昨日土曜日、都内中央区で開催したゆるいハッキング大会inTOKYOは無事終了。
社内の勉強・趣味として数名で始めたこの会ですが、今回定員５０名、３日間で満席で募集を締め切り累計300名を超える参加者が集まるようになりました。本当に感謝です。今回第１０回は欠席者が10名で４０名で開催しました。
今回も参加者も女性も含め15歳から47歳まで幅広い参加者層で初参加の方が多く、このまま間口を広く多くの方が参加できるように運営していきたいところです。
開催の内容
挨拶の後、２名のスピーチ後、実践の攻撃という形で18:30から20:50まで開催。（スピーチ内容非公開です。申し訳ありません）
今回攻撃ターゲットの３台のCentOSサーバーと、攻撃禁止の開催時のアナウンスやアンケート、タイムラインを行うコミニケーションを行う１台で合計4台のサーバーとNETGEARスイッチングハブ２台、アクセスポイントとして２台で行いました。
前回、あっという前にクラッキング成功したので、今回は３台それぞれ初級・中級・上級と分けてスピーチの後に行ったですが、初級に人数が殺到して、ハング気味。
想定はしていのですが、殆どの方が初級サーバーへアクセス。攻撃は禁止と口頭でアナウンスしたサーバーもツールで荒らされる状況でした。
サーバーの強化とコミニティーサーバーも確り対策が必要
まさか攻撃目標以外も攻撃されると思ってみなかったのですが、逆に新鮮な状況でした。コミニケーションサーバーにはカトーが開催前に用意したPHPスクリプトでやっつけＰＯＳＴ値を何もしてなかったカトーは凹んでいましたが（笑）
【追記】半分趣味で始めたとはいえ、会社の名前で運営していますから、この脆弱性は結構問題でした。言い訳せずに次回業務の一環という部分でこの部分は大きく受け止めていきます。
また攻撃用サーバーも集中してしまうという自体。サーバーの強化と回線の見直しが必須という結果でした。
次回、この部分を強化して行う予定です。また完全にインターネットに接続できない環境でしたので、こちらも参加者の意見を聞きながら検討が必要でした。
参加者の意見
アンケートサーバーで応えてもらった回答では上記画像になっています。多くの方が有意義な時間を過ごせた結果でしたが、厳しい意見もありました。実際の意見として、
HTTPでのアクセス(ブラウザでのアクセス)が重く、wordpressに対して手動で検証することが難しかったです。ネットワークがインターネット繋がれば別途調べる手間が省けたので攻撃がもう少し捗った気がします。今日はありがとうございました、楽しかったです。
ものすごく楽しかったです！捕まらない程度に勉強を続けていきたいです。
次回もよろしくお願いします！前回よりは予習できたが、まだツールの挙動など細かいところがわかりません。その中でつながりにくいのが原因なのか、自身の操作の間違いなのかが切り分けられない部分があります。サーバ3台に対して割り振りをしてもらえるとありがたいです。
nmap, wpscan, hydra など実際に叩いてどういう反応が返ってくるかがわかったのでとてもよい経験になりました。普通に運用しているサーバーであれば nmap や hydra にも耐えられるのでしょうか ?
みんなで総当たりをかけるとここまで早く落ちるとは思っていなかったです。
サーバー系の知識がなくて、何もできなくて終わりました。なんかとても悔しいです。セキュリティ面の危機感を感じたので勉強して再チャレンジしたいです。
初めての実戦だったのでどこを見るのかというのがよくわからない部分がありましたが少しばかりではありますが、理解できたのでよかったです。
CTF に参加したりなどはしていたが、現実的なセキュリティ問題とは乖離してきていそうだと思ってました。このイベントは現実的な問題を扱っていそうだったので参加しました。セッションでは普通の勉強会では聞けないよう話を聞くことができて新鮮でした。実践編ではHTTPやSSHのサービスのレスポンスが全く返ってこないため、攻撃することはできませんでした。有線LANを用意するなどの改善をしてほしいと思います。また、できれば電源もほしいです。
ターゲットが遅くて辛かったコミュニティページの改竄が困った
面白かったです。コマンド関連がまったくわかってなかったので勉強してきます。難易度的にはこのくらいならついていけそうです
やはり予習が必要。特にLinuxのコマンド系（普段、Windowsでやっているためスマホでググらないと分からなかった）ポートスキャンした⇒あいているポート分かった⇒ヒドラでアタック。パスワードヒットしているみたいな結果が出てるけど、どれがパスワードか分からないなど。分かっても、どうやって接続すればいいんだっけ。SSHでポート指定、ユーザ指定ってどうやればいいんだっけ、みたいな。それ以降は何をやったらいいのか分からず、どうすればいいんだろうかと、シンキングタイム状態でした。
ルールを徹底すべき、こういう無料で実践できる場所はそれが必要。
電源とインターネットは提供すべき！またマナーを五月蝿く言いたくないが、運営としてスタッフを増やすなり考えてほしい。
前回、今回とメインはやっぱりブルートなので、もういいかなぁと…そろそろ、別の技術を教えてほしいと思う詳細なログ消しとか、Windows系とか
今後の課題
手伝ってくれる方も増えて本当に感謝に尽きます。参加されている方が満足できるような環境を作るのが必須。
当然サーバーやネットワークの増強が必要。今まで会社の部活というか趣味レベルで始めたこの会ですが、ルールの設置も含めて参加してもっと満足できるようにしないと意味がないです。また初心者も中級者も参加できるコミニティーの設置が必要ですね。
具体的に以前も個人で違う会を主催しましたが、会社として開催する以上、次回の実践までにパワーアップ予定です。
また次回は３月（日程は２月末告知予定：参加した方に先行して連絡）に行います。次回から２回はスピーチ・講義、１３回に実践の攻撃予定です。
開催を終えて懇談会
懇談会は会社の近くの中華料理屋の美味閣で１６名で飲みながら雑談。割り勘で飲み放題2時間、3500円、お酒を飲まない人は3000円。
主に次回の開催についてどしたらいいのか？という部分で会話が弾んでいました。
またヤバげな会話も。
その後会社に５名で更に反省会。
その後、社長カトーは”ああ、俺は仕事に飲まれて、もっと精神も技術学ぶ姿勢も遅れた”と凹んでいました。また次回も開催後、懇談会を予定しておりますので、ぜひ、懇談会もご参加ください。
