CTF

Source: https://github.com/apsdehal/awesome-ctf at eb504b242be3
License: CC0-1.0
Read the English original

This edition is an AI-assisted translation.

Awesome CTF

Une liste organisée de frameworks, bibliothèques, ressources, logiciels et didacticiels Capture The Flag (CTF). Cette liste vise à aider les débutants ainsi que les joueurs chevronnés des CTF à trouver tout ce qui concerne les CTF en un seul endroit.

Contribuer

Veuillez d’abord jeter un coup d’œil rapide au consignes de contribution.

Si vous connaissez un outil absent de cette liste, n’hésitez pas à proposer une pull request.

Pourquoi ?

Il faut du temps pour constituer une collection d’outils utilisés dans CTF et les mémoriser tous. Ce référentiel permet de conserver tous ces outils dispersés au même endroit.

Sommaire

• Awesome CTF

  • Créer
    • Analyse forensique
    • Plateformes
    • Stéganographie
    • Web
  • Résoudre
    • Attaques
    • Outils de force brute
    • Cryptographie
    • Exploitation
    • Analyse forensique
    • Réseaux
    • Rétro-ingénierie
    • Services
    • Stéganographie
    • Web

• Ressources

  • Systèmes d’exploitation
  • Kits de démarrage
  • Tutoriels
  • Jeux d’entraînement
  • Sites web
  • Wikis
  • Collections de write-ups

Créer

Outils utilisés pour créer des défis CTF

• Kali Linux CTF Blueprints - Livre en ligne sur la création, le test et la personnalisation de vos propres défis Capture the Flag.

Analyse forensique

Outils utilisés pour créer des défis médico-légaux

• Dnscat2 - Héberge la communication via DNS.
• Kroll Artifact Parser and Extractor (KAPE) - Programme de tri.
• Magnet AXIOM - Outil DFIR centré sur les artefacts.
• Registry Dumper - Videz votre registre.

Plateformes

Projets pouvant être utilisés pour héberger un CTF

• CTFd - Plateforme pour héberger les CTF de style Jeopardy d’ISISLab, NYU Tandon.
• echoCTF.RED - Développer, déployer et maintenir votre propre infrastructure CTF.
• FBCTF - Plateforme pour héberger les compétitions Capture the Flag de Facebook.
• Haaukins - Plateforme de virtualisation hautement accessible et automatisée pour la formation à la sécurité.
• HackTheArch - Plateforme de notation CTF.
• Mellivora - Un moteur CTF écrit en PHP.
• MotherFucking-CTF - Une plateforme légère et performante pour héberger des CTF. Sans JavaScript.
• NightShade - Un framework CTF de sécurité simple.
• OpenCTF - CTF dans une boîte. Configuration minimale requise.
• PicoCTF - Plate-forme utilisée pour exécuter picoCTF. Un excellent cadre pour héberger n’importe quel CTF.
• PyChallFactory - Petit framework pour créer/gérer/packager les défis CTF liés aux risques.
• RootTheBox - Un jeu de hackers (tableau de bord CTF et gestionnaire de jeu). Plateforme
• Scorebot - pour les CTF par Legitbs (Defcon).
• SecGen - Générateur de scénarios de sécurité. Crée des machines virtuelles vulnérables de manière aléatoire.

Stéganographie

Outils utilisés pour créer des défis stégo

Vérifiez la section de résolution pour la stéganographie.

Web

Outils utilisés pour créer des défis Web

Obfuscateurs JavaScript

• Metasploit JavaScript Obfuscator
• Uglify

Résoudre

Outils utilisés pour résoudre les défis du CTF

Attaques

Outils utilisés pour effectuer divers types d’attaques

• Bettercap - Framework pour effectuer des attaques MITM (Man in the Middle).
• Yersinia - Attaquez divers protocoles sur la couche 2.

Cryptographie

Outils utilisés pour résoudre les défis Crypto

• CyberChef - Application Web pour analyser et décoder les données.
• FeatherDuster - Un outil de cryptanalyse automatisé et modulaire.
• Hash Extender - Un utilitaire permettant d’effectuer des attaques par extension de longueur de hachage.
• padding-oracle-attacker - Un outil CLI pour exécuter des attaques Oracle de remplissage.
• PkCrack - Un outil pour briser le cryptage PkZip.
• QuipQuip - Un outil en ligne pour casser les chiffrements de substitution ou les chiffrements vigenere (sans clé).
• RSACTFTool - Un outil pour récupérer la clé privée RSA avec diverses attaques.
• RSATool - Générer une clé privée avec connaissance de p et q.
• XORTool - Un outil pour analyser le chiffrement XOR multi-octets.

Outils de force brute

Outils utilisés pour divers types de force brute (mots de passe, etc.)

• Hashcat - Craqueur de mot de passe
• Hydra - Un cracker de connexion parallélisé qui prend en charge de nombreux protocoles d’attaque
• John The Jumbo - Version communautaire améliorée de Jean l’Éventreur.
• John The Ripper - Cracker de mot de passe.
• Nozzlr - Nozzlr est un framework bruteforce, véritablement modulaire et convivial pour les scripts.
• Ophcrack - Cracker de mot de passe Windows basé sur des tables arc-en-ciel.
• Patator - Patator est un brute-forcer polyvalent, avec une conception modulaire.
• Turbo Intruder - Extension Burp Suite pour l’envoi d’un grand nombre de requêtes HTTP

Exploitation

Outils utilisés pour résoudre les défis liés aux exploits

• DLLInjector - Injecter des DLL dans les processus.
• libformatstr - Simplifie l’exploitation des chaînes de format.
• Metasploit - Logiciel de test d’intrusion.
  • Aide-mémoire
• one_gadget - Un outil pour trouver le gadget appelé execve('/bin/sh', NULL, NULL).
  • gem install one_gadget
• Pwntools - Framework CTF pour l’écriture d’exploits.
• Qira - Analyseur d’exécution interactif QEMU.
• ROP Gadget - Framework pour l’exploitation de ROP.
• V0lt - Boîte à outils de sécurité CTF.

Analyse forensique

Outils utilisés pour résoudre les défis médico-légaux

• Aircrack-Ng - Crack les clés WEP et WPA-PSK 802.11.
  • apt-get install aircrack-ng
• Audacity - Analyser les fichiers son (mp3, m4a, peu importe).
  • apt-get install audacity
• Bkhive and Samdump2 - Vidage des fichiers SYSTEM et SAM.
  • apt-get install samdump2 bkhive
• CFF Explorer - Éditeur PE.
• Creddump - Vider les informations d’identification Windows.
• DVCS Ripper - Rips les systèmes de contrôle de version (distribués) accessibles sur le Web.
• Exif Tool - Lire, écrire et modifier les métadonnées du fichier.
• Extundelete - Utilisé pour récupérer les données perdues à partir d’images montables.
• Fibratus - Outil d’exploration et de traçage du noyau Windows.
• Foremost - Extraire un type particulier de fichiers à l’aide d’en-têtes.
  • apt-get install foremost
• Fsck.ext4 - Utilisé pour réparer les systèmes de fichiers corrompus.
• Malzilla - Outil de recherche de logiciels malveillants.
• NetworkMiner - Outil d’analyse médico-légale du réseau.
• PDF Streams Inflater - Recherchez et extrayez des fichiers zlib compressés dans des fichiers PDF.
• Pngcheck - Vérifie l’intégrité du format PNG et sauvegarde toutes les informations au niveau des blocs sous une forme lisible par l’homme.
  • apt-get install pngcheck
• ResourcesExtract - Extrayez divers types de fichiers à partir d’exes.
• Shellbags - Examinez les fichiers NT_USER.dat.
• Snow - Un outil de stéganographie des espaces blancs.
• USBRip - Outil d’investigation CLI simple pour le suivi des artefacts de périphériques USB (historique des événements USB) sur GNU/Linux.
• Volatility - Pour examiner les vidages de mémoire.
• Wireshark - Utilisé pour analyser les fichiers pcap ou pcapng

Visionneuses de registre

• OfflineRegistryView - Outil simple pour Windows qui vous permet de lire les fichiers de registre hors ligne à partir d’un lecteur externe et d’afficher la clé de registre souhaitée au format de fichier .reg.
• Registry Viewer® - Utilisé pour afficher les registres Windows.

Réseaux

Outils utilisés pour résoudre les défis de mise en réseau

• Masscan - Scanner de port IP de masse, scanner de port TCP.
• Monit - Un outil Linux pour vérifier un hôte sur le réseau (et d’autres activités hors réseau).
• Nipe - Nipe est un script permettant de faire de Tor Network votre passerelle par défaut.
• Nmap - Un utilitaire open source pour la découverte de réseau et l’audit de sécurité.
• Wireshark - Analysez les vidages réseau.
  • apt-get install wireshark
• Zeek - Un moniteur de sécurité réseau open source.
• Zmap - Un scanner réseau open source.

Rétro-ingénierie

Outils utilisés pour résoudre les défis d’inversion

• Androguard - Rétro-ingénierie des applications Android. Cadre d’analyse binaire indépendant de la plate-forme
• Angr - .
• Apk2Gold - Encore un autre décompilateur Android. Décompilateur Android
• ApkTool - .
• Barf - Cadre d’analyse binaire et d’ingénierie inverse.
• Binary Ninja - Cadre d’analyse binaire.
• BinUtils - Collection d’outils binaires.
• BinWalk - Analysez, procédez à l’ingénierie inverse et extrayez les images du micrologiciel.
• Boomerang - Décompilez les binaires x86/SPARC/PowerPC/ST-20 en C.
• ctf_import – run basic functions from stripped binaries cross platform.
• cwe_checker - cwe_checker trouve des modèles vulnérables dans les exécutables binaires.
• demovfuscator - Un désobfuscateur en cours de développement pour les binaires déplacés.
• Frida - Injection de code dynamique.
• GDB - Le débogueur du projet GNU. Plugin
• GEF - GDB.
• Ghidra - Suite Open Source d’outils d’ingénierie inverse. Similaire à IDA Pro.
• Hopper - Outil d’ingénierie inverse (désassembleur) pour OSX et Linux.
• IDA Pro - Logiciel d’inversion le plus utilisé.
• Jadx - Décompilez les fichiers Android.
• Java Decompilers - Un décompilateur en ligne pour les APK Java et Android.
• Krakatau - Décompilateur et désassembleur Java. Exploration mobile d’exécution
• Objection - . Plugin
• PEDA - GDB (uniquement python2.7).
• Pin - Un outil d’instrumentation binaire dynamique d’Intel.
• PINCE - Outil d’ingénierie frontale/inverse GDB, axé sur le piratage et l’automatisation de jeux.
• PinCTF - Un outil qui utilise la broche Intel pour l’analyse des canaux latéraux.
• Plasma - Un désassembleur interactif pour x86/ARM/MIPS qui peut générer un pseudo-code indenté avec une syntaxe colorée.
• Pwndbg - Un plugin GDB qui fournit une suite d’utilitaires pour pirater facilement GDB.
• radare2 - Un cadre d’inversion portable.
• Triton - .
• Uncompyle - Décompilez les binaires Python 2.7 (.pyc).
• WinDbg - Débogueur Windows distribué par Microsoft.
• Xocopy - Programme capable de copier des exécutables avec autorisation d’exécution, mais sans autorisation de lecture.
• Z3 - Un prouveur de théorème de Microsoft Research.

Déobfuscateurs JavaScript

• Detox - Un outil d’analyse des logiciels malveillants Javascript.
• Revelo - Analyser le code Javascript obscurci.

Analyseurs SWF

• RABCDAsm - Collection d’utilitaires comprenant un assembleur/désassembleur ActionScript 3.
• Swftools - Collection d’utilitaires permettant de travailler avec des fichiers SWF.
• Xxxswf - Un script Python pour analyser les fichiers Flash.

Services

Divers types de services utiles disponibles sur Internet

• CSWSH - Testeur de piratage WebSocket multisite.
• Request Bin - Vous permet d’inspecter les requêtes http vers une URL particulière.

Stéganographie

Outils utilisés pour résoudre les défis de la stéganographie

• AperiSolve - Aperi’Solve est une plateforme d’analyse de couches sur image (open-source).
• Convert - Convertissez les images en formats n/b et appliquez des filtres.
• Exif - Affiche les informations EXIF ​​dans les fichiers JPEG.
• Exiftool - Lire et écrire des méta-informations dans des fichiers.
• Exiv2 - Outil de manipulation des métadonnées d’image.
• Image Steganography - Incorpore du texte et des fichiers dans des images avec un cryptage en option. Interface utilisateur facile à utiliser.
• Image Steganography Online - Il s’agit d’un outil Javascript côté client permettant de masquer stéganographiquement des images à l’intérieur des “bits” inférieurs d’autres images.
• ImageMagick - Outil de manipulation d’images.
• Outguess - Outil stéganographique universel.
• Pngtools - Pour diverses analyses liées aux PNG.
  • apt-get install pngtools
• SmartDeblur - Utilisé pour supprimer le flou et corriger les images floues.
• Steganabara - Outil d’analyse stegano écrit en Java.
• SteganographyOnline - Encodeur et décodeur de stéganographie en ligne.
• Stegbreak - Lance des attaques par dictionnaire par force brute sur une image JPG.
• StegCracker - Utilitaire de force brute de stéganographie pour découvrir les données cachées dans les fichiers.
• stegextract - Détectez les fichiers et le texte cachés dans les images.
• Steghide - Masquer les données dans différents types d’images.
• StegOnline - Réalisez un large éventail d’opérations de stéganographie d’images, telles que la dissimulation/révélation de fichiers cachés dans des bits (open source).
• Stegsolve - Appliquer diverses techniques de stéganographie aux images.
• Zsteg - Analyse PNG/BMP.

Web

Outils utilisés pour résoudre les défis du Web

• BurpSuite - Un outil graphique pour tester la sécurité des sites Web.
• Commix - Outil automatisé d’injection et d’exploitation de commandes de système d’exploitation tout-en-un.
• Hackbar - Module complémentaire Firefox pour une exploitation Web facile.
• OWASP ZAP - Intercepter un proxy pour relire, déboguer et fuzz les requêtes et réponses HTTP
• Postman - Module complémentaire pour Chrome pour le débogage des requêtes réseau.
• Raccoon - Un outil de sécurité offensif hautes performances pour la reconnaissance et l’analyse des vulnérabilités.
• SQLMap - Outil d’injection SQL automatique et de reprise de base de données. pip install sqlmap
• W3af - Cadre d’attaque et d’audit d’applications Web.
• XSSer - Testeur XSS automatisé.

Ressources

Où découvrir le CTF

Systèmes d’exploitation

Tests d’intrusion et systèmes d’exploitation du laboratoire de sécurité

• Android Tamer - Basé sur Debian.
• BackBox - Basé sur Ubuntu.
• BlackArch Linux - Basé sur Arch Linux.
• Fedora Security Lab - Basé sur Fedora.
• Kali Linux - Basé sur Debian.
• Parrot Security OS - Basé sur Debian.
• Pentoo - Basé sur Gentoo.
• URIX OS - Basé sur openSUSE.
• Wifislax - Basé sur Slackware.

Analystes de logiciels malveillants et rétro-ingénierie

• Flare VM - Basé sur Windows.
• REMnux - Basé sur Debian.

Kits de démarrage

Collections de scripts d’installation, outils utiles

• CTF Tools - Collection de scripts d’installation pour installer divers outils de recherche sur la sécurité.
• LazyKali - Une actualisation 2016 de LazyKali qui simplifie l’installation des outils et la configuration.

Tutoriels

Tutoriels pour apprendre à participer aux CTF

• CTF Field Guide - Guide pratique de Trails of Bits.
• CTF Resources - Guide de démarrage maintenu par la communauté.
• How to Get Started in CTF - Courte directive pour les débutants CTF par Endgame
• Intro. to CTF Course - Un cours gratuit qui enseigne aux débutants les bases de la médecine légale, de la cryptographie et du web-ex.
• IppSec - Didacticiels vidéo et présentations des plateformes CTF populaires.
• LiveOverFlow - Tutoriels vidéo sur l’exploitation.
• MIPT CTF - Un petit cours pour débutants en CTF (en russe).

Jeux d’entraînement

CTF toujours en ligne

• Backdoor - Plateforme de sécurité de SDSLabs.
• Crackmes - Défis d’ingénierie inverse.
• CryptoHack - Des défis de cryptographie amusants.
• echoCTF.RED - CTF en ligne avec une variété de cibles à attaquer.
• Exploit Exercises - Variété de machines virtuelles pour découvrir divers problèmes de sécurité informatique.
• Exploit.Education - Variété de machines virtuelles pour découvrir divers problèmes de sécurité informatique.
• Gracker - Défis binaires ayant une courbe d’apprentissage lente et des rédactions pour chaque niveau.
• Hack The Box - CTF hebdomadaires pour tous les types de passionnés de sécurité.
• Hack This Site - Terrain d’entraînement pour les hackers.
• Hacker101 - CTF de HackerOne
• Hacking-Lab - Plateforme de hacking éthique, de réseaux informatiques et de challenge de sécurité.
• Hone Your Ninja Skills - Défis Web en commençant par les défis de base.
• IO - Wargame pour les défis binaires.
• Microcorruption - CTF de sécurité intégré.
• Over The Wire - Wargame maintenu par la communauté OvertheWire.
• PentesterLab - Variété de défis VM et en ligne (payants).
• PicoCTF - Jeu CTF toute l’année. Questions du concours annuel picoCTF.
• PWN Challenge - Jeu de guerre d’exploitation binaire.
• Pwnable.kr - Jeu Pwn.
• Pwnable.tw - Jeu de guerre pour défis binaires.
• Pwnable.xyz - Jeu de guerre d’exploitation de binaires.
• Reversin.kr - Défi d’inversion.
• Ringzer0Team - Ringzer0 Team CTF en ligne.
• Root-Me - Plateforme d’apprentissage sur le piratage et la sécurité de l’information.
• ROP Wargames - Jeux de guerre ROP.
• SANS HHC - Défis sur le thème des vacances publié chaque année et maintenu par SANS.
• SmashTheStack - Une variété de wargames maintenus par la communauté SmashTheStack.
• Viblo CTF - Divers défis CTF incroyables, dans de nombreuses catégories différentes. Possède à la fois le mode Entraînement et le mode Concours.
• VulnHub - Basé sur VM pour des tâches pratiques en matière de sécurité numérique, d’applications informatiques et d’administration réseau.
• W3Challs - Une plateforme de formation aux tests d’intrusion, qui propose différents défis informatiques, dans diverses catégories.
• WebHacking - Défis de piratage pour le Web.

CTF auto-hébergés

• Damn Vulnerable Web Application - Application web PHP/MySQL sacrément vulnérable.
• Juice Shop CTF - Scripts et outils pour héberger facilement un CTF sur OWASP Juice Shop.

Sites web

Sites généralistes consacrés aux CTF

• Awesome CTF Cheatsheet - Aide-mémoire CTF.
• CTF Time - Informations générales sur les CTF présents dans le monde entier.
• Reddit Security CTF - Catégorie Reddit CTF.

Wikis

Divers wikis disponibles pour en savoir plus sur les CTF

• Bamboofox - Ressources chinoises pour apprendre le CTF.
• bi0s Wiki - Wiki de l’équipe Bi0s.
• CTF Cheatsheet - Trucs et astuces CTF.
• ISIS Lab - Wiki CTF par le laboratoire Isis.
• OpenToAll - Conseils CTF par les membres de l’équipe OTA CTF.

Collections de write-ups

Recueils d’articles du CTF

• 0e85dc6eaf - Rédactions pour les défis CTF par 0e85dc6eaf
• Captf - Défis et matériaux CTF dumpés par psifertex.
• CTF write-ups (community) - Défis CTF + archives de rédactions maintenues par la communauté.
• CTFTime Scrapper - Supprime tous les écrits de CTF Time et organise ceux à lire en premier.
• HackThisSite - CTF maintenu par l’équipe HackThisSite.
• Mzfr - Rédaction du concours CTF par mzfr
• pwntools writeups - Une collection d’articles du CTF utilisant tous pwntools.
• SababaSec - Collection de write-ups de l’équipe SababaSec.
• Shell Storm - Archive de défis CTF maintenue par Jonathan Salwan.
• Smoke Leet Everyday - CTF maintenu par l’équipe SmokeLeetEveryday.

Licence

CC0 :)