Неделю назад прошел Moscow CTF School, я обещал нескольким участникам опубликовать райтапы на два таска, которые там были:
1. Crash me. Простая задача на UB в C/C++. Программа ждет на вход два знаковых числа типа int, после чего проверяет, что делитель не 0 и выдает результат вычисления. Достаточно идеоматичная вещь - если в этих языках поделить INT_MIN на -1, то результат не влезет в знаковый int и программа упадет с SIGFPE, что и было целью задачи.
2. Zip random. Тоже достаточно тривиальная задача - дан zip-архив с программой, которая ксорит входные данные с "рандомными числами" и каким-то проксоренным текстом, который, скорее всего, является флагом. . Если внимательно изучить программу, то можно увидеть, что используется ГПСЧ из cstdlib с начальным значением time(NULL). Можно заметить, что архив формируется не в момент скачивания, а был сформирован давно. Следующее логичное предположение - архив дан, чтобы получить примерное время xor. Тогда, написав простенький декодер, можно получить флаг. Код декодера я прикладываю

#include <iostream>
#include <fstream>
#include <ctime>
#include <cstdlib>

int main()
{
    std::string input_file;
    std::string output_file;
    time_t start_time;

    std::cout << "Please enter encrypted file name: ";
    std::cin >> input_file;
    std::cout << "Please enter output file name: ";
    std::cin >> output_file;
    std::cout << "Please enter start time offset: ";
    std::cin >> start_time;

    std::fstream in(input_file, std::fstream::in);
    std::fstream out(output_file, std::fstream::out);
    if (!in || !out) {
        std::cerr << "Error open files!" << std::endl;
    }

    std::string flag;
    in >> flag;
    std::string wtf;

    for (auto i = 0; i < 50000; i++) {
        srand(start_time - i);

        out << "Attempt #" << i + 1 << ": ";
        for (int j = 0; j < flag.size(); j++) {
            char ch = flag[j] ^ rand() % 255;
            if (!isprint(ch)) {
                break;
            }

            wtf.push_back(ch);
        }

        wtf.push_back('\n');
        out << wtf;
        wtf.clear();
    }
}

УПД. 2д-девочка опять отказалась прицепляться, так что цепляю отдельно

Ну что же, до нового года остались "считанные часы" (с) и самое время подвести

Итоги 2021

Лучшая прочитанная статья
Тут сложно определиться, в этом году я прочитал, пожалуй, больше, чем за два года до этого. На работе были ооочень интересные задачи, я получил резкий буст в развитии. К сожалению, успел далеко не все, что хотел, но буду нагонять. Я правда благодарен и людям из команды за терпение к, порой, абсолютно дурацким вопросам и за возможность так сильно вырасти. Но это только начало пути, впереди предстоит еще много чего узнать и сделать.

Итоги Pet-project'ов
Сделал меньше, чем планировал. Ощутимо меньше. Но, опять-таки, я понял, что немного переоценил себя в смысле раскидывания времени и в будущем буду это учитывать. Пока можно сказать так - сделал много, но два самых больших проекта еще только впереди. Что же, тем интереснее будет 2022 год.

Итоги публицистической деятельности
С одной стороны, наконец-то, осуществил давнюю мечту - запустил полноценный блог. С другой - написал туда крайне мало. Хотя очень о многом хочется рассказать. Скорее всего, буду восполнять все это летом, потому что все идеи я записываю, но сесть и нормально их реализовать никак не получается.

Удивление года
Ядра. Не сказать, чтобы я раньше ими не увлекался, но в этом году меня затянуло. С головой. Так что дальше буду только больше углубляться в эту тему
Плюсы. Так сложилось, что я расковырял плюсы намного глубже, чем до этого и этот язык меня удивил. Во всех смыслах - и в плохом, и в хорошем. Но это, опять-таки, тема для отдельной статьи. Так что ждем анонсов :D

Разочарование года
Я сам. Сделал намного меньше, чем хотел, прочитал меньше, чем хотел, не получил всех ачивок, которые планировал получить. Временнно перестал развиваться в сторону пентеста, ощущаю, как навыки потихоньку утекают. Но, надеюсь, смогу восстановить, пока времени не хватает. В целом, результаты года не такие суперские, как хотелось бы, но есть вещи, которые очень радуют.
Еще один немаловажный момент - я практически перестал социально взаимодействовать с людьми. Но, из реально крутых вещей, сейчас меня окружают реально хорошие и классные люди и в этом смысле я наконец-то абсолютно доволен этой стороной жизни.

Успехи года
Во-первых, работа. Да, сделал меньше. Но изначально, когда я получил задачу, я даже не представлял, как я буду ее решать. Сейчас спокойно могу оперировать понятиями, которые даже полгода назад казались чем-то сложным и непонятным. За это я крайне благодарен всем тем людям, с которыми я работаю.
Во-вторых, личностный рост как профессионала. Пожалуй, этот год был одним из самых результативных в смысле погружения в низкий уровень - я стал действительно намного лучше понимать, как наш мир работает "на уровне железа" (с).
В-третьих, личная жизнь. Скажу просто - я счастлив. И это, как я считаю, самое главное :3

Кино года
Ведьмак. Без шуток, это один из лучших сериалов, из всех, что я смотрел.
Vivy: Fluorite Eye's Song

Литература года
Хромая судьба. Наконец-то дошли руки прочитать это произведение и оно меня реально зацепило.
Понедельник начинается в субботу. Это, по-моему, 5 раз, когда я перечитываю эту книгу и, наконец-то, я увидел ту самую сатиру, про которую слышал всю свою жизнь, но никак не мог понять, что же имеется в виду.

Знакомства года
Тут два пункта. Пожалуй, оба одинаково важные
Самый лучший человек на этой планете :3
Моя команда. С моей точки зрения, лучшие из лучших. Ребят, вы сделали мой год и я счастлив работать с вами.

Пожелания на 2022
Больше времени уделять профессиональному росту, нормально отдыхать. К концу года я начал совсем умирать, потому что в какой-то момент забил на отдых. За что сейчас расплачиваюсь - последние несколько дней сплю сутками (обожаю русский язык за подобные конструкции :D). И, самое главное, стараться реализовывать тот список дел, который себе составляю. Ну и, конечно же, адекватно такие списки составлять :D

Всех с наступающим, всем спасибо, кто был со мной. Специально для вас есть новогодняя елка!

Как обычно, аниме-девочки идут отдельно, в последнее время перестал укладываться в лимит подписи к фотографиям :D

Наткнулся на прикольную вещь в C++. Имхо, на юзабилити и безопасность влияет слабо, но я не смог пройти мимо. Вот уж действительно, язык от программистов для программистов :D

В arch'e наконец-то завезли дебаг-инфу. Правда, работает эта штука лучше не придумаешь, за 6 попыток я сумел ее крашнуть. И список пакетов с дебаг-инфой пока маленький. Но начинать-то с чего-то нужно? Пусть даже и в 2022 году :DD

Я в курсе, что сайт прилёг отдохнуть. Постараюсь пофиксить как можно быстрее, но проблема ещё в контенте. Какие-то бекапы есть, но вот какие?
Собственно, спасибо русским впс-провайдерам, мне просто блокнули впс за "вредоносную активность" в тот момент, когда все люди, имеющие доступ к ней, благополучно сидели со мной за пивом. В общем, свежо предание, но верится с трудом. Буду как-то выкручиваться. Благо, сайт почти домашний, поэтому проблемы с доступом к джой-казино нему возникнут не у многих
Прошу прощения

Ну, собственно, путь начался. Привет всем из Казани :D

UPD. Мы уже не тут, держим путь в сторону Набережных Челнов, а дальше в Уфу. После поездки будет больше фоток, пока единичные экземпляры

Итог сегодняшнего дня. После двух дней за рулём я сдох, так что отчёты будут позже :D

Неожиданное включение. Вообще, есть дофига чего рассказать, но времени не хватает катастрофически. Где-то ближе к середине-концу осени гонка кончится, я думаю, тогда поделюсь. Пока я пишу сюда выкинуть цитату Леннарта Поттеринга, известного затейника в ламповом мире линукса.
Сама цитата: "[...] не понимаю этого. […] В мире вообще около 50 человек понимают политики SELinux.". Как вы догадались, речь идет про многострадальный SELinux. Но заявить, что SELinux **НЕ НУЖЕН**, потому что "я этого не понимаю"? Мое мнение о нем и раньше было не особо высокое, но сейчас, определенно, стало ниже. Возможно, я что-то не так понял, но если все так, то он реально __очень интересный__ человек

Ещё один неожиданный взрыв с двух ног. Оказалось, что винда для Samba использует 445 порт, а не 139. Будьте внимательны и не тратьте на это столько времени, сколько потратил я. У меня уже даже гореть сил нет

Определённо, некромантов (или некрофилов?) с каждым годом все больше. Кто-то вспомнил про существование Winamp и, на полном серьёзе, обновил его. Если бы мне про это сказали даже ещё год назад - покрутил бы пальцем у виска. А так повод пощупать-потрогать. Ну и вспомнить детство, до кучи

Ещё, как бонус. Меня включили в программу Иванниковских чтений в Казани. Буду рассказывать про снятие трассы и последующую эмуляцию ПО и какое решение можно предложить миру. Так что если кто-то будет рядом - можно пересечься Х)

Собственно, я чуть не забыл. Ссылка на конференцию, идёт трансляция. Мой доклад будет в секции "Анализ и трансформация программ" в 17:50. Присоединяйтесь, буду всех ждать :)

Уважаемые коллеги!

‼️Завтра в МВЦ «Казань Экспо» в рамках Kazan Digital Week состоится конференция «Иванниковские чтения». Место проведения - три зала в Павильоне 1, на втором этаже.

Пленарная сессия состоится в зале №1 в 9.30-11.30

Секция «Трансформация и анализ программ» состоится там же в 12.30-18.30

Секция «Управление данными и информационные системы» пройдет в зале №3 в 12.30-18.10

Круглый стол «Цифровая медицина. Интеллектуальный анализ ЭКГ» пройдет в зале №2 в 12.30-15.00

Круглый стол «Безопасная разработка ПО: компетенции, сообщество, сертификация» пройдет там же в 15.30-18.30

Кроме того, будет вестись прямая трансляция конференции в Youtube:
Пленарная сессия и секция «Трансформация и анализ программ»: https://www.youtube.com/watch?v=L7ZRV2Voee4

Секция «Управление данными и информационные системы»: https://youtu.be/tNbL5AwaTIk

Круглые столы «Цифровая медицина. Интеллектуальный анализ ЭКГ» и «Безопасная разработка ПО: компетенции, сообщество, сертификация»: https://youtu.be/ZKQ-oCKObGU

Трансляция будет доступна и на сайте конференции: https://www.ivannikov-ws.org/

Из хорошего, приятно познакомиться, теперь я Никиат

UPD. Меня перенесли на 20 (?) минут, поэтому подключайтесь раньше :)

Окей, я забыл, что тут математики, которые не умеют в регламент. В итоге я докладываюсь позже, чем должен был

Слито

Как и обещал, выкладываю презентацию и, заодно, запись выступления. Могло бы быть лучше, но как сложилось, так сложилось