23 октября в главном корпусе Тюменского государственного университета прошёл финал всероссийского Кубка Урала по кибербезопасности. Восемь часов команды атаковали и защищали пять сервисов. Кубок выиграла сборная НИУ ВШЭ и РТУ МИРЭА. Борьба за серебро заняла всю вторую половину игры и, по словам участника VDNKh Арсения, решилась в предпоследнем раунде.
Что атаковали и защищали
Финал проходил в формате Attack/Defense. Каждая команда получила по экземпляру пяти сервисов:
- AirQSO имитировал радиообмен на виртуальной карте страны.
- homomorphic go, сервис для игры в го, написанный на Go. Уязвимости скрывались в реализации гомоморфного шифрования.
- SlopDNS позволял регистрировать домены, запросы к которым обрабатывал собственный DNS-сервер сервиса.
- NeuroslopCTF имитировал CTF-платформу, где любой пользователь мог создать турнир, добавить задания и заложить в них флаги.
- Batt предлагал сыграть в «Морской бой» с ботом, который никогда не проигрывал. Флаг нужно было добыть из сессии, в которой с ботом играл чекер.
Арсению запомнился SlopDNS. При каждом входе или регистрации сервис вычислял Argon-хеш. По наблюдению VDNKh, эта операция нагружала весь вулнбокс — машину, на которой работали сервисы команды.
«Когда мы это заметили, мы просто заменили его на md5 — и вулнбокс пришел в норму. А дальше, немного поиспользовали это против других команд, в том числе эта находка помогла нам выбраться на второе место», — рассказал Арсений.
В AirQSO участники VDNKh заметили, что у нескольких команд сервис то проходил проверки, то снова терял доступность. При этом у одной из команд в нижней части таблицы он работал стабильно. По словам Арсения, VDNKh написала прокси и перенаправила трафик своего AirQSO на сервис этой команды. После этого их экземпляр тоже стал проходить проверки.
Даниэлю из команды-победителя запомнился сервис с PostgreSQL. Соперники находили всё новые способы забрать флаги, а защитники по записи трафика разбирались, как сработала очередная атака. Ещё в одном эпизоде посреди игры у команды пропали установленные исправления. Каждый раунд — тик — приносил новые потери. Даниэль вспоминает:
«в один момент у нас по какой-то причине откатился сервис и все патчи, и мы начали течь и терять по дофига очков за тик, мы просто решили его положить и так до конца игры его и не врубили)»
Как распределились места
По словам организаторов, борьба за серебро шла всю вторую половину финала. Даниэль вспоминает, что обгон VDNKh в конце игры запомнился ему наравне с моментом, когда пришлось срочно отключать сервис. Арсений так описывает последний час за столом VDNKh:
«В последний час мы занимались двумя вещами — молились на наших бинарщиков и пытались всеми силами удержаться в топе и вырваться на второе место. В ход шло все — и «сокрытие» сплоитов, и небольшой DoS через Argon. В итоге мы вырвались на второе место буквально на предпоследнем раунде».
Как участники оценили организацию
Даниэль на вопрос о площадке, инфраструктуре и связи с организаторами ответил коротко: «с этим было все круто, все организовано хорошо было, проблем не было».
Арсений тоже положительно оценил финал, хотя его команда столкнулась с перебоями интернета. По его словам, VDNKh приходилось искать способ подключиться по SSH и следить за свободным местом на игровых машинах. Отдельно он отметил, что нестабильные проверки почти не мешали игре:
«На самом деле, почти все было хорошо. Иногда моргали чекеры, но это особо не мешало. Были проблемы с инфраструктурой — иногда моргал интернет».
О людях, которые готовили финал, Арсений сказал: «А сами организаторы — лучшие в мире люди, у них и сервисы крутые, и общаться с ними классно».
Для организаторов этот Кубок стал юбилейным: в 2026 году исполнилось 20 лет со дня первого UralCTF. В следующем году будет десять лет с тех пор, как организацию турнира взяла на себя команда из Тюмени.
Организаторы Кубка Урала — Тюменский государственный университет, Правительство Тюменской области, АРСИБ, ФСП.
