セキュリティコンテスト参加の為に勉強したこと

こんにちは。Uriです。
今回は、セキュリティコンテストに参加するために、
僕が勉強したことをまとめてみます。。。

まず、セキュリティコンテストってどんなことするの？という疑問についてです。以下の本を購入して読んでみました。

詳解セキュリティコンテスト ~CTFで学ぶ脆弱性攻略の技術

この本、とっても分かりやすかったです。
簡単なイメージとしては、
旗取り合戦や宝探しをする競技のようなイメージを持ちました笑

色んなシステムや、ファイルからFLAGと呼ばれる文字列を探しだすことで、ポイントを稼いでいくというシステム。
その文字列を探す過程で、サーバやネットワークなどにおけるセキュリティ知識を活用していくというものみたいですね。
(ざっくりとした感想ですみません笑)

セキュリティコンテストというだけあって、セキュリティ知識がないと始まらない！そこで、システムセキュリティの勉強を始めました。

使用したのは、以下の書籍。

この本、PHPの知識とかが前提となっているみたいで読むのに少し苦労しました。

けど、初心者の僕でも理解できるように細かく記載があって一度目を通した後も辞書的な役割で利用したりしてました。

この本の作者さんは、徳丸浩さん。

セキュリティの業界では、有名な方でこの本の試験もあるとか。。。

(頑張って受けてみたい。。。)

セキュリティって奥深いですよね。。。汗

サーバ周り、ネットワーク周り、アプリケーションなどなど個別でセキュリティの事を考えなければならないかと思えば、個別で考えていては対策できないことも沢山あります。

セキュリティの勉強をする中で、特に認証認可と呼ばれるログインとかする機能のセキュリティは、とても興味深かったです。

これを考えるときには、SQL文の読ませ方に問題があったり、キャッシュにログイン情報が残ってしまっていたりと、セキュリティ以外の知識が沢山必要ですよね。。。

知識習熟には、セキュリティの勉強の中で並行してネットワークとアプリケーションについて勉強するようにしました。

ここまでくると、過去問を解いてみたいという欲求がMAXです！過去問というか、例題にはなるのですが、以下のサイトを用いました。

CpawCTF

このサイト、常設CTFといって気軽にセキュリティコンテストの例題を解く事が出来るものです。

問題数もかなりあって解きごたえありました笑

自分の場合は、かなり解ける問題もあって、本記事で紹介した2つの書籍を勉強するだけでもかなり解ける問題はあるのだなーと実感しましたね。笑

今回は、セキュリティコンテストについて興味を持った僕がどんな勉強をしてきたのかということを長々と話してきました。
宝探しのようでとても面白い競技だなと改めて思いましたね笑
皆様もぜひ、参加してみてはいかがでしょうか？