Всё о CTF в России

Обзор ПГУТИ CTF 2026

22–23 августа состоялось открытое студенческое соревнование ПГУТИ CTF 2026. В нём приняли участие более 50 команд из разных городов России — от Санкт‑Петербурга до Хабаровска. Три лучшие команды (но не более одной от вуза) получили возможность участвовать в финале VolgaCTF, который пройдёт 16–18 сентября в Самаре. Соревнование длилось 25 часов и включало 14 заданий в категориях OSINT, Reverse, PWN, Web и Misc. Организаторы — клуб информационной безопасности ПГУТИ при поддержке студентов вуза и самарской команды CYBERSQD. Победителем стала команда NCF (ВШЭ), а второе и третье места заняли команды CUT (ЦУ) и CBS kids? (ВШЭ).

– Это соревнование тремя словами?

«Уцуцуга, бессонница, слоп. Не в плохом смысле, скорее наоборот - уцуцужный осинт, по которому постоянно появлялись новые идеи (не спал до 5 утра из за этого, чуть не проспал свою дуэль), и таски, рассчитанные на антислоп, которые все равно слопались при должном умении)», — danosito, команда 0xb00b5.

Уцуцуги наносят ответный удар

Соревнование прошло на платформе olymp.psuti.ru. Участники решали задачи с динамической системой оценивания: чем меньше команд решает таск, тем больше баллов он приносит.

Самой обсуждаемой категорией стал OSINT. Организатор, готовивший задания этого направления, сделал несколько многоступенчатых «уцуцуг» — цепочек, требующих нестандартного мышления.

Главным хитом стал таск Task Royale. По сюжету участникам нужно было распутать цепочку подсказок, связанную с мобильной игрой Clash Royale. Именно это задание стало решающим: довольно быстро все 12 задач были решены и турнирная таблица стабилизировалась, поэтому судьбы вершил этот осинт, выложенный с еще одним заданием во второй волне. Решили всего три команды.

Решение: По названию и виду тега в описании находим, что это тег из игры Clash Royale. Оказалось, что ограничение «1300 кубков» на вход в игровой клан — это не защита от ботов, а отсылка к 1300 году, году правления одного из королей в замке, который требовалось до этого найти через what3words из описания клана. Дальше в профиле этого короля в соцсетях весит фейковый флаг, а настоящий — в html-странице профиля в alt-информации фотографий из постов.

What3Words — это система геокодирования, которая делит поверхность Земли на квадраты размером 3×3 метра и присваивает каждому из них уникальный адрес из трёх слов (например, hang.fence.afford). Такое кодирование однозначно и обратимо (любая точка попадает ровно в один квадрат 3×3 и получает строго одну тройку слов, и наоборот).

«OSINT оказался самым сложным. Если другие задачи мы могли по одиночке решать в рамках своих специализаций, то тут пришлось всей командой сплотиться и жёстко коллективно побрейнштормить в час ночи =D», — команда NCF.

– Был ли таск, над которым вы бились несколько часов, а решение в итоге оказалось обидно простым (или наоборот – очень элегантным)?

«Да, таск на осинт <...> Та самая уцуцуга :)» — команда 0xb00b5.

«Я посмотрел решение. Ну это не простой шаг, это надо думать, как автор <...> Это просто жесть. Но это тот самый простой шаг, который бы привел к решению», — CBS kids?.

– Какая категория задач оказалась самой сложной или неожиданной?

«Наверное OSINT :) Как бы это странно не звучало, последний OSINT как сказали ребята стал для нашей команды своеобразным тимбилдингом, потому что решали мы его вместе часов 5 и вечером и утром перед окончанием соревнования», — Родион Гудзь, команда CUT.

Автор OSINT‑заданий остался доволен не только сложностью, но и атмосферой вокруг Task Royale:

«Так как в процессе задания нужно было использовать данные из игры Clash Royale, многие вступили в мой клан и мы там интересно провели время, я такого на других стфах ещё не видел, так что мне очень понравился такой получвшийся мини интерактивчик) Решившим задание понравилось, поэтому я доволен тем, как прошёл ctf, было весело».

Категория Reverse также запомнилась участникам: задачи для неё готовил SDark, и они получились особенно элегантными.

«Да, таски riskycall и flashy от SDark-а — обе таски на реверс с похожими идеями. В одной дан образ Линукса на risc архитектуру с патченным ядром, и нейронки отчаянно считают, что таска на бинарь в юзерленде, и приходиться их убеждать найти скрытую подмену в ядре. В другом - похожая история, но с интерпретатором flash-а, подменяющим одну функцию от оригинального. Способов решения было много, мой — скачать оригинальные бинари, найти разницу, и в ней заметить этот патч», — danosito.

Задания Web, по словам организаторов, включали как минимум два таска, связанных с GitLab, из‑за чего пришлось арендовать отдельный сервер. Самым простым заданием после Welcome в этом году стало задание категории Web: в нем требовалось провести атаку HTTP Request Smuggling типа CL.TE.

«Была очень странная таска на веб, которая рассчитана чисто на нейронки - руками солвнуть невозможно, куча подзадач на быстрый кодинг, которые просты для нейронки, но долгие для человека. И последней подзадачей было сделать xss, был коллектор, который принимал секретные данные бота, но непонятно, что и как туда было эксфилтровать. Пришлось брутить возможные эндпоинты и места хранения секрета, это было скучно и долго», — danosito.

ИИ против всех

Одной из главных тем соревнования стало повсеместное использование искусственного интеллекта. За прошедшее время модели стали заметно сильнее, поэтому и в этот раз ИИ сильно помог участникам.

«Запрещать ИИ я не вижу смысла — это такой же инструмент, как и burp scanner. Однако постепенно CTF превращаются в соревнование ИИ-агентов, где преимущество получает тот, у кого больше токенов. Бесконечно усложнять задания тоже нельзя: это повышает порог входа мешая новичкам попробовать свои силы. При этом даже авторам с хорошими профессиональными компетенциями становится непросто придумать задание, которое действительно затруднит решения через ИИ», — организатор.

Один из организаторов смотрит на ситуацию философски:

«К сожалению, с развитием нейронных сетей, скорее всего текущий формат CTF уйдёт в небытие, однако уверен, что на его смену придут более интересные форматы соревнований, позволяющие более объективно оценить навыки участников)».

Что для вас CTF сегодня?

«Для нас CTF это в первую очередь хобби. Любим их за атмосферу и возможность узнать что-то новое, но особенно за возможность собраться с командой и продуктивно провести время вместе. У нас очень вайбовая команда, и мы кайфуем от совместных поездок», — команда NCF.

– Решать задачи в ночной тишине или под громкую музыку в дискорде?

«Сидеть впятером в дискорде, ночью решать задачи в полной тишине, изредка вкидывать какой-нибудь брейнрот в войсчат, а потом внезапно, после очередной паузы в полной тишине, услышать: "ААААА БЫЧОК РЕШИЛ КРИПТУ ААААААА СДАВАЙ СДАВАЙ БЫСТРЕЕ"», — NCF.

– Что для вас CTF сегодня – просто спортивный азарт и хобби?

«И то и то, а ещё возможность узнавать разные необычные вещи о привычных программах и сервисах, как например возможность оставить ALT текст к фотографии в одной западной соц сети :) », — команда CUT.

«Это хобби, притом очень интересное и увлекательное, на почти каждых выходных играть, решая новые задачи, куда-то ездить, путешествовать по стране, путешествовать по миру — это вот стф, это вся жизнь», — CBS kids?.

– Самый недооцененный инструмент в арсенале стфщика?

«Умение вовремя разрядить обстановку и на пару минут сменить фокус, чтобы всей командой не перегореть», — NCF.

«Если говорить не про ИИ, то это багаж знаний, которые тащат с собой стфщики, с каждой стфкой приобретая опыт решения задач, и потом самое главное же в задачах угадать идею автора. Вот когда ты идею видел уже несколько тысяч раз, то ты вспоминаешь, что это уже было. Я вот так уже ходил в том моменте, а вот так не ходил, я может сейчас вот так пойду, и у меня все получится. Или видно сразу какие-то очевидные вещи, что помогает в быстром решении, но кто-то этим не пользуется, а вот кто понимает это все и начинает с этой точки зрения думать, то все очень быстро получается», — CBS kids?.

ПГУТИ CTF 2026 снова показал, что традиционный Jeopardy испытывает давление со стороны ИИ. Но уцуцуги вроде Task Royale напоминают, что человеческая креативность всё ещё способна удивлять. До скорых встреч :) !