CN111209089B - 一种ctf竞赛在线环境类题目安全部署方法 - Google Patents

Abstract

本发明涉及一种CTF竞赛在线环境类题目安全部署方法，其特征在于包括以下步骤：S1.安全部署在线环境类题目所对应的镜像并自动生成对应赛题的新容器；S2.服务器做安全校验，设置网络访问控制同时得到该容器唯一ID；S3.读取初始flag值，与得到的容器唯一ID进行安全加密并更新flag值；S4.完成在线题目安全部署，返还该容器地址和端口给该队伍下的选手。主要是针对现今CTF竞赛在线环境类题目，可以有效避免参赛选手作答中的作弊现象，使赛题环境更加独立、安全。

Description

一种CTF竞赛在线环境类题目安全部署方法

技术领域

本发明属于网络安全技术领域，具体涉及一种CTF竞赛在线环境类题目安全部署方法，采用Docker技术保证在线环境类赛题部署的安全性及答题过程中的公正性。

背景技术

CTF (Capture the Flag)中文一般译作夺旗赛，是一种流行的信息安全竞赛形式。其大致流程是，参赛团队之间通过进行攻防对抗、程序分析等形式，率先从比赛环境中得到一串字符串或其他内容，并将其提交平台夺得分数，提交的内容简称为“Flag”。在解题模式CTF赛制中，比赛一般进行在线选拔，其题目类型主要包括MISC、PWN、Crypto、Reverse、Web等。其中Web、PWN等题型需要在线部署，而本专利就是主要针对CTF竞赛在线环境类题目提出的安全部署方法，基于Docker技术来保证赛题部署的安全性及答题过程中的公正性。

现有常见的CTF竞赛在线环境类题目部署方法为在赛前人工打包部署，打包中的题目和对应flag是唯一的且一致的，这样部署的题目及过程安全性较差，部署的在线答题环境不够独立且存在答题者作弊的隐患，即每道题目的flag相同，答题者可能通过共享flag的方式达到作弊的目的。鉴于此，专利(公开号108786115A)提出了基于透明代理生成CTF动态Flag的方法及系统，该方法通过在用户浏览器种植用户唯一Token，对赛题内容中的Flag采用原Flag和用户Token可逆加密后生成的新Flag进行替换，实现动态flag防作弊方法，但并未考虑到赛题部署的隔离，存在答题过程作弊的隐患。此外专利(公开号109062659A)提出的一种防作弊泛CTF虚拟机的生成方法及其推送方法，将每题生成的多份题目镜像和答案，并根据答题者水平将对应题目其中一个虚拟机镜像呈现给答题者最后对应检测答案。此方法，在资源充足和参赛队伍有限的情况下，可以避免竞赛过程中交换flag的作弊行为且答题环境相对独立，但是无法避免交换题目IP地址进行答题违规获取flag的作弊行为，且整体对虚拟机等资源消耗和运维工作量较大。本专利中针对以上的问题采用基于Docker独立容器的赛题环境部署方法，每个Docker容器对应一个唯一容器ID，并设置网络访问控制来限制访问的选手来源，以保证题目访问的安全性，同时Docker容器可轻量级快速安全部署，实现一个队伍访问一个容器，使赛题环境独立、隔离、安全，且对服务器资源消耗较小，队伍提交flag后及时释放容器，资源消耗可控，服务统一管理，题目部署安全性高。

发明内容

本发明主要是针对现今CTF竞赛在线环境类题目提出的一种基于Docker的安全部署方法，可以有效避免参赛选手作答中的作弊现象，使赛题环境更加独立、安全。

为了解决上述存在的技术问题，本发明采用了以下方案：

一种CTF竞赛在线环境类题目安全部署方法，其特征在于包括以下步骤：

S1.安全部署在线环境类题目所对应的镜像并自动生成对应赛题的新容器；

S2.服务器做安全校验，设置网络访问控制同时得到该容器唯一ID；

S3.读取初始flag值，与得到的容器唯一ID进行安全加密并更新flag值；

S4.完成在线题目安全部署，返还该容器地址和端口给该队伍下的选手。

所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S1包括：

S11.对于一场赛事中所有在线环境类型的题目，预先使用Dockerfile，设置题目环境，编写题目资源地址、题目访问端口和所需的执行命令；

S12.运用脚本自动运行Dockerfile文件，快速部署在线题目的对应的镜像；

S13.当一场比赛一个队伍下的选手初次访问题目时，记录下该选手的IP，并对之后每一次访问的IP都做相应记录，根据已存在的镜像文件，自动生成以该题为镜像的新容器，并为容器提供特定的LSM配置，将给予它与运行在宿主上的进程同等访问权限，并启动守护进程和容器的权限；

S14.生成新容器的同时使用特定的命令行参数来启用一些资源限制，防止通过耗尽系统资源引发拒绝服务（DoS）攻击，并考虑隔离敏感服务防止Docker容器被入侵。

所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S13中的LSM配置包括SELinux或AppArmor。

所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S2包括：

S21.在创建完Web服务之后，服务器做安全校验，设置网络访问控制来限制每次只有从该队伍所属的IP发出请求的选手可以安全访问该容器，避免了交换题目IP地址的作弊行为；

S22.实时更新该容器对于该队伍下选手IP的映射关系，实现一个队伍对应安全、独立访问一个容器，同时获取该容器唯一ID存放在数据库中。

所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S3包括：

S31.读取Web服务器该题目的flag页面，从数据库中得到初始flag值并和容器唯一ID进行安全加密得到新flag值重写页面；

S32.在Web服务器非flag页面同目录下生成安全加密后的flag页面并将该加密页面通过Docker命令安全拷贝至该队伍的容器中。

所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S31中的安全加密方法包括哈希加密。

所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S4包括：

S41.完成在线题目的安全部署后，返还该容器地址和端口给该队伍下的选手，选手即可通过该地址做在线题目；

S42.在答题队伍完成答题后一定的时间有效期内，在线答题环境将自行停止并释放容器资源，同时删除相应网络访问控制配置等。

该一种CTF竞赛在线环境类题目安全部署方法具有以下有益效果：

本专利中，每个Docker容器对应一个唯一容器ID，并设置网络访问控制来限制访问的选手来源，能够保证题目访问的安全性，同时Docker容器可轻量级快速安全部署，实现一个队伍访问一个容器，使赛题环境独立、隔离、安全，且对服务器资源消耗较小，队伍提交flag后及时释放容器，资源消耗可控，服务统一管理，题目部署安全性高。

附图说明

图1：为本发明提出的安全部署方法模块示意图；

图2：为本发明提出的安全部署方法流程图。

具体实施方式

下面结合附图，对本发明的具体实施方式作进一步详述，使本发明技术方案更易于理解和掌握。

实施例

结合图1与图2，本实施例一种CTF竞赛在线环境类题目安全部署方法，

S1.安全部署在线环境类题目所对应的镜像并自动生成对应赛题的新容器。

部署镜像并自动生成新容器的过程包括：

S11.对于一场赛事的所有在线环境类型的题目T1、T2和T3，预先使用Dockerfile，设置题目环境，编写题目资源地址、题目访问端口和所需的执行命令。

S12.运用脚本自动运行dockerfile文件，快速部署在线题目T1、T2和T3的对应的镜像。

S13.当一场比赛队伍A下的选手初次访问题目T1时，记录下该选手的IP，并对之后每一次访问的IP都做相应记录，根据已存在的镜像文件，通过命令docker run自动生成新容器,通过命令docker run --security-opt= secdriver:name:value为容器提供特定的LSM（SELinux或AppArmor）配置，将给予它与运行在宿主上的进程同等访问权限，并启动守护进程和容器的权限。

S14.安全部署容器的同时CPU使用特定的命令行参数docker run -it --rm --cpuset=0等，内存使用命令行参数docker run -it --rm -m 128m等，存储使用命令行参数docker -d --storage-opt dm.basesize=5G等，来启用一些资源限制防止通过耗尽系统资源引发拒绝服务（DoS）攻击，并考虑隔离敏感服务，通过在宿主或虚拟机上运行SSH服务来防止Docker容器被入侵。

S2.服务器做安全校验，设置网络访问控制同时得到该容器唯一ID。

设置网络访问控制同时得到该容器唯一ID过程包括：

S21.在创建完Web服务之后，服务器做安全校验，设置网络访问控制来限制每次只有从该队伍所属的IP发出请求的选手可以安全访问该容器，避免了交换题目IP地址的作弊行为。

S22.实时更新该容器对于该队伍下选手IP的映射关系，实现一个队伍对映安全、独立访问一个容器，同时得到该容器对应的唯一ID值——containerId 为abc001。

S3.读取初始flag值，与得到的容器唯一ID进行安全加密并更新flag值。

读取初始flag值并与容器唯一ID进行安全加密更新flag值的过程包括：

S31.读取Web服务器该题目的flag页面，从数据库中得到初始flag值HZNUCTF2019，并和容器唯一ID进行哈希安全加密得到新flag值6c48f5fc08222e7df5a4fbac8eab9822重写页面。

S32.在Web服务器非flag页面同目录下生成安全加密后的flag页面并将该加密页面通过Docker命令安全拷贝至该队伍的容器中。

S4.完成在线题目安全部署，返还该容器地址和端口给该队伍下的选手。

完成在线题目安全部署，返还该容器地址和端口的过程包括：

S41.完成在线题目的安全部署后，返还该容器地址和端口给该队伍下的选手，选手即可通过该地址做在线题目。

S42.在答题队伍完成答题后一定的时间有效期内，在线答题环境将自行停止并释放容器资源，同时删除相应网络访问控制配置等。

本专利中，每个Docker容器对应一个唯一容器ID，并设置网络访问控制来限制访问的选手来源，能够保证题目访问的安全性，同时Docker容器可轻量级快速安全部署，实现一个队伍访问一个容器，使赛题环境独立、隔离、安全，且对服务器资源消耗较小，队伍提交flag后及时释放容器，资源消耗可控，服务统一管理，题目部署安全性高。

上面结合附图对本发明进行了示例性的描述，显然本发明的实现并不受上述方式的限制，只要采用了本发明的方法构思和技术方案进行的各种改进，或未经改进将本发明的构思和技术方案直接应用于其它场合的，均在本发明的保护范围内。

Claims (6)

1.一种CTF竞赛在线环境类题目安全部署方法，其特征在于包括以下步骤：

S1.安全部署在线环境类题目所对应的镜像并自动生成对应赛题的新容器；

S2.服务器做安全校验，设置网络访问控制同时得到该容器唯一ID；

S21.在创建完Web服务之后，服务器做安全校验，设置网络访问控制来限制每次只有从比赛队伍所属的IP发出请求的选手可以安全访问该容器，避免了交换题目IP地址的作弊行为；

S22.实时更新该容器对于比赛队伍下选手IP的映射关系，实现一个队伍对应安全、独立访问一个容器，同时获取该容器唯一ID存放在数据库中；

S3.读取初始flag值，与得到的容器唯一ID进行安全加密并更新flag值；

S4.完成在线题目安全部署，返还该容器地址和端口给比赛队伍下的选手。

2.根据权利要求1所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S1包括：

S11.对于一场赛事中所有在线环境类型的题目，预先使用Dockerfile，设置题目环境，编写题目资源地址、题目访问端口和所需的执行命令；

S12.运用脚本自动运行Dockerfile文件，快速部署在线题目的对应的镜像；

S13.当一场比赛一个队伍下的选手初次访问题目时，记录下该选手的IP，并对之后每一次访问的IP都做相应记录，根据已存在的镜像文件，自动生成以题目为镜像的新容器，并为容器提供LSM配置，将给予它与运行在宿主上的进程同等访问权限，并启动守护进程和容器的权限；

S14.生成新容器的同时使用命令行参数来启用一些资源限制，防止通过耗尽系统资源引发拒绝服务（DoS）攻击，并考虑隔离敏感服务防止Docker容器被入侵。

3.根据权利要求2所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S13中的LSM配置包括SELinux或AppArmor。

4.根据权利要求1所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S3包括：

S31.读取Web服务器该题目的flag页面，从数据库中得到初始flag值并和容器唯一ID进行安全加密得到新flag值重写页面；

S32.在Web服务器非flag页面同目录下生成安全加密后的flag页面并将该加密页面通过Docker命令安全拷贝至该队伍的容器中。

5.根据权利要求4所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S31中的安全加密方法包括哈希加密。

6.根据权利要求1所述的一种CTF竞赛在线环境类题目安全部署方法，其特征在于所述步骤S4包括：

S41.完成在线题目的安全部署后，返还该容器地址和端口给该队伍下的选手，选手即可通过该地址做在线题目；

S42.在答题队伍完成答题后一定的时间有效期内，在线答题环境将自行停止并释放容器资源，同时删除相应网络访问控制配置。