混了个奖
11月时参加了Datacon,做了邮件和IoT两个方向的题目;
结果邮件凭实(yun)力(qi)拿了个第一,IoT比较拉,最后是个前二十。
有了去年答(bei)辩(pen)的经验,加上这读研的一年多来看了不少论文
现在养成了查资料先去查论文的好习惯,看了两篇顶会论文对这相关领域的事情算是豁然开朗
简单讲一下比赛的感受吧
邮件安全主要可以分成三部分:
- 邮件登录异常检测
- 邮件发件人伪造靶场
- Real World发件人伪造漏洞挖掘
其中第一部分和第二部分分数各占50%,real world的部分只有进了决赛答辩才算分;
邮件靶场类似CTF,还有一血二血加成,卷的离谱
当时邮件登录异常检测的部分拿了一个非常简单的规则匹配,结果一下子变成第一(临时榜)了
算了算哪怕这部分再冒出来个90分的,也拉不开啥差距,反而是靶场如果一道题做不出来直接就gg了
所以后面的精力都去做这玩意儿去了
前面三道题非常ez
到第四题开始就有那么点儿难了
要求不只是伪造发件人,同时还不能显示由...代发
这里fuzz了半天,结果还是个预期外的解法
(测试了一下发现应该是个漏洞,对于Coremail的网站都有效)
第五、六、七都涉及到了DKIM和DMARC的绕过
第五题一开始卡住了,晚上拿着论文回去仔细研读,读到了绕过DKIM的方法
(2020年Usenix的Best Paper是真的牛)
简单总结一下绕过方法大概就是下图
最后一题还涉及到垃圾邮箱的绕过(明明连flag的邮件都进了垃圾邮箱)
正赛大概就是这样吧
real world部分就更出乎意料了,本来想着人家顶会论文都发出来了,总不会还有漏洞能让我们捡到吧?
结果还真有,而且还不少,一下子找到了六七个漏洞吧算是。
(Web 的漏洞还是好找的多啊)
还有个拒绝服务是真挺有意思,一打开邮件就会强制登出
最后可能人家比赛主办方觉得我们real world水了不少,不好意思把我们名次刷下去吧
侥幸得了个第一,第一次做这种分享的talk(虽然只有15分钟)
(图片经过压缩,非本人真实颜值)
最后,希望新一年自己能找到好工作!!