Interview with the CyKor CTF team

Here is their story.

Gabor Pek (Avatao): When did you start CyKor and how did you guys get to know each other?

CyKor: CyKor was established on July 1, 2011 by some post-graduates from Korea National University. Since then, undergraduates can join us as well and we currently switched to a club format. As we study in the same major, we can easily talk to each other about hacking competitions and conferences. This is not so simple for teams which are not from the same university.

GP: How do you prepare for CTFs? Do you meet regularly to practice?

CK: We don’t really prepare or practice in advance on a regular basis. Normally, we practice by playing war games or solving some CTF challenges privately. We would say that doing vulnerability analysis is part of our practice. There are CTFs like DEFCON where teamwork and preparation are keys to succeed. In that case, we share our roles beforehand and do the preparation together.

GP: How do you find new team members? Is there an official procedure?

CK: We gather students only from our department and of course from our university. We find new members for each semester and recruit them. After playing a massive number of CTFs, we select the most experienced candidates to join CyKor and play CTFs together.

GP: Do you have a long-term goal as a team?

CK: We don’t really have a long-term goal, but we prefer keeping our rank up high constantly. Considering our long-term goal, we would like to launch a world well-known hacking competition orgnanized by CyKor and also produce a wargame website for educational purposes.

GP: You regularly play at various CTF competitions as CyKor with really nice results (e.g., ranked 2nd on Belluminar). On DEFCON, however, your team joined DEFKOR. So what is the difference between CyKor and DEFKOR?

CK: DEFKOR is a united team which integrates CyKor, Raon_ASRT and other few great experts like Junghoon Lee. Some of the members are working for security companies or doing research as post-graduates.

GP: What tools do you use regularly on CTFs and why those? Do you have your own toolset?

CK: Generally, we use IDA and python. IDA Pro gives us satisfying results for reversing and pwnable challenges. As for web-hacking, we use proxys like Fiddler, Paros and Burp Suite. We especially like Fiddler which provides a very comfy interface.

GP: Many people argue that CTF games are not realistic. What do you think of it? Can you utilize your knowledge in your professional life?

CK: There are lot of differences compared to professional life, but we would not say that the knowledge we earned from CTFs is not useful in real-life situations. The main difference is that CTF challenges always have ‘correct’ answers which is not true for real-life problems such as bug-hunting. On the other hand, CTF organizers are preparing more and more difficult challenges to keep up with the advancement of new technologies. As a result, players sometimes need to find weaknesses in undocumented encryption algorithms or evade recent mitigation methods. Sometimes the interesting tricks of CTF challenges are reused in other CTFs also. Therefore, we believe that CTF games enhance our skills in our major and motivate us to continuously learn new technologies.

GP: CTF games are very popular today, however, it is quite difficult for beginners to catch up with the new challenges. How do you think this gap could be resolved? What do you suggest to those who are about to learn security now?

CK: We recommend to start playing on wargame websites. It’s quite difficult for newbies to master a thick and heavy Linux programming book and learn all the assembly languages. Recent wargame websites provide not only challenges, but related references also which is really convenient. So if you are a newbie and trying to learn cyber security, we recommend you to check wargame websites.

If you feel like solving a few challenges, Avatao offers you a nice intro path to start with. Enjoy!

– the Avatao team

You can also read the original interview in Korean.

Gabor Pek (Avatao): When did you start CyKor and how did you guys get to know each other?

CyKor: CyKor는 2011년 7월1일 고려대학교 대학원분들에 의해 설립이 되었습니다. 이후 학부생들도 참여할 수 있게 되면서 학부생과 같이 참가했으며, 현재는 학부 동아리로 전환된 상태입니다. 대부분의 팀원들은 고등학생 때부터 청소년 해킹대회/ 일반 해킹대회 / 보안 컨퍼런스 등을 통해 이미 알고 있었고, 아닌 경우에도 같은 학교, 같은 과이기 때문에 학교에서 알 수 있었다.

GP: How do you prepare for CTFs? Do you meet regularly to practice?

CK: 계획적으로 준비를 하거나 연습을 하지는 않는다. 평소에 개인적으로 워게임이나 CTF 문제를 풀어보고, 취약점 분석 등을 하면서 공부하는 것이 연습이라고 할 수 있다.. DEFCON CTF처럼 팀워크나 준비가 중시되는 대회의 경우는 사전에 역할을 분담해 준비한다

GP: How do you find new team members? Is there an official procedure?

CK: CyKor는 현재 우리가 속해있는 대학교 학과 학생들만 들어올 수 있다. 매학기마다 신입부원을 모집하고 그 중에 대회를 꾸준히 참여해본 친구들은 CyKor 이름으로 대회를 참가한다. 신입부원을 뽑는 대에 요구되는 자질이나 능력에 대해서는 조건을 걸고 있지 않으며 희망하는 학우를 모두 받아들이고 있다.

GP: Do you have a long-term goal as a team?

CK: 딱히 장기적인 목표는 없지만, 꾸준히 대회에서 좋은 성적을 유지하는 것, 장기적으로는 CyKor 이름으로 세계적인 해킹대회개최 및 교육용 워게임 사이트를 제작하는 것이다.

GP: You regularly play at various CTF competitions as CyKor with really nice results (e.g., ranked 2nd on Belluminar). On DEFCON, however, your team joined DEFKOR. So what is the difference between CyKor and DEFKOR?

CK: CyKor는 CyKor 팀원만으로 구성된 팀이고, DEFKOR는 CyKor 대회팀과 Raon_ASRT, 그리고 몇몇 잘하시는 분들이 참여한 연합팀이다. 그 중 몇몇은 현재 기업에서 근무하고 있는 팀원도 있고 대학원에서 연구하고 있는 팀원도 있다.

GP: What tools do you use regularly on CTFs and why those? Do you have your own toolset?

CK: 팀원들이 공통적으로 사용하는 툴은 IDA, python이 있다. IDA Pro같은 경우에는 리버싱, 포너블 문제를 푸는 데에 있어서 아주 유연하고 강력한 기능을 제공하기 때문에 사용한다. 웹해킹 분야에 대해서는 Fiddler, Paros, Burp Suite 같은 프록시를 사용하곤 한다. 특히, Fiddler 웹 프록시같은 경우에는 CTF같이 페이지단위로 단편적으로 집중해야 되는 경우에는 간단하고 편한 인터페이스를 제공해주기 때문에 자주 사용한다.

GP: Many people argue that CTF games are not realistic. What do you think of it? Can you utilize your knowledge in your professional life?

CK: 많은 점들이 다르지만 CTF를 하면서 얻는 지식이 실제상황에서 무의미하다고 생각하지 않는다. CTF에는 최종적으로 답이 있기 때문에 버그 헌팅을 비롯한 실무와 비교하기 어려울 수도 있다. 하지만 답이 있기 때문에 CTF 출제자들은 그 답에 이르는 과정을 실제보다 조금 더 어렵게 만들 수 있다. 이러한 특성 덕분에 아직 적용되거나 공개되지 않은 난독화 기법이나 mitigation 등을 문제로 내주고 그에 대한 문제점을 출제자 및 참가자들에게 분석하게 시킬 수 있다. 실제로 좋은 평가를 받는 CTF들은 최신 이슈를 CTF 문제에 반영한다. 이러한 기술들을 끊임없이 익혀나갈 경우 충분히 자기 전공에서 훌륭한 역량을 발휘할 수 있다고 생각한다.

GP: CTF games are very popular today, however, it is quite difficult for beginners to catch up with the new challenges. How do you think this gap could be resolved? What do you suggest to those who are about to learn security now?

CK: 교육용 워게임 사이트를 이용하는것을 추천한다. 막연히 처음부터 두꺼운 리눅스 프로그래밍 책을 마스터한다든가 모든 어셈블리 언어를 학습한다는 것은 CTF 입문자들에게는 많이 부담스러울 것이다. 요즘 워게임 사이트들은 단순히 문제만 내는 것이 아니라 이에 관련된 reference를 제공하는 경우가 많은데 이 경우 그때그때 필요한 지식들을 효율적으로 학습할 수 있는 장점이 있다. 그래서 처음 보안을 배우려는 사람이라면 교육용 자료가 많은 워게임 사이트들을 직접 손으로 풀어보며 감을 익히는 것을 추천한다.