傳統對於伺服器的定義都是一機多服務制,如此一來不僅會讓機器應付太繁雜的工作,且有硬體上的限制。在雲端運算出現後,將繁雜的計算服務個別獨立一台,並透過網路將服務串聯起來形成大型的平台,提供 IT 服務。雲端分為分散式運算和分散式檔案系統,都是在學術研究中應用了很久的技術,這兩樣技術本在如超級電腦、叢集電腦等高價格配備上執行的專屬運算環境,隨著個人電腦的運算能力不斷增強,且配備大量生產讓價格持續下探,因此雲端也逐漸進入個人電腦,讓一般使用者可以建立環境。而雲端運算使用的是「虛擬」資源,不僅增加計算效率,也降低主機的負載,且能同時提供給使用者更快速的服務。

由於網際網路相關資訊技術越來越重要,資訊安全的重要性也隨之增加,而Capture the flag (CTF) 競賽在國內外是相當盛行的資安競賽,透過系統安全、演算法、密碼學以及程式設計功力設計競賽題目,藉此培訓資安人才,許多大學或資安團隊皆會透過此競賽進行資安技術的競賽來增加資安相關實務經驗。
基於上述兩點,本研究利用開放原始碼(Open Source)的 IaaS 雲端平台 ─ Open-stack,設計線上資攻防練習平台,介紹 CTF 的形式與所需具備的技術,接著與實際網路環境中較容易遭受攻擊之威脅做競賽題目。

平台採用弱點或漏洞分析(Pwnable)、密碼學(Crypto)、鑑識(Forensics)以及綜合題(Misc)作為題目類
型,透過CTF學習資訊安全相關知識,既可避免真實攻擊別人時觸犯法律,也可達到學習目的。

Traditional servers are defined lots services in a machine, this way not only make the machine work too complicated, but have restrictions on the hardware. The complicated compute services are separate into single service, and combine the service through internet be a large platform to provide IT services.

The cloud is divided into distributed computing and distributed file systems, both are used in academic research in technology for a long time, these two techniques such as supercomputers, clusters computer are useing in high-priced device. As personal PC computing capabilities has been rising, with mass production make prices edge lower, so the cloud is gradually entering the PC, and normal users can set up the environment. cause cloud computing is use ”virtual” resources, not only increase the computational efficiency, but also reduce host’s load, and can also provide most fast service to users. Because internet information technology is increasingly important, the importance of information security have increased, and Capture the flag(CTF) contest at domestic and overseas is more popular information security contest, many universities and security team are through the contest to increase information security-related practical experience.

For these, in this study, we are use of open source IaaS cloud platform - OpenStack, designing online information security offensive and defensive practice platform (CTF), introduced with the desired form of CTF technology and related technology, then we use more vulnerable, to the threat of attack as contest topic. The platform also uses and the platform use Pwmable, Ccryptography,Forensics and Miscellaneous as the contest topic for general user to join, and through CTF to learn information securityrelated knowledge, not only can avoid breaking the law when the real attack, but to achieve the purpose of learning.

目
錄
書名頁 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . i
論文口試委員審定書 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ii
授權書 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . iii
中文摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . iv
英文摘要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . v
誌謝 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . vii
目錄 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . viii
表目錄 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . x
圖目錄 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xi
程式目錄 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xiii
一、前言 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
二、作業環境 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
2.1
雲端佈署
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
2.1.1 公有雲 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
2.1.2 私有雲 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
2.1.3 社群雲 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
2.1.4 混合雲 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
2.2 OpenStack 環境 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2.3 Ruby on Rails 語言 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
三、系統流程與架構 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
viii3.1 系統整體架構 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
3.2 雲平台建立 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
3.3 Ruby on Rails 環境架設 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
3.4 資料庫架設 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3.4.1 OpenStack 資料庫之設定 . . . . . . . . . . . . . . . . . . . . . . . 17
3.4.2 Ruby on Rails 資料庫之設定
. . . . . . . . . . . . . . . . . . . . . 18
四、結果展示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
4.1
4.2
雲端平台
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
4.1.1 網路配置 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
4.1.2 網頁管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
資安練習平台 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
4.2.1 網路設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
4.2.2 前端作答 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
4.2.3 圖表顯示與成績輸出 . . . . . . . . . . . . . . . . . . . . . . . . . . 36
4.2.4 後端管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
五、結論 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
參考文獻 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
ix表
目
錄
2.1 OpenStack 內部服務之密碼設定與介紹 . . . . . . . . . . . . . . . . . . . . 6
2.2 Rails 檔案目錄結構列表 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
3.1 OpenStack 雲端主機系統配備介紹 . . . . . . . . . . . . . . . . . . . . . . 11
x圖
目
錄
2.1 MVC 實際架構流程圖之介紹 . . . . . . . . . . . . . . . . . . . . . . . . .
3.1 雲平台與練習平台之系統整體架構 . . . . . . . . . . . . . . . . . . . . . . 10
3.2 OpenStack 流程圖 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
4.1 雲端虛擬機網路路由通道橋接圖 . . . . . . . . . . . . . . . . . . . . . . . . 22
4.2 雲端虛擬機資訊圖 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
4.3 雲端主機網路服務連接狀態資訊圖 . . . . . . . . . . . . . . . . . . . . . . 23
4.4 使用者登入介面圖 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
4.5 OpenStack 使用者操作介面示意圖 . . . . . . . . . . . . . . . . . . . . . . 24
4.6 雲端虛擬機之資源分配與使用關係圖 . . . . . . . . . . . . . . . . . . . . . 25
4.7 OpenStack 建立虛擬機與資源設定配置圖 . . . . . . . . . . . . . . . . . . 25
4.8 虛擬機完整操作介面圖 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
4.9 虛擬機操作紀錄圖 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
8
4.10 遠端操控虛擬機之使用範例畫面 . . . . . . . . . . . . . . . . . . . . . . . . 27
4.11 相關上傳映像檔的詳細資訊使用圖 . . . . . . . . . . . . . . . . . . . . . . 27
4.12 綜合題型之隱藏副檔名範例 . . . . . . . . . . . . . . . . . . . . . . . . . . 29
4.13 進制轉換練習題 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
4.14 含有 Flag 之隱藏頁面 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
4.15 Linux Base 題型範例示意圖 . . . . . . . . . . . . . . . . . . . . . . . . . . 32
4.16 題目 Linux Base 實際操作範例畫面圖 . . . . . . . . . . . . . . . . . . . . 32
xi4.17 Web Vulnerability 題型範例 1 . . . . . . . . . . . . . . . . . . . . . . . . . 34
4.18 Web Vulnerability 題型範例 2 . . . . . . . . . . . . . . . . . . . . . . . . . 35
4.19 Web Vulnerability 題型範例 3 . . . . . . . . . . . . . . . . . . . . . . . . . 35
4.20 橫向圖表名次排序與所有用戶成績排名圖 . . . . . . . . . . . . . . . . . . 36
4.21 用戶分數及所有題目報表呈現圖 . . . . . . . . . . . . . . . . . . . . . . . . 37
4.22 全用戶的帳號資訊報表。 . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
xii程 式 目 錄
2.1 Rails專案建立與資料庫更動指令 . . . . . . . . . . . . . . . . . . . . . . .
9
2.2 資料庫遷移指令 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
9
2.3 Migration 資料庫表格檔案之設計 . . . . . . . . . . . . . . . . . . . . . . .
9
2.4 Rails 路由設定檔範例說明程式 . . . . . . . . . . . . . . . . . . . . . . . .
9
3.1 主機服務溝通的內部網路名稱設定 . . . . . . . . . . . . . . . . . . . . . . 12
3.2 利用 yum 指令啟動並安裝 EPEL 相關套件。 . . . . . . . . . . . . . . . . 12
3.3 透過 Fedora 官方網站安裝 OpenStack 相依套件。 . . . . . . . . . . . . . 13
3.4 安裝使用 OpenStack selinux 來避免資源的誤用。 . . . . . . . . . . . . . . 13
3.5 設定環境變數供初始建立 . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
3.6 管理者腳本資訊 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
3.7 使用者腳本資訊 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
3.8 讀取管理者腳本並執行 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
3.9 映像檔建立指令 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
3.10 計算節點的文件設定檔 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
3.11 CPU 數量查詢指令 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
3.12 更新以及安裝所需套件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
3.13 Ruby 環境架設 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
3.14 查詢程式版本 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
3.15 連結資料庫設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3.16 使用服務時需在資料庫中建立資料表來儲存資源
xiii
. . . . . . . . . . . . . . 173.17 同步資料庫 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
3.18 更新系統所有套件並安裝 MySQL . . . . . . . . . . . . . . . . . . . . . . . 18
3.19 使用 MySQL 套件並更改細節使用資料檔 . . . . . . . . . . . . . . . . . . 18
3.20 Rails MySQL 設定檔整理 . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
4.1 OpenStack 設定對外網路範圍與閘道設定的指令操作 . . . . . . . . . . . . 20
4.2 內部網路資訊 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
4.3 內部 IP 位置查詢訊息範例。 . . . . . . . . . . . . . . . . . . . . . . . . . 28
4.4 資訊隱藏練習題 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
4.5 綜合題型之凱薩密碼範例 . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
4.6 利用系統指令尋找題目解答之範例 . . . . . . . . . . . . . . . . . . . . . . 30
4.7 資料探勘之相關檔案尋找題型 . . . . . . . . . . . . . . . . . . . . . . . . . 30
4.8 可疑註解之程式判斷練習題 . . . . . . . . . . . . . . . . . . . . . . . . . . 31
4.9 練習系統之提權範例 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
4.10 透過查詢指令察看權限之範例 . . . . . . . . . . . . . . . . . . . . . . . . . 33
4.11 執行後察看相關條件範例程式 . . . . . . . . . . . . . . . . . . . . . . . . . 33
4.12 搜尋所有目錄並過濾字串 . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
4.13 將搜尋到問題檔案之內容套入執行檔範例 . . . . . . . . . . . . . . . . . . 33
4.14 原始網頁與資料庫請求程式碼。 . . . . . . . . . . . . . . . . . . . . . . . . 35
4.15 網頁與資料庫溝通之惡意請求程式碼。 . . . . . . . . . . . . . . . . . . . . 36
4.16 後端設定前端顯示圖表基本狀態之程式碼 . . . . . . . . . . . . . . . . . . 37
4.17 前端顯示圖表之導向輸出程式碼。 . . . . . . . . . . . . . . . . . . . . . . 37
4.18 以CSV 實現相關成績與用戶資料之報表輸出程式碼 . . . . . . . . . . . . . 38
xiv4.19 資料庫題目更動與相關答案驗證程式碼 . . . . . . . . . . . . . . . . . . . . 38
4.20 Rails 重複使用頁面導向統一之範例程式碼 . . . . . . . . . . . . . . . . . . 39

[1] “Cloud computing.” https://en.wikipedia.org/wiki/Cloud_computing.
[2] “Openstack官網.” https://www.openstack.org/.
[3] V. P. Raghu Raman, Sherin Sunny, “Framework for evaluating capture the flag(ctf) security competitions,” International Conference for Convergence of Technology, pp. 1–5, 2014.
[4] “Rails csv export.”http://railscasts.com/episodes/362-exporting-csv-and-excel.
[5] “Centos官網.” https://www.centos.org/.
[6] “Ror introduction.” http://rubyonrails.org/.
[7] “Openstack - documentation for juno.” http://docs.openstack.org/juno/
install-guide/install/yum/content/ch_preface.html.
[8] “Remote procedure call.” https://en.wikipedia.org/wiki/Remote_procedure_
call.
[9] 鳥哥, 鳥哥的 Linux 私房菜–基礎學習篇. 碁峰, 3rd ed., 2007.
[10] “Ruby on rails 實戰聖經.” https://ihower.tw/rails4/installation.html.
[11] “Rubygem.” https://rubygems.org/.
[12] “Open vswitch.” http://openvswitch.org/.
[13] F. A. Abdul Razzaq, Khalid Latif, “Semantic security against web application at-tacks,” Information Sciences, vol. 254, pp. 19–38, 2014.