Всё о CTF в России

IV Кубок CTF России: подводим итоги

Несмотря на почти полное отсутствие очных турниров, 12 декабря в Москве, в павильоне «‎Умный город» на ВДНХ состоялся финал IV Кубка CTF России. В контесте приняло участие 4 команды, суммарно в которых числилось 28 человек. Состав команд-финалисток выглядел следующим образом:

• C4T BuT S4D, сборная команда (г. Москва)
• ♿FAKAPPA♿, ИТМО (г. Санкт-Петербург)
• SPRUSH, НИЯУ МИФИ (г. Москва)
• Команда Лучкиных Вячеславов, сборная школьная команда (г. Анадырь)

В финале участникам предлагалось пройти две части испытания: сначала необходимо было сломать пару машин, после чего, по мере решения пентеста команды получали доступ к двум сервисам A/D. Принцип игры был задуман так, что команда, справившаяся с пентестом быстрее остальных, выигрывала во времени в части A/D, по результатам которой и определялся победитель. Машины были общими для всех. Однако что-то пошло не по сценарию, и если первая машина пала относительно быстро, то разобраться со второй не удалось ни одной из команд даже после трёх выкаченных хинтов. Идея с пентестом в таком виде была встречена участниками весьма неоднозначно, вот какие отзывы мы получили (всего форму заполнило 8 участников из 28):

Полный текст длинных сообщений из отзывов (авторские орфография и пунктуация сохранены):

• «Идея здравая и драйвовая, но в текущем формате пентест ни на что не повлиял. Команды мешали друг другу поломать тачки, поэтому в следующий раз лучше бы выдать отдельный набор тачек для захвата. Сложность машины с каучем была подходящей, а вот машина с вордпрессом была уцуцугой и не на 2 часа: 1) уязвимый плагин не ликался впсканом, что-то начать делать можно было только после хинта оргов 2) эскалация через докер требовала добавления себя в группу, что при попытке сломать тачку за полчаса после хинта вот ни разу не очевидно, и в сплойтах про это не пишут. Это не для экспресс-формата»;
• «Пойдет, но непонятно почему тачки были общие и почему они были связаны, если на самом деле между ними нет логической и физической связи».

Часть A/D от команды разработчиков Хакердом была встречена более спокойно, с подобной инфраструктурой участники уже встречались на предыдущем этапе. Отзывы на сервисы были, скорее нормальные, кому-то из голосовавших в форме обратной связи уязвимости показались даже слишком простыми. В этой части отличилась команда C4T BuT S4D, ребята взяли FirstBlood по обоим сервисами. Райтапы и сплойты A/D от Хакердома можно посмотреть на их ГитХабе.

В целом, финал IV Кубка прошёл достаточно спокойно, организация была на весьма достойном уровне, более того, новое для Кубка помещение (напоминаем, что в предыдущие годы Кубки проходили в Сколкове) было встречено весьма положительными отзывами. Также участники похвалили дизайн мерча.

Финальный скорборд

Победу на IV Кубке CTF России одержала сборная команда C4T BuT S4D, а призёром академической номинации стала команда ♿FAKAPPA♿. Победители забрали главный приз - кубок от компании Picaso 3D, а академическая команда получила специальный мерч с тематическим дизайном (напоминаем, что тематикой Кубка 2020 года стала «‎Алиса в Стране Чудес») от редактора CTF News Саши Борисовой (ENZO). Также все участники, в зависимости от занятых мест, получили призы от спонсоров.

Больше фотографий с контеста можно посмотреть в группе IV Кубка ВК.

Партнёрами мероприятия стали: Cisco, Сбер, Координационный центр доменов, Servicepipe, Kaspersky,UserGate, Picaso 3D, Positive Technologies . При поддержке: ДИТ и Росмолодежь.

Также во время проведения финала была организована прямая трансляция с новостями с поля боя, интервью с членами жюри, автором легенды и разработчиками этапов, обзором этапов квалов и многим другим. Ведущие трансляции - редактор CTF News Саша Борисова и участница Летней школы CTF Наталия Гушан. Посмотреть её можно на Ютуб канале АРСИБ. Тайм-коды самых интересных моментов трансляции (по мнению редакции):

• 07:06 Рассказ о тасковых этапах
• 09:21 Интервью с разработчиком A/D этапа Романом Быковым
• 31:45 Представление команд
• 44:24 Интервью с ведущим экспертом конкурентной разведки Андреем Масаловичем
• 1:20:05 Мини-интервью с капитанами команд (моё неиронично любимое - интервью Лучкиных Вячеславов)
• 1:43:15 Ломающие новости с полей
• 2:06:45 Интервью с руководителем отдела исследований приложений Positive Technologies Дмитрием Скляровым
• 2:54:27 Саша Борисова анонсирует предстоящие CTF

Хотелось бы отметить, что несмотря на все ограничения, финалу турнира удалось сохранить атмосферу полноценного очного соревнования со встречами участников команд, живым общением и обратной связью с организаторами. Надеемся, что в следующем году ситуация с ковидом наладится, а очных соревнований станет больше. Организаторы выражают искреннюю благодарность участникам всех этапов и всем, кто помогал организовывать IV Кубок. До новых встреч!

Подробнее о тасковом этапе квалов можно прочитать на CTF News, а постмортем на первый тасковый этап в паблике Кубка ВК.

Не забывайте подписываться на CTF News в социальных сетях и следить за обновлениями!