Всё о CTF в России

Обзор финала AxiomCTF 2026: Minecraft, пони и семь часов кибербитвы

18 июля 2026 года прошёл первый очный финал AxiomCTF в формате Attack‑Defense. Его организовала команда 4х10m при поддержке команды daywave. Площадку предоставил НИЯУ МИФИ, партнёром по мерчу выступила «Лаборатория Касперского». Несмотря на технические сбои, соревнование получило положительные оценки от участников. Главной «звездой» турнира стал сервис на базе Minecraft, в который организаторы заложили множество уязвимостей. Игру отметили динамикой, атмосферой и качественной офлайн‑организацией, но признали, что инфраструктура оказалась слабым местом. Победителем стала команда NCF, а второе и третье призовые места получили команды 0xb00b5 и lana_pen_machine228.

Сервисы

Организаторы подготовили три сервиса. Два из них были доступны большую часть игры, третий выкатили позже.

Minecraft‑сервер стал самым запоминающимся. Организаторы признались, что потратили на него больше всего времени, и это окупилось — игроки назвали его самым интересным.

«Понравились сервисы, крутые. Не ожидал, что придётся защищать Minecraft‑сервер», — делится участник команды NCF.

«Там напихано было очень много уязвимых библиотек, в том числе старая такая, которая позволяла в Майне буквально в консоль проваливаться любому, кто на сервере был», — добавляет его тиммейт.

«Запомнился сервис на Minecraft: в нём была ошибка в экономике и intended DoS — можно было перегружать limbo игроками‑ботами и съедать всю оперативную память сервера», — участник команды 0xb00b5.

Форум на PHP стал ареной основной битвы. В нём обнаружилась уязвимость, которую все быстро зафиксировали, и соревнование превратилось в DoS‑войну легитимными векторами.

«Первый сервис был форумом на PHP. В целях защиты от DoS переписали его на Rust, так как в нём была, по сути, одна уязвимость, которую все зафиксировали. В итоге соревнование превратилось в DoS‑битву (intended‑векторами, очевидно). Здесь нам помогло то, что мы роутили трафик на виртуальную машину вне инфры организаторов: выданные виртуальные машины содержали ошибку конфигурации, в которых процессор определялся как Pentium 4, поэтому была частая картина, что у всех, кроме нас, лежат сервисы», — рассказывает участник 0xb00b5.

«Нас DoS‑или пол‑игры, что вообще роняло наш сервис очень сильно. В форуме перегружали базу тем, что писали много сообщений и делали по ним поиск. БД‑шка просто не выдерживала, и всё падало», — признаёт участник NCF.

Фикс: сначала установили regex на запросы, блокируя одиночные символы, а затем вынесли функцию поиска за форму логина — эксплойт работал без авторизации, так что перестал проходить.

Технические сложности

Инфраструктура стала главной болью организаторов — и главным фактором, повлиявшим на турнирную таблицу. Сеть лежала несколько часов, в том числе из‑за ошибки в DHCP, старт отложили на 2 часа, через 4 часа игру ресетнули.

«Сеть сначала была оффлайн, но не из‑за grace period, а из‑за того, что сломалась», — вспоминает участник NCF.

Стратегии победителей: ставка на SLA

Победители сделали ставку на поддержание работоспособности сервисов (SLA). Пока соперники боролись с DoS и падениями, NCF держали сервисы включёнными.

«Когда сервисы подняли, мы на тот момент уже с ними копались. Мы предполагали, что их поднимут, и, когда их подняли, мы из‑за этого взлетели по SLA очень сильно», — участник NCF.

Получилось ли удержать SLA на хорошем уровне?

«В первом сервисе — да, у нас самый высокий SLA и больше всего флагпоинтов за него. Получилось за счёт оперативного фикса всех уязвимостей, переписи на более оптимальный язык, а также за счёт роутинга на другую виртуальную машину», — участник 0xb00b5.

Организация первого очного финала от команды 4x10m

«Отзывчивая организация, атмосферная. Жаль, что пока не очень опытная, и с сетью были проблемы. Крутые бейджики в виде дискет — оказывается, они даже рабочие!» — участник NCF.

«Организация в плане проведения — офигенно. Заметно, что ребята очень постарались. Хорошее место, кормили вкусно, музыка играла, никаких проблем с проходом. <…> Организация в плане помощи во время игры — 50/50. <...> Понравилось то, что ребята, несмотря на проблемы, продолжали пытаться починить всё», — участник 0xb00b5.

Глазами организаторов

Обсуждать и планировать финал начали ещё в марте. Для всей команды это был первый опыт проведения AD‑формата.

«В этом году мы выбрали необычный сеттинг — смесь вселенной My Little Pony и инфраструктуры Minecraft‑сервисов. Все задания были объединены общей тематикой», — главный организатор.

«В прошлом году мы не проводили AxiomCTF, но в марте этого года прошёл отборочный этап. Главный вывод из финала: мы выделили слишком мало времени на тестирование инфраструктуры перед стартом. В следующий раз обязательно заложим дополнительные дни на этот этап. В остальном всё прошло гладко: мерч, площадка и организационные моменты удались идеально».

«Самым ярким моментом для нас как организаторов стал момент, когда наконец поднялась вся инфра, с которой возникли сложности», — делится главный организатор.

«Инфра не справилась из‑за того, что это был первый Attack‑Defense для всей команды организаторов», — организатор игровой инфраструктуры.

Что больше всего понравилось вам как организаторам?

«Аудитория и её отклик».

«В 2027 году мы с большой вероятностью проведём AxiomCTF. В планах — новая механика с цепными заданиями, где, решая задание из одной категории, необходимо временно переместиться в совершенно другую».

Выводы

Несмотря на технические проблемы, AxiomCTF 2026 запомнился как живое и драйвовое событие.

Такой формат вам больше нравится, чем классический Jeopardy?

«Однозначно да. Есть повод собраться всей командой, повеселиться. Да и другие команды встретить. Несмотря на частую критику в сторону организаторов, моя команда всё равно получила скорее положительный опыт», — делится участник 0xb00b5.

«Конечно! Это в разы динамичнее и интереснее Jeopardy. Лучше может быть только киберполигон, как на Standoff», — признаётся участник NCF.

«Не знаю, намеренно это или нет, но внутри одного из сервисов был DoS, что очень круто: игру прям на следующий уровень перевело. То есть не просто посидеть флаги поворовать, а прям вот зафигачиться с другой командой. <...> Друг друга закидывали большим количеством приколов».

Главный урок для всех: организаторы тоже люди, и их ошибки — часть процесса. Но когда фикс находится, а сервис поднимается, счётчик SLA можно превратить в ваше преимущество ;).

Сайт AxiomCTF: https://axiomctf.ru/

Тг-канал: https://t.me/axiomctf