Bienvenida al curso

Un reto de la categoría misc en su versión más simple:

$ file nota.txt
nota.txt: ASCII text
$ cat nota.txt
c2Vjd2luZ3tiYXNlNjRfbm9fZXNfY2lmcmFkb30K
$ base64 -d nota.txt
secwing{base64_no_es_cifrado}

La parte difícil no es el base64 -d, sino mirar esa cadena y reconocer de dónde salió: letras y números sin espacios, longitud múltiplo de 4. Ese ojo, el de ver un dato raro y tener una sospecha concreta, es lo que entrena un CTF, y es el mismo que usa un analista ante un comando codificado en un log.

Bienvenido a Introducción a los CTF: capture la bandera. Va a pasar de oír hablar de las competencias Capture The Flag a resolver sus propios retos de codificación, forense, OSINT, criptografía clásica y web, en su máquina y de forma legal.

Qué va a lograr

• Explicar qué es un CTF, sus formatos (Jeopardy y Attack-Defense) y sus categorías.
• Elegir plataformas legales para practicar y reconocer el formato de una flag.
• Usar find, grep, strings, file, xxd, base64, exiftool y curl en retos de misc, forense, OSINT y web.
• Romper cifrados clásicos y XOR débiles, y entender por qué un hash no se "descifra".
• Aplicar una metodología (enumerar, hipótesis, probar, anotar) y escribir writeups con ética.

Para quién es y qué necesita

Es para quien ya se mueve en la terminal de Linux y quiere ponerla a prueba. Conviene haber hecho Linux básico: 15 comandos para empezar. No necesita programar.

Necesita una VM con Ubuntu o Kali, o Ubuntu en WSL2 (la píldora Su primera máquina virtual en 40 minutos le guía), Python 3 y un navegador con herramientas de desarrollo. Docker es opcional, para la aplicación vulnerable del módulo 3. Instale exiftool antes del módulo 2: en Ubuntu viene en el paquete libimage-exiftool-perl, nombre que nadie adivina.

Cómo está organizado

Cómo aprovecharlo

En los laboratorios usted genera los retos con un script, los resuelve y comprueba la flag con su huella SHA-256. La solución está en un recuadro al final; póngase veinte minutos antes de abrirlo, y si estaba a un comando de distancia, anote cuál.

Lleve un archivo de notas con cada comando que probó, también los que no sirvieron: en el módulo 4 se convierte en su primer writeup. El laboratorio que más cuesta suele ser el del módulo 3, porque la parte web exige leer código y cookies con DevTools, algo que en la terminal no se practicó. Al aprobar la evaluación final recibe el certificado y la insignia.

Tiempo estimado

Algo más de 4 horas, con unos 75 minutos de laboratorio.