6/14（日）にCTF初心者向け勉強会に参加してきました．

CTF for ビギナーズ2015 札幌

CTFとは，
“セキュリティに関する実践的技能を競うためのコンテスト”
(SECCON 2015 事業開始式 by takesakoより）
のことです．

時折，SECCON CTF（セキュリティコンテスト Capture The Flag）という名前の大きな大会が開催されており，今回はその入門のための勉強会といった感じです．
やっぱりwebサーバを使っている身としても常にセキュリティに対しては敏感でありたいものですもんね．．．

ところで，先のリンクにあるスライドを見ると今後も東京，長野，熊本・・・と全国各地で初心者向け講習会が開かれるようですね．

まぁこれに限らず，北海道で楡CTFや勉強会が開催されているように，各地でローカル勉強会はあると思いますが．

年金の情報流出問題やIoTでセキュリティへの関心は高まっているので今後さらに注目を浴びる．．．のかな？

前置きが長くなってしまいました．

以下，どんなことをやったのか復習と感想を残しておきたいと思います．

参加申し込み〜イベントの内容

• CTFについての説明
• バイナリアンが何を言っているかわからない件
• Webマンがエスパー過ぎて生きるのが辛い
• 簡易CTF

運営スタッフによる講義形式の勉強会，最後に学んだことを踏まえたハンズオン形式の簡易CTFを行うといったスケジュールでした．
参加者30人の満員という状態だったので今後も拡大しそうですね．

参加するにあたって問題が１つありました．

PCのスペック不足（空き容量不足）です．．．

勉強会は用意された仮想マシン環境で実習する形式だったんですが，今のノートPCで20GBの空き容量なんて確保するのは不可能に近く．．．一応問い合わせたところ10GBぐらいあいてれば何とかという話でしたが，結局，当日は仮想マシンインストール時にストレージ不足など少々トラブってしまいました．諸開発環境など無理やり色んなもの消して何とか動かせるように．
（運営の方々にご迷惑をお掛けして申し訳ない気持ちでいっぱいです）

MacBook Air（2011モデル SSD120GB）でbootcampなんかしてるのがそもそも悪いんですけどね．
そろそろ買い替え時でしょうか．

バイナリアンが何を言っているかわからない件

バイナリ！

CPU・メモリの動作，ファイルデータ，機械語などに対する理解が求められる分野です．

勉強会で登場したのは３つ．
– fileコマンド（cmd）：拡張子偽装を見破る，ファイル形式の判定
– stringsコマンド（cmd）：ファイル内に隠された文字列（Flagやヒント）を見つける
– x86 アセンブリ（IDA Pro）：実行形式ファイルの動作を解析してFlagを入手する

linuxはコマンドがしがし使うイメージありますが，windowsのコマンドプロンプトも標準機能で結構遊べるんですねぇ．ちょっと侮ってました．

最後の内容はアセンブリ言語大好きなサークルの友人が歓喜しそうな内容でした．
（次回のイベントがあった際にはその友人に声をかけておこう）

自分もPICやAVR程度の8bitマイコンのアセンブリ言語を扱うことはあっても，さすがにx86は初めてでしたね．といっても扱える命令の種類が違うとういだけですが．

アセンブリ言語が理解できるかというよりは，ツール（IDA PRO）を使いこなせるかが重要なのかなという印象でした．

Webマンがエスパー過ぎて生きるのが辛い

webサーバやデータベースなど，そこら辺の分野ですね．

具体的に挙げられていたテクニックは
– SQLインジェクション：’ OR 1=1 —
– UNION句
– ディレクトリトラバーサル： ../
– phpファイルをbase64化して読む（convert.base-64-encode）
– Cookie
– XSS

など．
こちらも詳細内容は省略．

セキュリティの分野ではどれもよく耳にするワードがずらり．．．

が，言葉は知っていても具体的にどうやって攻撃する/されるのか，
という具体的なこと（どんなコードを打ち込むのか）までは知らなかったので勉強になりました．

タイトルにもある通りWeb系も問題はエスパー力が必要と強調していました．
バイナリのようにデータが手元にあるわけではないので，どうしても勘が必要になるようです．

おそらく，この勘（エスパー力）というのは，CTFだけでなく，webサーバを構築，webページ作成，データベースの利用経験を通して培われていくんだと思います．SQL文を想像するなんてDB全く扱わない人じゃないとまず厳しいでしょう．

一般的にはどう設計するか？サーバはどう守られているか？サーバ管理者（出題者）の思考・思想は？
今回の講義では防御方法の解説はなかったものの，攻撃を考えるということは，必然的に自分の身を守ることにも繋がるのがよくわかります．

長年使われていたサーバを引き継いでしまった！管理者が去ってしまった！
なんて時にも，このエスパー力が役立つかもしれません（笑）

CTF

運営の方が作った問題を解くミニCTF.
基本的には講習で扱った内容の問題，＋α（ネットワーク系の問題）が出題されていました．

詳しくは，課題に使用されたサーバのデータが手元に無いので割愛しますが，結果は，ごく簡単なものしか解けませんでした．

無念．．．

解答を聞いてみると，講習でやったことで溶ける問題が多く，理解はまだまだ浅いようです．．．
だからこそ，こんなブログを書きながら資料を読み返していたり．．．

まとめ

初心者向けということで，簡単で基本的な知識（テクニック）＋それを使った演習問題という流れは凄く良いですね．

いきなりCTF大会に参加しても何も手が出ませんからね！（楡CTFの時のように．．．ｗ）

基礎をいくつか学んで，ある知識でヒントを得て，また別の知識でFlagを入手していくCTFの流れは，基本的なルールや公式を学んでそれを組みわせて応用問題を解いていく高校までの数学のようにも思えました．

セキュリティ教育という意味でCTFはピッタリじゃないでしょうか．

大学の重点領域分野にサイバーセキュリティが加わるとの話しもあるので，セキュリティ教育の動向は目が話せませんね．
（重点領域になるのは研究としてだったかな？）

授業でCTFあったら喜んで受講するんだけどな．

実習というのは，対策なしだとこんな簡単に情報抜き取られてしまうのか，と身を持って体感できます．
本当に明日は我が身．．．です．．．

セキュリティってイタチごっこなんだろうな，と勝手に思ってるんですが，
一般的な対策を施すだけでなく，攻撃方法を知ってそれに対する対策をどんどん施していかないと，やられてしまうんでしょうね．
いわゆる攻めのセキュリティとかいうやつでしょうか．

セキュリティは大事だーとか，しっかりしろー，とか口で言うのは簡単でも，実現するのは容易ではなさそうです．
専門知識も必要だし，常に最新で「正しい」情報を仕入れなければならない．
さらにはエスパーに攻撃される気持ちで防御しないといけないだなんて．．．

そこにリソースどれだけ割くことができるのでしょうか．
そしてどれだけリソース割いたとしても，やられるときはやられてしまうという現実．
（なんといっても，本当の攻撃者は生活がかかっていますからね）

こういった勉強会に参加するたびに，自分の知識の無さを思い知り，いろんなことを勉強せねば！という気持ちになります．

興味の幅が広がっては中途半端な知識が増えていくのも良くないなと日々思いながらも，刺激を求めてまた次も参加するのでしょう．

終了後は一緒に居合わせた大学の友人と近況報告しながらご飯を食べ帰宅．

リンク

• CTF for ビギナーズ 2015 札幌
• SECCON 2015 事業開始式 by takesako
• CTF for ビギナーズ 2015 札幌 #ctf4b | Web開発者の日常
• CTF for ビギナーズ 2015 札幌に参加してきた #ctf4b

（勝手にリンク貼らせていただきました．問題あれば一報ください）

今回は若手の会のメインであるセッションについて簡単に．

若手の会は，ご飯，懇親会，睡眠以外の時間のほとんどはセッションなので，数多くの発表がありました．
特別講演の２つはやはり特に印象的でした．

本当は楽しいインターネット

@yuyarinさんによる，インターネットがどのように運用されているかという講演です．

普段，自分はインターネットを情報検索や情報発信のツールとして使うユーザーです．一方で，インターネット上にデータを流すために，回線やスイッチといった物理的な装置の運用，パケットの流れを制御している人達（ネットワークエンジニアと呼ばれる方々）がいます．

ユーザーという立場でインターネットを活用していたため，インターネットという基盤がどう構築されているのか，運用者はどのような意図を持って設計しているのかということを全く意識したことがありませんでした．（会社や学校など大きなネットワークを構築した経験のある人はこういう意識を持っているのかもしれません．）

インターネットは簡単な電子工作で使うデータ通信のように結線すれば繋がるというものではないので，信号をパケットとして解釈しまた別の行き先にルーティングして，ということができるが故に，いかに効率良くデータをさばくかということが求められ，その結果ネットワークそれぞれが生きているかのように振舞っているように思えました．

ネットワークに対する興味と新しい視点を発見することができました．
そしてインターネットを支えているネットワークエンジニアへの感謝の気持ちも忘れないようにしたいと思います．

サイバーセキュリティの世界に飛び込もう

NICTの大井大介さんによる，セキュリティ全般に関する講演です．

大井さんは，なんと，ネットワークの攻撃を可視化する超Coolなツール「ダイダロス」をデザインした方です．
まさかお会いできるとは思っていませんでした．

発表では開発物語を聴くことができました．

デザインの秘訣は「SF作品を沢山見る」ことだそうです．
こんな書籍も紹介されていました．（今度ポチろうかな？）

SF映画で学ぶインタフェースデザイン アイデアと想像力を鍛え上げるための141のレッスン

セキュリティを高めるという自衛自体は（外部にその技術を売るなどしない限り）お金にならない事が殆どで，コストカットで真っ先に矛先が向いてしまいます．今もまさに攻撃を受けているという「現状」を皆に理解してもらうことが重要で，セキュリティに対する意識向上に向けてこういったらツールを開発しているとのことでした．

最近はクラッキングが技術の誇示でなく，金儲け（＝生活がかかっている）になってきており，攻防の質や速度が激化しているという話もありました．

また，攻撃の種類も変わり続けるからこそ終わりのない研究テーマであるとのことでした（日本は暗号化の研究は強くても，こういった実際の攻撃などに対する研究はまだまだ足りていないようです）．

実はこの発表前日の懇親会でお話しをさせて頂き，個人で管理しているwebサーバなどに関して，セキュリティ対策に切りがないが，基本的な防御方法をしっかり抑える（ソフトを最新の状態にする，sshのポート変えておくなど），こまめにサイトの更新を行うといったことが重要だという助言を頂きました．

ここもさくらVPSで運営しておりますが，自衛頑張ろう（ちゃんと更新しよう）．．．

一般発表・ショート・ナイトセッション

他にも色んなのがあり，新たに知ること，感じることが沢山あったのですが流石に紹介しきれません（Twitterのまとめを見ると振り返れるので，ここでもTwitter大活躍ですね）．全内容を知れるのは参加者の特権といったところでしょうか．

@decobisuさんが，ちょっと風変わりな「ミツバチ」の発表をしていたので，その時紹介していた動画貼って今回の記事は終わりにしたいと思います．

ミツバチかわいい

驚くべきことにミツバチは飼えるらしい．．．

次回は自分の発表についてかな．

昨年初めて行って感動したので，今年もオープンソースカンファレンスに行ってきました．

昨年はサッポロオープンラボとして出展側の参加だったのですが，今年は出展しなかったのでゆっくり回れました．

どのブース・セミナーも見てるだけ，聞いてるだけでワクワクしてきますよね．

そして何故か会場で知っている人に数名ほど遭遇．お互いにビックリｗ

さて，忘れないうちに感想を残しておきましょう．

GVC面白そう

いくつかのセミナーを聞いたのですが，「DNS初めの一歩とダイナミックDNSの今＆GVCによるオープンハード・オープンソースでの遠隔操作の紹介」が特に面白かったですね．

無料でDNSサービスやりますよっていうのと，GVCでLinuxから各種センサなど電子モジュールの操作をしようっていうのと，某web広告での収入が結構美味しいという話し．

組み込みというかロボットとかでマイコン弄っていいる身としては，GVCを使えば，組み込みLinux->各種センサ制御ができる！というのがとても魅力的でwktkポイントでした．

別にRaspberry Piからセンサ作るだって難しくないんだろうけども，Linuxとセンサ類をPIC経由のI2Cで行っているのがgood．こういったプロトコルを用意してもらえると，変な自分仕様の独自規格になって誰も編集できない，未来の自分も編集できないプログラムが出来てしまうといったリスクが低くなる．また，センサなどの拡張機能を誰かが作ってくれるかもしれない．サークルとかでいえば，「作って」と支持することも出来る．

しかもドキュメントが結構しっかりしている．素晴らしい．見習いたい．

http://www.gvc-on.net/

PHPの復習

「PHPの復習」も面白かったですね．

ただ，PHPは本当に少ししか触ったこと無くて，７割ぐらいは自分にとって新情報でした．初心者としては網羅的に重要な情報が聞けて非常に有益でした．

とりあえず，PHP The Right Wayは抑えておこうとのことでした．

展示ブース

あとは適当に写真とかあるものを．

Wi-Fiが内蔵してある東芝製SDカード，FlashAir

色々と出来るっぽいのと，SDカードのI/O電圧を設定で変えれるとか．類似のSDカードは幾つか聞いたことあるけど，コレ系統は面白いに違いない．

噂のFirefox OS本体と，アプリの開発デモを見ました．

コマンドでホイホイフレームワークというか下準備が終わって，PC上のFirefox（ブラウザ）でデバッグなど一通りできるっぽい．自動化は素晴らしいなぁと．

GMOがVPSやってるのは知りませんでした．WiMAXで「とくとくBB」とかではよく目にするんですけどね．

ブースで抽選会で当たりを引いたのでクリアファイル貰いました．可愛いですね．

他にも気になるものはいくつかあったんですけど，とりあえずこんな感じですかね．

こういう世界に浸りたい．物性系の研究室なので，学校でこういう話題が出てこないのが非常に寂しい．

その時の記事を読むと，文章も微妙ですし読みやすいとは言えませんが， それでも当時の思考ややったことを辿れるログが残っているという点は良いですね．

最近，wikiを編集しようとしてエラー出まして，その原因がphpのバージョンに依存する関数で， いつphpのバージョン変えたんだったかなあとか思ってたんですけど，その記事に自分で入れ直したってちゃんと書いてありました． そんな疑問も晴れるのです． いいことだらけ(ﾟ∀ﾟ)

3ヶ月後の自分は別人なんて言われますが，3ヶ月も経たないうちにこんな状況なのでログを残すことを怠ってはいられませんね． 忘れてしまったらノウハウにも知識にもならぬ(´・ω・｀)

文章は「質より量の技術ブログ」（こちら）なんて言われるているように，日々書きまくるしか無いのでしょう． 作文とか文書を書くという行為が大の苦手でも，いつかきっとと思うしかありません．

「他の人が見ているかもしれない」ということが判明したので，ちょっと見栄えWordpressのテーマを変更してみました．

WPMEMO basix

WPMEMO basic導入とカスタマイズ

シンブルなデザインで，何かあればカスタマイズしやすそうだったWPMEO basicを入れてみました．

入手

ここから入手します．

カスタマイズ

pタグの段落間が凄く狭かったので，スタイルシートを編集．（ちゃんと勉強してないので書き方おかしいかも）

.post p {
     line-height:1.6;
     font-size:13px;
     margin-bottom: 1.5em;/* 追加 */
}

.entry_content p {/* 追加 */
     line-height:1.6;
     font-size:13px;
     margin-bottom: 1.5em;
}

他の記事のレイアウトが崩れてしまったりまだカスタマイズしていかないと思うので，少しずつやっていきたいと思います．

で，最近Gitサーバー立てて遊んでみようかと思い立って色々試してるわけですが（Githubもまともに使ったこと無いのに＾＾；）その中であったトラブルでも作業記録として残しておきましょう．

ローカルでGit使ってた訳でもなくSourceTreeにちょっと苦戦したりもしてるんですが，今回は
Git（SoucrTree）でコミットした，日本語名を含むファイルファイルが，Redmineのリポジトリを確認するとファイル名は数字，ファイルは存在しないことになってしまう，　というものでした．

ちなみにローカルはwindowsで，gitはさくらVPS上で構築してます．

直し方

サーバー側のgitで，

 $ git config --system core.quotepath false

で直りました．

ちなみに，–globalでは直りませんでした．（何でだろ，把握してないの危ないな．．．）

どうやら，UTF8で日本語（マルチバイト文字）が例えば”\244″のようにエスケープされたまま扱われてしまうのが原因うで，このquotepathをfalseにすると解消できます．

ただ，別なところに影響が出ないかちょっと心配です．様子見ですね．

Redmine入れたのも，Gitを使うことを見越してです．後に，ALMiniumの存在を知って，ちょっと後悔＾＾；

集合時間を間違えて1時間早く着いてしまった(ﾉ∀`)

活動としては子どもたちにラジオ作りと紫外線LEDを使った工作．

（自分は日曜しか参戦してないけど）土曜の様子

部品4つのラジオと言っても，しっかりと電気回路的に解析したら大学レベルなので奥が深い（小学生相手なので勿論そんな話はしてない）

終わった後は活動メンバーで月寒のカフェで反省会というか精算とか今後の作戦会議でした．

カフェのコーヒーのせいでしょうか，珍しく早起きした割にこの時間でも元気です．元気なのでWordPressのコンテンツを地道に更新していってます．そして明日大丈夫なのか．

まとめる時間が取れていないっていう残念な事態orz

今回のネタは，Wordpressの画像をアップデートする時に自動的にリサイズしてくれる便利なプラグイン「Imsanity」についてです．

導入当初からエラーがでて放置してたのですが，これからのことを思いちゃんと直しました．

以下にその経緯を．

まず，どんなエラーだったかというと，

ほう．．．

とりあえずGoogle先生に聞いてみたところ，「GDライブラリ入ってなにんじゃね？」っていう話し

参考：http://wordpress.org/support/topic/imsanity-php-error-on-upload-of-image

GDライブラリって何？（まぁ自分は初心者なので

引用：http://www.hougetsudou.com/wp/archives/1122
だそうです．

とりあえず，自分の鯖に入っているのか確認してみましょう

$ gdlib-config --version

→コマンドが見つかりません．

PHPのモジュールだそうなので，

$ php -m

→やっぱりありませんでした．

GDライブラリが動作していない（＝disable）なのか，そもそもインストールされていないのかという問題については，phpinfoを見ればよいそうです．

・phpinfoで確認する：　https://forums.digitalpoint.com/threads/how-to-check-if-gd-library-is-installed.234025/

・PHPでGDライブラリがenableなってるか？：http://i-njoy.net/blognplus/index.php?e=66

じゃあ，入れましょう．

こちらのサイトと状況が似てますね．

http://www16071ue.sakura.ne.jp/wordpress/2012/07-08-3978.html

とりあえずインストールコマンドを打ってみましょう

$ yum install php-gd

結果は，

まー予想通りですね．

結論からするとphp-commonとかいうのを一旦消してからphp-gdを入れれば良いそうなのですが，php-mysqlとかも消えることになるけどいいの？っていう話

んー

めんどくせーからやっちまえー

$ yum remove php-common

んじゃ次に

$ yum install php-gd
$ yum install php-mysql php-cli php-pdo

適用されてないんじゃないかなと思って

$ sudo service httpd reload

・・・おうふ(´・ω・｀)

php入れるの忘れてました．

$ yum install php

これで，apacheをreloadすると，phpinfoを確認すると，無事にGDがenableになっていることが確認できました．

さあ，画像のアップデートをしてリサイズを試してみよう．いつも通りWordpressで．．．

・・・

おうふ(´・ω・｀)

php.infoに書いてあるアップロード上限が2Mになってたので，10Mに書き換えて再度apacheのreloadを行い，終了です．

無事「Imsanity」が使えるようになりました．

まずはHTML

<html>
<p>テスト</p>
</html>

続きましてテキスト

てきすと
テキスト
text
<text>

いいですね
参考サイト：http://ozpa-h4.com/2012/03/06/wordpress_plugin_syntax_highlighter_evolved/

MySQLのメモリ馬鹿食いが原因だったのですが，その経緯をまとめました．

Wikiは見れる

WordPress死んでる

SSH死んでる

Wikiは動いているのでサーバーが完全に止まったというわけではなさそうです．

仕方ないので，さくらVPSのシリアルで通信できるサービスがあるので，

そっちでログイン．

$ top

で，確認してみると，MySQLでメモリを1G近く食っていました．

新しいスレッドを立てれないとか，そういう感じでしょうか．

$ /etc/init.d/mysqld restart

無事繋がるようになりました．

今日は遅いので，根本的な対策は後日行うことにします．

おしまい

これまで，無料のサーバーを使い幾度と無く更新が停滞してきたわけですが，今回はVPSを契約し，ドメインを取り，勉強を兼ねて少し真面目にやろうかと思います．

WordPress自体はいいものなのですが，不安定なサーバーでやると見れなくなることが多々あったので，そこが不満だったのもあります．

今までのコンテンツのお引越しや，管理上での備忘録など記録していく予定です．