. tutaj:
http://lockboxx.blogspot.co.uk/2015/01/ghost-in-shellcode-2015-ctf-writeup-pwn.html
https://github.com/ctfs/write-ups-2015/tree/master/ghost-in-the-shellcode-2015/pwn_adventure
(ew wrzucając w google "write up" i "pwn adventuresPokaż całość

@pawelgawel: Cześć cześć.
Część z nas (chyba większość) zawodowo zajmuje się bezpieczeństwem, tj. pracuje jako pentesterzy, stara się zabezpieczać produkty/sieci firm dla których pracują, analizuje botnety, etc.
Kilka osób jeszcze studiuje (chociaż to nie wyklucza powyższego), a kilka osób pracuje jako admini lub programiści (jeśli mnie pamięć nie myli).

@kamdz:
1. Niestety na CTFach póki co nie da się zarobić ;)
Owszem, wygrane czasem się zdarzają (czasem nawet całkiem miłe), ale po podliczeniu kosztów (bilety lotnicze, hotele, etc.) wychodzi, że więcej się w to hobby włożyło.

2. Bardzo różnie. Osoby które zakładały DS (tj. ja, j00ru i adam) znają się z IRCa oraz udziału w podobnych konkursach sporo lat temu (np. w Security Days, który był organizowany w Polsce w okolicachPokaż całość

@AlfaMenel:

Ad "Wasz najtrudniejszy/najgroźniejszy/najbardziej wymagający rywal?"
Zdecydowanie amerykański zespół Plaid Parliament of Pwning (zespół złożony ze studentów i absolwentów Carnegie Mellon University), który zresztą wygrał sezon 2013 i 2011 oraz dwa lata pod rząd wygrali DEF CON CTF (w zasadzie najbardziej prestiżowa impreza w roku).Pokaż całość

@plazma:
Nie samymi komputerami człowiek żyje ;)

@LostHighway:
Ad 7.
Zaskakująco, ale sporo imion i nazwisk znajdziesz na dragonsector.pl - jak wspominam w opisie, CTFy są w pełni legalne więc nie ma powodu się ukrywać :)

Ad 6.
1234567890, ale mogłem źle zapamiętać ( ͡° ͜ʖ ͡°)

@polik95:
Hmm... trudne pytanie i chyba nie umiem Ci na nie odpowiedzieć.
Generalnie sporo zdecydowana większość osób od nas ma za sobą przynajmniej 5 lat doświadczenia (przynajmniej hobbystycznego).

Oczywiście należy zaznaczyć, że baaaaaardzo dużo człowiek się uczy podczas gry w CTFy - jest to jeden z powodów dla którego lubię w nich brać udział, zawsze można dowiedzieć się czegoś nowego (poznać jakąś nową sztuczkę, architekturę, język, framework, podejście, itd.).

@czteroch:
Haha pytanie jak do klanu e-sportowego ;)
Może Cię zaskoczę, ale faktycznie preferuje sprzęt do gier. W swojej głównej konfiguracji mam klawiaturę Logitech G19, myszkę G700 i słuchawki G930.

@progressbar:
Haha trafiłeś - mi został jeden po secure 2013 ;)

@bohater:
Moim zdaniem najpierw spróbuj różnych gałęzi bezpieczeństwa (od szukania błędów w sofcie, przez pentesty, krypto, zabezpieczanie sieci, do wszystkiego co tylko można z bezpieczeństwem IT powiązać), a potem staraj się iść w kierunku tego, co Ci najbardziej się spodobało.
Hackme/wargames/CTFy to moim zdaniem też fajny początek, bo pokazują Ci czego się uczyć i przy okazji uczą praktycznego podejścia (szczerze, to osobiście zacząłem właśnie od hackme).

Ogólnie dobrze, że wymieniłeś programowanie - jestPokaż całość

@LostHighway:
Na jednym CTFie, chyba jeszcze w 2013, było zadanie zwane Mumble Mumble (100 pkt, networking).
Otrzymywało się pcap z zapisem ruchu sieciowego komunikatora Mumble (coś jak team speak, tyle że open src).

Problem jest taki, że mumble używa całkiem niezłego szyfrowania. Sporo drużyn (w tym nasza) rzuciło się do analizy kodu Mumble - a nuż coś nie tak mają z szyfrowaniem. Ale... to było zadanie za 100 pkt i to niePokaż całość

@Obywatel915356:
W moim przypadku było to dość wcześniej. Jak miałem 6 czy 7 lat rodzice kupili mi Atari 800XL i była tam gra, która nazywała się "Atari BASIC" i polegała na przeklepywaniu takich dziwnych małych rysuneczków (dzisiaj je nazywam "literami") na ekran, potem pisaniu "RUN", a potem działy się fajne rzeczy ;)
Generalnie wtedy zacząłem z programowaniem/etc (na początku raczej zmieniając przepisywane programy niż je tworząc) i generalnie jeszcze miPokaż całość

@Hieronim_Buszewski:
W moim wypadku tego rodzaju zabawy zacząłem od hackme Login Matrix (już chyba nie istnieje stronka z tym) oraz jakimś jeszcze jednym, polskim (dawno już zapomnianym; tbh nawet nazwy nie pamiętam... to było koło 2001-2003 zresztą).
Wcześniej zajmowałem się raczej tylko programowaniem, alto był w zasadzie mój pierwszy kontakt z tego rodzaju konkursami.

@msgreen:
Krótka odpowiedź brzmi: tak.

Generalnie na blogu mam nawet notkę, która zezwala na atakowanie go. Jest pod nią hall of fame z kilkoma osobami, która znalazły bugi na moim blogu (z czego jeden był dobry, w sensie faktycznie można go było użyć do deface / wbicie na serwer).

Dodam, że na blogu mam też honeypota (fake admin panel) do którego łatwo się włamać i dodać newsa. Większość osób które się wPokaż całość

@kradzionyLogin:
Ostatnio nie (chociaż 2 miesiące temu jeszcze tak). Teraz raczej BF4.

@msgreen:
Ad 1.
To nie do końca jest temat AMA, więc najlepiej puść mi to pytanie na mejla po prostu ;)
TL;DR: Warto samemu składać, skill jest ważniejszy niż doświadczenie zawodowe.

@dragonsector:
1.
Ad pierwsza część pytania:
Trudno mi powiedzieć, studia skończyłem jakiś czas temu i nie do końca wiem co się zmieniło.

Ad drugaPokaż całość

@Pienio69: Uh, niestety, ale muszę zasłonić się NDA :(

@Marcinowy:
http://www.wykop.pl/link/2325106/dragon-sector-ama/#comment-25550352

@dragonsector:
Windows+Linux - mam takie śmieszne hybrydowe rozwiązanie (chyba nawet kiedyś trafiło na wykop; https://www.youtube.com/watch?v=8yzgGHA_oIg). W moim przypadku bardzo dobrze się sprawdza i jestem strasznie z niego zadowolony.

Co do programów, to prawdę mówiąc 90% programów podczas CTFów trzeba napisać samemu (Python jest niesamowity do tego; ew. C/C++ jeśli ma być szybkie).
Z tych co używam poza tym, to raczej standard: Fiddler/Chrome/FF do web, IDA Pro do RE, gdb doPokaż całość

@kradzionyLogin:
Patrz również: http://www.wykop.pl/link/2325106/#comment-25551502

W ramach DS błędów raczej nie szukamy, chociaż jak słusznie zauważyłeś, kilka osób od nas zajmuje się tym zawodowo.
Anyway, na Linuxa trochę patrzyłem i chciałbym mu się przyjrzeć bliżej.
Co do błędów w firmware - to raczej nie jest ograniczone tylko do OSX, ale zgadzam się, że w tym wypadku znika problem mnogości różnych firmware'ów, które mogły zostać użyte.

@kradzionyLogin:
W moim wypadku coś tam już napisałem w http://www.wykop.pl/link/2325106/#comment-25551502
Lista fajna, chociaż dużo zależy od specyfiki tego co dokładnie robisz i od podejścia. Kilka narzędzi z tej listy używam, na kilka tylko popatrzyłem z ciekawości.
Jak pisałem już w kilku odpowiedziach, dość często trzeba samemu coś naklepać lub oskryptować (przy czym widzę, że to też zostało ujęte na tej liście).

@kradzionyLogin:
2.
Bez wykonania analizy trudno mi odpowiedzieć na to pytanie. Generalnie wiesz jak jest - jeśli ktoś zaliczy wpadkę, to o tym słychać. Jeśli ktoś ma bezpieczeństwo na dobrym poziomie lub nikt go nie "sprawdzi", to takich danych nie ma.
Pentestów w Polsce nie robiłem, więc nie mam nawet danych anegdotycznych, ale przypuszczam, że jest jak wszędzie - trochę dobrze zabezpieczonych firm/instytucji, trochę średnio i wiele w ogóle niePokaż całość

@JedynyNiepowtarzalny:
127.0.0.1, chyba że masz IPv6, to ::1 ( ͡° ͜ʖ ͡°)

@despiaciu: PC, BF4, SC2 i CS:* jako kibic ;)

@kisiele:
Osobiście tego nie analizowałem i wiem tyle co w sieci napisali.
(Anyone?)

@Pro-Xts:
Jak pisałem niżej, raczej nie odpowiemy na to pytanie - NDA itp. Przepraszam :(

@kisiele: Fajne pytania ;)
Generalnie zgadzam się z Tobą. Szczególnie w przypadku web maili używanie przy okazji GPG jest toporne.
Zresztą, ostatnio jak patrzyłem na jakiś dodatek do gmail/chrome do GPG to znalazłem jakieś RCE w zasadzie od ręki (http://gynvael.coldwind.pl/?id=487 - zresztą, mieliśmy kolizje z Krzyśkiem Kotowiczem, który w tym samym czasie znalazł te błędy).
Oczywiście to było już kilka lat temu i przypuszczam, że teraz jest lepiej.
SporąPokaż całość

@bumni:
Wiesz co, nie wiem jak z zakładaniem, ale kojarzę że ze dwie osoby od nas walczą ze zdejmowaniem ;)
http://hackaday.io/project/723-reverse-engineering-toshiba-r100-bios

@dragonsector: Herbata ;)

@msgreen: Na razie bez szczegółów, ale tak.

@Pienio69:
Ah. Hmm, to może ktoś inny będzie w stanie odpowiedzieć. Ja pracowałem w Polsce / dla polskiej firmy jakieś 8-9 lat temu i była to moja pierwsza praca, więc zarabiałem po prostu mało (co dla studenta i tak było bardzo miłe).

@SebusPL:
1. Tak, we wszystkie 3.
2. Nie - nie znam.

Jak pisałem wcześniej, ja tam zawsze hackme/wargames/ctfy lubiłem.
Zresztą, ostatnio w ogłoszeniu o pracę na pentestera widziałem wzmiankę o CTFachPokaż całość

@Vierling:
Wszystkie! ( ͡° ͜ʖ ͡°)ﾉ⌐■-■

@kisiele:
Niedawno to było na wykopie, nie?
Jeśli mnie pamięć nie myli jest to też zaimplementowane w bouncy castle (https://www.bouncycastle.org/java.html - przy czym może mnie pamięć mylić).

Natomiast z tego co sprawdzałem niedawno, to prawie nikt z kryptologów na to nie patrzył, więc trudno powiedzieć na jakim to jest poziomie. Wikipedia wspomina tylko o jednym papierku na te temat (w porównaniu do RSA czy AES, to jest toPokaż całość

@despiaciu: Nie. Na szczęście security/hackingiem można zajmować się w pełni legalnie, o czym zresztą wspominałem na blogu - http://gynvael.coldwind.pl/?id=366 ;)

@dami_cnc: Z tego co mi wiadomo to w Polsce (i nie tylko) brakuje pentesterów i trudno o kandydatów. To nie jest system 0/1 ofc.

@paszczur:
1. 24-48h średnio. Zadania są udostępniane albo od razu na początku CTFa (rzadko), albo co kilka godzin.
Rozwiązać je trzeba do końca CTFa.

Jeśli chodzi o faktyczny czas rozwiązania, to:
- bardzo rzadko: ~1-10 min (tylko jeśli rozwiązania są typu grep2pwn - czyli znajdź niezaszyfrowaną flagęPokaż całość

@ktoosiu:
Nieźle! Dodam, że to /7 to troszkę nie do końca może być prawda... Wydaje mi się, że był też jakiś z numerem -1/7 i 0/7.. i chyba 8/7 ;)

Hehe taaak, pewnie w relacji z Genewy / Insomni'hack to widziałeś. MSLC mają zwyczaj znajdować takie lubi - jest to oczywiście szybko wyłapywane i poprawiane, ale czasem dostają jakieś dodatkowe punkty za to (w zależności od zasad).

@thekrepa:
Warto jest dbać o bezpieczeństwo (bo czemu by nie).
Przy czym... bezpieczeństwo jest trudne, vide https://www.youtube.com/watch?v=I6yNRMcdXKE

@kurio: Pisać nie pisałem, ale afair moje video z serii ReverseCraft były tam publikowane.

@Blaady:
1. To pytanie jest bardzo bardzo ciekawe. Nasuwającą się odpowiedzią jest "nie", natomiast intuicja mi podpowiada, że mogą pojawić się jakieś bardzo dziwne przypadki, gdzie DoS jednej części systemu może wywołać jakieś ciekawe reakcje w innej części.
Szczerze, to kwestia konkretnego przypadku, ale jak pisałem wyżej - raczej nie.

(2-3 nie mojaPokaż całość

@kradzionyLogin:
Chrome korzysta z systemowego proxy by default (chyba można odpalić go z proxy w linii poleceń, ale nigdy nie chce mi się tego robić), a w FF można podać konkretne proxy (np. wskazujące na Fiddlera).
Z drugiej strony, jak z JS mam się bawić, to wolę Chrome.

Czyli.. w zasadzie bardzo mało istotne powody :)

@dragonsector:
Hehe pamiętam jakieś crypto, gdzie potrzebowaliśmy min. 64gb RAM żeby w rozsądnym czasie je rozwiązać ;)
Ale to był odosobniony przypadek.

@adas-mrozio:
Na yt planuje wrócić jak tylko się uporam z obecnym projektem (książka). Prawdopodobnie druga połowa tego roku, może wcześniej.

Ad debugger, osobiście używam gdb gdzie się da, natomiast kurcze, muszę w końcu sobie skompilować gdb z Pythonem na windows 64-bit (ostatnio na CTFie zadanko na win64 rozwiązywałem mając 64-bitowy gdb server na windowsie i gdb oskryptowane Pythonem na Linuxie, połączone z gdb server ;p).
WinDBG pod Windowsa jest generalniePokaż całość

@mechanicc:
Trudna sprawa. Generalnie nigdy nie bylem fanem certyfikatów, ale antyfanem też nie jestem. Problem ocenienia umiejętności danej osoby jest zdecydowanie problemem trudnym.
Wiem, że niektórzy pracodawcy wymagają certyfikatów, ale... jeśli chodzi o bezpieczeństwo, to raczej bym na certyfikaty nie patrzył jeśli jest inna możliwość weryfikacji umiejętności danej osoby.

@R4vPL: Woah, ściana pytań!

1. Dobre pytanie. Generalnie trudno mi jest na nie jakoś konkretnie odpowiedzieć. Osobiście zacząłem od hackme, więc może jakieś zadanka z hacking-lab.com na początek? (jeśli mnie pamięć nie myli są tam od razu materiały do zadanek).

Trudno mi wskazać jakieś dobre źródło informacji dla początkujących niestety - może ktoś inny, kto zaczynał stosunkowo niedawno, jest w stanie cośPokaż całość

@kradzionyLogin:
Nie, nie wszyscy - tylko kilka osób. Po polsku (próbowaliśmy przez chwilę na początku po angielsku - jeśli byśmy zapraszali do udziału osoby spoza PL, to tak by było dla nich wygodniej, ale ostatecznie zdecydowaliśmy się na język polski).

@coredump:
Hmm, *chyba* nikt nie ma. Osobiście nie planuje robić.

Patrz również: http://www.wykop.pl/link/2325106/dragon-sector-ama/#comment-25556770

@dragonsector:
3) W sumie kiedyś pisałem o tym na blogu - http://gynvael.coldwind.pl/?id=428

4) Niektóre zadania za 100 pkt można zrobić bez napisania linijki kodu.
Natomiast wszystko powyżej już wymaga napisania jakiś skryptów lubPokaż całość

@siodemkaxx: Odpowiem tak - jeśli ktoś pracuje przy zabezpieczeniu, to zawsze liczy się z tym, że ktoś zaatakuje jego sieć/produkty i stara się temu zapobiec. I w zasadzie jest nieistotne kim jest atakujący ;)

@kisiele: W zasadzie to co napisali tutaj http://istruecryptauditedyet.com/ https://www.schneier.com/blog/archives/2014/05/truecrypt_wtf.html i na kilku podobnych stronach.

@c4-pl-: Od strony technicznej jestem pod dużym wrażeniem tego projektu - zarówno jeśli chodzi o sam koncept (całe krypto, które za tym stoi), jak i o to w jakim kierunku poszły koparki (FPGA, etc), oraz alternatywne zastosowania, jak np. uwiarygodnienie, że miało się pewne dane w pewnym momencie czasu.

Jeśli chodzi o stronę ekonomiczną, to jestem jedynie pasywnie zainteresowany tematem.

@dami_cnc: Wolałbym mejla jeśli Ci to nie przeszkadza - znajdziesz go na moim blogu w sekcji About.

@nightstalk3r:
Był kiedyś jakiś dowcip w tym temacie ;)

Jakie kto ma hasło:

Lamer: Skomplikowane, np. "#3;2Gu=0", co tydzień starannie zmienia

Hacker: Łatwe, np. "zuzanna", i tak jak komuś będzie zależało,

Pokaż całość

@ktoosiu: Jeśli mnie pamięć nie myli, to bardzo lubiłem czytać jego bloga :)

@kradzionyLogin:
Generalnie zadań ciekawych jest zaskakująco dużo (ale nie mam już fajnych obrazków, które mógłbym pokazać ;>). Czasami organizatorzy przechodzą sami siebie.

Przykładem może być crackme w... minecraft, które q3k rozwiązywał:Pokaż całość

@avangarda:
Aaa do sesji RPG kiedyś potrzebowałem i jakoś tak zostało ;)
Co do "nigdzie", to chyba pracę inżynierską miałem podpisaną imieniem/nazwiskiem ( ͡° ͜ʖ ͡°)ﾉ⌐■-■

@avangarda:
Mowa o hackerspace, więc pewnie chodzi o https://gallery.hackerspace.pl/

@myrad: Wohoho, Nevillon brzmi jak... 2004?
Anyway, miałem tam konto, ale tylko jako bierny obserwator.

Natomiast i ja, i j00ru jesteśmy też w Vexillium (http://vexillium.org/), które teraz jest raczej nieaktywne, ale kiedyś trochę fajnych projektów mieliśmy. M.in. często braliśmy udział w compo na http://warsztat.gd / IGK - jakieś screeny jeszcze wiszą tu: http://vexillium.org/?gd

Osobiście zawsze byłem zdania, że takie grupy są bardzo cenne - ludzie w nich się wzajemniePokaż całość

@black_janusz:
Tak - o ile nic się nie popsuje to w Q3 powinna być na półkach.

@dragonsector:
Uh uh, ze zdjęciami z DEFCON jest problem bo nasz fotograf (ugh, that would be me) nie do końca ogarnął.
Dwa są tutaj, ale raczej bardzo słabe: http://gynvael.coldwind.pl/?id=543

@wzorekOkonia:
1) Ad druga część pytania - trudno powiedzieć. Wymieniłbym Rosję i USA, ale generalnie z każdego kraju się znajdzie jakiś zespół. Przy czym scena CTF chyba jest najbardziej rozwinięta właśnie w tych dwóch krajach (chociaż Korea Płd. też nieźle wygląda jeśli mnie pamięć nie myli).

2) Tak, w DefCamp CTF Quals (nie mylić z DEF CON...) - https://ctftime.org/event/155 ;)
Warto dodać, że STR polecieli również na finały - https://ctftime.org/event/182Pokaż całość

@Klopsztanga:
1. Tak. Każda technologia ma własne problemy, specyficzne tylko dla siebie (oprócz problemów, które są wspólne dla wszystkich). Na przykład:
- w Pythonie są problemy z unpickle niezaufanych danych
- w PHP unserialize ma podobne, ale trochę innej natury
- w PHP operator == ma trochę różnych problemów
- w RoR jestPokaż całość

@NoComments:
1. Nie. Nazwę wygenerował jakiś 'metal band name generator' (w zasadzie nie dokładnie Dragon Sector, tylko jakieś dwie podobne, które połączyliśmy w jedną, i wyszło Dragon Sector).

3. Na jednym CTFie dostawało się shella na PDP-11 / Unix 7th Edition. Był to chyba jedyny CTF, na którym roota zdobyliśmy faktycznie 0-dayem na jedno z domyślnych poleceń, które miało suid bit ustawione, co w przypadku Unix 7th Edition z 1979 byłoPokaż całość

@zawszespoko7:
Wygląda na to, że nikt nie czuje się wystarczająco silny z tematu internet 2.0 / etc, żeby odpowiedzieć na to pytanie :(

Ad waluty kryptograficzne - jak pisałem już w innym komentarzu, osobiście nie korzystam, ale z popcornem w ręce obserwuje całą sytuację ;)

@lucku:
Chwile poszperałem i chyba jest tak jak pisałem wyżej, tj. owszem, można ustawić, ale z command line. W innym wypadku korzysta z systemowego proxy.

Źródło:
https://support.google.com/chrome/answer/96815?hl=en
http://askubuntu.com/questions/513840/google-chrome-proxy-settings

@sit0:
Pierwsza połowa lat '80 ;)

@siodemkaxx:
W zasadzie filozof by musiał odpowiedzieć na to pytanie. Osobiście lubię wierzyć, że nie każdy ma swoją cenę ;)
Od strony technicznej, jeśli nie ma błędów (lub prawdopodobieństwo ich znalezienia jest śladowe) i jest bardzo ograniczony czynnik ludzki, to nie zawsze da się włamać.

@lucku: Thx, rzucę okiem*.

* - jak będę konfigurował nowy system, teraz mam na stałe FF przekierowane na Fiddlera po prostu (na co dzień korzystam z Chrome).

@Klopsztanga: https://prezi.com/5hif_vurb56p/php-object-injection-revisited/