GUIDE DU

COMPETITEUR
Préparé pour vous par ABENE Bertin, CISSP

PLAN
1. A propos
2. Les règles
3. Les challenges
4. Les drapeaux et points
5. Les équipes
6. Comment rejoindre l’arène
7. Interface de l’arène
8. Exemple: Capturer un flag
9. Conseils

eyesopensecurity.com 1
1. A propos

Comme vous le savez déjà, l’événement EOCON est également

chapeauté par une compétition de cybersécurité (live hacking) : EyesOpenCTF.

Le principe est simple, vous avez créé votre compte sur

http://eyesopensecurity.com/ctf
Vous recevrez à jour-j 02 l’URL de la plateforme et le jour-J, votre compte sera
activé et vous pourrez entrer dans une arène,

Dans l’arène, les équipes s’affrontent indirectement en résolvant les défis.

Chaque défis résolus est récompensé par un flag. Chaque flag rapporte un
nombre de points proportionnels à la difficulté du défi. Un tableau de bord
récapitule les scores des équipes en temps réel. La compétition dure 48 heures.

Vous l’aurez compris, votre objectif est de capturer le plus de flags que vos
adversaires.

eyesopensecurity.com 2
2. Les règles

BON À SAVOIR
• L'accès à l'infrastructure de compétition par les
concurrents se fait à distance par Internet, à partir
de chez vous. La procédure vous sera communiquée.
• Le nombre maximum de participants par équipe est
plafonné à 02
• Vous avez le droit d’utiliser Internet

IL EST INTERDIT DE :
• Attaquez toute machine autre que celles désignées dans le défi
• Effectuer des attaques DoS sur l'infrastructure CTF
• Modifier frauduleusement le tableau de bord
• Empêcher intentionnellement d'autres équipes à trouver des
drapeaux (flags)
• Partagez des réponses sur les défis avec n'importe qui, avant la fin
de la compétition
• Partagez votre accès VPN avec quelqu'un d'autre que vous.
• Vous faire aider par quelqu’un d’autre que votre équipier (si vous
êtes en équipe) eyesopensecurity.com 3
3. Les défis / challenges
SYSTEM HACKING
Ces défis consistent à trouver et exploiter la
vulnérabilité sur un système, s’y introduire,
rechercher et récupérer le flag dans les
dossiers de l’utilisateur (nom: flag.txt)
NETWORK ANALYSIS
Ces défis consistent à analyser un fichier de
capture de paquets réseau et retrouver le flag
dans les échanges ayant été capturés.
DIGITAL FORENSIC
Ces défis consistent à analyser des données extraites
d’un système ayant été compromis (des logs, registres,
mails …etc.) pour apporter des réponses et trouver
le flag
CRYPTOGRAPHY & CRACKING
Ces défis consistent à casser/cracker un
message secret ou un mot de passe en utilisant
les attaques adéquates et obtenir le flag
SOCIAL ENGINEERING
Ces défis consistent à exploiter la faille
humaine. Par exemple en utilisant le
phishing pour installer un backdoor
STEGANOGRAPHY
Ces défis consistent à analyser des fichiers
images ou audios et y retrouver les flags
qui y ont été cachés
WEB APPLICATION SECURITY
Ces défis consistent à trouver et exploiter les vulnérabilités
présentent sur une application web ensuite de retrouver le
flag (en fonction de la vulnérabilité
exploitée, il peut être dans la base de
données, l’application ou le système cible)
REVERSE ENGINEERING
Ces défis consistent à analyser un fichier
binaire (.exe) en utilisant les méthodes de
reverse engineering pour le cracker et
retrouver le flag
OSINT
Ces défis consistent à rechercher/traquer une
information en utilisant les sources d’Internet
et les méthodes OSINT. Le flag se trouve au
bout de la chaîne.
4
4. Les drapeaux (FLAGS) et points

• Les flags sont disponibles sous la formes de texte, généralement de

structure flag{xxxxxxxx}

• Dans certains cas, les flag sont des résultats d’analyse, des réponses à des
questions, …etc. Dans ces cas, la façon de soumettre le flag vous est précisé.

• Les flags peuvent se dissimuler n’importent où : dans un fichier, une image,

une vidéo, un audio. Ils sont implantés au cœur de ces éléments de manière
à ce que vous soyez à mesure de les capturer après avoir braver un défi. Ce
défi est associé à une compétence en cybersécurité.

• Dans certains cas, les flags sont directement accessibles au bout du défi.
Dans d’autre, le défi n’est que la porte du tiroir et c’est à vous de fouiller
dans la paperasse pour retrouver le flag.
eyesopensecurity.com 5
4. Les drapeaux (FLAGS) et points

• Chaque flag vous rapporte un nombre de points proportionnels à la difficulté du défi.

• Un bonus additionnels s’ajoute à vos points selon que vous êtes le premier à
capturer un flag ou que vous êtes le deuxième, etc.

• Pour chaque défi, vous pouvez faire appel à un indice (HINTS). Ce sont des petits
commentaires masqués qui peuvent vous aider à voir plus clair sur un défi.

• Lorsque vous faites appel à un indice, si vous capturez son flag, un pourcentage vous
est retiré sur le total des points disponibles pour ce défi.

• Un tableau de bord récapitule les scores des équipes et présente le classement en

temps réel sur un graphe, un tableau et une carte du monde interactive

eyesopensecurity.com 6
5. Les équipes

• La participation à la compétition se fait soit en solo soit

en équipe. Quel qu'en soit les cas, une équipe sera créée
et vous sera affectée pendant la compétition.

• Si lors de l’inscription, vous avez sollicité participer seul,

alors le nom de l’équipe sera le même que votre nom de
compétiteur et vous serez le seul membre.

• Le mot de passe de votre compte de compétition vous

sera envoyé par mail quelques jours avant la compétition

• Sur la plateforme de l’arène, les équipes ne

communiquent pas entre elles.

• Utilisez vos propres méthodes de communication pour

échanger avec votre coéquipier
eyesopensecurity.com 7
6. Comment rejoindre l’arène

• Une adresse URL vous sera fournie pour rejoindre

l’arène. L’interface de l’arène vous est présentée
sur le diapo suivant.

• Sur la plateforme de l’arène, nous utilisons un

certificat auto-signé. Ceci provoque l’apparition
d’un message d’erreur à l’ouverture de l’URL de
l’arène. Bien vouloir passer outre ce message en
cliquant sur « paramètres avancées » et
« continuez …» Le site n’est pas du tout dangereux

eyesopensecurity.com 8
6. Comment rejoindre l’arène

• Une fois l’URL ouverte, pour vous connecter,

vous cliquez sur « PLAY » et « LOGIN ».

• Sélectionnez votre équipe sur TEAM NAME

et le mot de passe fourni.

eyesopensecurity.com 9
 6. Comment rejoindre l’arène

• Nous vous recommandons de participer à la compétition

avec une machine tournant sous l’OS Kali Linux.

• Toutefois, l’interaction avec certains fichiers des défis

peut être plus conviviale sur un système Windows (c’est le
cas pour les fichiers de format natif), Soyez donc flexibles.

• Certains défi présent dans l’arène ( notamment ceux de

type « SYSTEM HACKING » ) nécessitent que vous ayez
une connectivité vers une machine virtuelle hébergée sur
le Cloud. Dans ces cas, un code d’accès à la machine vous
est communiqué et vous devrez utiliser la procédure de
connexion par VPN pour pouvoir interagir avec la machine
su défi.

• Cette procédure est très simple et vous sera

communiquez. Si vous avez un soucis pour vous connecter
à ce VPN pendant le CTF, vous pouvez contacter notre
support. eyesopensecurity.com
10
 7. Interface de l’arène

Accéder au tableau de classement complet en temps réel et interactif

Classement en
temps réel des Liste des
compétiteurs équipes

Annonces à Appliquer un
destination des filtres sur les
compétiteurs défis

Chaque défi/challenge est représenté par un

Résumé de l’activité en pays. Pointez sur ce pays pour afficher les Compte à rebours
cours dans la compétition informations de son défi 11
eyesopensecurity.com
 8. Exemple: Capturer un FLAG

Titre du défi

Description du défi /
challenge à résoudre
Ressources utiles à
la résolution du défi Zone de réponse. Elle est destinée
à soumettre le FLAG
Faire recours
à un indice Action pour envoyer le FLAG

Nombre de Résumé de la chasse de ce FLAG

points prévu par l’ensemble des compétiteurs
pour le défi (Répond à la question: êtes vous le
premier à ce résoudre défi ?)

eyesopensecurity.com 12
8. Exemple: Capturer un drapeau

Lorsque vous capturez un FLAG, le

pays correspondant est marqué par un
petit triangle de couleur JAUNE

Lorsque vos adversaires capturent un

FLAG, le pays correspondant est
marqué par un petit triangle de
couleur ROUGE

Sur le journal des activités de la compétition,

tous les compétiteurs sont informés lorsqu’un
FLAG est capturé
eyesopensecurity.com 13
 9. Quelques Conseils
• Soyez organisé

• Faites le tour de tous les défis pour vous faire rapidement une idée
générale

• Commencez par les défis qui vous paraissent les plus simples car plus
vite vous capturez un flag, plus vous profiterez des bonus associés au
timing

• Commencez pourquoi pas par les défis de la discipline avec laquelle

vous êtes le plus à l’aise.
• Faites des pauses pour régénérer votre cerveau, la compétition dure 48
heures !!!

• Soyez relax, mettez vous à l’aise avant et pendant que vous êtes dans
l’arène. Un petit verre d’eau, une tasse de thé, café … utilisez votre
recette personnelle. Après tout, vous êtes chez vous.

• Prenez des notes et des captures d’écran lorsque vous capturez un flag.
Nous serions heureux de vous écouter nous raconter votre aventure ou
de lire votre blog sur le sujet après l'événement
• Google est votre ami. eyesopensecurity.com 14
 Rendez-vous dans l’arène
Du 15 Octobre (12h00) au 17 Octobre (12h00)

Support :
Serveur Discord: https://discord.gg/c8uXmrzz
ROOM: #eyesopenctf

team@eyesopensecurity.com (AVEC systématiquement en objet: «EOCTF» )

eyesopensecurity.com 15