如何看待2019藍帽杯SSH弱密碼？

1樓：愛德蒙

說說ssh指令碼的事兒。

指令碼不止吉林和我們浙江的兩個學院在跑，從第一輪的分數就能看出來。第二輪開始的時候，裁判說的是「請吉林的不要再跑指令碼了」，也沒有說別的學院跑指令碼會有處罰措施。從猜疑鏈的角度來說，這個時候，不是我們先打別人，就是別人先來打我們。

事實也是如此，我們確實在第二輪開始時拿到了大部分第一題的伺服器，但是第二題的伺服器沒有一台在我們手上（指令碼出了點小問題，我這只能兩個埠分開跑，所以第二題慢了）。這也說明確實別人也在跑ssh的指令碼。我們隊到中場宕機之前，沒見過一眼比賽的第二題。

另外，出現這種狀況之後，主辦方那邊直接寫個指令碼，然後用指令碼以root使用者修改每一台伺服器的密碼為隨機密碼，最後列印好發出來，不就好了嗎？乙個個統計網段，效率也太低了吧？

2樓：

不得不承認吉林老鐵們真的強，第一次參賽沒準備ssh弱口令批量改，上場被吊打兩輪（後來聽說第二輪不是吉林改的哈哈哈），直接給我乾到最後一名，還好後面主辦方重置了伺服器才讓我換了口氣，拿著官方預留馬批量種不死馬，getshell，這才爬到了中游。這個比賽讓我更看清了自己是有多菜

3樓：

ps.李鵬是哪個兄弟？你的大馬很好用哦

不請自來，主辦方應該是經驗問題，導致比賽前兩小時毫無遊戲體驗。吉林和浙警的兄弟指令碼一掛，所以ssh密碼（123456）直接修改導致全場大多數隊伍沒有辦法連線ssh來防禦。還有宕機的扣分和檢測也存在問題，甚至有些隊伍把原始碼刪掉兩個小時都沒有被扣分。

4樓：Merser

感覺如果不是上來批量改了…排名會截然不同吧，大佬們tql，很多大佬的技術都沒發揮出來。

ps:空調真的冷…江蘇警院硬體設施牛

5樓：

看到第一的回答，再改一波自己的回答。

首先，這不是準備充不充分的問題，我相信大部分隊伍是否有準備修改ssh的指令碼的，但是指令碼的配置修改肯定要花費時間(除了參加過主辦方舉辦的比賽的隊伍，哪個隊伍能想到使用者名稱是testu)。

也許修改指令碼只需要幾秒的時間，但是這幾秒就足以讓不需要修改指令碼的隊伍拿到絕對的優勢。。。

我並不是想怪罪跑指令碼的兄弟們，遇到這種情況，誰能放著能用的指令碼不用，而是等著別人來打自己呢？

主要還是主辦方過於智障，連續兩次比賽用一樣的使用者名稱和密碼。再說，ssh弱密碼本身就不適合作為乙個考點，如果想要作為考點，那至少應該給每支隊伍一些加固時間，我覺得應該會有忘記改ssh密碼的隊伍吧。。。

只是自己的一些想法，還希望各位大佬莫噴。

祝各位身體健康，學業有成。