0
| 本文作者： 郭佳 | 2018-07-10 13:50 |
“本次WCTF的冠軍戰(zhàn)隊(duì)是來(lái)自日本的 TokyoWesterns，亞軍戰(zhàn)隊(duì)是來(lái)自波蘭的 Dragon Sector，獲得第三名的是來(lái)自韓國(guó)的戰(zhàn)隊(duì) Cykor。”
2018年7月8日下午6點(diǎn)，北京望京凱悅酒店，主持人宣布了為期三天的 2018 WCTF世界黑客大師賽的最終結(jié)果。
▲7月7日公布的解題分?jǐn)?shù)
注：左側(cè)是10個(gè)戰(zhàn)隊(duì)的名稱(chēng)和相應(yīng)的分?jǐn)?shù)，最上面一行是每道題的名稱(chēng)，灰旗是出題隊(duì)，紅旗是第一個(gè)解出這道題的隊(duì)，依次為黃綠藍(lán)
其實(shí)，WCTF 的解題成績(jī)?cè)缭?月7日下午6點(diǎn)半就已經(jīng)公布了，之所以要等到 8 號(hào)下午才公布最終結(jié)果，是因?yàn)?WCTF 的特殊賽制-----它并不僅僅只考察每個(gè)隊(duì)伍的做題能力，還要比拼各個(gè)戰(zhàn)隊(duì)對(duì)題目的“分享”貢獻(xiàn)。
“分享”主要體現(xiàn)在兩點(diǎn)：第一，本次比賽的賽題完全由這10支隊(duì)伍自己來(lái)出，他們每隊(duì)要分享出2道精彩的題目給另外9個(gè)隊(duì)去解；第二，在解題結(jié)束后的第三天，各個(gè)戰(zhàn)隊(duì)還要對(duì)自己所出的題目進(jìn)行講解，即“技術(shù)分享”，其他的 9 個(gè)戰(zhàn)隊(duì)會(huì)同現(xiàn)場(chǎng)的評(píng)委一起，對(duì)這道題目的質(zhì)量和現(xiàn)場(chǎng)的分享情況進(jìn)行打分和提問(wèn)，如果題出的不好，那就等著在臺(tái)上被其他隊(duì)“懟”吧～
由于出題者和解題者都是這十支隊(duì)伍，所以這場(chǎng)比賽的第一大忌就是不準(zhǔn)提前泄露賽題，另外兩個(gè)是不準(zhǔn)攻擊比賽的服務(wù)器、不準(zhǔn)攻擊其他選手的服務(wù)器，一經(jīng)發(fā)現(xiàn)，立即取消比賽資格（關(guān)于后兩項(xiàng)規(guī)則，大家可以去度娘上扒一扒“LC?BC”戰(zhàn)隊(duì)的故事）。
由于首開(kāi)“互相出題”的特殊賽制，意味著參賽的隊(duì)伍必須也要水平相當(dāng)，否則會(huì)出現(xiàn)強(qiáng)隊(duì)的題目太難，弱隊(duì)的題目太簡(jiǎn)單的狀況，據(jù)參賽隊(duì)伍之一的 r3kapig 隊(duì)員透露，此前也曾參加過(guò)一場(chǎng)類(lèi)似賽制的比賽，結(jié)果有個(gè)隊(duì)竟然出了一道答案為 “aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa" 的弱密碼題目。。。
從2016年第一屆的 WCTF 開(kāi)始，主辦方360 Vulcan 團(tuán)隊(duì)邀請(qǐng)的都為世界強(qiáng)隊(duì)，如果你日常關(guān)注 CTF比賽，那肯定對(duì)本屆的參賽隊(duì)伍不陌生，在此不再做一一介紹，感興趣的可以去問(wèn)度娘，這些戰(zhàn)隊(duì)背后的故事也很精彩。
上圖為今年參賽的十支戰(zhàn)隊(duì)，雷鋒網(wǎng)對(duì)比了目前 CTFTIME 前10名的排行，有5支參加了今年的WCTF。
▲截止發(fā)稿前 CTFTIME 的十強(qiáng)排行榜
據(jù)組織者之一的李康透露，大師賽是邀請(qǐng)制，主要根據(jù) CTFTIME 的排位來(lái)邀請(qǐng)（CTFTIME類(lèi)似于教育界的QS世界大學(xué)排名），前10名肯定會(huì)邀請(qǐng)，如果有不能來(lái)的，按照具體情況再?gòu)?0-15名繼續(xù)邀請(qǐng)。
Vulcan 團(tuán)隊(duì)負(fù)責(zé)人 MJ 解釋?zhuān)琖CTF 大師賽的亮點(diǎn)就是難度高，獎(jiǎng)金也高，并且對(duì)出題的質(zhì)量要求也很高。在邀請(qǐng)過(guò)程中，有些實(shí)力很強(qiáng)的隊(duì)伍其實(shí)是可以空出來(lái)3天時(shí)間來(lái)參賽的，但由于沒(méi)有足夠的精力來(lái)準(zhǔn)備出代表自己水平的題目，最終放棄了參加比賽。
說(shuō)白了，這些頂級(jí)隊(duì)伍來(lái)參賽的原因，第一，錢(qián)；第二，奔著題目的質(zhì)量和比賽的獨(dú)特性而來(lái)。
從雷鋒網(wǎng)在現(xiàn)場(chǎng)對(duì)冠亞軍戰(zhàn)隊(duì) TokyoWesterns 和 Dragon Sector 的采訪(fǎng)來(lái)看，后者的吸引力對(duì)他們更大一些（起碼他們對(duì)外是這么說(shuō)的），身為頂級(jí)的CTF戰(zhàn)隊(duì)，他們很想來(lái)看看對(duì)手的腦洞能開(kāi)多大。
不過(guò)，獎(jiǎng)金仍然是WCTF的亮點(diǎn)之一，作為目前獎(jiǎng)金規(guī)格最高的奪旗類(lèi)黑客賽事，WCTF 共設(shè)置10萬(wàn)美元獎(jiǎng)金，由前三名獲得，第一名5萬(wàn)美金，第二名3萬(wàn)美金，第三名2萬(wàn)美金。以現(xiàn)在的匯率來(lái)算，TokyoWesterns 戰(zhàn)隊(duì)可以把 33 萬(wàn)人民幣抱回家。
那為何要砸重金舉辦這樣一場(chǎng)比賽？
MJ 告訴雷鋒網(wǎng)，在中國(guó)的黑客大賽中，已經(jīng)有水平很高的破解類(lèi)大賽，比如極棒大賽等，但是頂尖的 CTF 大賽還比較少，目前國(guó)內(nèi)的 CTF大賽更多是學(xué)生參與多一些，他們從2016年開(kāi)始辦這樣一場(chǎng)比賽就是希望讓更多的 CTF 愛(ài)好者來(lái)切身感受一下，頂級(jí)的戰(zhàn)隊(duì)是如何出題的、如何做題的，他們出題的思路是什么，具體應(yīng)該怎么解？
不過(guò)，這種賽制在前兩年也出現(xiàn)過(guò)這樣的狀況：作為戰(zhàn)隊(duì)來(lái)說(shuō)，當(dāng)然希望能夠把題目出的難一些，難到別的隊(duì)都解不出來(lái)，所以有些戰(zhàn)隊(duì)會(huì)故意設(shè)置障礙，而不是從賽題的精彩度出發(fā)來(lái)出題?？偠灾?，由于難度太大，降低了比賽的觀賞性和精彩性。
而在今年，會(huì)對(duì)題目進(jìn)行更加嚴(yán)格的審核，主辦方希望題目的難度高在精彩程度，而不僅僅是故意為對(duì)手設(shè)置障礙，如果是后者，很有可能在最終的技術(shù)分享環(huán)節(jié)中，被裁判和其他戰(zhàn)隊(duì)打低分。在最終的結(jié)果中，第8、9名就因在技術(shù)分享環(huán)節(jié)的不同表現(xiàn)而變換名次。
據(jù) MJ 介紹 ，今年的題目并非都是“曲高和寡”的，比如今年區(qū)塊鏈非?；?，所以這次的 WCTF 就有關(guān)于智能合約的漏洞破解，他們需要模擬出真實(shí)的類(lèi)似于銀行的區(qū)塊鏈虛擬網(wǎng)絡(luò)，這個(gè)網(wǎng)絡(luò)中也會(huì)存在有虛擬貨幣，其他9支戰(zhàn)隊(duì)可以對(duì)此進(jìn)行攻擊，來(lái)控制里面的貨幣和交易等環(huán)節(jié)。
此外，我們?nèi)粘Ｓ龅降臑g覽器漏洞和手機(jī)芯片漏洞，在這次大賽的題目中也會(huì)出現(xiàn)。這些更為實(shí)用和精彩的破解，是本屆比賽的變化之一。
不過(guò)，相比于前兩屆，最大的變化還要屬此次比賽新增加的兩場(chǎng)比賽－－－新銳賽和線(xiàn)上賽。
雷鋒網(wǎng)發(fā)現(xiàn)，在比賽現(xiàn)場(chǎng)，除了10個(gè)老牌戰(zhàn)隊(duì)圍在評(píng)委周邊，在不遠(yuǎn)處的隔斷外，還有十支年輕的高校隊(duì)伍參加。
雖然大師賽依然是WCTF的重點(diǎn)，但新銳賽和線(xiàn)上賽是今年賽制變化最大的地方，李康解釋?zhuān)?dāng)初賽事的初衷就是希望更多的人可以不用出國(guó)，在國(guó)內(nèi)就接觸到很強(qiáng)的戰(zhàn)隊(duì)進(jìn)行高水平的對(duì)決，所以這次舉辦新銳賽，也是為了吸引更多的學(xué)生戰(zhàn)隊(duì)來(lái)參與。
除了這 10 所高校的戰(zhàn)隊(duì)，本次賽事也面向全球的 CTF 愛(ài)好者開(kāi)放，只要在官網(wǎng)進(jìn)行注冊(cè)，就能參與到解題中來(lái)。據(jù)官方公布的數(shù)字，這次的線(xiàn)上賽有近千支戰(zhàn)隊(duì)報(bào)名，其中包括 200 多支國(guó)內(nèi)戰(zhàn)隊(duì)。他們會(huì)跟大師賽的開(kāi)賽時(shí)間相同，題目也相同。
至于賽后的題目分享，鄭文彬透露賽后至少會(huì)把各個(gè)戰(zhàn)隊(duì)針對(duì)解題的 PPT 公布出來(lái)，由于在部署過(guò)程中對(duì)題目有深入的了解，所以Vulcan 團(tuán)隊(duì)也會(huì)對(duì)題目進(jìn)行一些解析。
雖然過(guò)程很“虐人”，但MJ表示，在看到新銳賽的結(jié)果時(shí)，還是非常欣慰。如果只從解題得分來(lái)看，有兩支高校隊(duì)伍的得分是可以排到大師賽的第6名。
由武漢大學(xué)、南京郵電大學(xué)、北京郵電大學(xué)學(xué)生組成的聯(lián)合戰(zhàn)隊(duì) Nu1L，砍下了550分，名列新銳賽榜首，來(lái)自上海交通大學(xué)的 0ops 戰(zhàn)隊(duì)僅以 10 分之差的 540 分名列第二，對(duì)比大師賽的分?jǐn)?shù)，這兩支隊(duì)超過(guò)了大師賽第6名的解題分?jǐn)?shù)。而 Nu1L 戰(zhàn)隊(duì)也將直接獲得 2019WCTF 大師賽參賽資格。
1.大師賽如果延長(zhǎng)10分鐘，冠軍結(jié)果將發(fā)生逆轉(zhuǎn)。
在賽后對(duì) Dragon Sector 的采訪(fǎng)中，雷鋒網(wǎng)得知他們是在比賽結(jié)束后的10分鐘，解出了一道“紅旗”題，也就是那種可以直接加 150 分的題目，如果再多給他們 10 分鐘，完全可以反超冠軍 TokyoWesterns 。
在最新的CTFTIME 排行榜中，Dragon Sector 名列榜首，看來(lái)“老大表示不服”～
2.為線(xiàn)上比賽部署了1000多臺(tái)虛擬機(jī)。
由于新增了新銳賽和線(xiàn)上賽，這次的參賽規(guī)模比較大，所以系統(tǒng)的部署也更具挑戰(zhàn)性。據(jù)雷鋒網(wǎng)了解，前兩屆360都是與其他機(jī)構(gòu)來(lái)一同承辦的，但今年他們選擇自己來(lái)做所有的系統(tǒng)，包括線(xiàn)上比賽的前端系統(tǒng)和現(xiàn)場(chǎng)的可視化系統(tǒng)，
據(jù)MJ透露，之前WCTF都是和其他合作伙伴合作的，而今年完全沒(méi)有任何第三方參與，因?yàn)椴渴疬^(guò)程太過(guò)復(fù)雜，一般做CTF的公司未必有這個(gè)能力來(lái)做，必須得自己來(lái)，光部署就花了1個(gè)月的時(shí)間。
今年比賽由一場(chǎng)變?yōu)槿龍?chǎng)，比賽從十個(gè)隊(duì)變成近千支隊(duì)伍，所以對(duì)于系統(tǒng)部署和測(cè)試來(lái)說(shuō)，復(fù)雜度很大，一個(gè)題目可能要獨(dú)占一個(gè)虛擬機(jī)。本次比賽，在云端為線(xiàn)上比賽準(zhǔn)備了一千多臺(tái)虛擬機(jī)，線(xiàn)下也有很多服務(wù)器的資源部署，因?yàn)橐牒芏嘈录夹g(shù)進(jìn)來(lái)，真正理解和部署這些題目需要舉辦方自身也具備相當(dāng)?shù)募夹g(shù)能力。
3.出題有破綻，導(dǎo)致場(chǎng)上絕大多數(shù)戰(zhàn)隊(duì)都通過(guò)其他方式解出了他們的題目。
賽后“ r3kapig ”的隊(duì)員告訴雷鋒網(wǎng)，由于此次比賽他們出的一道題目有破綻，所以導(dǎo)致場(chǎng)上的絕大多數(shù)隊(duì)伍都很快的解出了他們的題目，而不是按照他們事先預(yù)想的步驟來(lái)。
由于他們自己不能解自己的出的題，導(dǎo)致因這道題非常吃虧。
4.用戶(hù)界面不友好會(huì)被懟。
在賽后的技術(shù)分享環(huán)節(jié)中， Dragon Sector 開(kāi)懟 r3kapig 戰(zhàn)隊(duì)，認(rèn)為他們有道題目的用戶(hù)界面不太友好，所以加長(zhǎng)了自己的做題時(shí)間。
“ r3kapig ”解釋稱(chēng)，之所以界面不太友好，是因?yàn)楝F(xiàn)有的基礎(chǔ)界面是為了避免一些不確定的因素，比如換一個(gè)界面，其他戰(zhàn)隊(duì)可能會(huì)通過(guò)界面中的漏洞來(lái)破解出題目，所以才用了最原始的，不過(guò)對(duì)于做題的人來(lái)說(shuō)確實(shí)不太友好，所以這個(gè)建議他們也接受。
5.這是一場(chǎng)“粉絲”見(jiàn)面會(huì)。
在第一天比賽間隙，李康對(duì)這次新的賽制有一個(gè)有趣的比喻－－－“粉絲見(jiàn)面會(huì)”，新銳賽和大師賽在同一場(chǎng)地比賽，加上線(xiàn)上賽，這能讓一些 CTF 愛(ài)好者跟黑客大師們同場(chǎng)競(jìng)技，在線(xiàn)上賽中，有很多是普通大學(xué)生，甚至高中生和初中生，這就像球迷見(jiàn)到真正球星一樣。
李康說(shuō)如果時(shí)光倒回二三十年前，他還只是一個(gè)學(xué)生，那他一定會(huì)作為粉絲來(lái)看看，也許看了之后覺(jué)得這是他熱愛(ài)的行業(yè)，要投身進(jìn)來(lái)；也許看了之后會(huì)發(fā)現(xiàn)自己可能永遠(yuǎn)達(dá)不到大師的水準(zhǔn)，放棄進(jìn)入安全行業(yè)。
6.開(kāi)賽后的半小時(shí)，一直在調(diào)整線(xiàn)上賽的服務(wù)器。
在問(wèn)到此次比賽有遇到什么困難時(shí)，MJ坦言，今年的步子可能邁的稍微有點(diǎn)大，在7月6號(hào)比賽剛剛開(kāi)始時(shí)，他們還是沒(méi)有預(yù)估到近千支隊(duì)伍同時(shí)解題時(shí)對(duì)于服務(wù)器所造成的壓力，所以花了半個(gè)小時(shí)來(lái)調(diào)整系統(tǒng)。不過(guò)他也表示并不后悔，今年嘗試了之后，明年就可以更加成熟的進(jìn)行比賽，具體他們會(huì)在賽后再做復(fù)盤(pán)。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
