A picoCTF jó, de egyben nagyon frusztráló is. Igazából nem tanulás centrikus, hanem arra jó, hogy ha valakinek stabil alapjai vannak, akkor kifacsart feladatokon keresztül gyakorolhat. Elkezdett érdekelni, honnan lehetne a stabil alapokat megszerezni. Így került képbe a TryHackMe.
Az oldal tényleg abszolút a nulláról építkezik. Szerettem volna elkerülni, hogy rések legyenek a tudásomban, ezért mindent elkezdtem csinálni rajta, még a Linux paranccsort is. Ez jó taktikának bizonyult, mert még ezek között is találtam olyat, amiről nem hallottam. Például a pkexec-ről.
Az oldal úgy épül fel, hogy szobák vannak. Vannak ingyenes és fizetős szobák. Egy szoba általában egyféle tudás átadására épül. Az egymásra épülő szobák pedig egyfajta kurzusokat alkotnak, amiket ösvényeknek hívnak. Ezeken kívül még vannak modulok is, ahol a szobák egy nagyobb téma köré csoportosulnak, ami nem férne bele egy szobába. Az ösvények és modulok természetesen úgy vannak összeválogatva, hogy előfizetés nélkül egyiket sem lehet elvégezni, mert mindegyikben akad fizetős szoba is.
A szobákhoz tartozik két virtuális gép. Az egyik úgy van felépítve, hogy tartalmazzon bizonyos sebezhetőségeket, a másikra pedig telepítették feltöréshez nélkülözhetetlen progikat. Én VPN-en keresztül használom a rendszert, tehát a második virtuális gépre nincs szükségem. (Előfizetés nélkül ugyanis egy nap csak 1 órát használhatjuk a támadó gépet, ennyi nekem nem elég.)
Először úgy döntöttem, csak az ingyenes szobákra koncentrálok, és a könnyűtől a nehezekig haladok. Rengeteg olyan szoba is van, ami gyakorlatilag ugyan arról szól, csak egy kicsit másképp mondják el a dolgokat, de ez most még nem zavar engem, mert úgy érzem, növeli a rutinomat. Márpedig rutinra nagy szükségem van. A feladatok megoldása is jobb, mint a picoCTF-nél, mert szétszedik több lépésre, így mindig csak egy részfeladatot kell megoldni.
Az egyetlen problémám, hogy néha nem egyértelmű számomra, mit is kell válaszként beírni. Például egy OSINT szobában egy képről kellett megállapítani, hol készült. Sikerült megtalálni a helyet, ami egy kampusz volt, de több, mint egy órán keresztül azon szórakoztam, hogy végigpróbáltam minden létesítményt, ami a kampuszon fellelhető, mert nem tudtam, melyikre gondolnak. De ez ritkán fordul elő, ráadásul a net tele van megoldásokkal, ha valaki elakad.
Ha végigcsinálok egy szobát, utána általában meg szoktam nézni, mások miként jutnak el egy megoldásra. Ez is tanúságos szokott lenni. Például egy feladat során egy fájlt tartalmát kellett megnézni webszerveren, de nem lehetett használni a cat, head, tail, vim, nano parancsokat, mert azokat letiltották. Én simán kiírattam grep .-al mindent, de mikor a végén elolvastam mások megoldását, kiderült, hogy ők less-t használtak. Ez eszembe sem jutott, mert a less-t interaktív parancsnak gondoltam, nem tudtam, hogy más módon is tud működni.
Az oldal erősen épít a gamifikációra, ezért szerezhetünk kitüntetéseket, láthatjuk a nevünket különböző listákon, stb. A weboldalon is büszkén hirdetik, hogy 3 millió felhasználójuk van, de ez ne ijesszen meg senkit, ennyi aktív kiberharcos nincs a világon. A regisztrált felhasználók 80%-a nem csinál semmit. Megcsináltam 10-15 irtó primitív szobát (hogyan működik a web, mi az a bash, stb), és máris a felső 40%-ban találtam magam. Igaz, utána már azokkal vagyunk versenyben, akik tényleg tanulnak, tehát a szintlépés folyamatosan nehezedik.
Azt hiszem megvan az új homokozó, ahol játszhatok.
