Panduan SSH & Attack

GEMASTIK · Universitas Airlangga

Konsep Attack & Defense

Setiap tim punya 6 challenge container yang harus dijaga (defense) dan bisa menyerang container tim lain (attack). Setiap container menyimpan flag yang nilainya dicek panitia secara berkala (SLA). Kalau service mati atau flag berubah, tim kamu kehilangan poin SLA.

Kamu menang dengan: (1) menjaga service tetap hidup, (2) mencuri flag dari tim lawan dan submit, (3) mencegah tim lawan mencuri flag kamu.

Login SSH

Cara 1 — Web Terminal di Portal Tim

  1. Buka portal tim kamu (domain dari panitia).
  2. Login dengan password SSH tim.
  3. Tab Terminal SSH → pilih challenge → Sambung.
  4. Langsung masuk sebagai user yang tertera di dropdown — ctfuser untuk challenge native GEMASTIK XVIII, root untuk challenge XVI/XVII import — tanpa perlu aplikasi SSH.

Cara 2 — SSH Client (opsional)

ssh <USER>@tim-N.attackdefense.gemastik.unair.ac.id -p <PORT_SSH> # USER : ctfuser (XVIII native) atau root (XVI/XVII import) # PASSWORD : password tim kamu # PORT_SSH : kolom SSH di tab Target Musuh pada portal tim kamu

Contoh: untuk challenge blogpost tim 1, port SSH = 31022.

Command Penting

CommandFungsi
cat /flag.txtLihat flag tim kamu sendiri
ls /app /srv /opt /homeCari file source/service
ps auxLihat proses yang berjalan
ss -tlnpLihat port yang dibuka service
systemctl statusCek service (kalau ada)
cat /etc/passwdDaftar user lokal

Alur Attack

  1. Buka tab Target Musuh di portal — lihat daftar domain/port tim lain.
  2. Analisa service lawan dari source code di container kamu sendiri (biasanya sama).
  3. Cari vuln (SSTI, path traversal, RCE, crypto oracle, dsb).
  4. Exploit service lawan → baca /flag.txt mereka.
  5. Submit flag di tab Submit Flag → poin masuk ke leaderboard.
Jangan sampai flag tim kamu bocor. Ganti password SSH rutin (via panitia), dan jangan tinggalkan flag di tempat umum.

Alur Defense

  1. Pastikan service selalu hidup — SLA dicek panitia berkala.
  2. Patch vuln yang bisa dipakai lawan (jika tahu).
  3. Jangan ubah /flag.txt — mount read-only, tidak bisa diubah dari dalam container.
  4. Pantau ps aux / log — kalau ada aktivitas mencurigakan, restart via panitia.

Butuh Bantuan?

Hubungi panitia untuk: reset password SSH, restart container, atau lapor service down. Portal ini untuk peserta — panel admin terpisah.

← Kembali ke portal tim

GEMASTIK · Universitas Airlangga