混了个奖

11月时参加了Datacon,做了邮件和IoT两个方向的题目;

结果邮件凭实(yun)力(qi)拿了个第一,IoT比较拉,最后是个前二十。

有了去年答(bei)辩(pen)的经验,加上这读研的一年多来看了不少论文

现在养成了查资料先去查论文的好习惯,看了两篇顶会论文对这相关领域的事情算是豁然开朗

简单讲一下比赛的感受吧

邮件安全主要可以分成三部分:

  • 邮件登录异常检测
  • 邮件发件人伪造靶场
  • Real World发件人伪造漏洞挖掘

其中第一部分和第二部分分数各占50%,real world的部分只有进了决赛答辩才算分;

邮件靶场类似CTF,还有一血二血加成,卷的离谱

当时邮件登录异常检测的部分拿了一个非常简单的规则匹配,结果一下子变成第一(临时榜)了

算了算哪怕这部分再冒出来个90分的,也拉不开啥差距,反而是靶场如果一道题做不出来直接就gg了

所以后面的精力都去做这玩意儿去了

前面三道题非常ez

到第四题开始就有那么点儿难了

image-20220314144616538

要求不只是伪造发件人,同时还不能显示由...代发

这里fuzz了半天,结果还是个预期外的解法

(测试了一下发现应该是个漏洞,对于Coremail的网站都有效)

第五、六、七都涉及到了DKIM和DMARC的绕过

第五题一开始卡住了,晚上拿着论文回去仔细研读,读到了绕过DKIM的方法

(2020年Usenix的Best Paper是真的牛)

简单总结一下绕过方法大概就是下图

最后一题还涉及到垃圾邮箱的绕过(明明连flag的邮件都进了垃圾邮箱)

正赛大概就是这样吧

real world部分就更出乎意料了,本来想着人家顶会论文都发出来了,总不会还有漏洞能让我们捡到吧?

结果还真有,而且还不少,一下子找到了六七个漏洞吧算是。

(Web 的漏洞还是好找的多啊)

还有个拒绝服务是真挺有意思,一打开邮件就会强制登出

undefined

最后可能人家比赛主办方觉得我们real world水了不少,不好意思把我们名次刷下去吧

侥幸得了个第一,第一次做这种分享的talk(虽然只有15分钟)

(图片经过压缩,非本人真实颜值)

最后,希望新一年自己能找到好工作!!