CTF & Uygulamalı Lab

Doksan güne bölünmüş çalışma planı: ağ temelleri, Linux, Python, ardından saldırı ve savunma. Dağınık kaynak listelerinden farkı takvimli ve sıralı bir program sunması.

Capture The Flag için araç, wargame ve öğretici listesi. Tek yarışmadan farkı hazırlık için gereken tüm araç zincirini kategori kategori vermesi.

100’den fazla web zafiyeti içeren, indirilebilir kasıtlı-açık uygulama. Çevrimiçi hedeflerden farkı kendi makinende, izole ve sınırsız denemeye izin vermesi.

İnternetin en bilinen bulmacasının adım adım çözümü; steganografi, kitap şifresi ve Tor gizli servisleri bir arada kullanılıyor. Tek konu anlatan öğreticilerden farkı tekniklerin gerçek bir problemde nasıl zincirlendiğini göstermesi.

Topluluğun yüklediği tersine mühendislik görevlerinin (crackme) arşivi; zorluk, dil ve platforma göre filtreleniyor. CTF platformlarından farkı, görevlerin tek dosyalık yerel ikililer olması ve çözümlerin kullanıcılar tarafından yazılması. Güvenilmeyen çalıştırılabilir dosyalar olduğundan sanal makinede çalıştırın.

Gerçek kripto yapılarına saldırarak öğreten 8 set, 48 görevlik programlama alıştırması; saldırı kodunu kendiniz yazarsınız. Ders kitaplarından farkı, her kırılmanın bir öncekinin üstüne kurulması. İstediğiniz bir dilde kod yazmayı gerektirir.

Dünyadaki Capture The Flag yarışmalarını takvimleyen ve takım sıralaması tutan site. Dağınık duyurulardan farkı hangi yarışmanın ne zaman olduğunu tek yerde toplaması.

Mobil güvenlik öğrenmek için kasıtlı olarak zafiyetli iOS uygulaması. Web tabanlı zafiyet laboratuvarlarından farkı mobil platforma özgü sorunlara — güvensiz veri saklama, ikili yama — odaklanması.

Çok sayıda uygulama güvenliği açığını barındıran, Google kaynaklı test hedefi. Öğretici zafiyet laboratuvarlarından farkı tarayıcı ve otomatik güvenlik aracı denemek için tasarlanması: senaryo değil, açık türlerinin ham kataloğu.

PortSwigger’ın hazırladığı, zafiyetlerle dolu modern web uygulaması pratik hedefi. Eski pratik sitelerinden farkı gerçekçi tek sayfa uygulaması ve API mimarisi taşıması: bugünün web’ini yansıtıyor.

Google’ın düzenlediği CTF yarışmalarının tüm soruları, kaynak kodları ve çözümleri. Diğer arşivlerden farkı soruların altyapısının da yayımlanması — yarışmayı kendi makinende yeniden kurup çalışabiliyorsun.

Google’ın web uygulama açıklarını öğreten “delikli peynir” kod laboratuvarı. Salt teoriden farkı her açığı bulup hem sömürüp hem yamayı deneyimletmesi.

Gerçekçi makineler; ipucu vermiyor, keşif ve araştırma yükü tamamen sende. TryHackMe’den farkı bu zorluk: OSCP hazırlığında sık kullanılmasının sebebi de bu.

Modül tabanlı öğrenme ve CPTS/CBBH gibi pratik sertifikalar. OSCP’den farkı öğrenme yolunun sınavla aynı platformda olması ve fiyatın belirgin düşük olması; karşılığında işveren tanınırlığı henüz OSCP düzeyinde değil.

Yasal ve güvenli bir ortamda temel hack görevleri (temel, gerçekçi, programlama, steganografi) sunan eski bir eğitim sitesi. Forum ve makale bölümü de var; yeni başlayanlar için ilk adım olarak anılır, yeni platformlara göre arayüzü eski. Yeni platformlara kıyasla arayüzü eskidir, karşılığında bir CTF takvimine bağlı değildir.

HackerOne'ın web güvenliği açıklarını bulmayı anlatan ücretsiz video dersleri ve CTF'i; bulduğunuz bayraklarla özel bug bounty programlarına davet kazanılabiliyor. Genel eğitim sitelerinden farkı bug bounty yoluna doğrudan bağlanması.

Yaygın web güvenlik açıklarını (XSS, SQL enjeksiyonu, CSRF) kısa etkileşimli derslerle anlatan, geliştiricilere yönelik site. Pentest platformlarından farkı saldırıyı değil savunmayı öğretmeye odaklanması.

Sızma testi ve web güvenliğini kapsayan, tarayıcıda çalışan uygulamalı laboratuvarlar. Kendi laboratuvarını kurmaktan farkı ortamın tarayıcıda hazır gelmesi: kurulum yok, doğrudan pratiğe başlıyorsun.

Tarayıcıda çalışan bir MSP430 hata ayıklayıcısıyla elektronik kilitleri kırdıran gömülü sistem CTF'i. Kurulum gerektirmediği için gömülü tersine mühendisliğe ve montaj diline giriş için pratik; Matasano tarafından hazırlanmıştı.

SSH ile bağlanıp seviye seviye ilerlediğin klasik savaş oyunları. Tarayıcı tabanlı laboratuvarlardan farkı gerçek bir kabukta çalışman; Bandit serisi Linux komut satırını öğretmenin en sert ama en kalıcı yolu.

Kasıtlı olarak zafiyetlerle dolu, modern bir web uygulaması — güvenlik öğrenmek için hedef. Kuru anlatımdan farkı gerçek bir uygulamada onlarca açığı elle sömürmeni sağlaması.

Eğitim için kullanılabilecek kasıtlı-zafiyetli web uygulamalarının OWASP dizini. DVWA ya da Juice Shop gibi tek bir uygulamadan farkı onlarcasını çevrimiçi, çevrimdışı ve sanal makine/konteyner olarak sınıflandırması.

Web uygulaması sızma testi için OWASP'ın bilgi toplamadan iş mantığı hatalarına uzanan test metodolojisi ve kontrol listesi. Zafiyet listelerinden (Top 10) farkı 'nasıl test edilir' adımlarını ayrıntılı vermesi.

Web ve uygulama güvenliği alıştırmaları; her biri bir zafiyeti açıklıyor ve sömürmek için çalışan bir ortam veriyor. Salt CTF sitelerinden farkı, alıştırmaların konu ve zorluğa göre müfredat gibi sıralanması. Ücretsiz katman sınırlı, tam erişim ücretli.

Carnegie Mellon'ın ücretsiz CTF platformu; web, kripto, tersine mühendislik ve adli bilişim görevleri. Yarışma odaklı sitelerden farkı, zorluğun lise düzeyinden başlaması ve geçmiş yarışma görevlerinin pratik için açık kalması. Hesap gerekir.

Arizona State Üniversitesi'nin ücretsiz siber güvenlik eğitim platformu; sıfırdan başlayan modüller ve tarayıcıda çalışan pratik ortamlarla ikili sömürü, web ve tersine mühendislik öğretiyor. Salt CTF sitelerinden farkı sıralı bir müfredat izlemesi.

İkili sömürü (pwn) görevleri sunan, kâr amacı gütmeyen wargame sitesi; görevler Toddler's Bottle'dan başlayıp zorlaşıyor. Görevler uzak bir SSH sunucusunda çalışıyor ve kaynak kodu veriliyor; bellek bozulması konularını sırayla öğrenmeye elverişli. Tarayıcıda çalışan alıştırmalardan farklı olarak gerçek bir SSH sunucusunda çalışır.

Gerçek dünyaya yakın zafiyetlerle pwn becerisini geliştirmeyi hedefleyen, daha zor ikili sömürü görevleri. pwnable.kr'nin giriş düzeyine göre daha ileri; görevler puanlanıyor ve ilerlemek için önceki görevleri çözmek gerekiyor.

Web, kriptografi, tersine mühendislik ve adli bilişim alanlarında yüzlerce meydan okuma ve sanal ortam sunan, topluluk tarafından işletilen Fransız platform. Büyük ticari laboratuvarlardan farkı topluluk çözümleri ve zengin belge deposuyla gelmesi.

Tarihte çözülmüş ve çözülememiş şifreli metinlerin listesi. Kriptanaliz pratiği için sentetik alıştırma yerine gerçek malzeme.

Güvenlik firması Trail of Bits’in CTF rehberi; her kategoride hangi becerinin gerektiğini ve nasıl çalışılacağını anlatıyor. CTF101’den farkı daha derin olması ve profesyonel güvenlik işine köprü kurması — yarışmadan mesleğe geçiş.

Rehberli laboratuvarlar; her odada hangi aracı neden kullandığın anlatılıyor. Hack The Box’a göre elinden tutuyor, o yüzden ilk sızma testi deneyimi için daha uygun.

Bilinen CVE'ler için docker-compose ile tek komutta ayağa kalkan zafiyetli ortamlar. Zafiyetli VM arşivlerinden farkı, her ortamın tek bir yazılım ve tek bir CVE'ye odaklanması; kök nedeni yerelde incelemek kolay. Yalnızca izole ortamda çalıştırın.

Topluluğun hazırladığı, indirilip yerelde çalıştırılan zafiyetli sanal makinelerin arşivi. Çevrimiçi lab platformlarından farkı, makinelerin çevrimdışı çalışması; OSCP tarzı pratik için sık kullanılır. İndirilen VM'ler güvenilmeyen kod sayılır, izole çalıştırın.

PortSwigger’ın ücretsiz, uygulamalı web güvenliği kursu — her zafiyet için canlı laboratuvar. Teorik kurslardan farkı saldırıyı gerçek bir hedefte denetmesi.

Elli bir yıl çözülemeyen homofonik yerine koyma şifresinin nasıl kırıldığının teknik anlatımı. Hipotez kurma ve eleme sürecinin gerçek bir örneği.

Hâlâ kırılamamış şifrelerin kategorisi; Voynich el yazması ve Beale şifreleri dahil. Çözümlü şifre öğreticilerinin aksine burada her biri açık bir problem olarak duruyor.