awesome-ctf

Une liste organisée de frameworks, bibliothèques, ressources et logiciels pour le CTF

Pourquoi ?

Il faut du temps pour constituer une collection d'outils utilisés en CTF et se souvenir de tous. Ce dépôt aide à garder tous ces outils dispersés au même endroit.

Contenu

• Awesome CTF

  • Créer
    • Forensique
    • Plateformes
    • Stéganographie
    • Web
  • Résoudre
    • Attaques
    • Bruteforceurs
    • Cryptographie
    • Exploits
    • Forensique
    • Réseau
    • Rétro-ingénierie
    • Services
    • Stéganographie
    • Web

• Ressources

  • Systèmes d'exploitation
  • Packs de démarrage
  • Tutoriels
  • Wargames
  • Sites web
  • Wikis
  • Collections de write-ups

Créer

Outils utilisés pour créer des défis CTF

• Kali Linux CTF Blueprints - Livre en ligne sur la construction, le test et la personnalisation de vos propres défis Capture the Flag.

Forensique

Outils utilisés pour créer des défis Forensique

• Dnscat2 - Communication hôte via DNS.
• Kroll Artifact Parser and Extractor (KAPE) - Programme de triage.
• Magnet AXIOM - Outil DFIR centré sur les artefacts.
• Registry Dumper - Vider votre registre.

Plateformes

Projets pouvant être utilisés pour héberger un CTF

• CTFd - Plateforme pour héberger des CTF de style jeopardy de l'ISISLab, NYU Tandon.
• echoCTF.RED - Développer, déployer et maintenir votre propre infrastructure CTF.
• FBCTF - Plateforme pour héberger des compétitions Capture the Flag de Facebook.
• Haaukins - Une plateforme de virtualisation hautement accessible et automatisée pour l'éducation à la sécurité.
• HackTheArch - Plateforme de score CTF.
• Mellivora - Un moteur CTF écrit en PHP.
• MotherFucking-CTF - Plateforme légère et géniale pour héberger des CTF. Pas de JS impliqué.
• NightShade - Un framework CTF de sécurité simple.
• OpenCTF - CTF en boîte. Configuration minimale requise.
• PicoCTF - La plateforme utilisée pour exécuter picoCTF. Un excellent framework pour héberger n'importe quel CTF.
• PyChallFactory - Petit framework pour créer/gérer/empaqueter des défis CTF de style jeopardy.
• RootTheBox - Un jeu de hackers (tableau de score CTF et gestionnaire de jeu).
• Scorebot - Plateforme pour CTF par Legitbs (Defcon).
• SecGen - Générateur de scénarios de sécurité. Crée des machines virtuelles aléatoirement vulnérables.

Stéganographie

Outils utilisés pour créer des défis de stéganographie

Voir la section Résoudre pour la stéganographie.

Web

Outils utilisés pour créer des défis Web

Obfuscateurs JavaScript

• Metasploit JavaScript Obfuscator
• Uglify

Résoudre

Outils utilisés pour résoudre des défis CTF

Attaques

Outils utilisés pour effectuer divers types d'attaques

• Bettercap - Framework pour effectuer des attaques MITM (Man-in-the-Middle).
• Yersinia - Attaque divers protocoles au niveau de la couche 2.

Cryptographie

Outils utilisés pour résoudre des défis de cryptographie

• CyberChef - Application web pour analyser et décoder des données.
• FeatherDuster - Un outil de cryptanalyse automatisé et modulaire.
• Hash Extender - Un outil utilitaire pour effectuer des attaques d'extension de longueur de hachage.
• padding-oracle-attacker - Un outil CLI pour exécuter des attaques d'oracle de padding.
• PkCrack - Un outil pour casser le chiffrement PkZip.
• QuipQuip - Un outil en ligne pour casser les chiffrements par substitution ou les chiffrements de Vigenère (sans clé).
• RSACTFTool - Un outil pour récupérer la clé privée RSA avec diverses attaques.
• RSATool - Générer une clé privée avec connaissance de p et q.
• XORTool - Un outil pour analyser le chiffrement XOR multi-octets.

Bruteforceurs

Outils utilisés pour divers types de brute force (mots de passe, etc.)

• Hashcat - Craqueur de mots de passe
• Hydra - Un craqueur de connexion parallélisé qui supporte de nombreux protocoles à attaquer
• John The Jumbo - Version améliorée par la communauté de John the Ripper.
• John The Ripper - Craqueur de mots de passe.
• Nozzlr - Nozzlr est un framework de brute force, véritablement modulaire et adapté aux scripts.
• Ophcrack - Craqueur de mots de passe Windows basé sur des tables arc-en-ciel.
• Patator - Patator est un brute-forceur multi-usage, avec une conception modulaire.
• Turbo Intruder - Extension Burp Suite pour envoyer un grand nombre de requêtes HTTP

Exploits

Outils utilisés pour résoudre des défis d'exploits

• DLLInjector - Injecter des DLL dans des processus.
• libformatstr - Simplifier l'exploitation de chaîne de format.
• Metasploit - Logiciel de test de pénétration.
  • Cheatsheet
• one_gadget - Un outil pour trouver l'appel one gadget execve('/bin/sh', NULL, NULL).
  • gem install one_gadget
• Pwntools - Framework CTF pour écrire des exploits.
• Qira - Analyseur interactif d'exécution QEMU.
• ROP Gadget - Framework pour l'exploitation ROP.
• V0lt - Toolkit de sécurité CTF.

Forensique

Outils utilisés pour résoudre des défis Forensique

• Aircrack-Ng - Casser les clés 802.11 WEP et WPA-PSK.
  • apt-get install aircrack-ng
• Audacity - Analyser des fichiers audio (mp3, m4a, etc.).
  • apt-get install audacity
• Bkhive et Samdump2 - Vider les fichiers SYSTEM et SAM.
  • apt-get install samdump2 bkhive
• CFF Explorer - Éditeur PE.
• Creddump - Vider les identifiants Windows.
• DVCS Ripper - Récupère les systèmes de contrôle de version (distribués) accessibles sur le web.
• Exif Tool - Lire, écrire et modifier les métadonnées des fichiers.
• Extundelete - Utilisé pour récupérer des données perdues à partir d'images montables.
• Fibratus - Outil d'exploration et de traçage du noyau Windows.
• Foremost - Extraire des types de fichiers particuliers en utilisant les en-têtes.
  • apt-get install foremost
• Fsck.ext4 - Utilisé pour réparer les systèmes de fichiers corrompus.
• Malzilla - Outil de chasse aux malwares.
• NetworkMiner - Outil d'analyse forensique réseau.
• PDF Streams Inflater - Trouver et extraire les fichiers zlib compressés dans les fichiers PDF.
• Pngcheck - Vérifie l'intégrité des PNG et affiche toutes les informations au niveau des chunks sous forme lisible.
  • apt-get install pngcheck
• ResourcesExtract - Extraire divers types de fichiers à partir d'exécutables.
• Shellbags - Enquêter sur les fichiers NT_USER.dat.
• Snow - Un outil de stéganographie par espaces blancs.
• USBRip - Outil forensique CLI simple pour suivre les artefacts de périphériques USB (historique des événements USB) sur GNU/Linux.
• Volatility - Pour enquêter sur les dumps mémoire.
• Wireshark - Utilisé pour analyser les fichiers pcap ou pcapng

Visionneuses de registre

• OfflineRegistryView - Outil simple pour Windows qui vous permet de lire les fichiers de registre hors ligne à partir d'un lecteur externe et d'afficher la clé de registre souhaitée au format .reg.
• Registry Viewer® - Utilisé pour visualiser les registres Windows.

Réseau

Outils utilisés pour résoudre des défis réseau

• Masscan - Scanner de ports IP massif, scanner de ports TCP.
• Monit - Un outil Linux pour vérifier un hôte sur le réseau (et d'autres activités non réseau).
• Nipe - Nipe est un script pour faire du réseau Tor votre passerelle par défaut.
• Nmap - Un utilitaire open source pour la découverte réseau et l'audit de sécurité.
• Wireshark - Analyser les dumps réseau.
  • apt-get install wireshark
• Zeek - Un moniteur de sécurité réseau open source.
• Zmap - Un scanner réseau open source.

Rétro-ingénierie

Outils utilisés pour résoudre des défis de rétro-ingénierie

• Androguard - Rétro-ingénierie des applications Android.
• Angr - Framework d'analyse binaire indépendant de la plateforme.
• Apk2Gold - Encore un décompilateur Android.
• ApkTool - Décompilateur Android.
• Barf - Framework d'analyse binaire et de rétro-ingénierie.
• Binary Ninja - Framework d'analyse binaire.
• BinUtils - Collection d'outils binaires.
• BinWalk - Analyser, rétro-ingénierie et extraire des images de firmware.
• Boomerang - Décompiler des binaires x86/SPARC/PowerPC/ST-20 en C.
• ctf_import – exécuter des fonctions de base à partir de binaires stripés de manière multiplateforme.
• cwe_checker - cwe_checker trouve des motifs vulnérables dans les exécutables binaires.
• demovfuscator - Un désobfuscateur en cours de développement pour les binaires movfuscated.
• Frida - Injection de code dynamique.
• GDB - Le débogueur du projet GNU.
• GEF - Plugin GDB.
• Ghidra - Suite open source d'outils de rétro-ingénierie. Similaire à IDA Pro.
• Hopper - Outil de rétro-ingénierie (désassembleur) pour OSX et Linux.
• IDA Pro - Logiciel de rétro-ingénierie le plus utilisé.
• Jadx - Décompiler des fichiers Android.
• Java Decompilers - Un décompilateur en ligne pour Java et les APK Android.
• Krakatau - Décompilateur et désassembleur Java.
• Objection - Exploration mobile au moment de l'exécution.
• PEDA - Plugin GDB (uniquement python2.7).
• Pin - Un outil d'instrumentation binaire dynamique par Intel.
• PINCE - Front-end GDB/outil de rétro-ingénierie, axé sur le hacking de jeux et l'automatisation.
• PinCTF - Un outil qui utilise Intel Pin pour l'analyse par canaux auxiliaires.
• Plasma - Un désassembleur interactif pour x86/ARM/MIPS capable de générer du pseudo-code indenté avec une syntaxe colorée.
• Pwndbg - Un plugin GDB qui fournit une suite d'utilitaires pour bidouiller facilement GDB.
• radare2 - Un framework de rétro-ingénierie portable.
• Triton - Framework d'analyse binaire dynamique (DBA).
• Uncompyle - Décompiler des binaires Python 2.7 (.pyc).
• WinDbg - Débogueur Windows distribué par Microsoft.
• Xocopy - Programme capable de copier des exécutables avec permission d'exécution mais sans permission de lecture.
• Z3 - Un prouveur de théorèmes de Microsoft Research.

Désobfuscateurs JavaScript

• Detox - Un outil d'analyse de malware JavaScript.
• Revelo - Analyser du code JavaScript obfusqué.

Analyseurs SWF

• RABCDAsm - Collection d'utilitaires comprenant un assembleur/désassembleur ActionScript 3.
• Swftools - Collection d'utilitaires pour travailler avec des fichiers SWF.
• Xxxswf - Un script Python pour analyser les fichiers Flash.

Services

Divers services utiles disponibles sur Internet

• CSWSH - Testeur de détournement WebSocket intersite.
• Request Bin - Permet d'inspecter les requêtes HTTP vers une URL particulière.

Stéganographie

Outils utilisés pour résoudre des défis de stéganographie

• AperiSolve - Aperi'Solve est une plateforme qui effectue une analyse de calque sur les images (open-source).
• Convert - Convertir des images entre formats et appliquer des filtres.
• Exif - Affiche les informations EXIF dans les fichiers JPEG.
• Exiftool - Lire et écrire des métadonnées dans les fichiers.
• Exiv2 - Outil de manipulation des métadonnées d'image.
• Image Steganography - Intègre du texte et des fichiers dans des images avec chiffrement optionnel. Interface utilisateur facile à utiliser.
• Image Steganography Online - C'est un outil JavaScript côté client pour cacher stéganographiquement des images dans les "bits" inférieurs d'autres images.
• ImageMagick - Outil de manipulation d'images.
• Outguess - Outil stéganographique universel.
• Pngtools - Pour diverses analyses liées aux PNG.
  • apt-get install pngtools
• SmartDeblur - Utilisé pour déflouter et corriger les images floues.
• Steganabara - Outil d'analyse stéganographique écrit en Java.
• SteganographyOnline - Encodeur et décodeur de stéganographie en ligne.
• Stegbreak - Lance des attaques par dictionnaire en force brute sur des images JPG.
• StegCracker - Utilitaire de force brute stéganographique pour découvrir des données cachées dans des fichiers.
• stegextract - Détecter des fichiers et du texte cachés dans les images.
• Steghide - Cacher des données dans divers types d'images.
• StegOnline - Effectuer une large gamme d'opérations de stéganographie d'image, comme cacher/révéler des fichiers cachés dans les bits (open-source).
• Stegsolve - Appliquer diverses techniques de stéganographie aux images.
• Zsteg - Analyse PNG/BMP.

Web

Outils utilisés pour résoudre des défis Web

• BurpSuite - Un outil graphique pour tester la sécurité des sites web.
• Commix - Outil automatisé tout-en-un d'injection et d'exploitation de commandes OS.
• Hackbar - Extension Firefox pour une exploitation web facile.
• OWASP ZAP - Proxy intercepteur pour rejouer, déboguer et fuzzer les requêtes et réponses HTTP.
• Postman - Extension Chrome pour déboguer les requêtes réseau.
• Raccoon - Un outil de sécurité offensive haute performance pour la reconnaissance et l'analyse de vulnérabilités.
• SQLMap - Outil automatisé d'injection SQL et de prise de contrôle de base de données. pip install sqlmap
• W3af - Web Application Attack and Audit Framework.
• XSSer - Automated XSS testor.

Resources

Where to discover about CTF

Operating Systems

Penetration testing and security lab Operating Systems

• Android Tamer - Based on Debian.
• BackBox - Based on Ubuntu.
• BlackArch Linux - Based on Arch Linux.
• Fedora Security Lab - Based on Fedora.
• Kali Linux - Based on Debian.
• Parrot Security OS - Based on Debian.
• Pentoo - Based on Gentoo.
• URIX OS - Based on openSUSE.
• Wifislax - Based on Slackware.

Malware analysts and reverse-engineering

• Flare VM - Based on Windows.
• REMnux - Based on Debian.

Starter Packs

Collections of installer scripts, useful tools

• CTF Tools - Collection of setup scripts to install various security research tools.
• LazyKali - A 2016 refresh of LazyKali which simplifies install of tools and configuration.

Tutorials

Tutorials to learn how to play CTFs

• CTF Field Guide - Field Guide by Trails of Bits.
• CTF Resources - Start Guide maintained by community.
• How to Get Started in CTF - Short guideline for CTF beginners by Endgame
• Intro. to CTF Course - A free course that teaches beginners the basics of forensics, crypto, and web-ex.
• IppSec - Video tutorials and walkthroughs of popular CTF platforms.
• LiveOverFlow - Video tutorials on Exploitation.
• MIPT CTF - A small course for beginners in CTFs (in Russian).

Wargames

Always online CTFs

• Backdoor - Security Platform by SDSLabs.
• Crackmes - Reverse Engineering Challenges.
• CryptoHack - Fun cryptography challenges.
• echoCTF.RED - Online CTF with a variety of targets to attack.
• Exploit Exercises - Variety of VMs to learn variety of computer security issues.
• Exploit.Education - Variety of VMs to learn variety of computer security issues.
• Gracker - Binary challenges having a slow learning curve, and write-ups for each level.
• Hack The Box - Weekly CTFs for all types of security enthusiasts.
• Hack This Site - Training ground for hackers.
• Hacker101 - CTF from HackerOne
• Hacking-Lab - Ethical hacking, computer network and security challenge platform.
• Hone Your Ninja Skills - Web challenges starting from basic ones.
• IO - Wargame for binary challenges.
• Microcorruption - Embedded security CTF.
• Over The Wire - Wargame maintained by OvertheWire Community.
• PentesterLab - Variety of VM and online challenges (paid).
• PicoCTF - All year round ctf game. Questions from the yearly picoCTF competition.
• PWN Challenge - Binary Exploitation Wargame.
• Pwnable.kr - Pwn Game.
• Pwnable.tw - Binary wargame.
• Pwnable.xyz - Binary Exploitation Wargame.
• Reversin.kr - Reversing challenge.
• Ringzer0Team - Ringzer0 Team Online CTF.
• Root-Me - Hacking and Information Security learning platform.
• ROP Wargames - ROP Wargames.
• SANS HHC - Challenges with a holiday theme released annually and maintained by SANS.
• SmashTheStack - A variety of wargames maintained by the SmashTheStack Community.
• Viblo CTF - Various amazing CTF challenges, in many different categories. Has both Practice mode and Contest mode.
• VulnHub - VM-based for practical in digital security, computer application & network administration.
• W3Challs - A penetration testing training platform, which offers various computer challenges, in various categories.
• WebHacking - Hacking challenges for web.

Self-hosted CTFs

• Damn Vulnerable Web Application - PHP/MySQL web application that is damn vulnerable.
• Juice Shop CTF - Scripts and tools for hosting a CTF on OWASP Juice Shop easily.

Websites

Various general websites about and on CTF

• Awesome CTF Cheatsheet - CTF Cheatsheet.
• CTF Time - General information on CTF occuring around the worlds.
• Reddit Security CTF - Reddit CTF category.

Wikis

Various Wikis available for learning about CTFs

• Bamboofox - Chinese resources to learn CTF.
• bi0s Wiki - Wiki from team bi0s.
• CTF Cheatsheet - CTF tips and tricks.
• ISIS Lab - CTF Wiki by Isis lab.
• OpenToAll - CTF tips by OTA CTF team members.

Writeups Collections

Collections of CTF write-ups

• 0e85dc6eaf - Write-ups for CTF challenges by 0e85dc6eaf
• Captf - Dumped CTF challenges and materials by psifertex.
• CTF write-ups (community) - CTF challenges + write-ups archive maintained by the community.
• CTFTime Scrapper - Scraps all writeup from CTF Time and organize which to read first.
• HackThisSite - CTF write-ups repo maintained by HackThisSite team.
• Mzfr - CTF competition write-ups by mzfr
• pwntools writeups - A collection of CTF write-ups all using pwntools.
• SababaSec - A collection of CTF write-ups by the SababaSec team
• Shell Storm - CTF challenge archive maintained by Jonathan Salwan.
• Smoke Leet Everyday - CTF write-ups repo maintained by SmokeLeetEveryday team.

LICENSE

CC0 :)