Awesome CTF

厳選されたCapture The Flag（CTF）フレームワーク、ライブラリ、リソース、ソフトウェア、チュートリアルのリストです。このリストは、初心者からベテランのCTFプレイヤーまでが、CTFに関連するすべてを一か所で見つけられるようにすることを目的としています。

貢献

まず貢献ガイドラインを簡単にご確認ください。

ここにないツールをご存知でしたら、遠慮なくプルリクエストを開いてください。

なぜ？

CTFで使用するツールのコレクションを構築し、それらをすべて覚えておくには時間がかかります。このリポジトリは、これらの散在するツールを一か所にまとめるのに役立ちます。

目次

• Awesome CTF

  • 作成
    • フォレンジック
    • プラットフォーム
    • ステガノグラフィー
    • Web
  • 解決
    • 攻撃
    • ブルートフォーサー
    • 暗号
    • エクスプロイト
    • フォレンジック
    • ネットワーキング
    • リバーシング
    • サービス
    • ステガノグラフィー
    • Web

• リソース

  • オペレーティングシステム
  • スターターパック
  • チュートリアル
  • ウォーゲーム
  • ウェブサイト
  • Wiki
  • ライトアップコレクション

作成

CTFチャレンジ作成に使用されるツール

• Kali Linux CTF Blueprints - 独自のCapture the Flagチャレンジの構築、テスト、カスタマイズに関するオンラインブック。

フォレンジック

フォレンジックチャレンジ作成に使用されるツール

• Dnscat2 - DNSを介したホスト間通信。
• Kroll Artifact Parser and Extractor (KAPE) - トリアージプログラム。
• Magnet AXIOM - アーティファクト中心のDFIRツール。
• Registry Dumper - レジストリのダンプ。

プラットフォーム

CTFをホストするために使用できるプロジェクト

• CTFd - ISISLab、NYU Tandonによる Jeopardy 形式のCTFをホストするプラットフォーム。
• echoCTF.RED - 独自のCTFインフラストラクチャを開発、展開、保守。
• FBCTF - FacebookによるCapture the Flag競技をホストするプラットフォーム。
• Haaukins - セキュリティ教育のための高アクセシビリティかつ自動化された仮想化プラットフォーム。
• HackTheArch - CTFスコアリングプラットフォーム。
• Mellivora - PHPで書かれたCTFエンジン。
• MotherFucking-CTF - 悪質な軽量CTFホスティングプラットフォーム。JS不要。
• NightShade - シンプルなセキュリティCTFフレームワーク。
• OpenCTF - ボックスに入ったCTF。最小限のセットアップで使用可能。
• PicoCTF - picoCTFの実行に使用されるプラットフォーム。あらゆるCTFをホストするための優れたフレームワーク。
• PyChallFactory - Jeopardy形式のCTFチャレンジを作成/管理/パッケージ化するための小さなフレームワーク。
• RootTheBox - ハッカーのゲーム（CTFスコアボード＆ゲームマネージャー）。
• Scorebot - Legitbs（Defcon）によるCTF用プラットフォーム。
• SecGen - セキュリティシナリオジェネレーター。ランダムに脆弱な仮想マシンを作成。

ステガノグラフィー

ステゴチャレンジ作成に使用されるツール

ステガノグラフィーの解決セクションを参照。

Web

Webチャレンジ作成に使用されるツール

JavaScript難読化ツール

• Metasploit JavaScript Obfuscator
• Uglify

解決

CTFチャレンジ解決に使用されるツール

攻撃

さまざまな種類の攻撃を実行するためのツール

• Bettercap - MITM（中間者攻撃）を実行するためのフレームワーク。
• Yersinia - レイヤー2のさまざまなプロトコルを攻撃。

暗号

暗号チャレンジ解決に使用されるツール

• CyberChef - データの分析とデコードのためのWebアプリ。
• FeatherDuster - 自動化されたモジュール式暗号解析ツール。
• Hash Extender - ハッシュ長拡張攻撃を実行するためのユーティリティツール。
• padding-oracle-attacker - パディングオラクル攻撃を実行するCLIツール。
• PkCrack - PkZip暗号化を破るためのツール。
• QuipQuip - 換字式暗号やヴィジュネル暗号（鍵なし）を解読するためのオンラインツール。
• RSACTFTool - 様々な攻撃でRSA秘密鍵を復元するためのツール。
• RSATool - pとqの知識から秘密鍵を生成。
• XORTool - マルチバイトXOR暗号を分析するツール。

ブルートフォーサー

さまざまな種類のブルートフォース（パスワードなど）に使用されるツール

• Hashcat - パスワードクラッカー
• Hydra - 多数のプロトコルをサポートする並列化ログインクラッカー
• John The Jumbo - John the Ripperのコミュニティ強化版。
• John The Ripper - パスワードクラッカー。
• Nozzlr - 真にモジュール式でスクリプトフレンドリーなブルートフォースフレームワーク。
• Ophcrack - レインボーテーブルに基づくWindowsパスワードクラッカー。
• Patator - モジュール式設計の多目的ブルートフォーサー。
• Turbo Intruder - 大量のHTTPリクエストを送信するためのBurp Suite拡張機能

エクスプロイト

エクスプロイトチャレンジ解決に使用されるツール

• DLLInjector - プロセスにDLLを注入。
• libformatstr - 書式文字列の悪用を簡略化。
• Metasploit - ペネトレーションテストソフトウェア。
  • チートシート
• one_gadget - execve('/bin/sh', NULL, NULL) 呼び出しの one gadget を見つけるツール。
  • gem install one_gadget
• Pwntools - エクスプロイト作成のためのCTFフレームワーク。
• Qira - QEMUインタラクティブランタイムアナライザー。
• ROP Gadget - ROPエクスプロイトのためのフレームワーク。
• V0lt - セキュリティCTFツールキット。

フォレンジック

フォレンジックチャレンジ解決に使用されるツール

• Aircrack-Ng - 802.11 WEPおよびWPA-PSKキーをクラック。
  • apt-get install aircrack-ng
• Audacity - サウンドファイル（mp3、m4aなど）を分析。
  • apt-get install audacity
• Bkhive and Samdump2 - SYSTEMおよびSAMファイルをダンプ。
  • apt-get install samdump2 bkhive
• CFF Explorer - PEエディター。
• Creddump - Windows資格情報をダンプ。
• DVCS Ripper - Webアクセス可能な（分散）バージョン管理システムをリッピング。
• Exif Tool - ファイルメタデータの読み取り、書き込み、編集。
• Extundelete - マウント可能なイメージから失われたデータを復元するために使用。
• Fibratus - Windowsカーネルの探索とトレーシングのためのツール。
• Foremost - ヘッダーを使用して特定の種類のファイルを抽出。
  • apt-get install foremost
• Fsck.ext4 - 破損したファイルシステムを修復するために使用。
• Malzilla - マルウェアハンティングツール。
• NetworkMiner - ネットワークフォレンジック分析ツール。
• PDF Streams Inflater - PDFファイル内で圧縮されたzlibファイルを検索および抽出。

レジストリビューアー

• OfflineRegistryView - 外部ドライブからオフラインのレジストリファイルを読み取り、希望のレジストリキーを.regファイル形式で表示できるWindows用のシンプルなツール。
• Registry Viewer® - Windowsレジストリを表示するために使用。

ネットワーキング

ネットワーキングチャレンジ解決に使用されるツール

• Masscan - 大規模IPポートスキャナー、TCPポートスキャナー。
• Monit - ネットワーク上のホストをチェックする（およびその他の非ネットワークアクティビティ）ためのLinuxツール。
• Nipe - Torネットワークをデフォルトゲートウェイにするスクリプト。
• Nmap - ネットワーク探索とセキュリティ監査のためのオープンソースユーティリティ。
• Wireshark - ネットワークダンプを分析。
  • apt-get install wireshark
• Zeek - オープンソースのネットワークセキュリティモニター。
• Zmap - オープンソースのネットワークスキャナー。

リバーシング

リバーシングチャレンジ解決に使用されるツール

• Androguard - Androidアプリケーションのリバースエンジニアリング。
• Angr - プラットフォームに依存しないバイナリ分析フレームワーク。
• Apk2Gold - もう一つのAndroidデコンパイラー。
• ApkTool - Androidデコンパイラー。
• Barf - バイナリ分析とリバースエンジニアリングフレームワーク。
• Binary Ninja - バイナリ分析フレームワーク。
• BinUtils - バイナリツールのコレクション。
• BinWalk - ファームウェアイメージの分析、リバースエンジニアリング、抽出。
• Boomerang - x86/SPARC/PowerPC/ST-20バイナリをCにデコンパイル。
• ctf_import – クロスプラットフォームでストリップされたバイナリから基本的な関数を実行。
• cwe_checker - バイナリ実行ファイル内の脆弱なパターンを見つける。
• demovfuscator - 開発中のmovfuscatedバイナリ用デオブフュスケーター。
• Frida - 動的コードインジェクション。
• GDB - GNUプロジェクトデバッガー。
• GEF - GDBプラグイン。
• Ghidra - リバースエンジニアリングツールのオープンソーススイート。IDA Proに類似。
• Hopper - OSXおよびLinux用のリバースエンジニアリングツール（逆アセンブラ）。
• IDA Pro - 最も使用されているリバースエンジニアリングソフトウェア。
• Jadx - Androidファイルをデコンパイル。
• Java Decompilers - JavaおよびAndroid APK用のオンラインデコンパイラー。
• Krakatau - Javaデコンパイラーおよび逆アセンブラ。
• Objection - ランタイムモバイルエクスプロレーション。

JavaScript難読化解除ツール

• Detox - JavaScriptマルウェア分析ツール。
• Revelo - 難読化されたJavaScriptコードを分析。

SWF分析ツール

• RABCDAsm - ActionScript 3アセンブラ/逆アセンブラを含むユーティリティコレクション。
• Swftools - SWFファイルを扱うためのユーティリティコレクション。
• Xxxswf - Flashファイルを分析するためのPythonスクリプト。

サービス

インターネット上で利用可能なさまざまな便利なサービス

• CSWSH - クロスサイトWebSocketハイジャックテスター。
• Request Bin - 特定のURLへのHTTPリクエストを検査可能。

ステガノグラフィー

ステガノグラフィーチャレンジ解決に使用されるツール

• AperiSolve - 画像のレイヤー分析を実行するプラットフォーム（オープンソース）。
• Convert - 画像の形式変換とフィルター適用。
• Exif - JPEGファイルのEXIF情報を表示。
• Exiftool - ファイルのメタ情報の読み取りと書き込み。
• Exiv2 - 画像メタデータ操作ツール。
• Image Steganography - オプションの暗号化でテキストやファイルを画像に埋め込む。使いやすいUI。
• Image Steganography Online - クライアントサイドのJavaScriptツール。画像の下位「ビット」に他の画像をステガノグラフィ的に隠す。
• ImageMagick - 画像操作用ツール。
• Outguess - 汎用ステガノグラフィツール。
• Pngtools - PNGに関連するさまざまな分析用。
  • apt-get install pngtools
• SmartDeblur - ぼやけた画像やピンぼけ画像の修正に使用。
• Steganabara - Javaで書かれたステガノ分析ツール。
• SteganographyOnline - オンラインのステガノグラフィエンコーダーおよびデコーダー。
• Stegbreak - JPG画像に対してブルートフォース辞書攻撃を実行。
• StegCracker - ファイル内の隠しデータを暴くためのステガノグラフィブルートフォースユーティリティ。
• stegextract - 画像内の隠しファイルやテキストを検出。
• Steghide - さまざまな種類の画像にデータを隠す。
• StegOnline - ビット内に隠されたファイルの隠蔽/公開など、幅広い画像ステガノグラフィ操作を実行（オープンソース）。

Web

Webチャレンジ解決に使用されるツール

• BurpSuite - Webサイトのセキュリティをテストするためのグラフィカルツール。
• Commix - 自動化オールインワンのOSコマンドインジェクションおよびエクスプロイトツール。
• Hackbar - 簡単なWebエクスプロイトのためのFirefoxアドオン。
• OWASP ZAP - HTTPリクエストとレスポンスの再生、デバッグ、ファジングのためのインターセプトプロキシ。
• Postman - ネットワークリクエストのデバッグ用Chromeアドオン。
• Raccoon - 偵察と脆弱性スキャンのための高性能オフェンシブセキュリティツール。
• SQLMap - 自動SQLインジェクションおよびデータベース乗っ取りツール。 pip install sqlmap
• W3af - Web Application Attack and Audit Framework.
• XSSer - Automated XSS testor.

Resources

Where to discover about CTF

Operating Systems

Penetration testing and security lab Operating Systems

• Android Tamer - Based on Debian.
• BackBox - Based on Ubuntu.
• BlackArch Linux - Based on Arch Linux.
• Fedora Security Lab - Based on Fedora.
• Kali Linux - Based on Debian.
• Parrot Security OS - Based on Debian.
• Pentoo - Based on Gentoo.
• URIX OS - Based on openSUSE.
• Wifislax - Based on Slackware.

Malware analysts and reverse-engineering

• Flare VM - Based on Windows.
• REMnux - Based on Debian.

Starter Packs

Collections of installer scripts, useful tools

• CTF Tools - Collection of setup scripts to install various security research tools.
• LazyKali - A 2016 refresh of LazyKali which simplifies install of tools and configuration.

Tutorials

Tutorials to learn how to play CTFs

• CTF Field Guide - Field Guide by Trails of Bits.
• CTF Resources - Start Guide maintained by community.
• How to Get Started in CTF - Short guideline for CTF beginners by Endgame
• Intro. to CTF Course - A free course that teaches beginners the basics of forensics, crypto, and web-ex.
• IppSec - Video tutorials and walkthroughs of popular CTF platforms.
• LiveOverFlow - Video tutorials on Exploitation.
• MIPT CTF - A small course for beginners in CTFs (in Russian).

Wargames

Always online CTFs

• Backdoor - Security Platform by SDSLabs.
• Crackmes - Reverse Engineering Challenges.
• CryptoHack - Fun cryptography challenges.
• echoCTF.RED - Online CTF with a variety of targets to attack.
• Exploit Exercises - Variety of VMs to learn variety of computer security issues.
• Exploit.Education - Variety of VMs to learn variety of computer security issues.
• Gracker - Binary challenges having a slow learning curve, and write-ups for each level.
• Hack The Box - Weekly CTFs for all types of security enthusiasts.
• Hack This Site - Training ground for hackers.
• Hacker101 - CTF from HackerOne
• Hacking-Lab - Ethical hacking, computer network and security challenge platform.
• Hone Your Ninja Skills - Web challenges starting from basic ones.
• IO - Wargame for binary challenges.
• Microcorruption - Embedded security CTF.
• Over The Wire - Wargame maintained by OvertheWire Community.
• PentesterLab - Variety of VM and online challenges (paid).
• PicoCTF - All year round ctf game. Questions from the yearly picoCTF competition.
• PWN Challenge - Binary Exploitation Wargame.
• Pwnable.kr - Pwn Game.
• Pwnable.tw - Binary wargame.

Self-hosted CTFs

• Damn Vulnerable Web Application - PHP/MySQL web application that is damn vulnerable.
• Juice Shop CTF - Scripts and tools for hosting a CTF on OWASP Juice Shop easily.

Websites

Various general websites about and on CTF

• Awesome CTF Cheatsheet - CTF Cheatsheet.
• CTF Time - General information on CTF occuring around the worlds.
• Reddit Security CTF - Reddit CTF category.

Wikis

Various Wikis available for learning about CTFs

• Bamboofox - Chinese resources to learn CTF.
• bi0s Wiki - Wiki from team bi0s.
• CTF Cheatsheet - CTF tips and tricks.
• ISIS Lab - CTF Wiki by Isis lab.
• OpenToAll - CTF tips by OTA CTF team members.

Writeups Collections

Collections of CTF write-ups

• 0e85dc6eaf - Write-ups for CTF challenges by 0e85dc6eaf
• Captf - Dumped CTF challenges and materials by psifertex.
• CTF write-ups (community) - CTF challenges + write-ups archive maintained by the community.
• CTFTime Scrapper - Scraps all writeup from CTF Time and organize which to read first.
• HackThisSite - CTF write-ups repo maintained by HackThisSite team.
• Mzfr - CTF competition write-ups by mzfr
• pwntools writeups - A collection of CTF write-ups all using pwntools.
• SababaSec - A collection of CTF write-ups by the SababaSec team
• Shell Storm - CTF challenge archive maintained by Jonathan Salwan.
• Smoke Leet Everyday - CTF write-ups repo maintained by SmokeLeetEveryday team.

LICENSE

CC0 :)