Олимпиада ВсОШ по Информатике (ИБ) 9 класс 2 группа
📌 Задание 1 Прочитайте историю и ответьте на вопросы.
В одной школе есть сайт школьного самоуправления: ученики голосуют за мероприятия, а совет через админ-панель подводит итоги. Однажды результаты голосования оказались подделаны. Вот что удалось восстановить.
Сначала неизвестный несколько дней изучал совет: нашёл в открытых источниках список его членов и их почты, узнал, как устроен сайт и что вход находится по адресу /login. Затем Аня, член совета, получила письмо «от техподдержки хостинга»: «Ваш сайт в скором времени будет отключён за неуплату, срочно оплатите». В письме была ссылка на страницу, которая выглядела точь-в-точь как форма входа на сайт. Аня, испугавшись срочности, ввела там свой логин и пароль.
Через десять минут злоумышленник вошёл на сайт под логином и паролем Ани. Пароль подошёл, потому что Аня использовала один и тот же пароль на сайте совета и в почте, а второго фактора (кода из приложения или СМС) на сайте не было. Аня — обычный член совета, прав администратора у неё нет, но, просматривая её личные сообщения, злоумышленник нашёл старую переписку, где председатель прислал ей пароль от админ-панели «на всякий случай». С этим паролем злоумышленник вошёл в админ-панель уже как администратор.
Оказавшись в админ-панели, он создал себе ещё одну учётную запись администратора с незаметным именем svc_backup, чтобы вернуться позже, даже если пароль сменят.
А затем изменил результаты голосования — то, ради чего всё и затевалось.
Атака прошла в пять последовательных шагов.
Шаг 1. Неизвестный несколько дней собирал данные о совете и сайте.
Как называется эта фаза атаки?
Сканирование портов сервера
Разведка
Социальная инженерия
Получение доступа
Какая мера защиты помешала бы злоумышленнику именно на этом шаге — когда он собирает информацию из открытых источников?
Двухфакторная аутентификация при входе в учётную запись администратора
Отказ от публикации в открытом доступе лишних данных о совете и адресов служебных страниц
Ограничение числа попыток ввода пароля
Хранение паролей пользователей в виде хешей
Шаг 2. Аня получила поддельное письмо и ввела пароль на фальшивой странице.
Как называется эта фаза атаки?
Подбор пароля (брутфорс)
Фишинг
Разведка
Получение доступа
Какая мера защиты помешала бы злоумышленнику именно на этом шаге — когда Аню обманом ведут на поддельную страницу?
Проверка адреса сайта перед вводом пароля и отказ от перехода по ссылкам из писем
Ограничение числа попыток ввода пароля на сайте
Сложный пароль администратора
Регулярное обновление движка сайта
Шаг 3. Злоумышленник впервые вошёл на сайт под логином и паролем Ани.
Как называется эта фаза атаки?
Получение доступа
Повышение привилегий
Фишинг
Закрепление
Какая мера защиты помешала бы злоумышленнику именно на этом шаге — когда он входит с правильным, но украденным паролем Ани?
Требование длинного и сложного пароля
Ограничение числа попыток ввода пароля
Блокировка входа после 5 неудачных попыток
Двухфакторная аутентификация при входе
Шаг 4. Найдя пароль администратора, злоумышленник вошёл в админ-панель.
Как называется эта фаза атаки?
Получение доступа
Повышение привилегий
Закрепление
Разведка
Какая мера защиты помешала бы злоумышленнику именно на этом шаге — когда он находит в переписке пароль администратора?
Требование менять пароль администратора раз в год
Проверка адреса сайта перед входом
Отказ от хранения и пересылки паролей администратора в открытом виде (в сообщениях и файлах)
Отказ от публикации адреса админ-панели в открытом доступе
Шаг 5. Злоумышленник создал скрытую учётную запись svc_backup.
Как называется эта фаза атаки?
Повышение привилегий
Получение доступа
Закрепление
Разведка
Какая мера защиты помешала бы злоумышленнику именно на этом шаге — когда он тайно создаёт второй аккаунт администратора?
Смена пароля Ани после инцидента
Уведомление администраторов о создании новых учётных записей и проверка их списка
Двухфакторная аутентификация при входе Ани
Проверка адреса сайта перед вводом пароля
📌 Задание 2 Установите соответствие между современными криптографическими алгоритмами и их описаниями.
АЛГОРИТМЫ
ECDSA
RSA
AES
Kuznyechik
ОПИСАНИЯ
Симметричный алгоритм блочного шифрования, утверждённый ГОСТ 34.12 и RFC 7801.
Криптосистема, пригодная для шифрования и цифровой подписи; в основе — сложность разложения большого числа на простые множители.
Симметричный алгоритм блочного шифрования, принятый в качестве стандарта правительством США.
Алгоритм, позволяющий работать только с электронной подписью с эллиптическими кривыми в основе.
Рассмотрим схему Диффи–Хеллмана. Схема позволяет выработать общий ключ в условиях прослушиваемого канала связи.
Алиса и Боб хотят выработать общий ключ. Они фиксируют:
(g, p) — публичные параметры;
a — секрет Алисы;
b — секрет Боба.
Алиса передаёт Бобу A = g^a mod p, а Боб Алисе — B = g^b mod p.
После этого Алиса может вычислить B^a = g^(ab) mod p, а Боб — A^b = g^(ab) mod p. У них получилось одинаковое число, которое и является секретным ключом.
Исследователи в ходе учений перехватили такой обмен числами:
g = 2, p = 13;
A = 8, B = 11.
Маленькие числа позволяют наблюдателю узнать секретный ключ. Какой секретный ключ выработали стороны?
Сложность какой задачи для больших входных данных лежит в основе алгоритма Диффи–Хеллмана (в первую очередь)?
Дискретного логарифмирования
Факторизации
Поиска максимального паросочетания
Задачи коммивояжёра
📌 Задание 3 Установите соответствие между операциями и их характеристиками.
ОПЕРАЦИИ
Шифрование
Хеширование
Кодирование
ХАРАКТЕРИСТИКИ
Обратимо безо всякого ключа, достаточно знать, каким способом преобразовали.
Применяется для передачи любых данных там, где разрешён только обычный текст.
Применяется для хранения паролей на сервере не в открытом виде.
Результат всегда одной и той же длины, каким бы длинным ни был исходный текст.
Необратимо: по результату исходные данные восстановить нельзя.
Обратимо только при наличии ключа.
Применяется для проверки неизменности файла или пароля.
Ученик решил спрятать пароль от школьного сайта: записал его в Base64 и выложил получившуюся строку — cGFzc3dvcmQxMjM= в общий чат. Насколько это защищает пароль?
Никак не защищает
Защищает, так как никто не знает, что это Base64
Защищает, потому что строка выглядит как случайный набор символов
Защищает, если закодировать строку два раза подряд
Файл размером 2 гигабайта и файл размером 10 байт пропустили через одну и ту же хеш-функцию SHA-256. Сколько байт занимают оба хеша в сумме?
Разработчик выложил программу для скачивания и рядом на сайте опубликовал её хеш-сумму SHA-256. Что сможет сделать тот, кто скачал файл?
Расшифровать содержимое файла
Заметить, что файл подменили после публикации
Узнать, кто автор файла
Восстановить файл, если он скачался не полностью
Проверить, что файл скачался целиком и без ошибок
📌 Задание 4 Дан фрагмент кода веб-приложения.
1 from flask import Flask, request, render_template
2
3 app = Flask(name)
4
5 from secret_file import USERS
6 # Пример:
7 # USERS = [
8 # {«username»: «alice», «password»: «alice123», «role»: «admin»},
9 # {«username»: «bob», «password»: «bob123», «role»: «admin»},
10 # ]
11
12 @app.route(«/», methods=[«GET»])
13 def index():
14 return «Ничего интересного, вроде бы», 200
15
16
17 @app.route(«/login», methods=[«POST»])
18 def login():
19 username = (request.form.get(«username») or «»).strip()
20 password = request.form.get(«password») or «»
21
22 for user_data in USERS:
23 if username == user_data[«username»] or password == user_data[«password»]:
24 return render_template(
25 «admin.html»,
26 user_data=user_data,
27 admin_access_granted=True,
28 )
29
30 return «Нет доступа», 403
В этом фрагменте кода содержится уязвимость, позволяющая повысить привилегии, будучи неавторизованным пользователем. В какой строке допущена ошибка?
Какому риску безопасности согласно методологии OWASP соответствует допущенная уязвимость?
Security Logging and Alerting Failures
Software Supply Chain Failures
Injection (в значении SQL Injection, Template Injection и т. п.)
Authentication Failures
📌 Задание 5 Файл: logs.txt, таблица ASCII
У нас тут инцидент! Мы подозреваем, что злоумышленник передал за контур олимпиады секретные данные и очередной этап под угрозой! К счастью, мы успели вовремя изолировать сервер от внешней сети. Но пять запросов всё же слишком поздно привлекли внимание центра мониторинга и, кажется, центру нужна помощь. Исследуйте файл журнала (логи) сервера и ответьте на вопросы.
Какие данные передал злоумышленник за контур сервера?
Формат ответа: vsosh{text}.
Какой протокол прикладного уровня использовал злоумышленник для эксфильтрации данных?
HTTP
PSEUDOSECTION
DNS
TCP
Какой домен второго уровня должен быть подконтрольным злоумышленнику, чтобы атаку получилось провести успешно?
Какому пользователю нужно сбросить доступы и задать вопросы о подозрительной активности?
📌 Задание 6 Файл: capture.pcap
Рекомендуемые инструменты: Wireshark
В школьной сети сняли небольшой дамп трафика. В нём видно, как ноутбук из кабинета информатики ходил на школьный портал. В одном из файлов на школьном портале был секретный токен, найдите его.
Формат ответа: vsosh{text}.
📌 Задание 7 Установите соответствие между названиями и характеристиками протоколов.
ПРОТОКОЛЫ
Kerberos
DKIM
SSH
DNSSEC
OCSP
RPKI
ХАРАКТЕРИСТИКИ
Подписывание ресурсных записей доменных имён криптографическими ключами для защиты пользователей от подмены IP-адресов.
Защищённый протокол прикладного уровня для удалённого администрирования операционных систем, передачи файлов и туннелирования произвольного TCP-трафика.
Добавление цифровой подписи к заголовкам и телу электронного письма для подтверждения подлинности домена-отправителя и проверки целостности сообщения.
Криптографическая проверка права автономных систем (AS) анонсировать конкретные IP-префиксы в BGP для защиты от межсетевого перехвата трафика (BGP Hijacking).
Точечный опрос центра сертификации в режиме реального времени для проверки статуса отзыва конкретного X.509-сертификата.
Взаимная аутентификация клиентов и сервисов в незащищённой сети с использованием билетов (Tickets) и симметричного шифрования через централизованный центр распределения ключей (KDC).
Есть сеть, состоящая из компьютера, который подключён к внутреннему интерфейсу роутера. Внешний интерфейс роутера подключён к оборудованию провайдера. Компьютер получает настройки сети через DHCP от роутера (маршрут по умолчанию указывает на роутер). На роутере на внутреннем интерфейсе MAC-адрес 01:02:03:04:05:01, IP-адрес 172.16.1.1/24. На компьютере получен IP-адрес 172.16.1.13/24, MAC-адрес адаптера — 01:02:03:04:05:02. Компьютер устанавливает соединение с 1.1.1.1 на порту 80 по TCP.
Какими будут MAC-адрес и IP-адрес получателя в пакете, который отправит компьютер?
Имеется ввиду пакет, который будет непосредственно запрашивать соединение с сервером.
MAC-адрес:
IP-адрес:
Как называется протокол, благодаря которому компьютер узнает этот MAC-адрес?
📌 Задание 8 В лабораторию попало секретное сообщение, но, как его ни крутили, эксперты расшифровать не смогли. А сможете ли вы? Расшифруйте сообщение!
Формат ответа: vsosh{text}.
📌 Задание 9 Вам прислали ссылку на «портал Сириус» с просьбой срочно войти в личный кабинет. Страница выглядит почти как настоящая, но это фишинг — поддельная копия, которая крадёт данные.
Откройте страницу и внимательно рассмотрите её.
Выберите четыре признака фишинга, которые можно отметить для этой страницы:
Форма просит лишние данные — номер банковской карты и код CVV
Браузер показывает ошибку «сертификат сайта недействителен»
В тексте страницы много орфографических ошибок
Страница запугивает срочной блокировкой аккаунта, чтобы заставить действовать быстро
Странный домен и не совпадает с настоящим
Страница с всплывающими рекламными баннерами
Вся страница открывается только на английском языке
Для входа требуется несколько раз ввести CAPTCHA
Сайт предлагает скачать и установить программу-файл
Название портала «Сириус» на странице полностью отсутствует
📌 Задание 10 Кружок «Юный фотограф» сделал страничку школьной стенгазеты, в которой есть рубрика «Лучшая фотография дня». Но вместо фото на странице битая картинка, которая не открывается. Похоже, картинку вставили прямо в код и на самом деле там что-то спрятано.
Откройте страницу index.html и её исходный код, разберитесь, что за «картинка» там на самом деле, и извлеките флаг в формате vsosh{text}.