Всё о CTF в России

Обзор финала VolgaCTF 2026

С 16 по 18 сентября в Самаре состоялся Финал VolgaCTF 2026. Это ежегодное международное соревнование по кибербезопасности, которое проводится в Поволжье уже 16 лет — с 2010 года. В этом году финал собрал более 20 команд из России, Монголии, Италии и Вьетнама.

По итогам финала первое место заняла команда Drovosec, второе — LCD, а третье забрала NCF. Соревнование традиционно проходило в формате Attack-Defense, и, судя по отзывам, участникам он зашёл куда больше классического Jeopardy.

Сервисы и уязвимости

Больше всего эмоций вызвали нестандартные сервисы:

«Особенно сервис с игрой, хоть мы его и не решили. Он был очень необычный, отличался от стандартного формата AD», — Арсений, команда LCD.

Его сокомандник maximxls добавил:

«Сервисы были достаточно интересными. Один из сервисов, которые я изучал, volga-hop, оказался крайне необычным сервисом-игрой с интересной задумкой, включающей баги в физическом движке. К сожалению, из-за неграмотной работы с агентами я не смог его решить».

В этом году в разработке сервисов принимал участие и SDark:

«Наиболее сложными и в плане разработки, и в плане решения со стороны участников оказалось два сервиса — CaptureTheFish и VolgaHop. Оба сервиса подразумевали в себе огромное разнообразие в способе решения, и при этом требовали интерактивности, ибо были реализованы в игровой форме... Оба данных сервиса решило только две команды — Drovosec и Mntcrl... при этом например на VolgaHop, не было найдено большое количество заложенных уязвимостей и обе команды реализовали лишь наиболее прямолинейный вариант решения».

Капитан Drovosec Леонид оценил сервисы на отлично:

«Сервисы были просто пушка, уязвимости довольно креативные и требовали высокий навык в информационной безопасности!»

Он также отметил, что все уязвимости удалось пофиксить:

«REMEDIATION вышел на 43 Markdown файла».

Ребятам из LCD удалось пофиксить все найденные уязвимости, а вот NCF успели не всё:

«Даже в слепой игре в последний час флаги всё равно текли».

Команда CUT тоже столкнулась со сложностями:

«Смогли пофиксить почти все. Правда с бинарями не получилось, так как добрались до них уже в самом конце игры».

Инфраструктура и сеть

Пожалуй, самая болезненная тема — интернет на площадке:

«Почти все было хорошо, проблемы были только с интернетом — проводной интернет был 100 мбит/с на все команды, пришлось настраивать поход в интернет через мобильный, не забыв про игровую сеть по проводу», — Арсений, LCD.

«Все кроме сети было супер! Но из-за низкой скорости интернета мы долго не могли собрать сервисы в самом начале и из-за этого потеряли очень много очков. 3мбит это несерьёзно», — CUT.

«Хост очень хотел получить себе IP вулнбокса, хотя уже имел свой в игровой подсети. Поэтому приходилось его иногда самому перенастраивать, а потом написали скрипт, который постоянно убирал IP вулнбокса с хоста», — NCF.

При этом сама борда работала стабильно.

– Хорошо ли отработали чекеры / борда / журейка / сеть или пришлось помучаться?

«Тут ОГРОМНОЕ спасибо! Пришлось немного адаптироваться, потому что борда это не привычный ForcAD, но как же я рад, что борда ни разу не упала! Да, иногда пара чекеров могла не дойти, но в остальном стабильность просто шикарная! Помимо этого у борды много интересных открытх API (например для визуализации атак). Найдя их я навайбкодил панельку для сбора информации атак по всей сети. К концу AD я мог следить за всеми сдачами флагов любой команды)))», — NCF.

SDark подтверждает:

«В плане инфры и сети — борда не падала, все сервисы отрабатывали корректно и казусов не было, кроме одного который любил в MUMBLE моргать (в меру реализации самого чекера на сервис), что в принципе ни на чём не сказалось, ибо он так делал регулярно и у всех».

SLA и тактика

Удержать SLA на высоком уровне удалось не всем, вот пара секретов успеха:

– Получилось ли удержать SLA на хорошем уровне? Как этого добились?

«В целом да, мы унесли сервисы на внешний вулнбокс и проксировали трафик из игровой сети туда. Злую шутку с нами сыграло как раз отсутствие интернета, но в общем и целом более-менее получалось поддерживать SLA», — Арсений, LCD.

«Мы старались изо всех сил, но высоких результатов добиться не вышло. Ресурсов нашего хоста не хватало на обработку всех сервисов и инструментов, которые были нужны. Кончалось всё, оперативка, силы CPU и даже место на диске. Я жанглировал поднятыми докерами как мог: Щас нет атак на сервис? Останавливаю сниффер трафика на него. Логи устарели? Всё очистить. Хост перегружен сплойтами? Выношу ферму и сплойты на свой ноут и т.д.», — NCF.

«Нет))) опять же из-за сети и потугах собрать сервисы первые два часа. После того как закешировали слои наши сервисы практически не падали», — команда CUT.

«Мы запустили сервисы и они работали, мы подходим к этому вопросу профессионально (у нас есть DevOps). К сожалению, сама сеть не отработала еще на этапе docker pull.», — Леонид, Drovosec.

Организация

В этом году формат был немного ограничен в сравнении с привычным, но в целом команды остались довольны:

«В организационном плане Волга хороша. Возможно не так кашерно как в прошлом году, но даже с такими бюджетами получилось более чем достойно», — CUT.

«В целом все было хорошо, только по сравнению с прошлым годом была более скудная программа — меньше стендов партнеров, меньше докладов, меньше подарков, более скучное афтерпати», — LCD.

«Очень круто! Спасибо организаторам и волонтёрам», — NCF.

Новое и неожиданное

Участники отметили несколько неожиданных моментов, которые подарил им этот финал:

«Не ожидали отключения борды в конце, она же слепая игра, она же blind game. До последнего переживали, удержимся ли мы на 3 месте, или нет)», — NCF.

«А ещё было круто что приехали итальянцы. Поболтали с ними и оказалось что у нас есть общие знакомые в Италии! (Часть их команды играла в команде парня с которым я иногда общаюсь насчет инструментов)», — Савва, капитан команды CUT.

«Впервые за 7 лет нашего участия в VolgaCTF в Самару приехал Макс Треш (наш главный ИИ-инженер)», — Леонид, капитан команды Drovosec.

Команде NCF пришлось прибегнуть к холодными напитками — спасали хост от троттлинга:

– Какой самый интересный фикс вам удалось сделать?

«Где-то на середине AD по нам начали прилетать то-ли DoS, то ли просто какая-та атака, которая регистрировала на сервисе более тысячи пользователей. Смогли оптимизировать время обработки таких запросов с 5 сек до 0.8 сек», — NCF.

«Классика - заблокировать файрволлом юзерагент python-requests», — Арсений, LCD.

A/D vs. Jeopardy

– Такой формат вам больше нравится, чем классический Jeopardy?

«Точно да, особенно с особенностями волги — другой формулой, которая высоко ценит и защиту», — Арсений, LCD.

«Как мне показалось, мнение спорное, но я считаю A/D намного более интересным форматом. В нем больше динамики и огромный простор для оригинальных идей, как можно улучшить результат», — maximxls, LCD.

«Так называемый Attack-defense это очень перспективный формат в плане борьбы, мы вообще борьбу любим и очень расстроены, что классический CTF умирает из-за искусственного интеллекта», — Леонид, Drovosec.

«В сотни раз. Адреанлин от очередного: "Атака на ContractHub, 3 команды сдали наши фла... Я ВЫТАЩИЛ ФЛАГ СПЛОЙТОМ! СДАВАЙ СДАВАЙ СДАВАЙ!" не сравниться ни с каким Jeopardy. Да и A/D обычно проходит оффлайн, что даёт возможность пообщаться с другими командами и круто провести время», — NCF.

«Да, мы вообще не очень любим Jeopardy, а в эпоху ИИ его стало совсем неинтересно играть. На AD все равно остаётся динамика и драйв», — CUT.

Выводы и опыт

На вопрос о полученном опыте и сделанных выводах команды ответили по-разному:

«Если выводы и сделали, то только отдельные участники команды — кто-то из нас понял, что надо быть более собранным. Ещё смогли протестировать новый монитор траффика, он сработал очень хорошо», — Арсений, LCD.

«Сделал вывод, что надо поменьше надеяться на агентов, и готовить нейронки заранее», — maximxls, LCD.

«В ночь перед соревнованиями я много часов собирал все наши инструменты и адаптировал их под борду Волги. Это окупилось. Хотя бы раз у нас стабильно и с первого раза работала ферма», — NCF.

«Да, хоститься в облаке и любой ценой пытаться проксировать туда трафик. Поняли что надо готовиться не только к соревнованию, но и к условиям в которых это соревнование проходит», — CUT.

Напоследок команда CUT передала: «Надеюсь со всеми ещё увидимся! Это была хорошая игра». Мы тоже надеемся!

Следить за новостями VolgaCTF можно на сайте volgactf.ru и в официальном телеграм-канале @volgactf.

До скорых встреч :) !